La California Consumer Privacy Act de 2018 et les réglementations CCPA promulguées en vertu de celle-ci (ensemble, le « CCPA »), entrées en vigueur le 1er janvier 2020, sont une loi californienne sur la confidentialité des données qui étend les nouveaux droits de confidentialité des données aux « consommateurs » californiens (résidents de Californie) et oblige les entreprises, entre autres, à fournir aux consommateurs certaines informations concernant leurs pratiques en matière de confidentialité et les droits accordés aux consommateurs concernant leurs informations personnelles en vertu de la CCPA. Ces droits des consommateurs incluent le « droit de savoir » quelles informations sont traitées par ces entreprises, le droit de supprimer les informations personnelles collectées par une entreprise, le droit à la non-discrimination dans l'exercice de ces droits et, plus particulièrement, le droit de refuser une « vente » d'informations personnelles. Cependant, toutes les divulgations d'informations personnelles par une entreprise ne sont pas considérées comme une « vente ». Par exemple, les transferts à des « prestataires de services » ne sont normalement pas considérés comme une « vente ».

Le CCPA s'applique aux organisations qui ont (i) des revenus bruts annuels supérieurs à vingt-cinq millions de dollars ; ou qui achètent, reçoivent, vendent ou partagent chaque année à des fins commerciales, seules ou en combinaison, les informations personnelles de 50 000 consommateurs, ménages ou appareils ou plus ; ou qui tirent 50 % ou plus de leurs revenus annuels de la « vente » (selon la définition de ce terme dans le CCPA) des informations personnelles des consommateurs.

Selon le CCPA, les « informations personnelles » désignent toute information qui identifie, concerne, décrit, est raisonnablement susceptible d'être associée à, ou pourrait raisonnablement être liée, directement ou indirectement, à un consommateur ou à un foyer en particulier, y compris les informations relatives à un appareil spécifique (à savoir les appareils compatibles IoT) à condition qu'elles puissent être utilisées pour identifier un consommateur en particulier.