本田支付632500美元的和解金来解决其违反CCPA的指控
2025年3月12日，美国加州隐私监管机关（“CPPA”）宣布与American Honda Motor Co.（“本田”）达成和解来解决该公司违反加州CCPA的指控。这一监管行动是CPPA对联网汽车制造商正在进行的调查的一部分，该调查始于2023年。
CPPA指控本田违反了CCPA的隐私权规定：
1. 要求加州消费者提供过多的个人信息以行使其权利，包括选择退出（opt-out）销售/共享权。
CCPA允许消费者享有一些隐私权利，其中包括“选择退出”出售或共享个人信息的权利、限制使用敏感个人信息的权利以及删除个人信息的权利。本田为此创建了一个隐私中心页面，允许消费者管理其个人数据的处理方式。但由于本田需要能够验证消费者，为了识别消费者和管理他们的个人数据，提出了某些验证问题。然而，CPPA认为：虽然本田通常只需要消费者的两个数据点来识别其数据库中的消费者，但本田对可验证消费者请求的验证流程需要匹配两个以上的数据点。”
据称，本田要求消费者提供他们的姓名、地址、电子邮件和其他个人信息来提交任何隐私请求。CPPA在这里提出了问题，认为需要这些信息来处理“选择退出”和限制请求的权利损害了消费者行使CCPA下的隐私权利的能力。
2. 没有为授权代理人代表消费者提交隐私权请求时提供用户友好的方法。
消费者可以授权第三方代理人根据CCPA代表消费者行使其隐私权。企业可以要求代理人获得消费者的书面授权，以允许第三方代理商这样做。CCPA对企业可能寻求与授权代理请求相关的证明设定了不同的限制。对于删除、更正或了解的请求，企业可以要求授权代理人提供证明消费者允许代理人提交请求，或者企业可以直接要求消费者确认他们的授权代理人为他们代理。然而，对于选择退出和限制请求的权利，企业只能向授权代理人获取由消费者签署的书面许可；企业不得要求消费者确认他们授权代理人提出这些请求。然而，本田要求授权代理人提供消费者的电子邮件或邮寄地址，以便本田可以从消费者那里寻求代理人被授权代表他们的证据，并未分门别类地对待不同的隐私权请求设置不同的验证路径。
3. 使用在线隐私权管理平台，该平台没有以对称或同等的方式为消费者提供隐私选择
这一主张是基于CCPA的要求，即提交隐私权请求的方法必须易于理解和执行，并且必须提供“选择的对称性”，在做出更“保护隐私”的选择时，不能比选择“保护隐私更少”的选项更难。
CPPA指控本田提供了一个cookie同意管理平台，该界面需要两个步骤来关闭广告cookie——选择切换按钮，然后单击“确认我的选择”。 然而，如果消费者回到cookie管理平台，有一个按钮——一个“全部允许”按钮。此按钮允许一键重新打开所有cookie。
笔者必须表示：CPPA的这个观点笔者并不认可。如果单纯从路径来看，消费者还需要先回到cookie管理平台的界面上然后才能一键打开所有cookie。而且说实话，笔者理解一次和两次从用户角度能否算成实质性地增加消费者的负担还是有疑问的，如果说关闭广告需要4、5次点击而且藏得很深，但是可以一键打开所有广告，那确实是增加了消费者的困难。
4. 本田无法向CPPA提供他们与广告供应商的合同
CPPA称，本田向广告技术供应商出售、共享或披露个人信息，却不能向CPPA提供其与广告技术提供商签订的包含所需CCPA合同条款的合同副本。此类合同中要求的条款包括对数据处理用途和目的的限制，以及这些实体提供与CCPA对企业要求的相同级别的隐私保护的要求。
作为和解协议的一部分，本田同意：
•支付632,500美元的和解金。其中，本田因涉嫌侵犯153名消费者的“选择退出”和其他CCPA权利而被罚款382,500美元。这一金额相当于每位消费者2500美元，这是CCPA对非故意违规行为允许的最高金额。CPPA的命令没有解释它是如何确定剩余的25万美元罚款的。
•为消费者提交隐私权请求实施一种新的、更简单的流程，咨询用户体验（UX）设计师以评估其提交隐私请求的方法；
•对员工进行CCPA合规培训；
•改变其与消费者个人信息接收者的合同流程，以确保符合CCPA。
笔者的粗浅理解：
其一，CPPA能够执法企业违反CCPA案件，并且真的能罚款。
其二，CPPA的罚款有些看不懂，尤其是和解金的计算是怎么算的，不算很透明。
其三，“Cookie同意管理平台”是不是能让企业免于CPPA的罚款？目前来看，至少这个案子中从论证同意和拒绝的对称性上，觉得一键全选和逐一拒绝并不能在路径难易程度上相同，所以不要过度依赖第三方，还要看监管的情况。
其四，不能一刀切地以一种方式验证授权人的授权信息，这种问题是细节，但很多企业不太注意这种细节。
END
斐石律师事务所
