2026 年 9 月 27 日，加州州长 Newsom 签署参议员 Josh Becker 提出的 SB 923（《扩大隐私权法》，Expanding Privacy Rights Act，Chapter 482, Statutes of 2026）。该法案由加州隐私保护局（CPPA，对外称 CalPrivacy）发起，修订《加州消费者隐私法》（CCPA）民法典第 1798.105 条（删除权）与第 1798.130 条（请求提交方式），将于 2027 年 1 月 1 日生效。核心变化有两点：删除权不再只覆盖"向消费者本人收集"的信息，而是延伸到企业从数据经纪商、供应商等第三方获得的信息；纯线上企业不能再只提供一个邮箱来接收隐私请求。距离生效只剩约十周，已经在加州有用户的中资出海企业，需要尽快核对自己的删除流程。
一、背景：CCPA 删除权的"来源缺口"
现行 CCPA 第 1798.105 条允许消费者要求企业删除"企业向消费者收集的"个人信息。字面上看，企业从第三方买来、匹配来或由合作方回传的信息，并不在删除义务之内。实践中，许多企业把这类外部数据并入用户画像、CRM 与广告人群包，消费者即使成功行使了删除权，留在企业系统里的数据仍可能占大头。CalPrivacy 在签署声明中也指出了这一缺口，并表示德拉瓦、印第安纳、马里兰、新泽西等州的隐私法已采用更宽的删除标准。
此前，加州主要通过 Delete Act（SB 362）及其"删除请求与选择退出平台"（DROP）解决这个问题：自 2026 年 1 月 1 日起消费者可通过 DROP 一次性向所有注册数据经纪商发出删除请求，据 CalPrivacy 8 月 25 日披露，注册人数已超过 50 万。但 DROP 只约束注册的数据经纪商，普通企业不在其中。SB 923 补上的正是这一块：它适用于所有受 CCPA 约束的企业。
二、SB 923 的核心规则
1. 删除范围扩大到"from or about the consumer"。消费者可以要求删除企业"从消费者处或关于消费者"收集的个人信息，包括从数据经纪商、供应商及其他第三方获得的信息。原有的例外（如安全与完整性、法律合规、法律主张等合理必要的保留）继续适用。
2. 来源于第三方的数据，可通过"抑制名单"履行。企业对从第三方获得的信息，只需保留该删除请求的记录以及为确保数据"保持被删除、不被使用"所需的最少数据（即抑制名单 suppression list），即视为履行义务。这意味着企业不必为了"证明已删除"而继续保存完整档案，但也不能在日后再次购入同一批数据后重新启用。
3. 下游通知义务不变。企业仍须通知服务提供商（service provider）与承包商（contractor）删除，并通知其出售或共享过数据的第三方，除非这样做不可能或需要付出不成比例的努力；服务提供商与承包商须配合企业处理可核实的请求。
4. 纯线上企业须提供在线提交渠道。对于仅在线经营、与消费者有直接关系的企业，现行 § 1798.130 允许只提供邮箱地址；SB 923 要求在邮箱之外再提供网页表单或用户门户等在线方式。有实体经营场所的企业仍适用至少两种方式（其中包括免费电话）的现有规定。
需要说明的是，SB 923 并未新设罚则。违反 CCPA 的执法路径不变：CPPA 可依 § 1798.155 作出行政处罚，加州总检察长可提起民事诉讼，处罚额度按 CPI 调整（2025 年 1 月调整后为每次违规 2,663 美元，故意违规或涉及未成年人为 7,988 美元，请以 CPPA 公布的最新数字为准）。过去一年 CalPrivacy 对 Ford、Disney、PlayOn 以及多家数据经纪商的执法节奏显示，请求处理流程是否"走得通"，本身就是执法重点。
三、对中资企业的合规要点
要点一：先判断是否落入 CCPA 门槛。在加州开展业务的营利性企业，满足年收入超过 2,662.5 万美元（按 CPI 调整后的现行门槛）、每年购买/出售/共享 10 万以上消费者或家庭的个人信息、或年收入 50% 以上来自出售或共享个人信息之一即适用。跨境电商、出海 App、智能硬件与 SaaS 企业，应把加州用户量与广告共享情况一并核算。
要点二：绘制"来源地图"。过去的数据盘点常按"收集渠道"划分；SB 923 之后，必须把第三方来源数据单独列出：数据经纪商标签、营销合作方回传、社交平台导入的受众、境内母公司或关联公司传来的用户数据，都要标注来源并能按消费者检索。
要点三：为"删除"增加抑制名单机制。设计一张只存放必要标识符（如哈希后的邮箱）的抑制表，在每次导入第三方数据时先比对，命中即丢弃；并确认广告平台的客户匹配（custom audience）上传流程同样经过该比对。
要点四：核对下游合同与跨境传递链。服务提供商合同需写明协助处理删除请求的义务与时限；若用户数据存放或处理在中国境内，要确认境内团队与境内系统同样能接收并执行加州删除指令，避免出现"美国侧已删除、境内侧仍在使用"的情形。
要点五：补齐在线请求入口，并留痕。纯线上业务请在 2027 年 1 月 1 日前上线网页表单或门户，隐私政策中同步披露；请求受理、核验、答复与通知下游的时间戳都应留存，以便 CPPA 或总检察长调取。
四、格知律所如何协助
围绕 SB 923，格知律师事务所可以为中资企业提供几类具体工作：其一，CCPA/CPRA 适用性与差距评估，重点核查删除流程中第三方来源数据的覆盖情况；其二，搭建或修订 DSAR（数据主体请求）流程，包括在线表单、身份核验规则、抑制名单机制与响应时限台账；其三，审阅与修订隐私政策及面向加州消费者的权利披露；其四，审查与服务提供商、承包商、广告与数据合作方之间的数据处理协议（DPA），加入删除协助与通知条款；其五，对涉及中国境内系统的跨境数据流转做合规评估，使美国侧的删除指令能够在境内同步落实。如企业已收到 CPPA 或加州总检察长的询问函，我们也可以协助准备回复与整改方案。
五、结语
SB 923 的意义不在于罚款数字，而在于它把"数据来源"变成了删除权的一部分：企业能不能说清一条数据从哪里来、删除后怎么保证不会再回来，将成为 CCPA 合规的基本功。2027 年 1 月 1 日生效后，预计 CalPrivacy 会继续沿用其在数据经纪商与行业专项审计（例如 2026 年 7 月启动的零工经济平台审计）中的做法，把请求处理的可操作性纳入检查。建议中资企业利用年底前的窗口期完成数据盘点、流程改造与合同更新。本文为一般性信息，不构成法律意见；具体个案请以法案正式文本及监管机构最新指引为准。