Brzi odgovor: California Privacy Rights Act (CPRA) je suštinski izmijenio originalni California Consumer Privacy Act (CCPA), uvodeći nova prava potrošača, posvećenu agenciju za provođenje zakona, strože kazne i potpuno novu kategoriju osjetljivih ličnih podataka. Za operatere web stranica, CCPA vs. CPRA: Šta se promijenilo za operatere web stranica u Kaliforniji? nije teoretsko pitanje, već se direktno prevodi u ažurirane politike privatnosti, nove mehanizme pristanka i proširene ugovorne obaveze sa dobavljačima trećih strana.
Ključne tačke
- CPRA je stupio na snagu 1. jula 2023. godine, zamjenjujući i proširujući okvir CCPA.
- Nova kategorija "osjetljivih ličnih podataka" (SPI) zahtijeva namjensku vezu za odustajanje na web stranicama koje prikupljaju te podatke.
- Potrošači su dobili pravo na ispravku netačnih ličnih podataka, pravo koje nije postojalo pod originalnim CCPA.
- Prag primjenjivosti je porastao sa 50.000 na 100.000 potrošača ili domaćinstava, izuzimajući neke manje operatere.
- "Dijeljenje" ličnih podataka za unakrsno kontekstualno bihevioralno oglašavanje sada se računa kao "prodaja", zahtijevajući mehanizme za odustajanje.
- Operateri web stranica moraju poštovati Global Privacy Control (GPC) signale kao važeće zahtjeve za odustajanje.
- Administrativne kazne su povećane na 2.663 USD po nenamjernom prekršaju i 7.988 USD po namjernom prekršaju od 1. januara 2025. godine.
- California Privacy Protection Agency (CPPA) sada ima nezavisnu ovlast za provođenje zakona, odvojenu od državnog tužioca.
- Zahtjevi za transparentnost automatizovanog donošenja odluka stupaju na snagu 1. januara 2027. godine.
- Procjene rizika i revizije kibernetičke sigurnosti sada su obavezne za aktivnosti obrade podataka visokog rizika.
Koja je razlika između CCPA i CPRA?
CCPA, koji je stupio na snagu 1. januara 2020. godine, dao je kalifornijskim potrošačima osnovna prava nad njihovim ličnim podacima: pravo na znanje, brisanje i odustajanje od prodaje njihovih informacija. CPRA, usvojen od strane kalifornijskih glasača u novembru 2020. godine i u potpunosti primjenjiv od 1. jula 2023. godine, nije u potpunosti zamijenio CCPA, već ga je izmijenio i značajno proširio [1].
Ključne strukturne razlike uključuju:
| Karakteristika | CCPA (Original) | CPRA (Izmijenjen) |
|---|---|---|
| Tijelo za provođenje | Državni tužilac Kalifornije | CPPA + Državni tužilac |
| Kategorija osjetljivih podataka | Nije definisano | Formalno definisano (SPI) |
| Pravo na ispravku | Nije uključeno | Uključeno |
| Definicija "prodaje" | Razmjena podataka za vrijednost | Uključuje "dijeljenje" za oglašavanje |
| Prag primjenjivosti | 50.000 potrošača/domaćinstava | 100.000 potrošača/domaćinstava |
| Procjene rizika | Nije obavezno | Obavezno za obradu visokog rizika |
| Usklađenost sa GPC signalom | Nije obavezno | Obavezno |
Praktična posljedica za operatere web stranica je da usklađenost sa CPRA vs. CCPA nije samo ažuriranje dokumentacije, već zahtijeva arhitektonske promjene u tokovima pristanka, politikama privatnosti i ugovorima sa dobavljačima [2].
Kada je CPRA stupio na snagu i zamijenio CCPA?
Suštinska prava i obaveze CPRA primjenjivale su se na podatke prikupljene 1. januara 2022. godine ili nakon tog datuma, a provođenje je počelo 1. jula 2023. godine. Jednogodišnji period odgode za provođenje zakona završio je tog datuma, što znači da je California Privacy Protection Agency mogla početi izdavati kazne bez prethodnog upozorenja [4].
Za operatere web stranica koji i dalje posluju pod politikama iz ere CCPA od 2026. godine, izloženost je stvarna i neposredna.
Koja nova prava imaju potrošači pod CPRA koja nisu bila u CCPA?
CPRA je dodao dva prava potrošača koja su bila odsutna iz originalnog okvira CCPA:
Pravo na ispravku: Potrošači sada mogu zahtijevati od preduzeća da ispravi netačne lične podatke koje posjeduje o njima. Operateri web stranica moraju uspostaviti provjerljiv proces zahtjeva i postupiti po zahtjevima za ispravku u roku od 45 dana [2].
Pravo na ograničenje upotrebe osjetljivih ličnih podataka: Potrošači mogu ograničiti kako preduzeća koriste svoje SPI izvan svrhe za koju su prvobitno prikupljeni. Ovo pravo zahtijeva poseban, jasno označen mehanizam za odustajanje na web stranici [1].
Ovi dodaci se nalaze pored postojećih prava na znanje, brisanje, odustajanje od prodaje i nediskriminaciju, stvarajući složeniji zahtjev za usklađenost za bilo koju stranicu koja prikuplja korisničke podatke izvan osnovne analitike.
Šta je pravo na ispravku pod CPRA?
Pravo na ispravku je jedan od operativno najzahtjevnijih dodataka u CPRA. Kada potrošač podnese provjereni zahtjev za ispravku, preduzeće mora uložiti komercijalno razumne napore da ispravi netačne lične podatke i naloži svim pružateljima usluga ili izvođačima koji su primili te podatke da izvrše istu ispravku [2].
Za operatere web stranica, to znači:
- Izgradnja mehanizma za prijem zahtjeva za ispravku (web obrazac, proces e-pošte ili portal računa).
- Dokumentovanje ispravke i obavještavanje daljnjih obrađivača podataka.
- Odgovor u roku od 45 dana, sa jednim produženjem od 45 dana ako je potrebno.
Česta greška: Mnogi operateri pretpostavljaju da se pravo na ispravku odnosi samo na podatke profila računa. U praksi, ono se proteže na sve lične podatke koje preduzeće posjeduje, uključujući bihevioralne podatke, pretpostavljene preferencije i historiju kupovine.
Koje nove kategorije podataka pokriva CPRA koje CCPA nije?
CPRA je formalno definisao "osjetljive lične podatke" (SPI) kao posebnu kategoriju podataka sa višom zaštitom. CCPA nije imao ekvivalentnu klasifikaciju [1].
SPI pod CPRA uključuje:
- Brojeve socijalnog osiguranja i državne identifikacione dokumente
- Akreditive finansijskih računa (prijava plus sigurnosni kodovi)
- Precizne podatke o geolokaciji
- Rasno ili etničko porijeklo, vjerska uvjerenja i članstvo u sindikatu
- Sadržaj privatnih komunikacija (pošta, e-pošta, tekst)
- Genetske i biometrijske podatke obrađene za identifikaciju
- Zdravstvene informacije i seksualni život ili seksualnu orijentaciju
Operateri web stranica koji prikupljaju bilo koju od ovih kategorija moraju pružiti vezu "Ograniči upotrebu mojih osjetljivih ličnih podataka", funkcionalno sličnu vezi "Ne prodaj moje lične podatke" koja je već obavezna pod CCPA [1].
CPRA vs. CCPA: Koja se primjenjuje na moje poslovanje?
Od 2026. godine, okvir CPRA primjenjuje se na profitna preduzeća koja posluju u Kaliforniji I ispunjavaju barem jedan od ovih pragova [7]:
- Godišnji bruto prihodi veći od 25 miliona dolara.
- Kupuje, prodaje, prima ili dijeli lične podatke 100.000 ili više kalifornijskih potrošača ili domaćinstava godišnje (povećano sa 50.000 pod CCPA).
- Ostvaruje 50% ili više godišnjih prihoda od prodaje ili dijeljenja ličnih podataka potrošača.
Odaberite usklađenost sa CPRA ako: Vaša web stranica služi stanovnicima Kalifornije i ispunjavate bilo koji od gore navedenih kriterija. Ako ste prethodno ispunjavali uslove pod pragom od 50.000 potrošača CCPA, ali obrađujete manje od 100.000 zapisa godišnje, možda više nećete biti direktno podložni, iako ugovorne obaveze sa većim partnerima i dalje mogu zahtijevati pridržavanje.
Granični slučaj: Neprofitne organizacije i isključivo B2B operateri su uglavnom izuzeti, ali pružatelji usluga i izvođači radova za obuhvaćena preduzeća imaju vlastite CPRA obaveze [3].
Kako CPRA utiče na politiku privatnosti moje web stranice?
Politika privatnosti usklađena sa CCPA više nije dovoljna. CPRA zahtijeva od operatera web stranica da ažuriraju svoje politike privatnosti kako bi odražavale [2][3]:
- Novu SPI kategoriju i pravo na ograničenje njene upotrebe.
- Pravo na ispravku netačnih ličnih podataka.
- Proširenu definiciju "prodaje" koja uključuje "dijeljenje" za unakrsno kontekstualno bihevioralno oglašavanje.
- Kako preduzeće reaguje na GPC signale.
- Periodi zadržavanja podataka za svaku kategoriju prikupljenih ličnih podataka.
- Da li se koristi automatizovano donošenje odluka i kako se potrošači mogu odjaviti.
Politike privatnosti moraju se pregledati najmanje jednom svakih 12 mjeseci i ažurirati kako bi odražavale trenutne prakse podataka. Zastarjele politike koje opisuju prava iz ere CCPA bez CPRA dodataka su čest okidač za provođenje zakona.
Da li trebam ažurirati svoje obrasce za pristanak za usklađenost sa CPRA?
Da. Mehanizmi pristanka koji su bili dovoljni pod CCPA zahtijevaju značajna ažuriranja za CPRA. Konkretno, operateri web stranica moraju [3][5]:
- Dodati vezu za odustajanje "Ograniči upotrebu mojih osjetljivih ličnih podataka" ako stranica prikuplja SPI.
- Poštovati GPC signale preglednika kao važeće odustajanje od prodaje i dijeljenja, ovo ne može zahtijevati od korisnika da preduzme dodatne korake.
- Dobiti potvrdni pristanak prije prodaje ili dijeljenja ličnih podataka potrošača mlađih od 16 godina.
- Osigurati da se pristanak za unakrsno kontekstualno bihevioralno oglašavanje (ponovno ciljanje, dijeljenje publike sa oglasnim platformama) jasno razlikuje od drugih upotreba podataka.
Platforma za upravljanje pristankom može pomoći u automatizaciji GPC detekcije i snimanja preferencija. Biscotti CMP (www.biscotti-cmp.com) je izgrađen da rukuje ovim CPRA-specifičnim zahtjevima, uključujući tokove odustajanja od SPI i usklađenost sa GPC signalima, bez potrebe za prilagođenim razvojem od strane operatora web stranice.
Koje su kazne za nepoštivanje CPRA?
Od 1. januara 2025. godine, administrativne kazne prema okviru CPRA su [5]:
- 2.663 USD po nenamjernom prekršaju.
- 7.988 USD po namjernom prekršaju.
- 7.988 USD po prekršaju (utrostručeno) za prekršaje koji uključuju lične podatke potrošača mlađih od 16 godina.
Ovi iznosi se periodično prilagođavaju inflaciji. Kazne se procjenjuju po prekršaju, što znači da jedna neusklađena praksa podataka koja utiče na hiljade potrošača može generisati ukupnu odgovornost u milionima. CPPA ima nezavisnu ovlast za pokretanje postupaka provođenja zakona bez upućivanja od strane državnog tužioca [4].
Važno: CPRA je ukinuo 30-dnevni period za ispravku koji je postojao pod CCPA za većinu prekršaja, uklanjajući sigurnosnu mrežu na koju su se mnogi operateri oslanjali.
Koje uobičajene greške web stranice prave u vezi sa usklađenošću sa CPRA?
Na osnovu proširenih zahtjeva, najčešći propusti u usklađenosti uključuju [3][6]:
- Ignorisanje GPC signala: Neuspjeh u otkrivanju i poštovanju signala za odustajanje na nivou preglednika jedan je od navedenih prioriteta CPPA za provođenje zakona.
- Nedostaje veza za odustajanje od SPI: Dodavanje samo veze "Ne prodaj" bez zasebne veze "Ograniči upotrebu SPI" kada se prikuplja SPI.
- Zastarjeli ugovori sa dobavljačima: Neažuriranje ugovora o obradi podataka sa pružateljima usluga kako bi se uključili CPRA-zahtijevani uslovi.
- Nema rasporeda zadržavanja podataka: CPRA zahtijeva od preduzeća da objave i pridržavaju se perioda zadržavanja; mnoge politike privatnosti to i dalje izostavljaju.
- Pretpostavka da se period za ispravku i dalje primjenjuje: Operateri koji čekaju obavijest prije ispravljanja prekršaja mogu se suočiti sa trenutnim kaznama.
- Previđanje prava na ispravku: Izgradnja samo tokova brisanja bez rukovanja zahtjevima za ispravku.
Da li mala preduzeća imaju različite CPRA zahtjeve?
Povećanje praga sa 50.000 na 100.000 potrošača direktno smanjuje teret usklađenosti za manje operatere web stranica [7]. Mala e-trgovina ili SaaS proizvod koji godišnje opslužuje manje od 100.000 kalifornijskih potrošača, sa prihodima ispod 25 miliona dolara i bez prihoda od prodaje podataka, izvan je direktnog opsega CPRA.
Međutim, mala preduzeća trebaju napomenuti:
- Ako djeluju kao pružatelj usluga za obuhvaćeno preduzeće, nasljeđuju ugovorne CPRA obaveze bez obzira na veličinu.
- Dobrovoljna usklađenost sve više se očekuje od korporativnih klijenata i može biti konkurentska prednost.
- Druge države su donijele slične zakone, a federalno zakonodavstvo o privatnosti je i dalje aktivno u diskusiji od 2026. godine.
Koliko košta usklađivanje sa CPRA?
Ne postoji fiksna cijena usklađenosti, ona značajno varira ovisno o složenosti ekosistema podataka web stranice. Opšti pokretači troškova uključuju:
- Ažuriranje politike privatnosti: Niska cijena ako se radi interno; 500$, 3.000$+ ako se koristi pravni savjetnik.
- Platforma za upravljanje pristankom: Tekuća SaaS pretplata; cijene variraju ovisno o obimu prometa i skupu funkcija.
- Tehnička implementacija: Vrijeme programera za dodavanje veza za odustajanje, GPC detekciju i tokove zahtjeva za ispravku.
- Pregled ugovora sa dobavljačima: Pravni pregled ugovora o obradi podataka sa svim obrađivačima trećih strana.
- Procjene rizika: Za obradu visokog rizika, formalne procjene mogu zahtijevati vanjske konsultante.
Za većinu srednjih operatora web stranica, početna sanacija usklađenosti kreće se u rasponu od nekoliko hiljada dolara, uz tekuće operativne troškove za održavanje politike i upravljanje pristankom. Trošak neusklađenosti, s obzirom na kazne po prekršaju, znatno nadmašuje investiciju.
Kako da znam da li se CPRA primjenjuje na posjetioce moje web stranice?
CPRA se primjenjuje na osnovu prebivališta potrošača, a ne lokacije preduzeća. Ako web stranica ima posjetioce sa prebivalištem u Kaliforniji i operater ispunjava bilo koji od tri poslovna praga, CPRA obaveze se primjenjuju na podatke prikupljene od tih posjetilaca [7][8].
Praktični pokazatelji da se CPRA vjerovatno primjenjuje:
- Web stranica prihvata narudžbe, registracije ili ciljanje oglasa od korisnika iz SAD-a bez geo-blokiranja Kalifornije.
- Preduzeće koristi reklamne mreže trećih strana koje se bave unakrsno kontekstualnim bihevioralnim oglašavanjem.
- Web stranica prikuplja bilo koji oblik SPI od korisnika (zdravstveni upitnici, finansijski podaci, precizna lokacija).
Kada ste u nedoumici, konzervativan i pravno održiv stav je da se svi posjetioci web stranice iz SAD-a tretiraju kao potencijalno obuhvaćeni CPRA i da se u skladu s tim implementiraju usklađeni tokovi pristanka.
Obavezne procjene rizika, revizije kibernetičke sigurnosti i šta slijedi
CPRA zahtijeva od preduzeća koja se bave obradom visokog rizika da provode redovne procjene rizika i revizije kibernetičke sigurnosti. Propisi koji detaljno opisuju ove zahtjeve finalizirani su 2025. godine i stupili su na snagu 2026. godine [6]. Aktivnosti visokog rizika uključuju obradu SPI u velikom obimu, profiliranje potrošača za značajne odluke i prodaju ili dijeljenje podataka sa velikim brojem trećih strana.
Pored toga, zahtjevi za transparentnost automatizovanog donošenja odluka, koji pokrivaju profiliranje za zapošljavanje, kredit, stanovanje i slične značajne odluke, trebali bi stupiti na snagu 1. januara 2027. godine [6]. Operateri web stranica koji koriste algoritamske preporuke, alate za ocjenjivanje kredita ili bihevioralno profiliranje trebali bi sada započeti planiranje usklađenosti.
Zaključak
Razumijevanje CCPA vs. CPRA: Šta se promijenilo za operatere web stranica u Kaliforniji? nije opcionalno za bilo koje preduzeće koje opslužuje stanovnike Kalifornije u velikom obimu. CPRA je uveo suštinske nove obaveze, kategorije osjetljivih podataka, pravo na ispravku, usklađenost sa GPC signalima, proširene zahtjeve za dobavljače i posvećenu agenciju za provođenje zakona sa stvarnom ovlašću za izricanje kazni, koje zahtijevaju konkretne operativne odgovore, a ne samo ažuriranja politike.
Akcioni koraci za operatere web stranica u 2026. godini:
- Revidirajte svoje trenutne prakse prikupljanja podataka prema listi SPI kategorija i dodajte potrebnu vezu za odustajanje ako je primjenjivo.
- Ažurirajte svoju politiku privatnosti kako bi odražavala CPRA prava, rasporede zadržavanja podataka i proširenu definiciju "prodaje".
- Implementirajte GPC detekciju signala, ovo je prioritet provođenja zakona i ne može se odlagati.
- Pregledajte i ažurirajte sve ugovore o obradi podataka sa pružateljima usluga i izvođačima radova.
- Izgradite tok rada za zahtjeve za ispravku pored vašeg postojećeg procesa brisanja.
- Ako vaša stranica se bavi obradom visokog rizika, naručite formalnu procjenu rizika prije nego što regulatori pokrenu jednu za vas.
- Procijenite rješenje za upravljanje pristankom kao što je Biscotti CMP (www.biscotti-cmp.com) za automatizaciju tokova odustajanja, usklađenosti sa GPC i evidencije preferencija.
Put provođenja CPRA u 2026. godini čini proaktivnu usklađenost jedinom racionalnom strategijom.
FAQ
P: Da li je CPRA isto što i CCPA 2.0? CPRA se obično naziva "CCPA 2.0" jer je izmijenio, a ne zamijenio CCPA. Dodao je nova prava, novu agenciju za provođenje zakona i nove kategorije podataka, zadržavajući originalni okvir CCPA.
P: Kada je počelo provođenje CPRA? Potpuno provođenje je počelo 1. jula 2023. godine. CPPA može izdavati kazne za prekršaje koji su se dogodili nakon tog datuma bez prethodnog perioda za ispravku za većinu prekršaja.
P: Da li se CPRA primjenjuje na preduzeća izvan Kalifornije? Da. Svako profitno preduzeće koje prikuplja lične podatke od stanovnika Kalifornije i ispunjava pragove primjenjivosti mora se pridržavati, bez obzira na to gdje je sjedište preduzeća.
P: Šta je GPC signal i zašto je važan? Global Privacy Control (GPC) je postavka na nivou preglednika koja signalizira preferenciju potrošača za odustajanje. Prema CPRA, operateri web stranica moraju detektovati i poštovati GPC signale kao važeće zahtjeve za odustajanje, ignorisanje ih je kršenje usklađenosti.
P: Da li se CPRA primjenjuje na podatke zaposlenih? Da. Od 1. januara 2023. godine, privremena izuzeća za podatke zaposlenih i B2B podatke su istekla. Lični podaci zaposlenih sada su podložni potpunoj CPRA zaštiti.
P: Koja je razlika između "prodaje" i "dijeljenja" pod CPRA? Pod originalnim CCPA, "prodaja" je zahtijevala razmjenu za novčanu vrijednost. CPRA je to proširio tako da uključuje "dijeljenje" ličnih podataka sa trećim stranama za unakrsno kontekstualno bihevioralno oglašavanje, čak i bez direktnog plaćanja.
P: Koliko često se politika privatnosti mora ažurirati pod CPRA? Minimalno, jednom svakih 12 mjeseci. Također se mora ažurirati kad god se materijalno promijene prakse podataka.
P: Da li su neprofitne organizacije izuzete od CPRA? Općenito da, CPRA se primjenjuje na profitna preduzeća. Međutim, neprofitne organizacije koje djeluju kao pružatelji usluga za obuhvaćena preduzeća mogu imati ugovorne obaveze usklađenosti.
P: Šta se dešava ako potrošač podnese zahtjev za ispravku, a preduzeće se ne slaže? Preduzeće može odbiti ispravku ako utvrdi da su informacije tačne, ali mora dokumentovati odluku i obavijestiti potrošača o osnovi za odbijanje.
P: Da li postoji privatno pravo na tužbu pod CPRA? Ograničeno privatno pravo na tužbu postoji za povrede podataka koje uključuju određene kategorije ličnih podataka. Većinu drugih prekršaja provode CPPA ili državni tužilac, a ne putem privatnih tužbi.
Interaktivni CPRA provjerivač usklađenosti
Reference
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai