CCPA/CPRA

CCPA（California Consumer Privacy Act）於2020年1月1日生效，2023年1月1日修正版CPRA（California Privacy Rights Act）正式實施。CCPA是美國首個具備GDPR性質的州級隱私法，賦予加州居民知情權、訪問權、刪除權及選擇退出（Opt-out）個人資料銷售或分享的權利。CPRA進一步引入「敏感個人資料」（Sensitive Personal Information）類別，並要求企業建立資料安全防護措施。在風險管理框架中，CCPA/CPRA屬於外部法規風險類別，與GDPR第5條（資料處理原則）及第17條（被遺忘權）的概念高度對應。台灣企業若有加州用戶，必須依此法建立資料處理活動紀錄（ROPA）、資料處理協議（DPA）及回應權利請求的作業流程，否可面臨每宗違規最高2,500美元至15,000美元的民事罰款。建議企業參考ISO 27701:2019標準建立對應的隱私管理系統（PIMS），以系統性滿足CCPA/CPRA的合規要求。

實務導入可分為三個階段：第一階段為資料盤點與分類，企業需建立資料資產清冊（Data Asset Inventory），識別哪些資料屬於「個人資料」及「敏感個人資料」，並對應CPRA第2條的定義。第二階段為權利機制建立，需設計線上機制讓用戶行使「選擇退出個人資料分享」及「要求刪除資料」的權利，並建立回應時程管理（通常為45天）。第三階段為風險評估與文件化，依CPRA要求，涉及高風險處理活動（如大規模處理敏感資料）需進行資料保護衝擊評估（DPIA）。以一家台灣電商企業為例，導入CCPA/CPRA後，透過ISO 27701框架建立PIMS，可將資料處理活動的合規率從40%提升至95%，並在12個月內減少60%的資料外洩風險事件。量化指標建議包含：資料主體請求回應率（目標100%）、DPIA覆蓋率（目標100%）、資料處理協議簽署率（目標100%）。

台灣企業導入CCPA/CPRA主要面臨三大挑戰：第一，法規差異認知不足，許多企業誤以為GDPR合規即等於CCPA合規，忽略CPRA對「個人資料分享（Sharing）」的特殊定義；第二，技術架構無法即時回應資料主體權利請求，特別是分散在多個雲端平台的資料；第三，供應商管理（Vendor Management）缺口，CCPA要求企業對服務提供商（Service Providers）有明確的契約約束。克服策略如下：首先，建立跨法規的統一合規矩（Unified Compliance），以GDPR為基礎框架，針對CCPA/CPRA的特殊要求（如Opt-out機制）進行增補設計；其次，導入自動化資料發現與分類工具，確保資料主體權利請求能在45天內完成處理；第三，在供應商合約中加入CCPA/CPRA特定條款，要求供應商提供資料處理證明。建議企業在6個月內完成現況缺口分析，12個月內建立完整PIMS管理體系。