CCPA 電郵行銷指南：加州隱私法合規要求

加州消費者隱私法（CCPA），經加州隱私權法（CPRA）修訂，代表美國州級最全面的隱私法規。雖然不像 CAN-SPAM 是專門針對電子郵件的法規，但 CCPA 顯著影響企業如何收集、使用和分享電子郵件地址與訂閱者數據。本指南說明加州隱私法如何影響電子郵件行銷，並提供實用的合規策略。

了解 CCPA 和 CPRA

在深入探討電子郵件行銷影響之前，讓我們先了解這些法律是什麼以及適用對象。

什麼是 CCPA？

加州消費者隱私法於 2020 年 1 月 1 日生效，賦予加州居民對其個人資訊的新權利，並對收集個人資訊的企業施加義務。

CCPA 核心原則：

• 透明度：消費者必須知道收集什麼數據以及原因
• 控制權：消費者可以存取、刪除並選擇退出數據銷售
• 非歧視：企業不能因消費者行使權利而懲罰他們
• 問責制：企業必須實施合理的安全措施

什麼是 CPRA？

加州隱私權法於 2023 年 1 月 1 日生效，修訂並強化 CCPA：

CPRA 主要新增內容：

• 創建加州隱私保護局（CPPA）負責執法
• 新增「敏感個人資訊」類別並提供額外保護
• 引入「更正權」以更正不準確的資訊
• 建立「限制使用權」以限制敏感數據的使用
• 擴展數據最小化要求
• 創建新的承包商和服務提供商義務

誰必須遵守？

CCPA/CPRA 適用於以下企業：

• 在加州從事商業活動，且
• 符合以下任一門檻：
  • 年度總收入超過 2500 萬美元
  • 每年購買、銷售或分享 10 萬名以上加州居民/家庭的個人資訊
  • 50% 以上的年度收入來自銷售/分享個人資訊

重要說明：

• 不需要在加州有實體據點
• 「在加州從事商業活動」包括擁有加州客戶
• 門檻每年評估一次
• 小型企業如果處理大量個人數據，仍可能受規範

CCPA 下的個人資訊是什麼？

個人資訊的定義廣泛，指能夠識別、關聯、描述、合理關聯或合理連結到特定消費者或家庭的資訊。

與電子郵件行銷相關的例子：

• 電子郵件地址
• 姓名
• IP 位址
• 裝置識別碼
• 瀏覽歷史
• 購買歷史
• 從上述任何資訊推斷出的資料

敏感個人資訊（CPRA 下的額外保護）：

• 政府 ID 號碼
• 金融帳戶資訊
• 精確地理位置
• 種族/民族來源
• 宗教信仰
• 基因數據
• 生物識別數據
• 健康資訊
• 性生活/性取向數據

對於大多數電子郵件行銷人員來說，標準個人資訊規則適用。敏感個人資訊通常不會在電子郵件行銷情境中收集。

CCPA 消費者權利與電子郵件行銷

CCPA 賦予加州居民特定權利，這些權利影響您如何管理電子郵件訂閱者數據。

知情權（存取權）

意義：消費者可以要求披露：

• 收集的個人資訊類別
• 收集的具體個人資訊
• 資訊來源
• 收集的商業目的
• 分享資訊的第三方類別

電子郵件行銷影響：

• 準備提供您持有的所有訂閱者數據
• 包括電子郵件地址、姓名、互動數據、購買歷史
• 記錄您的數據收集來源和目的
• 追蹤第三方分享（ESP、分析、廣告商）

請求回應要求：

• 回應前驗證消費者身份
• 45 天內回應（可延長至 90 天並通知）
• 免費提供資訊
• 以可攜式、易於使用的格式交付

刪除權

意義：消費者可以要求刪除其個人資訊，但有某些例外。

電子郵件行銷影響：

• 必須在收到請求後刪除電子郵件地址和相關數據
• 從行銷清單、CRM、分析平台中刪除
• 指示服務提供商也刪除
• 可保留抑制清單條目以防止重新添加

刪除例外：

• 完成收集數據的交易
• 偵測安全事件
• 行使言論自由權
• 遵守法律義務
• 符合消費者期望的內部使用

實務方法： 將刪除請求視為類似取消訂閱請求，但更全面——刪除所有數據，而不僅僅是停止發送電子郵件。

更正權（CPRA）

意義：消費者可以要求更正不準確的個人資訊。

電子郵件行銷影響：

• 提供更新個人資料資訊的機制
• 在 45 天內處理更正請求
• 更新所有儲存數據的系統
• 通知服務提供商也進行更正

選擇退出銷售/分享權

意義：消費者可以指示企業不要銷售或分享其個人資訊。

CCPA 下的「銷售」： 定義廣泛——包括以金錢或其他有價值的對價交換數據。

CPRA 下的「分享」： 包括為跨情境行為廣告披露數據，即使沒有付款。

電子郵件行銷影響：

• 如果您與廣告平台分享訂閱者數據用於定向投放，這可能構成「分享」
• 基於電子郵件清單的重定向可能觸發選擇退出權利
• 通過第三方進行的數據豐富化可能涉及「銷售」

「不要銷售或分享我的個人資訊」連結： 如果您銷售或分享數據，則在您的網站上必須提供。必須：

• 清晰明顯
• 容易找到（通常在頁尾）
• 無需建立帳戶即可使用

限制使用敏感個人資訊的權利

意義：消費者可以限制敏感個人資訊的使用僅限於服務交付所必需的範圍。

電子郵件行銷影響： 大多數電子郵件行銷不涉及敏感個人資訊。但是，如果您收集：

• 用於本地優惠的精確位置數據
• 用於健康相關行銷的健康資訊
• 用於金融服務行銷的金融數據

您必須提供「限制使用我的敏感個人資訊」連結並遵守限制請求。

非歧視權

意義：企業不能歧視行使 CCPA 權利的消費者。

禁止行為：

• 拒絕提供商品或服務
• 收取不同價格
• 提供不同品質等級
• 威脅以上任何行為

電子郵件行銷影響：

• 不能拒絕發送請求的交易電子郵件
• 不能向行使權利的人提供較差的電子郵件內容
• 不能在選擇退出請求後對電子郵件訂閱收取額外費用

允許的差異化： 您可以提供數據分享的激勵，但必須：

• 與數據價值合理相關
• 預先披露
• 不具強制性

電子郵件行銷人員的 CCPA 合規

現在讓我們將 CCPA 要求轉化為實用的電子郵件行銷合規。

隱私政策要求

必需披露：

收集的個人資訊類別： 列出您在過去 12 個月內收集的內容：

• 識別碼（姓名、電子郵件、IP 位址）
• 網路活動（瀏覽、電子郵件互動）
• 商業資訊（購買歷史）
• 推論（衍生偏好、細分）

個人資訊來源：

• 直接來自消費者（註冊表單）
• 自動收集（cookies、電子郵件開啟）
• 來自第三方（購買清單、豐富化）

商業目的：

• 行銷通訊
• 個人化
• 分析和改進
• 防止詐欺

第三方類別：

• 電子郵件服務提供商
• 分析提供商
• 廣告平台
• 數據豐富化服務

消費者權利及如何行使：

• 每項權利的描述
• 如何提交請求
• 驗證流程
• 回應時間框架

不銷售/分享披露： 說明您是否銷售/分享數據。如果是，請包含選擇退出連結。

隱私政策最佳實務

格式要求：

• 合理可存取
• 以您交易使用的語言提供
• 至少每年更新一次
• 標註最後更新日期

最佳實務：

• 使用清晰、淺顯的語言
• 使用標題和段落組織
• 包含加州專屬部分
• 從網站和註冊表單顯著連結

數據收集實務

收集時通知： 在收集個人資訊之前，告知消費者：

• 正在收集的資訊類別
• 收集目的
• 資訊是否會被銷售/分享
• 保留期限（或確定保留期限的標準）

電子郵件註冊表單：

透過提供您的電子郵件地址，您同意接收來自 BillionVerify
的行銷通訊。我們收集您的電子郵件、姓名和互動數據以個人化
內容並改進我們的服務。我們不會銷售您的個人資訊。查看我們的
隱私政策以了解您的加州隱私權詳情。

數據最小化（CPRA）： 僅收集披露目的合理必要的內容。對於電子郵件行銷：

• 電子郵件地址（必需）
• 姓名（個人化合理）
• 廣泛的人口統計數據（沒有明確目的可能過度）

第三方管理

服務提供商協議： 與電子郵件服務提供商分享訂閱者數據時，確保合約包含：

• 限制數據使用於合約目的
• 禁止銷售或分享數據
• 遵守消費者請求的要求
• 適當的安全措施
• 對分包商使用的限制

第三方廣告： 如果您將電子郵件清單上傳到廣告平台：

• 這可能構成 CPRA 下的「分享」
• 需要「不要銷售或分享」連結
• 必須遵守選擇退出請求
• 考慮使用雜湊電子郵件以減少曝光

消費者請求處理

驗證流程： 在回應請求之前，驗證請求者是實際消費者：

知情權/刪除權：

• 匹配您記錄中的識別資訊
• 要求額外驗證（電子郵件確認、安全問題）
• 基於風險的合理驗證方法

選擇退出：

• 不需要驗證
• 必須接受而無需建立帳戶
• 立即遵守

回應流程：

1. 在 10 天內確認收到
2. 驗證身份
3. 定位所有個人資訊
4. 在 45 天內完成請求
5. 記錄請求和回應

指定的請求方法： 提供至少兩種方法：

• 免費電話號碼
• 網站表單
• 電子郵件地址（可接受）
• 如果您有線上帳戶：基於帳戶的請求

CCPA 下的電子郵件清單管理

CCPA 影響您如何建立、維護和使用電子郵件清單。

清單建立合規

第一方收集：

• 提供收集時通知
• 連結到隱私政策
• 清楚說明他們將收到什麼電子郵件
• 不要求提供電子郵件以使用無關服務

第三方清單： 使用購買或租用的清單在 CCPA 下有風險：

• 您需要驗證賣方是否有適當同意
• 您必須在首次聯繫時提供通知
• 消費者可以要求刪除
• 可能構成「購買」個人資訊

最佳實務：透過您自己的收集工作有機地建立清單。這樣更合規且效果更好。

清單驗證和品質

維護乾淨的電子郵件清單支援 CCPA 合規：

清單品質為何重要：

• 無效地址表明數據實務不佳
• 購買的清單通常缺乏適當同意
• 退信表明應該刪除的數據

使用電子郵件驗證： BillionVerify 的電子郵件驗證有助於維護合規：

• 在收集時驗證以確保準確性
• 定期批量驗證刪除無效地址
• 支援數據準確性原則
• 識別潛在問題來源

數據保留

CPRA 要求： 不要保留個人資訊超過合理必要的時間。

電子郵件行銷考量：

• 保留不活躍訂閱者多長時間？
• 何時刪除互動歷史？
• 您的保留政策是什麼？

實務方法：

• 為每種數據類型定義保留期限
• 實施自動刪除流程
• 記錄保留決策
• 考慮電子郵件互動數據保留 2-3 年
• 每年審查和更新政策

遵守消費者請求

存取請求： 準備提供：

• 電子郵件地址
• 姓名和個人資料數據
• 互動歷史（開啟、點擊）
• 購買歷史
• 細分分配
• 收集來源

刪除請求： 從以下位置刪除：

• 主要行銷資料庫
• 電子郵件服務提供商
• CRM 系統
• 分析平台
• 備份系統（在合理時間內）
• 您已分享的豐富化提供商

保留在抑制清單中： 維護抑制記錄以防止重新添加該地址。即使刪除後也允許這樣做。

CCPA 與其他隱私法規的比較

了解 CCPA 與其他法規的關係有助於建立全面的合規。

CCPA vs. GDPR

實務方法：如果您同時擁有歐盟和加州訂閱者，GDPR 合規通常涵蓋 CCPA 要求，加上額外的同意措施。

有關全面的 GDPR 指南，請參閱我們的 GDPR 電子郵件行銷指南。

CCPA vs. CAN-SPAM

CAN-SPAM 和 CCPA 處理電子郵件的不同方面：

CAN-SPAM：商業電子郵件內容和發送實務

• 取消訂閱機制
• 準確的標頭
• 實體地址

CCPA：數據隱私和消費者權利

• 數據存取
• 刪除權
• 選擇退出數據銷售

兩者都是必需的：遵守 CAN-SPAM 的電子郵件內容和 CCPA 的數據實務。

有關 CAN-SPAM 指南，請參閱我們的 CAN-SPAM 合規指南。

其他州隱私法

加州率先制定，但其他州也在跟進：

維吉尼亞消費者數據保護法（VCDPA）：2023 年 1 月生效 科羅拉多隱私法（CPA）：2023 年 7 月生效 康乃狄克數據隱私法（CTDPA）：2023 年 7 月生效 猶他消費者隱私法（UCPA）：2023 年 12 月生效

更多即將到來： 德克薩斯、奧勒岡、蒙大拿、德拉瓦和其他州已經通過或提出隱私法。

實務方法：建立可以適應新州法律的合規框架。核心原則相似——透明度、消費者權利和數據保護。

CCPA 合規檢查清單

使用此檢查清單評估您的電子郵件行銷 CCPA 合規性。

隱私政策和通知

• [ ] 隱私政策包含所有必需的 CCPA 披露
• [ ] 加州專屬部分處理州權利
• [ ] 政策在過去 12 個月內更新
• [ ] 政策可從網站頁尾存取
• [ ] 「不要銷售或分享」連結存在（如適用）
• [ ] 「限制敏感個人資訊」連結存在（如適用）
• [ ] 數據收集前提供收集時通知

數據收集

• [ ] 電子郵件註冊表單包含隱私通知
• [ ] 收集時通知涵蓋類別和目的
• [ ] 遵循數據最小化原則
• [ ] 記錄第三方清單來源
• [ ] 可以追蹤每條記錄的收集來源

消費者請求處理

• [ ] 至少提供兩種請求提交方法
• [ ] 記錄驗證流程
• [ ] 建立 10 天確認流程
• [ ] 建立 45 天回應流程
• [ ] 員工接受請求處理培訓
• [ ] 維護請求日誌

數據管理

• [ ] 記錄所有數據儲存位置
• [ ] 服務提供商協議包含 CCPA 條款
• [ ] 刪除流程涵蓋所有系統
• [ ] 維護抑制清單
• [ ] 定義保留期限
• [ ] 進行定期電子郵件驗證

第三方關係

• [ ] 服務提供商合約已更新以符合 CCPA
• [ ] 記錄分享/銷售活動
• [ ] 選擇退出機制遵守所有數據分享
• [ ] 通知第三方刪除請求
• [ ] 評估廣告平台使用是否構成「分享」

電子郵件行銷中常見的 CCPA 錯誤

避免這些常見的合規陷阱。

錯誤 1：因為不在加州而忽視 CCPA

問題：假設地理距離意味著 CCPA 不適用。

現實：如果您有加州客戶並符合門檻，無論您的位置如何，都必須遵守。

修復：評估您的加州客戶群，並對這些居民應用 CCPA 保護。

錯誤 2：不完整的隱私政策

問題：隱私政策未包含所有必需的 CCPA 披露。

修復：

• 根據 CCPA 要求審核政策
• 添加加州專屬部分
• 每年更新

錯誤 3：沒有消費者請求流程

問題：缺乏處理存取、刪除或選擇退出請求的系統。

修復：

• 為每種請求類型建立接收流程
• 培訓員工處理
• 實施追蹤和記錄
• 測試請求履行

錯誤 4：無法從所有系統中刪除

問題：從主清單中刪除，但忘記 ESP、CRM 或分析。

修復：

• 記錄所有持有訂閱者數據的系統
• 建立涵蓋每個系統的刪除工作流程
• 驗證刪除完成
• 維護抑制清單

錯誤 5：未更新服務提供商合約

問題：與電子郵件服務提供商的合約缺乏 CCPA 所需條款。

修復：

• 審查現有合約
• 添加所需的限制和義務
• 確保合規認證語言
• 隨著法規演變更新

錯誤 6：將 CCPA 視為一次性專案

問題：一次性實施合規而不維護。

修復：

• 安排年度政策審查
• 監控法規更新
• 培訓新員工了解要求
• 定期審核合規性

建立可持續的合規計劃

長期 CCPA 合規需要持續承諾。

文件記錄最佳實務

要記錄什麼：

• 數據清單（您收集什麼以及在哪裡）
• 每個數據點的收集來源
• 每種數據類型的目的
• 第三方關係和合約
• 消費者請求日誌
• 員工培訓記錄
• 合規評估

文件記錄的好處：

• 展示善意合規
• 簡化消費者請求履行
• 支援審核回應
• 實現一致的流程

員工培訓

誰需要培訓：

• 行銷團隊成員
• 客戶服務人員
• IT 和數據團隊
• 法律和合規

培訓主題：

• CCPA/CPRA 基礎
• 消費者權利概述
• 請求處理程序
• 數據處理要求
• 升級流程

持續監控

定期活動：

• 年度隱私政策審查
• 季度數據清單更新
• 每月請求處理審核
• 持續法規監控
• 定期第三方評估

與電子郵件行銷營運整合

將合規嵌入工作流程：

• 在註冊流程中包含隱私通知
• 在清單匯入程序中添加驗證
• 將刪除建立到取消訂閱工作流程中
• 將請求處理連接到 CRM

支援合規的工具：

• 電子郵件驗證服務如 BillionVerify 用於數據準確性
• 同意管理平台
• 隱私請求自動化工具
• 數據映射解決方案

結論

CCPA 和 CPRA 增加了重要的隱私保護，影響電子郵件行銷人員如何收集、使用和分享訂閱者數據。雖然合規需要持續努力，但它與同樣能提高行銷效果的最佳實務一致——透明收集、優質數據和尊重消費者偏好。

關鍵要點：

1. 了解您的義務：確定您是否符合 CCPA 門檻以及哪些要求適用。

2. 更新您的隱私政策：確保包含全面的 CCPA 披露並保持最新。

3. 建立請求處理流程：準備好在要求的時間框架內履行存取、刪除和選擇退出請求。

4. 管理第三方：更新服務提供商合約並評估分享實務。

5. 維護數據品質：使用電子郵件驗證和清單衛生來支援準確性要求。

6. 保持最新：隱私法正在快速演變。監控發展並相應調整。

加州的隱私法代表向消費者控制個人數據的重大轉變。透過在您的電子郵件行銷計劃中擁抱這些原則，您不僅遵守當前要求，還為全國範圍內正在出現的更廣泛隱私格局做好準備。

有關涵蓋多項法規的全面電子郵件合規指南，請參閱我們的電子郵件合規指南。使用 BillionVerify 的電子郵件驗證服務確保您的訂閱者數據準確且得到妥善維護。