Право на САЩ и CCPA

Обяснение на CCPA: Как да управлявате отказите за потребители от Калифорния

7 юли 2026 г. · 16 мин. четене

Кратък отговор: California Consumer Privacy Act (CCPA) предоставя на жителите на Калифорния правото да се откажат от продажбата или споделянето на тяхна лична информация. От 1 януари 2026 г. изменените разпоредби вече изискват от бизнеса да спазва сигналите за предпочитания за отказ (като Global Privacy Control), видимо да потвърждава, че тези сигнали са обработени, и да гарантира, че потоците за отказ не са по-сложни от потоците за съгласие. Неспазването може да доведе до граждански санкции до 7 500 долара за умишлено нарушение.

Основни изводи

CCPA се прилага за търговски предприятия, които отговарят на специфични прагове за приходи, обем данни или продажба на данни, а не за всяка компания, оперираща в Калифорния.
От 1 януари 2026 г. предприятията трябва да показват видимо потвърждение, когато сигнал за предпочитание за отказ (като Global Privacy Control) е разпознат и спазен. [3]
Механизмите за отказ трябва да бъдат толкова лесни за използване, колкото и потоците за съгласие; тъмните модели, които обезкуражават отказите, са изрично забранени съгласно измененията от 2026 г. [7]
Предприятията имат 15 работни дни, за да изпълнят заявка за отказ от потребител след получаването ѝ. [2]
"Лична информация" съгласно CCPA е широко понятие: то включва IP адреси, история на сърфиране, данни за геолокация, изводи, направени от потребителско поведение, и други.
CCPA и GDPR работят на фундаментално различни модели на съгласие, отказ срещу съгласие, и много предприятия трябва да се съобразяват и с двете едновременно.
Неактуализирането на вашата политика за поверителност, за да отразява правата по CCPA, само по себе си е пропуск в съответствието, отделно от техническите провали при отказ.
Платформа за управление на съгласие като Biscotti CMP може да автоматизира откриването на сигнали, показването на потвърждение за отказ и воденето на записи за предпочитания.

Какво е CCPA и защо е важно за вашия бизнес

California Consumer Privacy Act е закон за поверителност на щатско ниво, който дава на жителите на Калифорния специфични права относно това как предприятията събират, използват и продават техните лични данни. Той е важен, защото Калифорния е петата по големина икономика в света и всеки бизнес, който обслужва потребители от Калифорния, независимо къде е седалището на бизнеса, може да бъде законово задължен да се съобрази.

CCPA първоначално е приет през 2018 г., засилен от California Privacy Rights Act (CPRA) през 2020 г. и съществено актуализиран отново с разпоредби, одобрени от California Office of Administrative Law на 22 септември 2025 г., в сила от 1 януари 2026 г. [1][5] Тези изменения от 2026 г. добавиха нови задължения относно технологията за автоматизирано вземане на решения (ADMT), оценки на риска и, критично за повечето предприятия, дизайн на механизми за отказ и изисквания за потвърждение. [1][7]

Разбирането на CCPA: как да управлявате отказите за потребители от Калифорния вече не е по избор за обхванатите предприятия. Регулаторният праг се е повишил и прилагането е последвало.

Как да разбера дали CCPA се отнася за моята компания

CCPA се прилага за търговски предприятия, които извършват дейност в Калифорния и отговарят на поне един от следните прагове:

Годишни брутни приходи, надвишаващи 25 милиона долара
Годишно купуване, продаване, получаване или споделяне на лична информация на 100 000 или повече потребители или домакинства от Калифорния
Получаване на 50% или повече от годишните приходи от продажба или споделяне на лична информация на потребители от Калифорния [4][6]

Прилага ли се CCPA за малки предприятия под определен приход? Като цяло, не. Ако даден бизнес попада под всички три прага, той не е обхванат бизнес съгласно CCPA. Въпреки това, доставчиците на услуги и изпълнителите, които обработват данни от името на обхванати предприятия, подлежат на договорни задължения по CCPA, дори ако иначе не биха се квалифицирали самостоятелно. [2]

Краен случай: Малка SaaS компания с приходи под 25 милиона долара, но с голяма потребителска база на безплатно ниво, лесно може да прескочи прага от 100 000 потребителски данни, без да го осъзнае.

Какво се счита за лична информация съгласно CCPA

Личната информация съгласно CCPA е широко дефинирана като всяка информация, която идентифицира, отнася се до, описва или може разумно да бъде свързана с конкретен потребител или домакинство. Това надхвърля имената и имейл адресите.

Обхванатите категории включват:

Категория	Примери
Идентификатори	Име, имейл, IP адрес, ID на устройство
Търговска информация	История на покупките, поведение при сърфиране
Биометрични данни	Отпечатъци, данни за лицево разпознаване
Интернет активност	Бисквитки, история на търсенето, взаимодействия със сайта
Геолокация	Точно местоположение от мобилни устройства
Изводи	Профили, изградени от поведенчески данни
Чувствителна лична информация	Номера на социална осигуровка, здравни данни, точно местоположение

Изводите, направени от потребителски данни за създаване на профили относно предпочитания, характеристики или поведение, са изрично включени. [4] Това е важно за рекламните технологии, анализите и персонализационните канали.

Каква е разликата между CCPA отказ и съгласие

CCPA работи на модел на отказ: предприятията могат да събират и използват потребителски данни по подразбиране, но потребителите имат право да изискват техните данни да не бъдат продавани или споделяни. Съгласие е необходимо само при специфични обстоятелства, като например при обработка на лична информация на потребители под 16 години. [4][6]

Това е фундаменталната структурна разлика от GDPR, който работи на модел на съгласие, изискващ изрично съгласие преди започване на повечето обработки на данни. Съгласно CCPA, мълчанието не е съгласие, но също така не е пречка за обработка. Съгласно GDPR, мълчанието не е съгласие и обработката не може да започне без него.

Изберете логика на съгласие, ако: обработвате данни от непълнолетни (под 16 години) или обработвате чувствителни категории лична информация, които изискват изрично съгласие съгласно законодателството на Калифорния.

Изберете логика на отказ, ако: обработвате стандартни потребителски данни от възрастни и сте обхванат бизнес съгласно CCPA.

Как да настроя връзка "Не продавай или споделяй моята лична информация"

Всяко обхванато предприятие, което продава или споделя лична информация, трябва да предостави ясна и видима връзка, озаглавена "Не продавай или споделяй моята лична информация" на началната си страница и в своята политика за поверителност. [4][6]

Настройка стъпка по стъпка:

Проверете потоците си от данни, за да определите дали вашият бизнес продава или споделя лична информация, както е дефинирано от CCPA.
Добавете необходимата връзка към долния колонтитул на уебсайта си и менюто с настройки на мобилното приложение.
Конфигурирайте вашата платформа за управление на съгласие, за да улавя и отбелязва с времеви печат заявки за отказ.
Уверете се, че потокът за отказ не изисква повече стъпки от потока за съгласие; разпоредбите от 2026 г. изрично забраняват асиметричното триене. [7]
Автоматично спазвайте сигналите на Global Privacy Control (GPC), ако вашият бизнес обработва данни, базирани на браузър.
Показвайте видимо потвърждение, че отказът е разпознат, например банер или състояние на превключвател, показващо "Предпочитание за отказ на сигнал е спазено." [3]

Платформа като Biscotti CMP може да автоматизира стъпки 3 до 6, включително откриване на GPC сигнал и съвместимо показване на потвърждение.

Колко време имам, за да отговоря на заявка за отказ от потребител

Предприятията трябва да изпълнят заявка за отказ от потребител в рамките на 15 работни дни от получаването ѝ. [2] Това се различава от 45-дневния прозорец за отговор, който се прилага за други заявки за потребителски права (като достъп или изтриване).

След като бъде изпълнена, предприятието трябва също така да уведоми всички трети страни, на които е продало или споделило данните на потребителя през предходните 90 дни, като ги инструктира да спрат да използват тези данни. [6] Това задължение за уведомяване надолу по веригата често се пренебрегва и представлява често срещан пропуск в съответствието.

Мога ли все още да използвам данни, след като клиент се е отказал

След като потребител се откаже от продажба или споделяне, предприятието не може да продава или споделя личната информация на този потребител занапред. Въпреки това, предприятието все още може да използва данните за вътрешни цели, които са в съответствие с отношенията на потребителя с предприятието. [4]

Изрично забранено след отказ:

Продажба или споделяне на данни с трети страни за междуконтекстна поведенческа реклама
Използване на данни по начини, които са несъвместими с контекста, в който са събрани

Все още разрешено след отказ:

Изпълнение на транзакцията или услугата, поискана от потребителя
Вътрешни анализи и предотвратяване на измами
Съответствие със законови задължения

Често срещана грешка: Предполагане, че отказът означава пълно изтриване на данни. Не е така. Потребителите трябва да подадат отделна заявка за изтриване, за да задействат това право.

CCPA срещу GDPR: Кой от тях трябва да спазвам

Ако вашият бизнес обслужва както жители на Калифорния, така и жители на Европейския съюз, вероятно трябва да спазвате и двата. CCPA и GDPR не се изключват взаимно и изискванията за съответствие се различават достатъчно, така че една политика рядко удовлетворява и двете.

Фактор	CCPA	GDPR
Модел на съгласие	Отказ (разрешена е обработка по подразбиране)	Съгласие (изисква се съгласие първо)
Географски обхват	Жители на Калифорния	Жители на ЕС/ЕИП
Кого обхваща	Търговски предприятия, отговарящи на прагове	Всяко лице, обработващо данни на жители на ЕС
Санкции	До 7 500 долара за умишлено нарушение	До 4% от глобалния годишен оборот
Право на изтриване	Да	Да (Право на изтриване)
Преносимост на данни	Да	Да

Практическото следствие: Съвместимите с GDPR банери за съгласие не са автоматично съвместими с CCPA, тъй като CCPA изисква специфичен механизъм за отказ, а не портал за съгласие.

Какво се случва, ако не спазвам изискванията на CCPA

Неспазването излага предприятията на граждански санкции до 2 500 долара за неумишлено нарушение и 7 500 долара за умишлено нарушение, налагани от California Privacy Protection Agency (CPPA). [4][6] Нарушенията, включващи данни на непълнолетни, се третират като умишлени по подразбиране.

Потребителите също имат право на частно действие за нарушения на данни, произтичащи от неспособността на бизнеса да приложи разумни мерки за сигурност, със законови обезщетения, вариращи от 100 до 750 долара на потребител на инцидент. [4]

Измененията от 2026 г. разшириха правомощията за одит на CPPA, което означава, че предприятията, подлежащи на изисквания за оценка на риска, могат да бъдат подложени на проактивен регулаторен контрол, а не само на реактивно прилагане. [1][7]

Трябва ли да актуализирам политиката си за поверителност за CCPA

Да. Обхванатите предприятия трябва да поддържат политика за поверителност, която разкрива, най-малкото:

Категориите лична информация, събрана, и целите на събирането
Дали лична информация се продава или споделя, и категориите участващи трети страни
Наличните потребителски права съгласно CCPA (отказ, изтриване, достъп, корекция, преносимост)
Как потребителите могат да подават заявки за упражняване на тези права
Периодът на съхранение за всяка категория лична информация [4][6]

Политиките за поверителност трябва да се актуализират поне веднъж на всеки 12 месеца. Неактуализирането на политиката след съществена промяна в практиките за данни, като добавяне на нов доставчик на анализи, само по себе си е нарушение на съответствието.

Как да проверя дали заявката за отказ на потребител е легитимна

За заявки за отказ конкретно, CCPA не изисква от предприятията да проверяват самоличността на потребителя, който прави заявката. [2] Това е умишлено: изискването за проверка на самоличността за откази би създало триене, което подкопава правото.

Въпреки това, предприятията могат да използват разумни средства, за да потвърдят, че заявката не е измамна, като например потвърждаване на имейл адреса, свързан с акаунта. Стандартът за проверка на отказ е умишлено по-нисък от този за заявки за изтриване или достъп, където проверката на самоличността е подходяща, тъй като тези заявки включват разкриване или унищожаване на данни.

Краен случай: Ако заявка за отказ пристигне чрез автоматизиран сигнал (GPC), не се изисква или разрешава допълнителна стъпка за проверка, самият сигнал представлява валидна заявка. [3][7]

Как работят механизмите за отказ в мобилни приложения срещу уебсайтове

На уебсайтове механизмите за отказ трябва да включват връзката "Не продавай или споделяй моята лична информация" в долния колонтитул и трябва да спазват GPC сигнали на ниво браузър. [3][7] В мобилните приложения изискванията са функционално еквивалентни, но изпълнението се различава:

Мобилните приложения трябва да включват опцията за отказ в менюто с настройки на приложението или в секцията за предпочитания за поверителност.
Приложенията, разпространявани чрез магазини за приложения, трябва да спазват всички допълнителни изисквания за поверителност на ниво платформа (като App Tracking Transparency на iOS), но тези изисквания на платформата не заместват съответствието с CCPA.
Автоматичните сигнали от мобилни операционни системи трябва да се спазват по същия начин като GPC сигналите, базирани на браузър, ако бизнесът обработва тези данни.

Разпоредбите от 2026 г. ясно показват, че каналът (уеб срещу приложение) не променя основното задължение, различава се само техническото изпълнение.

Кои са често срещаните грешки, които предприятията правят при съответствие с CCPA

Дори добронамерени предприятия често правят следните грешки:

Третиране на отказ като съгласие: Изискване от потребителите да потвърдят изрично отказа си чрез множество стъпки, което нарушава изискването за симетрия в измененията от 2026 г. [7]
Игнориране на GPC сигнали: Неконфигуриране на техния технологичен стек за откриване и спазване на сигналите на браузъра Global Privacy Control, които вече се третират като валидни заявки за отказ. [3]
Непоказване на потвърждение за отказ: Правилата от 2026 г. изискват видимо потвърждение, че сигналът е обработен; запис в бекенд не е достатъчен. [3]
Пренебрегване на доставчици надолу по веригата: Неуведомяване на получатели на данни от трети страни след получаване на отказ.
Статични политики за поверителност: Неактуализиране на политиката ежегодно или след съществени промени в практиките за данни.
Смесване на доставчици на услуги с трети страни: Доставчиците на услуги, обработващи данни по договор, имат различни задължения от трети страни, получаващи данни за собствени цели.

ЧЗВ

Прилага ли се CCPA за нестопански организации? Не. CCPA се прилага само за търговски предприятия. Нестопанските организации не са обхванати предприятия, въпреки че могат да подлежат на други закони за поверителност в Калифорния.

Какво е Global Privacy Control (GPC) и трябва ли да го спазвам? GPC е сигнал на ниво браузър, който автоматично съобщава предпочитанието за отказ на потребителя. От 1 януари 2026 г. обхванатите предприятия, които обработват данни от браузър, трябва да спазват GPC сигналите като валидни заявки за отказ и да показват потвърждение, че сигналът е обработен. [3][7]

Може ли бизнес да таксува различна цена на потребители, които се отказват? Като цяло не. CCPA забранява на предприятията да дискриминират потребители, които упражняват своите права за поверителност, включително чрез таксуване на различни цени, освен ако разликата е разумно свързана със стойността на данните на потребителя. [4]

Колко дълго трябва да се съхраняват записите за отказ? CCPA не определя универсален период на съхранение за записи за отказ, но предприятията трябва да съхраняват записи достатъчно дълго, за да демонстрират съответствие в случай на одит или действие по прилагане, обикновено поне 24 месеца се счита за разумна база. [6]

Достатъчен ли е банер за бисквитки за изпълнение на изискванията за отказ на CCPA? Само банер за бисквитки не е достатъчен. CCPA изисква специална връзка "Не продавай или споделяй моята лична информация", а измененията от 2026 г. изискват от предприятията да спазват и потвърждават GPC сигнали независимо от всяко взаимодействие за съгласие за бисквитки. [3][7]

Каква е разликата между "продажба" и "споделяне" съгласно CCPA? "Продажба" включва обмен на лична информация срещу парично възнаграждение. "Споделяне" обхваща разкриване на лична информация за междуконтекстна поведенческа реклама, дори без плащане. И двете задействат права за отказ. [4]

Имам ли нужда от отделни механизми за отказ за всяка категория данни? Не. Един механизъм за отказ, обхващащ продажба и споделяне, е достатъчен, въпреки че предприятията трябва ясно да опишат в своята политика за поверителност кои категории данни са обхванати.

Какво е оценка на риска съгласно измененията на CCPA от 2026 г.? Предприятията, които обработват лична информация по начини, които представляват значителни рискове за поверителността, включително използване на технология за автоматизирано вземане на решения, трябва да извършват и документират оценки на риска, преди да започнат тази обработка. [1][7]

Заключение

Обяснението на CCPA: как да управлявате отказите за потребители от Калифорния е движеща се цел, а измененията от 2026 г. значително повишиха летвата. Основните задължения, предоставянето на ясен механизъм за отказ, спазването на потребителските заявки в рамките на 15 работни дни и актуализирането на вашата политика за поверителност, остават основни. Но новите изисквания относно потвърждението на GPC сигнали, забраната на тъмни модели и оценките на риска на ADMT изискват по-систематичен подход, отколкото може да осигури статична връзка в долния колонтитул.

Действия за обхванатите предприятия:

Проверете текущия си поток за отказ спрямо изискването за симетрия от 2026 г.: пребройте стъпките за отказ и ги сравнете със стъпките за съгласие.
Проверете дали вашият уебсайт и мобилно приложение откриват и спазват сигналите на Global Privacy Control и дали се показва видимо съобщение за потвърждение, когато се получи сигнал.
Прегледайте списъка си с доставчици от трети страни и потвърдете, че са въведени процедури за уведомяване надолу по веригата за потоци от данни след отказ.
Актуализирайте политиката си за поверителност, за да отразява текущите практики за данни, периодите на съхранение и пълния списък с потребителски права.
Оценете платформа за управление на съгласие като Biscotti CMP, за да автоматизирате откриването на сигнали, потвърждението на отказ и воденето на записи за предпочитания в уеб и мобилни канали.

Съответствието не е еднократен проект. CPPA демонстрира готовност да издава насоки и да преследва прилагане, а регулаторната среда ще продължи да се развива. Изграждането на повтаряеми, одитируеми процеси сега е най-защитимата позиция, която може да заеме едно обхванато предприятие.