La Ley de Privacidad del Consumidor de California de 2018 y el reglamento de la CCPA promulgado en virtud de la misma (en conjunto, la «CCPA»), que entró en vigor el 1 de enero de 2020, es una ley de privacidad de California que extiende los nuevos derechos de privacidad de datos a los «consumidores» de California (residentes de California) y exige a las empresas, entre otras cosas, que proporcionen a los consumidores cierta información sobre las prácticas de privacidad de las empresas y los derechos otorgados a los consumidores con respecto a su información personal en virtud de la CCPA. Estos derechos de los consumidores incluyen el «derecho a saber» qué información procesan dichas empresas, el derecho a eliminar la información personal recopilada por una empresa, el derecho a la no discriminación por ejercer estos derechos y, más notablemente, el derecho a excluirse de la «venta» de información personal. Sin embargo, no todas las divulgaciones de información personal por parte de una empresa se consideran una «venta»; por ejemplo, las transferencias a «proveedores de servicios» normalmente no se consideran una «venta

La CCPA se aplica a las organizaciones que tienen (i) ingresos brutos anuales superiores a veinticinco millones de dólares; o que compran, reciben, venden o comparten anualmente con fines comerciales, solos o combinados, la información personal de 50 000 o más consumidores, hogares o dispositivos; o que obtienen el 50% o más de sus ingresos anuales de la «venta» (tal como se define este término en la CCPA) de la información personal de los consumidores.

Según la CCPA, «información personal» significa cualquier información que identifique, se relacione, describa, sea razonablemente capaz de asociarse o pueda vincularse razonablemente, directa o indirectamente, con un consumidor u hogar en particular, incluida la información relacionada con un dispositivo específico (es decir, dispositivos habilitados para IoT), siempre que pueda usarse para identificar a un consumidor en particular.