数据保护原则清单

加州（CCPA/CPRA 框架）下的主要数据保护原则如下：

• 透明度与通知

  • 在收集个人信息时提供“收集通知”，明确类别、用途、是否出售/共享、保留期限或判定标准、是否涉及敏感个人信息（Cal. Civ. Code §1798.100(b)、CCPA 规章）。
  • 隐私政策需定期更新，描述消费者权利、请求渠道、出售/共享的类别、与第三方的披露情况、数据保留实践等。

• 目的限制、数据最小化与存储期限限制（CPRA 新增，§1798.100(c)）

  • 不得将个人信息用于与收集时所披露目的不合理或不相称的用途。
  • 仅收集为实现目的所必需的个人信息。
  • 不得保留超过实现披露目的所需时间；需在通知/隐私政策中体现保留期限或判定标准。

• 消费者权利

  • 知情与访问权：可请求了解收集、使用、披露、出售/共享的类别与具体内容（§1798.110、§1798.115）。
  • 数据可携权：在技术可行时以可用格式提供（§1798.100(d) 与规章）。
  • 删除权：在法定例外外，须删除并指示服务商/承包商/第三方同步删除（§1798.105）。
  • 更正权：更正不准确的个人信息（§1798.106）。
  • 选择退出出售/共享权：可随时拒绝将个人信息出售或用于跨情境定向广告（“共享”）（§1798.120、§1798.135）。
  • 限制敏感个人信息使用/披露权：将使用限制在必要范围（如服务交付、安全），并提供“限制使用敏感信息”入口（§1798.121）。
  • 反歧视：不得因行使权利而差别对待；激励计划需披露价值与条款并取得知情同意（§1798.125）。

• 敏感个人信息的专门保护（CPRA）

  • 类别包括精准地理位置、政府身份证号、账户凭据、健康/生物识别数据、种族/民族、宗教、工会成员、邮件/消息内容等。
  • 默认仅在必要范围使用；消费者可要求进一步限制（§1798.121）。

• “合理安全措施”与数据泄露通知

  • 需实施与信息性质相称的合理安全程序与实践（Cal. Civ. Code §1798.81.5）。
  • 发生泄露时履行州法通知义务（§1798.82）。
  • 因未实施合理安全而导致特定个人信息被未经授权访问/泄露，消费者可提起私权诉讼（CCPA §1798.150）。

• 未成年人个人信息保护

  • 未满16岁个人信息的出售/共享需事先“选择加入”（<13 岁需监护人同意）（§1798.120(d)）。
  • 涉及未成年人违规的罚款加重（CPRA）。

• 账户与技术控制：支持偏好信号

  • 必须无摩擦地识别并尊重全局隐私控制（GPC）等“选择退出偏好信号”，将其视为有效的出售/共享拒绝请求（CCPA 规章 §7025 等）。

• 第三方、服务提供商与承包商的合规治理

  • 与受托处理方订立合同，限制用途，禁止未经授权的合并或再利用，要求协助履行消费者请求并采取合理监督措施（§1798.140、§1798.100(d)、规章）。
  • 披露给第三方时，需确保其用途与披露目的相符，并受合同约束。

• 记录保存与请求响应流程

  • 建立身份验证、请求受理与响应机制，遵守法定时限与例外。
  • 保存消费者请求及处理记录（通常至少24个月），用于合规证明（规章要求）。

• 风险评估与网络安全审计（待监管定案）

  • CPRA 要求监管机构制定针对高风险处理的隐私风险评估与网络安全审计规则；相关草案尚未最终生效，落地要求以已发布的最终规章为准（§1798.185）。

• “出售”与“共享”的明确定义与标识

  • 出售：以金钱或其他有价对价披露个人信息。
  • 共享：为跨情境定向广告披露个人信息（CPRA 新增）。
  • 网站与应用需提供“Do Not Sell or Share My Personal Information”和“Limit the Use of My Sensitive Personal Information”直达机制（§1798.135、§1798.121）。

以上原则体现加州隐私法的核心：以透明度和消费者控制为中心，叠加目的/保留限制与合理安全，再通过契约与技术措施加强端到端治理。实际落地应结合企业数据地图、保留政策、请求处理SOP、服务商合同条款、偏好信号识别与安全控制基线，确保证据链可审计与持续合规。

UK data protection principles (UK GDPR and Data Protection Act 2018):

• Lawfulness, fairness, and transparency

  • Process personal data only with a lawful basis (Article 6), and additional conditions for special category data (Article 9) and criminal offence data (DPA 2018, Sch. 1).
  • Be fair in how data is used; do not use data in ways people would not reasonably expect.
  • Provide clear, accessible privacy information to data subjects at the point of collection.

• Purpose limitation

  • Collect data for specified, explicit, and legitimate purposes.
  • Do not process data for incompatible purposes; assess compatibility if considering reuse.
  • Limited exceptions for archiving in the public interest, scientific/historical research, and statistical purposes, with appropriate safeguards (Article 89).

• Data minimisation

  • Ensure data is adequate, relevant, and limited to what is necessary for the stated purposes.
  • Avoid collecting or retaining data not needed to meet those purposes.

• Accuracy

  • Keep personal data accurate and up to date.
  • Take reasonable steps to rectify or erase inaccurate data without delay.

• Storage limitation

  • Retain personal data only for as long as necessary for the purposes collected.
  • Define and apply retention schedules; apply archiving/research exceptions with safeguards where applicable.

• Integrity and confidentiality (security)

  • Protect personal data with appropriate technical and organisational measures against unauthorised or unlawful processing, and against accidental loss, destruction, or damage.
  • Use a risk-based approach; consider measures such as encryption, pseudonymisation, access controls, secure development, monitoring, and incident response.

• Accountability

  • Be responsible for, and able to demonstrate, compliance with all principles.
  • Implement governance: policies, training, records of processing (Article 30), DPIAs (Article 35) where required, privacy by design and by default (Article 25), supplier due diligence and contracts, breach management, and oversight (including DPO where applicable).