隐私知多少？深入了解美国的数据保护法

世界各地，不论是家里、公司里还是政府里，隐私问题的关注度不断上升。近些年，随着生活的方方面面都从线下转移到线上，从平民到官员都已认识到数字活动留下“足迹”的归属问题。企业长期利用这些数据来进行广告与新闻的推送和改进。人们也逐渐认识到，如果不围绕数据构建合适的保护机制，我们将面临重大危机——新冠肺炎的大流行更是加重了这一问题。由于数据收集的低门槛，以及所有使用互联网用户的相关数据都存在泄露风险，立法者早已开始了对隐私泄露问题的干预。

美国，互联网的出生地，一直对整个互联网世界有着巨大的影响力，往往也被认为是除欧盟以外的网络监管先锋之一。但是和欧盟所采用的GDPR——世界上最严格的隐私标准不同，美国没有统一的联邦法规来进行约束，相反，各州自行颁布的法律法规对隐私标准进行了约定，也因此各个州的互联网用户有着完全不同的体验。

我们详细研究了美国目前正在实施的或尚未实施的各种隐私法律法规，以下是简单介绍：

The California Consumer Privacy Act (CCPA)加利福尼亚州消费者隐私法

由于联邦政府没有专门制定任何有关隐私的法律，因此关于隐私法律的指导和落实就落在了各个州政府上。各个州已经开始制定相关法律保护个人的线上隐私。其中第一个，也是最值得关注的便是《加利福尼亚州消费者隐私法》（CCPA），这项法律于2018年通过，并于2020年生效，类似欧盟的GDPR，都是世界范围内首批落实的隐私法律。其提出了具体的规范、参数和概念，除了为加利福尼亚州以及其它州人们提供数据保护外，也为美国及其他地区设立隐私法提供了参考。

CCPA常常被拿来和GDPR比较，原因也很简单。这两部法律都有类似的条款，并且该法律也受到了欧盟的支持。两者都涵盖了相关隐私概念和具体的措施，包括对追踪收集个人数据行为进行限制，要求企业告知用户他们正在收集数据，以及采取措施保障数据安全等。

但CCPA和GDPR也有不同之处，首先就是影响范围上——GDPR不在乎用户的所在地或者公民身份，任何与欧盟及其他地区的欧盟公民有关的数据都受到该法律保护。相比之下，CCPA的影响范围就仅限于加州居民，但也有一些企业试图将CCPA的影响范围扩宽至加州以外。

CCPA在美国有着非常重要的地位。究其原因，加利福尼亚州是美国人口最大的州之一，也是美国的经济核心之一。该州的GDP曾超过了印度、英国及法国等，成为“世界五大经济体”之一。在Sacramento地区的立法者们也有建立适用于全美国范围的法律标准之经验。例如，加州长期以来就有权对汽车排放设定更严格的标准，其他州往往也参考加州进行设置，并且汽车企业也会参考加州法律进行修改。考虑到这一点，CCPA可能也会产生类似效果，互联网公司也会因此对全美国范围内的用户提供同加州用户一样的隐私保护措施。

世界上许多科技巨头的总部都设立在加州，例如Facebook、Apple、Netflix、Google、Uber和Twitter。在此地颁布一项法律，很有可能令该法律影响整个行业，就像纽约地区对美国及全世界范围内金融监管和金融执法活动的影响一样。

举个例子，谷歌为所有使用了谷歌软件的企业提供了CCPA指导：“企业应当同他们的法律顾问合作，决定是否、如何去遵守CCPA。如果遵守，需要在网站和应用中标出‘请勿出售个人信息’的相关链接，以及在谷歌产品中限制数据处理行为”。许多企业为了避免违反CCPA，他们更倾向于采纳并遵守CCPA规定，这样也能变相影响到非加州用户。

除此之外，纽约、内华达、哥伦比亚特区等州政府也开始效仿加利福尼亚州，将一些类似于CCPA的条款纳入到法律当中。这些地区大部分都是重要职能及产业分工中心——加利福尼亚州是科技产业和媒体，纽约是金融产业和媒体，华盛顿特区是联邦政府。预计之后，整个美国都会推广类似于CCPA的数据隐私保护法。

其它州是怎样效仿加州的，制定了哪些严格的数据隐私保护法？

CCPA是美国目前最有名气的隐私法，但它并不是唯一的一个。从东海岸到西海岸，其它州也推进着自己的隐私法。他们有一部分法规和CCPA重合，但具体的法律法规则是针对各州情况进行了改进，一部分州的法律甚至和CCPA大相径庭。

纽约州作为世界的金融中心，也是美国最大的城市之一，如果纽约州立法机构通过了NYPA（纽约隐私保护法），那么纽约在隐私保护上将会领先加利福尼亚州。NYPA法案目前正在由纽约立法机构进行审核，其不仅包含了CCPA的部分条款，也要求企业成为“数据受托人”，对用户的数据担负法律责任，类似于金融机构对投资人担负责任的关系。除此之外，NYPA也要求数据收集具备“可选择性”，相比于CCPA，CCPA默认允许服务商收集数据，用户可以自行退出；而NYPA则是默认禁止数据收集，除非用户自行同意，这也意味着数据收集标准趋严。

其他州也有相应的隐私法案，分别处于不同的阶段。马萨诸塞州近期提交了一项与NYPA类似的隐私法案，但实际进展应当需要等到2021年立法会议期间。值得注意的是，该法案还要求遭到数据泄露的公司需要向受影响客户提供免费的信用卡监控与信用冻结，这可能会导致巨大的财务负担。

马里兰州和夏威夷州的立法进程尚且开始，大体遵循着GDPR与CCPA等先例。同其他已经颁布的或正在评估的法律一样，两州的法案要求企业披露其数据收集行为的相关细节，并为居民提供各种形式的追责权。夏威夷州的法律更进一步，因为其赋予了用户获取企业正在收集的数据类型相关信息的权利，以及删除这些数据的权利。该法律也针对未成年居民提出了“自行退出”的相关要求，其规定，除非经过相关人同意，否则收集16岁以下未成年人的数据是非法的。

其它州的法律又是什么情况？

除了上述州以外，其他州也有类似的网络隐私立法行为，尚处于条款设立的不同阶段。一部分州可能会走类似于加利福尼亚州CCPA的立法流程。一些州也可能采取和其他州相同的立法流程和条款；另一些州也会参考纽约州，加入更适合自己州的，更具效力的条款；还有一些州可能会基于自身的政治、经济、文化环境，推出完全不同的隐私法规。

必须指出的是，在美国，州政府这一级别并非都是一心向着隐私保护方向的。某些州，尤其是那些更亲近商业的州的立法机构，在进行隐私监管时可能不会设立强硬条款，也可能颁布法律，强制要求政府降低在线隐私保护程度。这并非空穴来风。在北达科他州，一项曾影响深远的隐私法案在最近被立法机构所废弃，取而代之的则是立法机构新通过的一项法案，用以指导企业对已公布的个人数据进行更加全面的研究。

美国的隐私法正经历着剧烈变化

美国是一个三权分立国家，表现在许多方面，其中一点便是其相互独立的州政府。各个州有责任就联邦法律尚未涉及的情况制定相关法律，隐私领域也是如此。在隐私领域，各个州都迈出了构建法律框架的一步，用来管理人们在线数据的使用方法、途径还有追责。

加利福尼亚州的CCPA显然是领头地位，其目标与GDPR类似，并且有很大可能覆盖更多地区。考虑到加利福尼亚州是美国最大的州之一，州内有大量的金融公司与科技公司总部，该州有能力为更多用户和企业制定相关法律，并且不只局限在加利福尼亚州范围内。该州的实力已被其它采纳或即将采纳CCPA法的州所承认，这也让CCPA成为了某种意义上类似于“联邦法律”的法律，尤其是对美国居民而言。

但CCPA并非是美国隐私法律的唯一标准，许多州都在进行着自己的立法进程。如果一些州自行设立的隐私法案通过，将会为人们提供更有力的数据隐私保护。但也有部分人希望走上完全不同的道路——亲近商业，制定较低要求的法律。

在联邦政府层面，是否会、何时会对数据隐私保护采取全面行动仍有待观察。在以往，各个州的法律常被用作全美国法律法规的模板，隐私方面也存在这种可能。不过就目前而言，美国的隐私法律制定尚未统一标准。

除此之外，我们也不甚了解联邦最终会采取何种形式的数据收集法规。一些州可能会支持宽松的监管，以便商业行为不被限制。因此也不能排除全美国范围类的立法可能最终不会非常严格，让企业收集用户数据相对容易。联邦政府同世界上其他国家的政府一样，已经通过了《Lawful Access to Encrypted Data Act of 2020》法案，禁止端对端加密。可以想象的是，未来的互联网将高度中心化，政府虽然会对用户进行保护，也会因自身享有最终决定权而监控用户的网络活动。

不论各州法律法规如何，想要确保更高水平的线上安全，最好的方式就是将隐私浏览器和代理相结合。Orchid是一个去中心化的隐私市场，汇聚了许多业内顶尖的代理供应商为用户提供服务，也允许用户配置多跃点网络，令第三方难以获取用户的流量情况，因为流量被多跃点网络所分割，难以追踪。使用Orchid这样的去中心化代理网络，结合一些其它隐私保护工具，互联网将重回自由与探索的摇篮，不必担心隐私问题。

Github: https://github.com/orchidprotocol