Section § 1798.25

Explanation

这条法律要求各机构在与他人共享个人记录时,必须保留详细的记录。他们必须记录每次披露的日期、性质和目的,包括谁接收了这些信息。这尤其适用于与执法或监管机构共享信息,用于调查或许可审批等情况。与政府机构例行共享与犯罪相关的信息也属于这些要求。

(a)CA 民法 Code § 1798.25(a) 各机构应准确记录根据第1798.24条第 (i)、(k)、(l)、(o) 或 (p) 款进行的每项记录披露的日期、性质和目的。除非已根据第1798.9条和第1798.10条提供了披露类型的通知,否则根据第1798.24条第 (e) 或 (f) 款进行的披露也应进行此项记录。该记录还应包括接收披露的个人或机构的姓名、职务和营业地址。对于根据第1798.24条第 (o) 款进行的披露记录,执法或监管机构只需记录披露日期、请求披露的执法或监管机构,以及披露目的是否是为了调查请求机构管辖范围内的非法活动,或为了该机构的许可、认证或监管目的。
(b)CA 民法 Code § 1798.25(b) 向联邦、州和地方政府的执法或监管机构例行披露与犯罪、罪犯和犯罪嫌疑人有关的信息,应被视为根据第1798.24条第 (e) 款进行的披露,以满足本要求。

Section § 1798.26

Explanation

本法律条款要求加州机动车辆管理局(DMV)制定规则,处理个人车辆注册和驾驶执照信息的请求。任何请求这些信息的人都必须证明自己的身份并解释请求理由。DMV会核实其身份,并可能在提供信息前等待10天。他们还必须告知信息被共享的人,共享了哪些信息以及谁请求了这些信息。这些规则不适用于政府机构、拥有特殊代码的获批请求者或法院。

关于出售任何车辆注册信息或出售驾驶执照档案信息,机动车辆管理局应通过规章,建立行政程序,要求任何请求信息的人员证明其身份并说明请求理由。这些程序应规定核实请求信息人员的姓名和地址,且管理局可要求该人员提供其认为必要的信息,以确保该人员的姓名和地址是其真实姓名和地址。这些程序可规定延迟10天发布所请求的信息。这些程序还应规定向信息主要相关人员发出通知,告知提供了哪些信息以及提供给了谁。管理局应通过规章,规定维护上述所有记录的合理期限。
本款所要求的程序不适用于任何政府实体、任何已向管理局申请并获得请求者代码的人员,或任何有管辖权的法院。

Section § 1798.27

Explanation
机构必须保留其所作披露的记录,至少三年,或直至原始记录被销毁,以时间较短者为准。但是,只要他们能以其他方式满足本规定的要求,就不需要保留原始文件三年。

Section § 1798.28

Explanation

这项法律要求加州的机构,如果某条包含个人信息的记录有更正或争议,就必须通知任何曾收到该信息的人或机构。具体来说,如果法律要求保留此类披露记录,或者接收方的名称是可获取的,或者相关个人能够识别披露信息的接收方,就必须进行通知。这项规定适用于1978年7月1日之后以及过去三年内进行的更正或争议。

各机构在1978年7月1日之后,应当告知任何在过去三年内曾向其披露过包含个人信息的记录的个人或机构,根据第1798.35条和第1798.36条作出的任何错误更正或争议标注,如果 (1) 第1798.25条或第1798.26条要求对披露进行记录,且该记录尚未根据第1798.27条销毁,或 (2) 该信息提供了披露对象(个人或机构)的名称,或 (3) 被披露记录所涉的个人提供了信息披露对象(个人或机构)的名称。

Section § 1798.29

Explanation

本法律规定,如果加利福尼亚州的任何机构发生涉及个人信息的数据泄露,必须迅速通知受影响的居民。如果他们处理不属于自己的数据,必须立即通知数据所有者。如果执法部门认为通知可能会干扰调查,通知可以延迟。通知必须清晰,标题为“数据泄露通知”,并包含诸如发生了什么、影响了谁以及正在采取什么措施等详细信息。如果泄露影响超过500人,该机构还必须通知总检察长。个人信息包括社会安全号码、驾驶执照、医疗信息,甚至生物识别数据。通知可以通过邮件、电子邮件或其他方式发送,具体取决于情况。该法律适用于所有机构,包括地方机构,甚至影响加利福尼亚州律师协会。

(a)CA 民法 Code § 1798.29(a) 任何拥有或授权使用包含个人信息的计算机化数据的机构,在发现或收到数据安全漏洞通知后,应向任何加利福尼亚州居民披露任何系统安全漏洞,(1) 其未加密的个人信息已被或有合理理由相信已被未经授权的人获取,或 (2) 其加密的个人信息已被或有合理理由相信已被未经授权的人获取,且加密密钥或安全凭证已被或有合理理由相信已被未经授权的人获取,并且拥有或授权使用该加密信息的机构有合理理由相信该加密密钥或安全凭证可能使该个人信息变得可读或可用。 披露应在尽可能最快的时间内进行,不得无故拖延,并应符合执法部门的合法需求(如 (c) 款所规定),或为确定漏洞范围和恢复数据系统合理完整性所必需的任何措施。
(b)CA 民法 Code § 1798.29(b) 任何维护包含非其拥有的个人信息的计算机化数据的机构,如果该个人信息已被或有合理理由相信已被未经授权的人获取,应在发现后立即通知该信息的所有者或被许可人任何数据安全漏洞。
(c)CA 民法 Code § 1798.29(c) 如果执法机构认定通知将妨碍刑事调查,本节要求的通知可以延迟。 本节要求的通知应在执法机构认定其不会损害调查后发出。
(d)CA 民法 Code § 1798.29(d) 任何根据本节要求发出安全漏洞通知的机构,应符合以下所有要求:
(1)CA 民法 Code § 1798.29(d)(1) 安全漏洞通知应以通俗易懂的语言书写,标题应为“数据泄露通知”,并应在以下标题下呈现 (2) 款所述信息:“发生了什么”、“涉及哪些信息”、“我们正在做什么”、“您可以做什么”和“获取更多信息”。补充信息可作为通知的附件提供。
(A)CA 民法 Code § 1798.29(d)(1)(A) 通知格式应旨在引起对其中信息性质和重要性的关注。
(B)CA 民法 Code § 1798.29(d)(1)(B) 通知中的标题和各小标题应清晰醒目地显示。
(C)CA 民法 Code § 1798.29(d)(1)(C) 通知正文以及根据本节提供的任何其他通知的字体不得小于10磅。
(D)CA 民法 Code § 1798.29(d)(1)(D) 对于 (i) 款 (1) 项所述的书面通知,使用下文规定的安全漏洞通知范本,或使用本款所述的标题以及 (2) 款所述的以通俗易懂语言书写的信息,应被视为符合本款规定。
[机构名称 / 标志]   _____ _____  日期:[插入日期]
数据泄露通知
发生了什么?
涉及哪些信息?
我们正在做什么。
您可以做什么。
其他重要信息。
[插入其他重要信息]
获取更多信息。
致电 [电话号码] 或访问 [互联网网站]
(E)CA 民法 Code § 1798.29(E) 对于第 (i) 款第 (2) 项所述的电子通知,使用本项所述的标题以及第 (2) 项所述的信息,以通俗易懂的语言书写,应被视为符合本款规定。
(2)CA 民法 Code § 1798.29(2) 第 (1) 项所述的安全漏洞通知应至少包含以下信息:
(A)CA 民法 Code § 1798.29(2)(A) 受本条约束的报告机构的名称和联系信息。
(B)CA 民法 Code § 1798.29(2)(B) 个人信息类型列表,这些信息已成为或有合理理由被认为是漏洞的标的。
(C)CA 民法 Code § 1798.29(2)(C) 如果在提供通知时可以确定信息,则应包含以下任何一项:(i) 漏洞发生日期,(ii) 漏洞估计发生日期,或 (iii) 漏洞发生日期范围。通知还应包含通知日期。
(D)CA 民法 Code § 1798.29(2)(D) 如果在提供通知时可以确定信息,则应说明通知是否因执法调查而延迟。
(E)CA 民法 Code § 1798.29(2)(E) 如果在提供通知时可以确定信息,则应提供漏洞事件的概况描述。
(F)CA 民法 Code § 1798.29(2)(F) 如果漏洞暴露了社会安全号码、驾驶执照号码或加州身份证号码,则应提供主要信用报告机构的免费电话号码和地址。
(3)CA 民法 Code § 1798.29(3) 经机构酌情决定,安全漏洞通知还可以包含以下任何一项:
(A)CA 民法 Code § 1798.29(3)(A) 关于机构为保护信息被泄露的个人所采取措施的信息。
(B)CA 民法 Code § 1798.29(3)(B) 关于信息被泄露的个人可以采取哪些步骤来保护自己的建议。
(e)CA 民法 Code § 1798.29(e) 任何机构因单一安全系统漏洞而需要根据本条向超过 500 名加州居民发出安全漏洞通知的,应向总检察长电子提交该安全漏洞通知的单一样本副本,其中不包括任何个人身份信息。安全漏洞通知的单一样本副本不应被视为属于《政府法典》第 1 篇第 10 部第 5 章第 1 节(自第 7923.600 条起)的范围。
(f)CA 民法 Code § 1798.29(f) 就本条而言,“系统安全漏洞”是指未经授权获取计算机化数据,从而损害机构维护的个人信息的安全性、保密性或完整性。机构的雇员或代理人出于机构目的善意获取个人信息不构成系统安全漏洞,前提是该个人信息未被使用或未遭受进一步的未经授权披露。
(g)CA 民法 Code § 1798.29(g) 就本条而言,“个人信息”指以下任一情况:
(1)CA 民法 Code § 1798.29(g)(1) 个人姓名(名或首字母与姓氏的组合),以及以下任何一个或多个数据元素,且姓名或数据元素未加密:
(A)CA 民法 Code § 1798.29(g)(1)(A) 社会安全号码。
(B)CA 民法 Code § 1798.29(g)(1)(B) 驾驶执照号码、加州身份证号码、税务识别号码、护照号码、军人身份证号码,或政府文件上签发的、通常用于验证特定个人身份的其他唯一识别号码。
(C)CA 民法 Code § 1798.29(g)(1)(C) 账户号码或信用卡或借记卡号码,以及任何必需的安全码、访问码或密码,这些信息组合在一起可以访问个人的金融账户。
(D)CA 民法 Code § 1798.29(g)(1)(D) 医疗信息。
(E)CA 民法 Code § 1798.29(g)(1)(E) 健康保险信息。
(F)CA 民法 Code § 1798.29(g)(1)(F) 通过对人体特征进行测量或技术分析生成的唯一生物识别数据,例如指纹、视网膜或虹膜图像,用于验证特定个人身份。唯一生物识别数据不包括物理或数字照片,除非用于或存储用于面部识别目的。
(G)CA 民法 Code § 1798.29(g)(1)(G) 通过使用或操作自动车牌识别系统收集的信息或数据,如第 1798.90.5 条所定义。
(H)CA 民法 Code § 1798.29(g)(1)(H) 遗传数据。
(2)CA 民法 Code § 1798.29(g)(2) 用户名或电子邮件地址,以及密码或安全问题和答案的组合,这些信息组合在一起可以访问在线账户。
(h)Copy CA 民法 Code § 1798.29(h)
(1)Copy CA 民法 Code § 1798.29(h)(1) 就本节而言,“个人信息”不包括依法从联邦、州或地方政府记录中向公众提供的公开信息。
(2)CA 民法 Code § 1798.29(h)(2) 就本节而言,“医疗信息”指任何有关个人病史、精神或身体状况,或医疗专业人员进行的医疗治疗或诊断的信息。
(3)CA 民法 Code § 1798.29(h)(3) 就本节而言,“健康保险信息”指个人的健康保险保单号或参保人识别号、健康保险公司用于识别个人的任何唯一标识符,或个人申请和理赔历史中的任何信息,包括任何上诉记录。
(4)CA 民法 Code § 1798.29(h)(4) 就本节而言,“加密的”指通过信息安全领域普遍接受的安全技术或方法,使未经授权的人无法使用、无法读取或无法破译。
(5)CA 民法 Code § 1798.29(h)(5) 就本节而言,“遗传数据”指任何数据,无论其格式如何,来源于对个人生物样本的分析,或来源于能够获取等效信息的其他来源,并涉及遗传物质。遗传物质包括但不限于脱氧核糖核酸 (DNA)、核糖核酸 (RNA)、基因、染色体、等位基因、基因组、DNA或RNA的改变或修饰、单核苷酸多态性 (SNPs)、来源于对生物样本或其他来源分析的未解释数据,以及从中推断、得出或推导出的任何信息。
(i)CA 民法 Code § 1798.29(i) 就本节而言,“通知”可以通过以下方法之一提供:
(1)CA 民法 Code § 1798.29(i)(1) 书面通知。
(2)CA 民法 Code § 1798.29(i)(2) 电子通知,如果所提供的通知符合《美国法典》第15篇第7001节中有关电子记录和签名的规定。
(3)CA 民法 Code § 1798.29(i)(3) 替代通知,如果机构证明提供通知的成本将超过二十五万美元 ($250,000),或受影响的被通知主体人数超过500,000人,或机构没有足够的联系信息。替代通知应包括以下所有内容:
(A)CA 民法 Code § 1798.29(i)(3)(A) 当机构拥有主体人员的电子邮件地址时,发送电子邮件通知。
(B)CA 民法 Code § 1798.29(i)(3)(B) 如果机构维护有互联网网站,则在该网站上显著张贴通知至少30天。就本分段而言,在机构互联网网站上显著张贴指在主页或进入互联网网站后的第一个重要页面上提供通知链接,该链接的字体大于周围文本,或与相同大小的周围文本形成对比的字体、字形或颜色,或通过符号或其他标记将其与相同大小的周围文本区分开来,以引起对链接的注意。
(C)CA 民法 Code § 1798.29(i)(3)(C) 通知主要州级媒体以及技术部内的信息安全办公室。
(4)CA 民法 Code § 1798.29(i)(4) 如果发生涉及(g)款第(2)项中定义的在线账户个人信息(且不涉及(g)款第(1)项中定义的其他个人信息)的系统安全漏洞,机构可以通过电子或其他形式提供安全漏洞通知来遵守本节规定,该通知指示其个人信息被泄露的人员及时更改其密码和安全问题或答案(如适用),或采取其他适当措施保护其在该机构的在线账户以及该人员使用相同用户名或电子邮件地址和密码或安全问题或答案的所有其他在线账户。
(5)CA 民法 Code § 1798.29(i)(5) 如果发生涉及(g)款第(2)项中定义的机构提供的电子邮件账户登录凭据的个人信息的系统安全漏洞,机构不得通过向该电子邮件地址发送安全漏洞通知来遵守本节规定,但可以改为通过本款中描述的另一种方法提供通知来遵守本节规定,或当居民从机构已知其通常访问账户的互联网协议地址或在线位置连接到在线账户时,向居民在线提供清晰显著的通知。
(j)CA 民法 Code § 1798.29(j) 尽管有 (i) 款的规定,但如果一个机构维护其自身的通知程序,作为处理个人信息的信息安全政策的一部分,并且在其他方面符合本部分的通知时限要求,则在系统发生安全漏洞时,如果其根据自身政策通知相关人员,应被视为符合本节的通知要求。
(k)CA 民法 Code § 1798.29(k) 尽管有第 1798.3 节 (b) 款 (4) 项中规定的例外情况,但就本节而言,“机构”包括《政府法典》第 7920.510 节所定义的地方机构。
(l)CA 民法 Code § 1798.29(l) 就本节而言,“加密密钥”和“安全凭证”指旨在使数据可用、可读和可解密的保密密钥或过程。
(m)CA 民法 Code § 1798.29(m) 尽管有任何其他法律规定,加利福尼亚州律师协会应遵守本节规定。本款不应被解释为将本章的其他规定适用于州律师协会。