対象事業者の観点からは、カリフォルニア住民に与えられた新たな権利により、対象事業者が収集または受領および保持するカリフォルニア住民に関する個人情報を識別および検索するプロセスを導入する義務が発生します。これらのプロセスは、過去12カ月間に対象事業者が収集した個人情報の開示および請求者に関する個人情報の削除などの要求を含め、カリフォルニア住民がCCPAに基づいて行う要求に事業者が対応できるようにするために必要なものです。

CCPAを遵守する必要のある事業者は、顧客、従業員、ベンダーの従業員または事業者からして接点のない他人であるかどうかに関わらず、カリフォルニアのすべての住民から収集する個人情報を識別および追跡するという課題に直面しています。カリフォルニア州議会は2019年9月13日にCCPAを修正する一連の法案を採択し、ガビン・ニューサム州知事は10月11日に法案に署名したと発表しました。これらの修正は、（i）2021年1月1日までの1年間、事業者間および従業員の情報をCCPAの対象範囲から一時的に除外する、（ii）FCRAの適用除外を時限的ではない永続的な措置として明確化する、（iii）新車情報を共有するための限定的な適用除外を時限的ではない永続的な措置として追加する、というものです。

従業員情報

2021年1月1日まで、従業員に関する一定の情報はCCPAの対象外となりました。この一定期間の適用除外は、対象事業者の求職者、従業員、役員、取締役または請負業者に適用され、求職者、従業員（過去の求職者、従業員を含む）等の立場としての情報を、事業者が使用する場合にのみ適用除外の対象となります。これには、その目的にのみ使用される限度において、求職者、従業員などが提供する緊急連絡先情報（緊急連絡先である別の個人に関する情報を含みうる）が含まれます。また、当該適用除外は、求職者、従業員等が、本人および他者について、雇用上の恩恵を得るために提供する個人情報をカバーしますが、情報がその目的にのみ使用される場合に限られます。

事業者はプライバシーポリシーにおいて、または情報収集の時点もしくは事前の通知において、CCPA1798.100(b)条により要求される通り、「収集する個人情報のカテゴリおよび当該個人情報のカテゴリが利用される目的」の開示を行う必要があります。また、事業者は事前に消費者に通知することなく、追加の情報を収集すること、またはその目的外で使用することも禁止されています。

たとえば従業員が商品を購入した時、ニュースレターやサブスクリプションにサインアップした時、またはその他の方法で雇用主−従業員の関係の外で事業者とやり取りした時など、雇用主−従業員関係以外の関係で従業員または求職者等から受領した情報は、CCPAの対象範囲内ということになります。したがって、カリフォルニア住民である従業員は、雇用主−従業員の関係以外で事業者が収集する情報の開示および削除を要求する権利を有しますが、雇用主−従業員の関係で事業者が収集する情報の開示または削除を要求することはできないということになります。

事業者間の情報

2021年1月1日まで、一定の事業者間の情報に関してはCCPA上の義務が免除されます。これらの免除される義務は、1798.100条（収集または使用される個人情報のプライバシーポリシーにおける開示）、1798.105条（オンデマンドの削除要求）、1798.110条（情報収集プラクティスのオンデマンドの開示要求）、1798.115条（情報共有プラクティスのオンデマンドの開示要求）、1798.130条（オンデマンドの要求に対する対応についての必要事項）、および1798.135条（販売禁止要求を満たす義務を実施するための必要事項）に定められているものです。注意すべき点は、この修正法案は、対象事業者を1798.120条に基づく義務（対象事業者に対し個人情報を販売しないよう求める個人の権利）から免除するものではないという点です。

この修正法案の下で一時的に適用対象外となる情報は、「事業者と消費者との間の書面または口頭によるコミュニケーションまたは取引を反映した情報であり、消費者が従業員、オーナー、取締役、役員、請負業者、パートナーシップ、個人事業主、非営利団体または政府機関である場合であって、事業者との間の当該コミュニケーションまたは取引が、それらの会社、パートナーシップ、個人事業主、非営利団体または政府機関等から事業者が商品もしくはサービスの提供を受けるか、またはそれらに対し提供する場合、またはそれらの商品もしくはサービスについて事業者がデューデリジェンスを行う場合において専ら行われている時」です。

表面的にはこれは限定的な適用除外のように見えるかもしれませんが、事業者が単に商品またはサービスの購入または販売の準備をしている場合も含め、事業者が商品またはサービスの買い手または売り手である場合のそれらの情報について、前述した義務から事業者を免除しうるものです。したがって、2020年の終わりまで、対象事業者が取引を見越してデューデリジェンスを実行している間、またはほかの事業体と取引を実行している間、当該取引相手の従業員、オーナー等に関する情報を受け取った場合であっても、当該事業者はオプトアウトの要求に応える義務を除き、その情報についてのCCPAに基づく義務から免除されます。

たとえば、対象事業者がその事業者の施設に対する清掃サービスの提供を受けるためにある会社と契約した場合、対象事業者が受領する、清掃サービス会社の担当者（たとえば営業担当者またはアカウントマネージャーなど）の連絡先および清掃サービスを提供する個人の情報は、事業者が個人情報の販売をオプトアウトする要求に応じる必要がある場合を除き、すべてCCPAの適用対象外となります。また、対象事業者がほかの事業体の従業員が使用することを目的とするサービスを当該事業体に販売する場合（たとえば旅行サービスなど）も、当該事業体の従業員から対象事業者が収集した情報（たとえば、旅行の予約、支払い記録、ID情報など）は、同様にCCPAの適用範囲外となると解釈できます。

FCRAの適格性情報

当初の法案のとおり、CCPAは当該情報がFCRAに基づき報告されるかまたは消費者レポートの作成のためにFCRAに基づき使用される場合、消費者レポート機関に対し販売される情報または同機関から販売される情報を適用除外としていましたが、2019年9月13日の修正は、この適用除外範囲をさらに拡大しました。すなわち、消費者レポートの一部であり、かつ消費者報告機関、情報提供者または情報の利用者によって収集、保持、開示、販売、通信または使用される情報を「適格性情報」として明確にし、適格性情報がFCRA上許容された目的にのみ使用される場合には、CCPAは適用除外となることとしました。

FCRAにおいて定義されている適格性情報には、個人の信用力、信用状態、性格、一般的な評判、個人の特徴または生活スタイルに関係する情報が含まれます。FCRAにおいて許可されている目的は、クレジット、雇用または保険の適格性の評価に限定されます。

これらの修正の結果、対象事業者はそのような情報を開示、提供、削除する必要はありません。当該修正は、CCPAの当該適用除外を時限的ではなく永続的な措置とする修正です。

自動車情報

2019年9月13日の修正法案では、保証サービスまたはリコール通知を提供する目的で、情報が新車ディーラーと車両のメーカー間で保持または共有される場合における、自動車に関する情報（車台番号、メーカー、モデル、年、走行距離に限定）および所有権情報（登録された所有者の名前とその連絡先情報に限定）の例外がCCPAに追加されました。当該修正は、CCPAの当該適用除外を時限的ではなく永続的な措置とする修正です。