Кратък отговор: California Privacy Rights Act (CPRA) съществено измени оригиналния California Consumer Privacy Act (CCPA), въвеждайки нови потребителски права, специализирана агенция за прилагане, по-строги санкции и изцяло нова категория чувствителна лична информация. За операторите на уебсайтове, CCPA срещу CPRA: Какво се промени за операторите на уебсайтове в Калифорния? не е теоретичен въпрос, той се превежда директно в актуализирани политики за поверителност, нови механизми за съгласие и разширени договорни задължения с доставчици трети страни.
Основни изводи
- CPRA влезе в пълна сила на 1 юли 2023 г., заменяйки и разширявайки рамката на CCPA.
- Нова категория „чувствителна лична информация“ (SPI) изисква специална връзка за отказ на уебсайтове, събиращи тези данни.
- Потребителите придобиха правото да коригират неточни лични данни, право, което не съществуваше съгласно оригиналния CCPA.
- Прагът за приложимост се повиши от 50 000 на 100 000 потребители или домакинства, освобождавайки някои по-малки оператори.
- „Споделянето“ на лични данни за поведенческа реклама в различни контексти вече се счита за „продажба“, изискваща механизми за отказ.
- Операторите на уебсайтове трябва да спазват сигналите за Global Privacy Control (GPC) като валидни заявки за отказ.
- Административните глоби се увеличиха до $2 663 за неволно нарушение и $7 988 за умишлено нарушение към 1 януари 2025 г.
- California Privacy Protection Agency (CPPA) вече има независими правомощия за прилагане, отделни от тези на главния прокурор.
- Изискванията за прозрачност при автоматизираното вземане на решения трябва да влязат в сила на 1 януари 2027 г.
- Оценките на риска и одитите на киберсигурността вече са задължителни за дейности по обработка на данни с висок риск.
Каква е разликата между CCPA и CPRA?
CCPA, влязъл в сила на 1 януари 2020 г., даде на потребителите в Калифорния основни права върху техните лични данни: правото да знаят, изтриват и да се отказват от продажбата на тяхната информация. CPRA, приет от избирателите в Калифорния през ноември 2020 г. и напълно приложим от 1 юли 2023 г., не замени изцяло CCPA, а го измени и значително разшири [1].
Ключовите структурни разлики включват:
| Характеристика | CCPA (оригинален) | CPRA (изменен) |
|---|---|---|
| Орган за прилагане | Главен прокурор на Калифорния | CPPA + Главен прокурор |
| Категория чувствителни данни | Не е дефинирана | Формално дефинирана (SPI) |
| Право на корекция | Не е включено | Включено |
| Дефиниция на „продажба“ | Обмен на данни срещу стойност | Включва „споделяне“ за реклама |
| Праг на приложимост | 50 000 потребители/домакинства | 100 000 потребители/домакинства |
| Оценки на риска | Не се изискват | Изискват се за обработка с висок риск |
| Съответствие със сигнала GPC | Не е задължително | Задължително |
Практическото последствие за операторите на уебсайтове е, че съответствието с CPRA срещу CCPA не е просто актуализация на документацията, то изисква архитектурни промени в потоците за съгласие, политиките за поверителност и договорите с доставчици [2].
Кога CPRA влезе в сила и замени CCPA?
Съществените права и задължения на CPRA се прилагат за данни, събрани на или след 1 януари 2022 г., като прилагането започна на 1 юли 2023 г. Едногодишният гратисен период за прилагане приключи на тази дата, което означава, че California Privacy Protection Agency може да започне да налага глоби без предварително предупреждение [4].
За операторите на уебсайтове, които все още работят съгласно политиките от ерата на CCPA към 2026 г., рискът е реален и непосредствен.
Какви нови права имат потребителите съгласно CPRA, които не бяха в CCPA?
CPRA добави две потребителски права, които липсваха в оригиналната рамка на CCPA:
Право на корекция: Потребителите вече могат да изискват от даден бизнес да коригира неточна лична информация, която той съхранява за тях. Операторите на уебсайтове трябва да установят проверим процес на заявки и да действат по заявките за корекция в рамките на 45 дни [2].
Право на ограничаване на използването на чувствителна лична информация: Потребителите могат да ограничат начина, по който бизнесите използват тяхната SPI извън целта, за която е била първоначално събрана. Това право изисква отделен, ясно обозначен механизъм за отказ на уебсайта [1].
Тези допълнения съществуват наред със съществуващите права за знание, изтриване, отказ от продажба и недискриминация, създавайки по-сложно изискване за съответствие за всеки сайт, който събира потребителски данни извън основните анализи.
Какво представлява правото на корекция съгласно CPRA?
Правото на корекция е едно от най-взискателните от операционна гледна точка допълнения в CPRA. Когато потребител подаде проверена заявка за корекция, бизнесът трябва да положи търговски разумни усилия да коригира неточната лична информация и да инструктира всички доставчици на услуги или изпълнители, които са получили тези данни, да направят същата корекция [2].
За операторите на уебсайтове това означава:
- Изграждане на механизъм за приемане на заявки за корекция (уеб формуляр, процес по имейл или портал за акаунти).
- Документиране на корекцията и уведомяване на последващите обработващи данни.
- Отговор в рамките на 45 дни, с едно 45-дневно удължаване, ако е необходимо.
Често срещана грешка: Много оператори приемат, че правото на корекция се отнася само за данни от профила на акаунта. На практика то се разпростира върху всяка лична информация, която бизнесът съхранява, включително поведенчески данни, изведени предпочитания и история на покупките.
Какви нови категории данни обхваща CPRA, които CCPA не обхващаше?
CPRA официално дефинира „чувствителна лична информация“ (SPI) като отделна категория данни с по-висока защита. CCPA нямаше еквивалентна класификация [1].
SPI съгласно CPRA включва:
- Номера на социални осигуровки и издадени от правителството лични документи
- Удостоверения за финансови сметки (вход плюс кодове за сигурност)
- Точни данни за геолокация
- Расов или етнически произход, религиозни убеждения и членство в синдикати
- Съдържание на частни комуникации (поща, имейл, текстови съобщения)
- Генетични и биометрични данни, обработени за идентификация
- Здравна информация и сексуален живот или сексуална ориентация
Операторите на уебсайтове, събиращи някоя от тези категории, трябва да предоставят връзка „Ограничаване на използването на моята чувствителна лична информация“, функционално подобна на връзката „Не продавайте моята лична информация“, която вече се изисква съгласно CCPA [1].
CPRA срещу CCPA: Кой от тях се отнася за моя бизнес?
Към 2026 г. рамката на CPRA се прилага за търговски предприятия, които извършват дейност в Калифорния И отговарят на поне един от тези прагове [7]:
- Годишни брутни приходи, надвишаващи 25 милиона долара.
- Купува, продава, получава или споделя лична информация на 100 000 или повече потребители или домакинства в Калифорния годишно (увеличено от 50 000 съгласно CCPA).
- Генерира 50% или повече от годишните приходи от продажба или споделяне на лична информация на потребители.
Изберете съответствие с CPRA, ако: Вашият уебсайт обслужва жители на Калифорния и отговаряте на някой от горепосочените критерии. Ако преди това сте отговаряли на прага от 50 000 потребители на CCPA, но обработвате по-малко от 100 000 записа годишно, може вече да не сте пряко обект, въпреки че договорните задължения с по-големи партньори все още могат да изискват спазване.
Специфичен случай: Нестопанските организации и операторите, работещи изцяло B2B, обикновено са освободени, но доставчиците на услуги и изпълнителите на обхванати предприятия носят свои собствени задължения по CPRA [3].
Как CPRA засяга политиката за поверителност на моя уебсайт?
Политика за поверителност, съвместима с CCPA, вече не е достатъчна. CPRA изисква от операторите на уебсайтове да актуализират своите политики за поверителност, за да отразяват [2][3]:
- Новата категория SPI и правото да се ограничава нейното използване.
- Правото на коригиране на неточна лична информация.
- Разширената дефиниция на „продажба“, която включва „споделяне“ за поведенческа реклама в различни контексти.
- Как бизнесът отговаря на GPC сигнали.
- Периоди на съхранение на данни за всяка категория събрана лична информация.
- Дали се използва автоматизирано вземане на решения и как потребителите могат да се откажат.
Политиките за поверителност трябва да се преглеждат поне веднъж на всеки 12 месеца и да се актуализират, за да отразяват текущите практики за данни. Остарелите политики, които описват права от ерата на CCPA без допълнения от CPRA, са често срещан повод за прилагане.
Трябва ли да актуализирам формулярите си за съгласие за съответствие с CPRA?
Да. Механизмите за съгласие, които бяха достатъчни съгласно CCPA, изискват значителни актуализации за CPRA. По-конкретно, операторите на уебсайтове трябва [3][5]:
- Добавете връзка за отказ „Ограничаване на използването на моята чувствителна лична информация“, ако сайтът събира SPI.
- Уважавайте сигналите на браузъра GPC като валиден отказ от продажба и споделяне, това не може да изисква от потребителя да предприема допълнителни стъпки.
- Получете утвърдително съгласие преди продажба или споделяне на лична информация на потребители под 16 години.
- Уверете се, че съгласието за поведенческа реклама в различни контексти (ретаргетинг, споделяне на аудитория с рекламни платформи) е ясно разграничено от други употреби на данни.
Платформа за управление на съгласието може да помогне за автоматизиране на откриването на GPC и записването на предпочитания. Biscotti CMP (www.biscotti-cmp.com) е създадена да се справя с тези специфични за CPRA изисквания, включително потоци за отказ от SPI и съответствие със сигналите на GPC, без да изисква персонализирана разработка от оператора на уебсайта.
Какви са наказанията за неспазване на CPRA?
Към 1 януари 2025 г. административните глоби съгласно рамката на CPRA са [5]:
- $2 663 за неволно нарушение.
- $7 988 за умишлено нарушение.
- $7 988 за нарушение (утроено) за нарушения, включващи лична информация на потребители под 16 години.
Тези цифри се коригират периодично за инфлация. Глобите се оценяват за нарушение, което означава, че една единствена несъответстваща практика за данни, засягаща хиляди потребители, може да генерира обща отговорност в милиони. CPPA има независими правомощия да инициира действия за прилагане без препращане от главния прокурор [4].
Важно: CPRA премахна 30-дневния период за отстраняване, който съществуваше съгласно CCPA за повечето нарушения, премахвайки предпазна мрежа, на която много оператори разчитаха.
Какви често срещани грешки правят уебсайтовете при съответствие с CPRA?
Въз основа на разширените изисквания, най-честите пропуски в съответствието включват [3][6]:
- Игнориране на GPC сигнали: Неуспехът да се открият и спазват сигналите за отказ на ниво браузър е един от заявените приоритети за прилагане на CPPA.
- Липсваща връзка за отказ от SPI: Добавяне само на връзка „Не продавайте“ без отделната връзка „Ограничаване на използването на SPI“, когато се събира SPI.
- Остарели договори с доставчици: Неактуализиране на споразуменията за обработка на данни с доставчици на услуги, за да включват изискваните от CPRA условия.
- Липса на график за съхранение на данни: CPRA изисква от предприятията да разкриват и спазват срокове за съхранение; много политики за поверителност все още пропускат това.
- Предполагане, че периодът за отстраняване все още се прилага: Операторите, които чакат известие, преди да отстранят нарушения, могат да бъдат изправени пред незабавни глоби.
- Пренебрегване на правото на корекция: Изграждане само на работни потоци за изтриване без обработка на заявки за корекция.
Имат ли малките предприятия различни изисквания по CPRA?
Увеличаването на прага от 50 000 на 100 000 потребители пряко намалява тежестта на съответствието за по-малките оператори на уебсайтове [7]. Малък сайт за електронна търговия или SaaS продукт, обслужващ по-малко от 100 000 потребители в Калифорния годишно, с приходи под 25 милиона долара и без приходи от продажби на данни, попада извън прекия обхват на CPRA.
Въпреки това, малките предприятия трябва да отбележат:
- Ако действат като доставчик на услуги на обхванато предприятие, те наследяват договорни задължения по CPRA, независимо от размера.
- Доброволното съответствие все повече се очаква от корпоративни клиенти и може да бъде конкурентно предимство.
- Други щати са приели подобни закони, а федералното законодателство за поверителност остава в активно обсъждане към 2026 г.
Колко струва да станете съвместими с CPRA?
Няма фиксирана цена за съответствие, тя варира значително в зависимост от сложността на екосистемата от данни на уебсайта. Общите фактори, определящи разходите, включват:
- Актуализация на политиката за поверителност: Ниска цена, ако се извършва вътрешно; $500, $3 000+ при използване на правен съвет.
- Платформа за управление на съгласието: Текущ абонамент за SaaS; цените варират в зависимост от обема на трафика и набора от функции.
- Техническа реализация: Време за разработчик за добавяне на връзки за отказ, откриване на GPC и работни потоци за заявки за корекция.
- Преглед на договори с доставчици: Правен преглед на споразуменията за обработка на данни с всички обработващи данни трети страни.
- Оценки на риска: За обработка с висок риск, официалните оценки може да изискват външни консултанти.
За повечето средни оператори на уебсайтове първоначалното отстраняване на несъответствия струва няколко хиляди долара, с текущи оперативни разходи за поддръжка на политики и управление на съгласието. Цената на несъответствието, предвид глобите за нарушение, значително надвишава инвестицията.
Как да разбера дали CPRA се отнася за посетителите на моя уебсайт?
CPRA се прилага въз основа на местожителството на потребителя, а не на местоположението на бизнеса. Ако даден уебсайт има посетители, пребиваващи в Калифорния, и операторът отговаря на някой от трите бизнес прага, задълженията по CPRA се прилагат за данните, събрани от тези посетители [7][8].
Практически показатели, че CPRA вероятно се прилага:
- Уебсайтът приема поръчки, регистрации или насочване на реклами от потребители в САЩ без гео-блокиране на Калифорния.
- Бизнесът използва рекламни мрежи на трети страни, които се занимават с поведенческа реклама в различни контексти.
- Уебсайтът събира някаква форма на SPI от потребители (здравни въпросници, финансови данни, точно местоположение).
В случай на съмнение, консервативната и правно защитима позиция е да се третират всички посетители на уебсайтове в САЩ като потенциално обхванати от CPRA и да се прилагат съответните потоци за съгласие.
Задължителни оценки на риска, одити на киберсигурността и какво предстои
CPRA изисква от предприятията, занимаващи се с обработка на данни с висок риск, да извършват редовни оценки на риска и одити на киберсигурността. Разпоредбите, детайлизиращи тези изисквания, бяха финализирани през 2025 г. и влязоха в сила през 2026 г. [6]. Дейностите с висок риск включват мащабна обработка на SPI, профилиране на потребители за значими решения и продажба или споделяне на данни с голям брой трети страни.
Освен това, изискванията за прозрачност при автоматизираното вземане на решения, обхващащи профилиране за заетост, кредит, жилища и подобни важни решения, са планирани да влязат в сила на 1 януари 2027 г. [6]. Операторите на уебсайтове, използващи алгоритмични системи за препоръки, инструменти за кредитен рейтинг или поведенческо профилиране, трябва да започнат планирането на съответствието сега.
Заключение
Разбирането на CCPA срещу CPRA: Какво се промени за операторите на уебсайтове в Калифорния? не е по избор за никой бизнес, обслужващ жители на Калифорния в голям мащаб. CPRA въведе съществени нови задължения, категории чувствителни данни, право на корекция, съответствие със сигналите на GPC, разширени изисквания към доставчиците и специализирана агенция за прилагане с реални правомощия за налагане на глоби, които изискват конкретни оперативни отговори, а не само актуализации на политики.
Действащи следващи стъпки за операторите на уебсайтове през 2026 г.:
- Проверете текущите си практики за събиране на данни спрямо списъка с категории SPI и добавете необходимата връзка за отказ, ако е приложимо.
- Актуализирайте политиката си за поверителност, за да отразява правата по CPRA, графиците за съхранение на данни и разширената дефиниция на „продажба“.
- Внедрете откриване на GPC сигнали, това е приоритет за прилагане и не може да бъде отлагано.
- Прегледайте и актуализирайте всички споразумения за обработка на данни с доставчици на услуги и изпълнители.
- Изградете работен поток за заявки за корекция наред със съществуващия си процес за изтриване.
- Ако вашият сайт се занимава с обработка с висок риск, поръчайте официална оценка на риска, преди регулаторите да инициират такава за вас.
- Оценете решение за управление на съгласието като Biscotti CMP (www.biscotti-cmp.com), за да автоматизирате потоците за отказ, съответствието с GPC и записването на предпочитания.
Траекторията на прилагане на CPRA през 2026 г. прави проактивното съответствие единствената рационална стратегия.
ЧЗВ
В: CPRA същото ли е като CCPA 2.0? CPRA често се нарича „CCPA 2.0“, защото измени, а не замени CCPA. Той добави нови права, нова агенция за прилагане и нови категории данни, като същевременно запази оригиналната рамка на CCPA.
В: Кога започна прилагането на CPRA? Пълното прилагане започна на 1 юли 2023 г. CPPA може да налага глоби за нарушения, настъпили след тази дата, без предварителен период за отстраняване за повечето нарушения.
В: CPRA прилага ли се за предприятия извън Калифорния? Да. Всяко търговско предприятие, което събира лична информация от жители на Калифорния и отговаря на праговете за приложимост, трябва да спазва изискванията, независимо от това къде е седалището на предприятието.
В: Какво е GPC сигнал и защо е важен? Global Privacy Control (GPC) е настройка на ниво браузър, която сигнализира предпочитанието на потребителя за отказ. Съгласно CPRA, операторите на уебсайтове трябва да откриват и спазват GPC сигналите като валидни заявки за отказ, игнорирането им е нарушение на съответствието.
В: CPRA прилага ли се за данни на служители? Да. Към 1 януари 2023 г. временните изключения за данни на служители и B2B изтекоха. Личната информация на служителите вече е обект на пълна защита по CPRA.
В: Каква е разликата между „продажба“ и „споделяне“ съгласно CPRA? Съгласно оригиналния CCPA, „продажбата“ изискваше обмен срещу парична стойност. CPRA разшири това, за да включи „споделяне“ на лични данни с трети страни за поведенческа реклама в различни контексти, дори без пряко плащане.
В: Колко често трябва да се актуализира политиката за поверителност съгласно CPRA? Минимум веднъж на всеки 12 месеца. Тя трябва да се актуализира и при всяка съществена промяна в практиките за данни.
В: Освободени ли са нестопанските организации от CPRA? Като цяло да, CPRA се прилага за търговски предприятия. Въпреки това, нестопанските организации, действащи като доставчици на услуги на обхванати предприятия, могат да имат договорни задължения за съответствие.
В: Какво се случва, ако потребител подаде заявка за корекция и бизнесът не е съгласен? Бизнесът може да откаже корекцията, ако установи, че информацията е точна, но трябва да документира решението и да информира потребителя за основанието за отказа.
В: Има ли право на частно действие съгласно CPRA? Съществува ограничено право на частно действие за нарушения на данни, включващи определени категории лична информация. Повечето други нарушения се прилагат от CPPA или главния прокурор, а не чрез частни съдебни дела.
Интерактивна проверка за съответствие с CPRA
Източници
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai