미국「캘리포니아주 소비자 프라이버시법」은 기업이 소비자 개인정보를 처리에 합법성의 근거를 따로 요구하지 않아 기업은 소비자의 개인정보 수집 및 활용에 자유가 있다. 허나 이때 개인정보의 이용 목적을 미리 고지해야 하며, 고지된 범위 안에서만 수집,판매해야 한다. 또 소비자는 기업에 자신의 개인정보 판매 행위의 중단을 요구할 권리가 있다.
이에 비해, 미국 「캘리포니아주 소비자 프라이버시법」(CCPA)는 기업이 소비자의 개인정보를 처리(=수집/이용/제공)하는 데에 달리 합법성의 근거를 요구하지 않는다. 따라서 기업은 원칙적으로 소비자의 개인정보를 수집하고 활용함에 있어서 자유를 가진다. 그러나, 위 ‘고지를 받을 권리’ 항목에서 설명한 바와 같이, 적어도 이용/판매 목적을 미리 고지해야 하고, 그 고지한 목적 범위 내에서 수집/판매해야 한다. 또한 소비자는 사후적으로 자신의 개인정보를 판매하는 행위를 중단할 것을 기업(business)에게 요구할 수 있다(사후적 판매거부권). CCPA에 의하면, 기업은 자신의 홈페이지에 “내 정보를 팔지 마세요”(Do Not Sell My Personal Information)라는 제목을 가진 링크를 제공해야 한다. 그리고 개인정보를 산 제3자는 재판매를 바로 할 수 없고, 그에 앞서 소비자에게 “명시적 고지”(explicit notice)를 하고 판매를 사후적으로 중단시킬 수 있는 기회를 제공한 다음에야 비로소 재판매를 할 수 있다. 다만, 소비자는 개인정보의 판매(sale)에 대해서만 사후적 거부권을 행사할 수 있을 뿐이며, 수집(collection)이나 기타 이용(use)에 대해서는 거부권을 행사할 수 없다. CCPA에서 ‘판매’(selling)의 의미는 제공과 공유를 포함하는 넓은 개념이다.