La loi California Consumer Privacy Act de 2018 et ses décrets publiés (collectivement, le « CCPA »), entrés en vigueur le 1er janvier 2020, sont une législation californienne sur la confidentialité qui accordent de nouveaux droits aux consommateurs résidant en Californie. Cette loi exige des entreprises, entre autres, qu'elles informent leurs clients sur leurs pratiques en matière de confidentialité ainsi que sur les droits des consommateurs sur leurs données personnelles en vertu du CCPA. Parmi ces droits figurent le « droit de savoir » quelles informations sont traitées par ces entreprises, le droit de supprimer les données à caractère personnel collectées, le droit de non-discrimination dans l'exercice de ces droits et, particulièrement, le droit de choisir que ses données personnelles ne soient pas vendues. Cependant, toutes les divulgations de données personnelles par une entreprise ne sont pas considérées comme une « vente ». Par exemple, les transferts à un prestataire de service ne constituent pas une vente.

La CCPA s'applique aux sociétés (i) qui ont un chiffre d'affaires annuel supérieur à vingt-cinq millions de dollars, (ii) qui, sur une année, vendent, achètent, reçoivent ou partagent, à des fins commerciales, seules ou à plusieurs, les données à caractère personnel de plus de 50 000 consommateurs, foyers ou appareils, ou (iii) qui génèrent 50 % minimum de leur chiffre d'affaires annuel à partir de la « vente » (telle que définie par le CCPA) des données personnelles de consommateurs.

Dans le cadre du CCPA, l'expression « données personnelles » correspond aux informations qui identifient, ont trait à, décrivent, peuvent raisonnablement être associées ou liées, directement ou indirectement, à un consommateur ou un foyer précis, notamment les informations appartenant à un appareil spécifique (c'est-à-dire les appareils connectés), à condition qu'elles permettent d'identifier un consommateur en particulier.