关键要点
- 2026年1月1日生效的新《加州消费者隐私法案》(CCPA)规定，为企业引入了多项重大新义务，包括网络安全审计、风险评估以及自动化决策技术(ADMT)要求。
- 网络安全审计仅适用于其处理行为对消费者构成"重大风险"的组织，并将按阶段实施，直至2030年完成。
- 该法规要求进行详细、基于证据的审计——这意味着企业必须准备政策、日志、配置和文档，而不仅仅是书面声明。
- 对某些敏感个人信息处理、ADMT、生物识别数据以及数据共享或销售活动，需要进行新的风险评估。
- 加利福尼亚州的新框架提高了合规门槛，要求企业尽早投入、详尽记录并聘请经验丰富的审计师，以避免出现瓶颈。
- 组织应立即着手准备工作，包括审查数据处理活动、识别ADMT的使用情况，并评估其是否符合新定义的阈值要求。
引言
《加州消费者隐私法案》（CCPA）自最初通过以来已发生重大演变，而最新一批法规——经行政法办公室于2025年9月23日批准，将于2026年1月1日生效——引入了迄今为止最全面的修订。这些更新反映了加州隐私保护局（现更名为Cal Privacy）与众多行业利益相关方历时数年的协作成果。
在福里尔·拉德纳律师事务所近期播客中，科技交易、网络安全与隐私业务组的两位律师史蒂夫·米伦多夫与盖布·怀尔德系统解读了相关法规及其对企业的影响。他们的讨论揭示了一个核心事实：这些规则将为众多组织带来显著的运营提升，尤其对处理海量个人信息或采用自动化决策技术的企业而言。
为何新的《加州消费者隐私法案》法规至关重要
加利福尼亚州长期以来一直是美国隐私监管领域的先行者。最新扩大的《加州消费者隐私法案》体现了该州对消费者保护的持续承诺——尤其在网络安全事件频发、数据使用手段日益复杂、人工智能技术快速发展的背景下。
新规主要关注三个重点领域：
- 网络安全审计
- 隐私风险评估
- 自动化决策技术要求
这些规定还包括对现有法规的澄清以及更新后的门槛标准，用于确定哪些企业属于适用范围。虽然并非所有组织都会立即受到影响，但时间安排要求企业必须从现在开始着手准备。
新的网络安全审计要求
谁必须执行网络安全审计？
根据新颁布的第9条规定，网络安全审计仅适用于其个人信息处理行为对消费者安全构成"重大风险"的企业。重大风险的定义因监管环境而异，但就审计而言，符合以下条件的企业均需接受审计：
- 年度收入的50%或以上来源于销售或共享消费者个人信息
或 - 满足《加州消费者隐私法案》的收入门槛（目前为 2662.5万美元) 以及流程：
- 每年涉及25万或以上加州消费者或家庭的个人信息
- 或每年涉及50,000名或以上消费者的敏感个人信息
正如米伦多夫和怀尔德所强调的，这些门槛是故意设得很高的。许多受《加州消费者隐私法案》约束的企业永远无法达到这些标准。但对于那些达到标准的组织而言，其要求却是极其繁重的。
分阶段时间表：企业需要了解的内容
合规时限是该法规中最复杂的方面之一。
若2026年年度收入超过1亿美元：
- 审计必须涵盖2027日历年
- 认证有效期至2028年4月1日
若2027年年度收入介于5000万至1亿美元之间：
- 审计必须涵盖2028日历年
- 认证有效期至2029年4月1日
若2028年年度收入低于5000万美元：
- 审计必须涵盖2029日历年
- 认证有效期至2030年4月1日
初始周期结束后，审计工作每年进行一次，每次审计均涵盖前一公历年度。
由于审计必须反映全年业务活动，企业实际只有三个月时间完成并提交审计报告——两位律师均表示这个时间安排极其紧张。
网络安全审计必须包含哪些内容？
所需的审计要素远不止于检查企业是否具备基本网络安全政策。相反，这些法规体现了全面、高度技术化且基于证据的审查。
主要类别包括：
- 身份验证协议（包括多因素身份验证）
- 静态和传输中的加密
- 访问控制与权限管理
- 安全配置设置
- 内部和外部漏洞扫描
- 渗透测试
- 审计日志管理
- 网络监控（包括EDR和NDR工具）
- 安全编码实践
- 数据保留与最小化政策
- 事件响应计划
这种方法强化了一项指导原则：没有安全就谈不上隐私。企业需要对存储个人信息的所有系统拥有全面可见性——而不仅仅是那些用于狭义隐私功能的系统。
内部审计师与外部审计师
企业可使用内部审计师，但必须满足以下条件：
- 合格的
- 目标
- 独立
- 不参与日常网络安全运营
正如播客讨论所指出的，这一要求对许多组织而言颇具挑战。内部网络安全人员通常负责管理正在接受审计的系统，这不可避免地会产生利益冲突。
这意味着大多数企业将依赖外部网络安全审计机构，而由于时间窗口紧迫，这些机构的需求量可能会异常高涨。企业应做好以下准备：
- 更高的审计费用
- 调度瓶颈
- 更长的交货周期
- 合格评估师的潜在竞争
米伦多夫和怀尔德将当前情况比作税务季的预期高峰——只不过如今各组织必须同时完成财务审计和网络安全审计。
文件至关重要：凭证据，而非承诺
此次对话最重要的启示之一：审计人员不能仅凭员工陈述行事。他们必须通过证据来验证合规性，这意味着：
- 书面政策
- 安全日志
- 系统配置
- 培训记录
- 变更管理文档
- 扫描工具的报告
- 事件响应数据
对于拥有强大但未记录的网络安全实践的企业而言，这可能是最关键的提升点。若缺乏文档记录，审计人员将无法确认合规性。
结论
新颁布的《加州消费者隐私法案》标志着美国隐私治理体系最重大的扩展之一。对众多企业而言，合规要求将迫使它们进行重大运营调整——尤其是那些采用自动化技术或大规模处理数据的企业。
但通过提前规划、规范记录和选择合适的合作伙伴，企业完全能够做好准备。现在就了解要求并采取主动措施，企业就能降低风险、简化合规流程，并为新的监管环境做好充分准备。
想了解最新的隐私动态吗？
收听福莱律师事务所网络安全与数据隐私团队的播客系列，我们的律师将深入解析不断演变的法规、新兴风险及其对您业务的影响。
