این بخش از قانون، تعاریف مهمی را برای درک قوانین مربوط به حریم خصوصی در کالیفرنیا ارائه می‌دهد. توضیح می‌دهد که چه چیزی به عنوان «کسب‌وکار» محسوب می‌شود، شامل نهادهایی مانند شرکت‌ها و موسسات مالی که سوابق را مدیریت می‌کنند. «سوابق» اساساً هر نوع ذخیره‌سازی اطلاعات است، به استثنای دایرکتوری‌های در دسترس عموم. «مشتری» در اینجا کسی است که اطلاعات شخصی را برای خرید محصولات یا خدمات به یک کسب‌وکار می‌دهد. «فرد» به یک شخص واقعی اشاره دارد. در نهایت، «اطلاعات شخصی» شامل جزئیاتی است که می‌تواند کسی را شناسایی کند، مانند نام، شماره تامین اجتماعی و داده‌های سلامتی، اما شامل سوابق عمومی نمی‌شود. این تعاریف به روشن شدن اینکه چه کسی و چه چیزی تحت پوشش قوانین حریم خصوصی قرار می‌گیرد، کمک می‌کند.

این قانون از کسب‌وکارهایی که اطلاعات شخصی ساکنان کالیفرنیا را دارند، می‌خواهد که آن را ایمن نگه دارند. اگر یک کسب‌وکار چنین اطلاعاتی را در اختیار دارد، باید اقدامات امنیتی معقولی را برای محافظت از آن در برابر سوءاستفاده، سرقت یا تغییر به کار گیرد. اگر اطلاعات را با شرکت دیگری به اشتراک بگذارند، باید اطمینان حاصل کنند که آن شرکت نیز آن را ایمن نگه می‌دارد. اطلاعات شخصی می‌تواند شامل مواردی مانند نام شما همراه با شماره تامین اجتماعی، اطلاعات پزشکی، یا ترکیب ایمیل و رمز عبور باشد. برخی نهادها، مانند ارائه‌دهندگان مراقبت‌های بهداشتی تحت قوانین خاص حریم خصوصی، نیازی به رعایت این قانون ندارند زیرا قبلاً تحت پوشش مقررات دیگر هستند.

آژانس‌های گزارش‌دهی اعتبار مصرف‌کننده در کالیفرنیا که داده‌های شخصی را مدیریت می‌کنند، باید آسیب‌پذیری‌های امنیتی در سیستم‌های رایانه‌ای خود را به سرعت برطرف کنند، به ویژه اگر خطر قابل توجهی از نقض داده وجود داشته باشد. اگر از وجود به‌روزرسانی نرم‌افزاری مطلع باشند، باید ظرف سه روز کاری کار بر روی آن را آغاز کرده و ظرف 90 روز آن را تکمیل کنند. در همین حین، باید از سایر اقدامات امنیتی برای محافظت از داده‌ها استفاده کنند. حتی اگر به‌روزرسانی نرم‌افزاری موجود نباشد، این آژانس‌ها همچنان باید شکاف‌های امنیتی پرخطر را فوراً برطرف کنند. آنها همچنین باید اطمینان حاصل کنند که هر شخص ثالثی که داده‌های شخصی را از طرف آنها مدیریت می‌کند، پروتکل‌های امنیتی سختگیرانه را رعایت می‌کند. دادستان کل مسئول اجرای این قانون است.

اگر در کالیفرنیا کسب‌وکاری دارید و اطلاعات شخصی شما هک شود، باید به سرعت به هر ساکن کالیفرنیایی که تحت تأثیر قرار گرفته است اطلاع دهید. این افشا باید به موقع باشد، اما اگر اجرای قانون درگیر باشد، ممکن است به تأخیر بیفتد. اطلاعیه باید توضیح دهد چه اتفاقی افتاده، چه نوع داده‌هایی نقض شده‌اند، و راه‌حل‌هایی برای محافظت از افراد متأثر ارائه دهد. اگر نقض داده بیش از 500 ساکن ایالت را تحت تأثیر قرار دهد، باید به دادستان کل نیز اطلاع دهید. اطلاعات شخصی به مواردی مانند شماره تأمین اجتماعی، گواهینامه رانندگی یا جزئیات ورود به سیستم تعریف می‌شود. اگر یک سیاست امنیتی از پیش موجود دارید که الزامات ایالت را برآورده می‌کند یا از آن فراتر می‌رود، رعایت آن همچنان شما را مطابق با قانون نگه می‌دارد.

این قانون، که به قانون «روشنایی بتابان» معروف است، کسب‌وکارهایی را که با مشتری رابطه تجاری دارند، ملزم می‌کند تا در صورت درخواست مشتری، اطلاعات شخصی را که با اشخاص ثالث برای اهداف بازاریابی به اشتراک گذاشته‌اند، افشا کنند. این قانون حکم می‌کند که کسب‌وکارها فهرستی از دسته‌های اطلاعات و نام گیرندگان شخص ثالث را ارائه دهند. کسب‌وکارها باید نحوه ارسال این درخواست‌ها توسط مشتریان را، اغلب از طریق وب‌سایت خود، اطلاع‌رسانی کنند. با این حال، کسب‌وکارهایی با کمتر از 20 کارمند یا آنهایی که سیاستی مبنی بر عدم اشتراک‌گذاری داده‌های شخصی برای اهداف بازاریابی دارند، معاف هستند. برخی از انواع افشاها، مانند آنهایی که تحت خدمات قراردادی انجام می‌شوند یا توسط شرکت‌های وابسته به اشتراک گذاشته می‌شوند، طبق این قانون افشای بازاریابی محسوب نمی‌شوند.

این بخش با هدف جلوگیری از تبعیض سنی، تضمین می‌کند که وب‌سایت‌های صنعت سرگرمی از اطلاعات سن یا تاریخ تولد افراد سوءاستفاده نکنند. اگر برای خدمات استخدامی در چنین وب‌سایتی هزینه پرداخت می‌کنید، می‌توانید از آنها بخواهید که جزئیات سنی شما را به صورت آنلاین نمایش ندهند یا به اشتراک نگذارند. اگر درخواست حذف این اطلاعات را از وب‌سایت‌هایی که تحت کنترل آنهاست، داشته باشید، آنها باید ظرف پنج روز این کار را انجام دهند. اما، اگر وب‌سایت به کاربران اجازه می‌دهد محتوا را بدون بررسی قبلی بارگذاری کنند، تا زمانی که شما از آنها نخواهید اطلاعات سنی شما را حذف کنند، قوانین را نقض نکرده‌اند.

در کالیفرنیا، هیچ کس نمی‌تواند از حقوق خود تحت این قانون چشم‌پوشی کند، زیرا این کار مغایر با سیاست عمومی است و مجاز نیست. اگر شرکتی قوانین را نقض کند، مشتری آسیب‌دیده می‌تواند برای جبران خسارت شکایت کند. اگر نقض عمدی یا بی‌مبالاتی باشد، مشتری می‌تواند تا 3,000 دلار به ازای هر تخلف دریافت کند؛ در غیر این صورت، جریمه حداکثر 500 دلار است. اگر مشکل عمدی نبوده و شرکت اشتباه خود را ظرف 90 روز اصلاح کند، می‌تواند از این به عنوان دفاع استفاده کند. دادگاه‌ها می‌توانند به شرکت‌ها دستور دهند که از نقض قانون دست بردارند. کسب‌وکارها در صورتی که سوابق دور ریخته شده حاوی اطلاعات شخصی را به درستی از بین ببرند، مورد شکایت قرار نخواهند گرفت. مشتریانی که در یک پرونده پیروز می‌شوند، می‌توانند هزینه‌های وکیل خود را مطالبه کنند. تمام حقوق و راه‌حل‌های این بخش با سایر حقوق و راه‌حل‌های موجود در قانون جمع می‌شوند.