【中伦·蔡鹏】解析CCPA项下个人信息出售的最新执法实践

引言

《加州消费者隐私法》（California Consumer Privacy Act，CCPA）于2018年6月28日获得通过，并于2020年1月1日正式生效。该法被称为美国最严厉、最全面的个人隐私保护规则。近年来，因企业违反CCPA而引发的诉讼案例层出不穷，但执法案例却极为有限。截至目前，官方已公布的执法和解案例仅有2022年8月的“Sephora案”和2024年2月的“DoorDash案”两起，且该两起案件的案由均为违法出售消费者个人信息。

基于此，我们对最新发布的DoorDash案进行分析解读，解析CCPA项下个人信息“出售”的定义及相关合规要求，以期为相关出海企业提供合规参考。
一、CCPA项下个人信息“出售”的定义
01 “DoorDash案”案情简介

DoorDash是美国一家大型外卖平台，为了推广自身平台产品、吸引新用户，DoorDash于2018年加入了某营销合作组织。基于该营销合作组织的相关规则，会员企业可通过向该营销合作组织提供其所掌握的消费者个人信息，以换取其他会员企业向各自的客户推广其产品或服务。该营销合作组织在获取消费者个人信息后，将会对这些个人信息进行融合和分析，并基于分析结果代表会员企业向潜在消费者发送定向营销邮件。本案中，DoorDash向该营销合作组织提供了其所掌握的加州消费者个人信息（包括姓名、地址和交易历史信息）。但DoorDash并未在隐私政策中说明其向营销合作组织提供个人信息的事实情况，也并未向消费者提供选择-退出（opt-out）机制。

加州总检察长办公室认为，DoorDash向营销合作组织提供消费者个人信息的行为属于CCPA所规定的个人信息“出售”行为，但DoorDash并未履行针对个人信息出售的相关合规义务，违反了CCPA和《加州在线隐私保护法》（California Online Privacy Protection Act，CalOPPA）。2024年2月21日，加州总检察长宣布与DoorDash达成执法和解，DoorDash需支付37.5万美元的罚款，并履行关于个人信息出售的相关合规要求。

02 案件解读：什么是CCPA项下的个人信息“出售”行为？

本案中最值得关注的是，加州总检察长办公室对CCPA项下个人信息“出售”的定义进行了释明。根据CCPA，个人信息“出售”被广泛定义为“企业以口头、书面或电子形式或者其他方式将消费者的个人信息出售、出租、发布、披露、传播、提供、转让给另一企业或第三方，以获得金钱或其他有价值的对价（for monetary or other valuable consideration）”。据此，在企业对外提供消费者个人信息但未获取金钱对价的情形下，判断企业是否获取“有价值的对价”，成为了根据CCPA认定个人信息“出售”行为的重要因素。

具体到本案来看，DoorDash向营销合作组织提供消费者个人信息，以换取针对潜在新客户的广告利益，这被视为获取了“有价值的对价”，故构成CCPA项下的个人信息“出售”行为。而在此前CCPA与Sephora的和解案中，Sephora与第三方共享消费者个人信息以获取该第三方提供的免费服务、价格折扣或更高质量的广告或数据分析服务，同样被认定为构成CCPA所规定的“出售”行为。基于此，我们认为，“有价值的对价”需作广义理解——任何共享消费者个人信息以获取商业利益的行为均可能被认定为CCPA项下所规定的“出售”行为。

值得注意的是，CCPA亦明确了企业“出于商业目的”而向第三方披露数据的，不属于个人信息“出售”的范畴。根据CCPA的规定，“商业目的”主要包括以下类型：

1）就广告质量和广告印象以及消费者相关立场进行统计分析；

2）为了维护网络安全，防止欺诈、恶意、违法行为，以及查处相关责任人员；

3）为了修复故障；

4）对个人信息临时短暂的使用，且不会向其他第三方披露个人信息，也不会将个人信息用以构建用户画像或改变除该临时使用场景之外的消费者体验；

5）为了内部技术开发和研究；

6）为了保持、验证、升级或加强产品或服务的质量和安全性；

7）代表企业提供服务，包括维护系统账户、提供客服服务、处理订单、验证客户信息、处理付款、提供融资、提供广告和营销服务、提供分析服务或者其他类似服务。

基于上述分析，我们理解，CCPA项下“出于商业目的的披露”类似于我国《个人信息保护法》项下的“委托处理”概念。该场景下的个人信息披露行为是出于企业委托第三方参与提供特定服务或功能的需要，而非基于提供个人信息以获取第三方“有价值的”回报。但在此类场景下，如第三方因企业向其提供个人信息而给予折扣或提供超出原有合同安排的服务的，我们理解，也可能构成CCPA项下基于提供个人信息以换取“有价值的对价”的“出售”行为。
二、针对出海企业的合规建议
如前文所述， CCPA对于个人信息“出售”的定义十分广泛，且所涉及的合规义务复杂多样，相关企业在进军北美市场时，应当予以重点关注。需要重点提示的是：CCPA语境下的“出售”与中国法语境下的“出售”完全不同，我们本文中的“出售”仅指代CCPA语境下的“出售”，切勿混淆。

就企业出海的具体合规要点，我们建议相关企业在与外部第三方开展合作前，首先应当结合CCPA的具体规定，事先识别与外部第三方之间的数据处理关系，确定相关合作是否落入“获取金钱或其他有价值的对价”的个人信息“出售”行为的范畴。

其次，如相关企业与外部第三方的合作确实涉及CCPA所规定的个人信息“出售”场景，根据CCPA，相关企业应当履行以下合规义务：

1）在隐私政策中披露；

2）建立选择-退出机制，确保消费者可以选择退出企业的个人信息出售行为；

3）对于选择退出的消费者，企业在12个月内不得再次询问。

值得注意的是，CCPA还针对未成年人个人信息的出售设置了更为严格的合规要求：

1）针对13-16岁的消费者，企业在出售其个人信息前需取得该消费者的明确同意（opt-in）；

2）针对未满13周岁消费者，企业在出售其个人信息前应当取得其父母或监护人的明确同意。

在实操层面，相关企业可考虑同样在产品或服务首页中置入明确同意的操作入口，便于消费者或监护人选择行权。

近年来，美国各州立法持续释放强化消费者个人信息权益保障的信号，且各州立法内容各不相同。就个人信息“出售”行为而言，《弗吉尼亚州隐私法》《犹他州隐私法》等将出售行为限制为“获取金钱对价”，而《科罗拉多州隐私法》《康涅狄格州隐私法》等州立法则采取了与CCPA类似的定义，将获取“有价值的对价”作为出售的情形之一予以考量。基于此，我们建议，赴北美开展业务的出海企业，应根据律师建议，在不同阶段关注所在具体营业地（管辖地）的法律要求，在数据合规这个强监管领域做到有针对性的量体裁衣，以避免引发相关合规风险。
三、结语
近年来，美国各州立法持续释放强化消费者个人信息权益保障的信号，且各州立法内容各不相同。就个人信息“出售”行为而言，《弗吉尼亚州隐私法》《犹他州隐私法》等将出售行为限制为“获取金钱对价”，而《科罗拉多州隐私法》《康涅狄格州隐私法》等州立法则采取了与CCPA类似的定义，将获取“有价值的对价”作为出售的情形之一予以考量。基于此，我们建议，赴北美开展业务的出海企业，应根据律师建议，在不同阶段关注所在具体营业地（管辖地）的法律要求，在数据合规这个强监管领域做到有针对性的量体裁衣，以避免引发相关合规风险。


本文首发自公众号：数据与电商研究室
如需转发，请注明信息来自数据与电商研究室，如有意见建议或合作，请邮件CPdatalaw@zhonglun.com.

往 期 精 彩
解读文章
案例采撷 | CCPA下如何有效选择Opt-Out ——以Brooks 案为例
案例采撷丨某知名媒体因非法交易用户数据在美被诉，凸显“私人信息市场”的合规风险
年度观察 | 域外网络安全与数据保护监管重点（美国及其他篇）

本期作者：王梦迪 苏阳阳 唐静思
本期编辑：陈雨婕 唐静思 潘建丽
长按二维码一键关注
期待您的“赞”和“分享”