Pravo SAD i CCPA

CCPA objašnjen: Kako upravljati odjavama za potrošače iz Kalifornije

7. juli 2026. · 16 min čitanja

Kratak odgovor: California Consumer Privacy Act (CCPA) daje stanovnicima Kalifornije pravo da se odjave od prodaje ili dijeljenja njihovih ličnih podataka. Od 1. januara 2026. godine, izmijenjeni propisi sada zahtijevaju od preduzeća da poštuju signale preferencija za odjavu (kao što je Global Privacy Control), vidljivo potvrde da su ti signali obrađeni i osiguraju da tokovi odjave nisu složeniji od tokova prijave. Nepoštivanje može rezultirati građanskim kaznama do 7.500 USD po namjernom kršenju.

Ključne tačke

CCPA se primjenjuje na profitna preduzeća koja ispunjavaju specifične pragove prihoda, obima podataka ili prodaje podataka, a ne na svaku kompaniju koja posluje u Kaliforniji.
Od 1. januara 2026. godine, preduzeća moraju prikazati vidljivu potvrdu kada je signal preferencije za odjavu (kao što je Global Privacy Control) prepoznat i poštovan. [3]
Mehanizmi za odjavu moraju biti jednako jednostavni za korištenje kao i tokovi prijave; tamni obrasci koji obeshrabruju odjave izričito su zabranjeni prema izmjenama iz 2026. godine. [7]
Preduzeća imaju 15 radnih dana da ispoštuju zahtjev potrošača za odjavu nakon prijema. [2]
"Lični podaci" prema CCPA-u su široki: uključuju IP adrese, historiju pregledavanja, podatke o geolokaciji, zaključke izvedene iz ponašanja potrošača i još mnogo toga.
CCPA i GDPR djeluju na fundamentalno različitim modelima pristanka, odjave naspram prijave, i mnoga preduzeća moraju se istovremeno pridržavati oba.
Neažuriranje vaše politike privatnosti kako bi odražavala CCPA prava samo po sebi je nedostatak usklađenosti, odvojen od tehničkih propusta u odjavi.
Platforma za upravljanje pristankom kao što je Biscotti CMP može automatizirati detekciju signala, prikaz potvrde odjave i vođenje evidencije preferencija.

Šta je CCPA i zašto je važan za vaše poslovanje

California Consumer Privacy Act je zakon o privatnosti na državnom nivou koji stanovnicima Kalifornije daje specifična prava o tome kako preduzeća prikupljaju, koriste i prodaju njihove lične podatke. Važan je jer je Kalifornija peta najveća ekonomija na svijetu, i svako preduzeće koje se dotiče potrošača iz Kalifornije, bez obzira na to gdje je sjedište preduzeća, može biti zakonski obavezno da se pridržava.

CCPA je prvobitno donesen 2018. godine, ojačan California Privacy Rights Act (CPRA) 2020. godine, i ponovo materijalno ažuriran propisima koje je odobrio California Office of Administrative Law 22. septembra 2025. godine, a koji stupaju na snagu 1. januara 2026. godine. [1][5] Ove izmjene iz 2026. godine dodale su nove obaveze u vezi s tehnologijom automatiziranog donošenja odluka (ADMT), procjenama rizika, i, kritično za većinu preduzeća, zahtjeve za dizajn i potvrdu mehanizma odjave. [1][7]

Razumijevanje CCPA-a objašnjeno: kako upravljati odjavama za potrošače iz Kalifornije više nije opcionalno za obuhvaćena preduzeća. Regulatorni prag je porastao, a provedba je uslijedila.

Kako da znam da li se CCPA primjenjuje na moju kompaniju

CCPA se primjenjuje na profitna preduzeća koja posluju u Kaliforniji i ispunjavaju barem jedan od sljedećih pragova:

Godišnji bruto prihodi koji prelaze 25 miliona dolara
Godišnje kupuju, prodaju, primaju ili dijele lične podatke 100.000 ili više potrošača ili domaćinstava iz Kalifornije
Ostvaruju 50% ili više godišnjih prihoda od prodaje ili dijeljenja ličnih podataka potrošača iz Kalifornije [4][6]

Da li se CCPA primjenjuje na mala preduzeća ispod određenog prihoda? Generalno, ne. Ako preduzeće padne ispod sva tri praga, ono nije obuhvaćeno preduzeće prema CCPA-u. Međutim, pružaoci usluga i ugovarači koji obrađuju podatke u ime obuhvaćenih preduzeća podliježu ugovornim CCPA obavezama čak i ako se inače ne bi kvalificirali samostalno. [2]

Granični slučaj: Mala SaaS kompanija s prihodom manjim od 25 miliona dolara, ali velikom bazom korisnika besplatnog nivoa, mogla bi lako preći prag od 100.000 korisnika bez da to shvati.

Šta se smatra ličnim podacima prema CCPA-u

Lični podaci prema CCPA-u široko su definirani kao bilo koja informacija koja identificira, odnosi se na, opisuje ili se razumno može povezati s određenim potrošačem ili domaćinstvom. To ide daleko izvan imena i e-mail adresa.

Obuhvaćene kategorije uključuju:

Kategorija	Primjeri
Identifikatori	Ime, e-mail, IP adresa, ID uređaja
Komercijalne informacije	Historija kupovine, ponašanje pregledavanja
Biometrijski podaci	Otisak prsta, podaci o prepoznavanju lica
Internet aktivnost	Kolačići, historija pretraživanja, interakcije na stranici
Geolokacija	Precizna lokacija s mobilnih uređaja
Zaključci	Profili izgrađeni na osnovu podataka o ponašanju
Osjetljivi lični podaci	Brojevi socijalnog osiguranja, zdravstveni podaci, precizna geolokacija

Zaključci izvedeni iz podataka o potrošačima za kreiranje profila o preferencijama, karakteristikama ili ponašanju izričito su uključeni. [4] Ovo je važno za ad-tech, analitiku i personalizacijske tokove.

Koja je razlika između CCPA odjave i prijave

CCPA djeluje na modelu odjave: preduzeća mogu prikupljati i koristiti podatke potrošača po defaultu, ali potrošači imaju pravo zahtijevati da se njihovi podaci ne prodaju ili dijele. Pristanak za prijavu potreban je samo u specifičnim okolnostima, kao što je rukovanje ličnim podacima potrošača mlađih od 16 godina. [4][6]

Ovo je fundamentalna strukturna razlika od GDPR-a, koji djeluje na modelu prijave koji zahtijeva izričit pristanak prije početka većine obrade podataka. Prema CCPA-u, šutnja nije pristanak, ali nije ni prepreka za obradu. Prema GDPR-u, šutnja nije pristanak i obrada ne može započeti bez njega.

Odaberite logiku prijave ako: rukujete podacima maloljetnika (mlađih od 16 godina) ili obrađujete osjetljive kategorije ličnih podataka koje zahtijevaju izričit pristanak prema kalifornijskom zakonu.

Odaberite logiku odjave ako: rukujete standardnim podacima o potrošačima od odraslih i obuhvaćeno ste preduzeće prema CCPA-u.

Kako da postavim link "Ne prodaj ili dijeli moje lične podatke"

Svako obuhvaćeno preduzeće koje prodaje ili dijeli lične podatke mora pružiti jasan i uočljiv link pod nazivom "Ne prodaj ili dijeli moje lične podatke" na svojoj početnoj stranici i u svojoj politici privatnosti. [4][6]

Postavljanje korak po korak:

Provjerite svoje tokove podataka kako biste utvrdili da li vaše poslovanje prodaje ili dijeli lične podatke kako je definirano CCPA-om.
Dodajte potrebnu vezu u podnožje svoje web stranice i meni postavki mobilne aplikacije.
Konfigurirajte svoju platformu za upravljanje pristankom za bilježenje i vremensko označavanje zahtjeva za odjavu.
Osigurajte da tok odjave ne zahtijeva više koraka od toka prijave, propisi iz 2026. godine izričito zabranjuju asimetrično trenje. [7]
Automatski poštujte Global Privacy Control (GPC) signale ako vaše poslovanje obrađuje podatke temeljene na pregledniku.
Prikažite vidljivu potvrdu da je odjava prepoznata, na primjer, natpis ili stanje preklopnika koji prikazuje "Signal preferencije za odjavu poštovan." [3]

Platforma poput Biscotti CMP može automatizirati korake 3 do 6, uključujući detekciju GPC signala i prikaz usklađene potvrde.

Koliko dugo imam da odgovorim na zahtjev potrošača za odjavu

Preduzeća moraju ispoštovati zahtjev potrošača za odjavu u roku od 15 radnih dana od prijema. [2] Ovo se razlikuje od roka od 45 dana za odgovor koji se primjenjuje na druge zahtjeve za prava potrošača (kao što su pristup ili brisanje).

Nakon što je zahtjev ispoštovan, preduzeće mora obavijestiti i sve treće strane kojima je prodalo ili podijelilo podatke potrošača u prethodnih 90 dana, nalažući im da prestanu koristiti te podatke. [6] Ova obaveza obavještavanja nizvodno često se zanemaruje i predstavlja uobičajeni nedostatak usklađenosti.

Mogu li i dalje koristiti podatke nakon što se korisnik odjavi

Nakon što se potrošač odjavi od prodaje ili dijeljenja, preduzeće ne smije prodavati ili dijeliti lične podatke tog potrošača u budućnosti. Međutim, preduzeće i dalje može koristiti podatke za interne svrhe koje su u skladu s odnosom potrošača s preduzećem. [4]

Izričito zabranjeno nakon odjave:

Prodaja ili dijeljenje podataka s trećim stranama za unakrsno kontekstualno bihevioralno oglašavanje
Korištenje podataka na načine koji su nekompatibilni s kontekstom u kojem su prikupljeni

I dalje dozvoljeno nakon odjave:

Ispunjenje transakcije ili usluge koju je potrošač zatražio
Interna analitika i prevencija prevara
Usklađenost s pravnim obavezama

Uobičajena greška: Pretpostavka da odjava znači potpuno brisanje podataka. To nije tako. Potrošači moraju podnijeti poseban zahtjev za brisanje kako bi aktivirali to pravo.

CCPA vs. GDPR: Koji moram slijediti

Ako vaše poslovanje opslužuje i stanovnike Kalifornije i stanovnike Evropske unije, vjerovatno se morate pridržavati oba. CCPA i GDPR se međusobno ne isključuju, a zahtjevi za usklađenost se dovoljno razlikuju da jedna politika rijetko zadovoljava oba.

Faktor	CCPA	GDPR
Model pristanka	Odjava (dozvoljena zadana obrada)	Prijava (prvo je potreban pristanak)
Geografski opseg	Stanovnici Kalifornije	Stanovnici EU/EEA
Koga pokriva	Profitna preduzeća koja ispunjavaju pragove	Bilo koji entitet koji obrađuje podatke stanovnika EU
Kazne	Do 7.500 USD po namjernom kršenju	Do 4% globalnog godišnjeg prometa
Pravo na brisanje	Da	Da (Pravo na zaborav)
Prenosivost podataka	Da	Da

Praktična implikacija: GDPR-kompatibilni baneri za pristanak nisu automatski CCPA-kompatibilni, jer CCPA zahtijeva specifičan mehanizam za odjavu, a ne pristupnik za pristanak.

Šta se dešava ako se ne pridržavam CCPA zahtjeva

Nepoštivanje izlaže preduzeća građanskim kaznama do 2.500 USD po nenamjernom kršenju i 7.500 USD po namjernom kršenju, koje provodi California Privacy Protection Agency (CPPA). [4][6] Kršenja koja uključuju podatke maloljetnika tretiraju se kao namjerna po defaultu.

Potrošači također imaju privatno pravo na tužbu za povrede podataka koje proizlaze iz propusta preduzeća da primijeni razumne sigurnosne mjere, sa zakonskim odštetama u rasponu od 100 do 750 USD po potrošaču po incidentu. [4]

Izmjene iz 2026. godine proširile su ovlasti CPPA-e za reviziju, što znači da se preduzeća koja podliježu zahtjevima za procjenu rizika mogu suočiti s proaktivnim regulatornim nadzorom, a ne samo reaktivnom provedbom. [1][7]

Moram li ažurirati svoju politiku privatnosti za CCPA

Da. Obuhvaćena preduzeća moraju održavati politiku privatnosti koja, u najmanju ruku, otkriva:

Kategorije prikupljenih ličnih podataka i svrhe prikupljanja
Da li se lični podaci prodaju ili dijele, i kategorije uključenih trećih strana
Prava potrošača dostupna prema CCPA-u (odjava, brisanje, pristup, ispravka, prenosivost)
Kako potrošači mogu podnijeti zahtjeve za ostvarivanje tih prava
Period zadržavanja za svaku kategoriju ličnih podataka [4][6]

Politike privatnosti moraju se ažurirati najmanje jednom svakih 12 mjeseci. Neažuriranje politike nakon značajne promjene u praksama podataka, kao što je dodavanje novog dobavljača analitike, samo po sebi je kršenje usklađenosti.

Kako da provjerim da li je zahtjev potrošača za odjavu legitiman

Za zahtjeve za odjavu, CCPA izričito ne zahtijeva od preduzeća da provjere identitet potrošača koji podnosi zahtjev. [2] Ovo je namjerno: zahtijevanje provjere identiteta za odjave stvorilo bi trenje koje potkopava pravo.

Međutim, preduzeća mogu koristiti razumne načine za potvrdu da zahtjev nije lažan, kao što je potvrda e-mail adrese povezane s računom. Standard za provjeru odjave namjerno je niži nego za zahtjeve za brisanje ili pristup, gdje je provjera identiteta prikladna jer ti zahtjevi uključuju otkrivanje ili uništavanje podataka.

Granični slučaj: Ako zahtjev za odjavu stigne putem automatiziranog signala (GPC), nije potreban niti dozvoljen dodatni korak provjere, sam signal predstavlja valjan zahtjev. [3][7]

Kako funkcionišu mehanizmi za odjavu na mobilnim aplikacijama u odnosu na web stranice

Na web stranicama, mehanizmi za odjavu moraju uključivati link "Ne prodaj ili dijeli moje lične podatke" u podnožju i moraju poštovati GPC signale na nivou preglednika. [3][7] Na mobilnim aplikacijama, zahtjevi su funkcionalno ekvivalentni, ali se implementacija razlikuje:

Mobilne aplikacije moraju uključivati opciju odjave u meniju postavki aplikacije ili odjeljku postavki privatnosti.
Aplikacije distribuirane putem trgovina aplikacijama moraju biti u skladu s dodatnim zahtjevima privatnosti na nivou platforme (kao što je App Tracking Transparency na iOS-u), ali ti zahtjevi platforme ne zamjenjuju usklađenost s CCPA-om.
Automatizirani signali iz mobilnih operativnih sistema moraju se poštovati na isti način kao i GPC signali temeljeni na pregledniku ako preduzeće obrađuje te podatke.

Propisi iz 2026. godine jasno navode da kanal (web vs. aplikacija) ne mijenja osnovnu obavezu, samo se tehnička implementacija razlikuje.

Koje su uobičajene greške koje preduzeća čine u vezi sa usklađenošću sa CCPA-om

Čak i preduzeća s dobrim namjerama često prave sljedeće greške:

Tretiranje odjave kao prijave: Zahtijevanje od potrošača da afirmativno potvrde svoju odjavu kroz više koraka, što krši zahtjev simetrije u izmjenama iz 2026. godine. [7]
Ignorisanje GPC signala: Nekonfigurisanje njihove tehnološke infrastrukture za detekciju i poštovanje Global Privacy Control signala preglednika, koji se sada tretiraju kao valjani zahtjevi za odjavu. [3]
Neprikazivanje potvrde odjave: Pravila iz 2026. godine zahtijevaju vidljivu potvrdu da je signal obrađen, unos u pozadinsku evidenciju nije dovoljan. [3]
Previđanje nizvodnih dobavljača: Neobavještavanje trećih strana koje primaju podatke nakon prijema odjave.
Statične politike privatnosti: Nepravilno ažuriranje politike godišnje ili nakon značajnih promjena u praksama podataka.
Miješanje pružatelja usluga s trećim stranama: Pružatelji usluga koji obrađuju podatke prema ugovoru imaju različite obaveze od trećih strana koje primaju podatke za vlastite svrhe.

Česta pitanja

Da li se CCPA primjenjuje na neprofitne organizacije? Ne. CCPA se primjenjuje samo na profitna preduzeća. Neprofitne organizacije nisu obuhvaćena preduzeća, iako mogu biti predmet drugih kalifornijskih zakona o privatnosti.

Šta je Global Privacy Control (GPC) i moram li ga poštovati? GPC je signal na nivou preglednika koji automatski komunicira preferenciju potrošača za odjavu. Od 1. januara 2026. godine, obuhvaćena preduzeća koja obrađuju podatke preglednika moraju poštovati GPC signale kao valjane zahtjeve za odjavu i prikazati potvrdu da je signal obrađen. [3][7]

Može li preduzeće naplatiti različitu cijenu potrošačima koji se odjave? Generalno ne. CCPA zabranjuje preduzećima diskriminaciju potrošača koji ostvaruju svoja prava na privatnost, uključujući naplatu različitih cijena, osim ako je razlika razumno povezana s vrijednošću podataka potrošača. [4]

Koliko dugo se moraju čuvati zapisi o odjavama? CCPA ne precizira univerzalni period zadržavanja zapisa o odjavama, ali preduzeća bi trebala zadržati zapise dovoljno dugo da dokažu usklađenost u slučaju revizije ili provedbene radnje, obično se najmanje 24 mjeseca smatra razumnom osnovom. [6]

Da li baner za kolačiće zadovoljava CCPA zahtjeve za odjavu? Sam baner za kolačiće nije dovoljan. CCPA zahtijeva namjenski link "Ne prodaj ili dijeli moje lične podatke", a izmjene iz 2026. godine zahtijevaju od preduzeća da poštuju i potvrde GPC signale neovisno o bilo kojoj interakciji s pristankom za kolačiće. [3][7]

Koja je razlika između "prodaje" i "dijeljenja" prema CCPA-u? "Prodaja" uključuje razmjenu ličnih podataka za novčanu naknadu. "Dijeljenje" pokriva otkrivanje ličnih podataka za unakrsno kontekstualno bihevioralno oglašavanje, čak i bez plaćanja. Oba pokreću prava na odjavu. [4]

Trebam li zasebne mehanizme za odjavu za svaku kategoriju podataka? Ne. Jedan mehanizam za odjavu koji pokriva prodaju i dijeljenje je dovoljan, iako preduzeća moraju jasno opisati u svojoj politici privatnosti koje kategorije podataka su obuhvaćene.

Šta je procjena rizika prema izmjenama CCPA-a iz 2026. godine? Preduzeća koja obrađuju lične podatke na načine koji predstavljaju značajne rizike za privatnost, uključujući korištenje tehnologije automatiziranog donošenja odluka, moraju provesti i dokumentirati procjene rizika prije početka te obrade. [1][7]

Zaključak

CCPA objašnjen: kako upravljati odjavama za potrošače iz Kalifornije je pokretna meta, a izmjene iz 2026. godine značajno su podigle ljestvicu. Osnovne obaveze, pružanje jasnog mehanizma za odjavu, poštovanje zahtjeva potrošača u roku od 15 radnih dana i ažuriranje vaše politike privatnosti, ostaju temeljne. Ali novi zahtjevi u vezi s potvrdom GPC signala, zabranom tamnih obrazaca i procjenama rizika ADMT-a zahtijevaju sistematičniji pristup nego što to može pružiti statični link u podnožju.

Akcioni koraci za obuhvaćena preduzeća:

Provjerite svoj trenutni tok odjave u odnosu na zahtjev simetrije iz 2026. godine: prebrojite korake za odjavu i uporedite ih s koracima za prijavu.
Provjerite da li vaša web stranica i mobilna aplikacija detektuju i poštuju Global Privacy Control signale, te da se prikazuje vidljiva poruka potvrde kada se signal primi.
Pregledajte svoju listu dobavljača trećih strana i potvrdite da su uspostavljene procedure obavještavanja nizvodno za tokove podataka nakon odjave.
Ažurirajte svoju politiku privatnosti kako bi odražavala trenutne prakse podataka, periode zadržavanja i potpunu listu prava potrošača.
Procijenite platformu za upravljanje pristankom kao što je Biscotti CMP za automatizaciju detekcije signala, potvrde odjave i vođenja evidencije preferencija na web i mobilnim kanalima.

Usklađenost nije jednokratni projekat. CPPA je pokazala spremnost da izdaje smjernice i provodi provedbu, a regulatorno okruženje će se nastaviti razvijati. Izgradnja ponovljivih, provjerljivih procesa sada je najodrživija pozicija koju obuhvaćeno preduzeće može zauzeti.