Rychlá odpověď: Kalifornský zákon o ochraně soukromí (CPRA) podstatně novelizoval původní Kalifornský zákon o ochraně soukromí spotřebitelů (CCPA), zavedl nová práva spotřebitelů, specializovanou donucovací agenturu, přísnější sankce a zcela novou kategorii citlivých osobních údajů. Pro provozovatele webových stránek není otázka CCPA vs. CPRA: Co se změnilo pro provozovatele webových stránek v Kalifornii? teoretická, ale přímo se promítá do aktualizovaných zásad ochrany osobních údajů, nových mechanismů souhlasu a rozšířených smluvních závazků s dodavateli třetích stran.
Klíčové poznatky
- CPRA nabyla plné účinnosti 1. července 2023, nahradila a rozšířila rámec CCPA.
- Nová kategorie „citlivých osobních údajů“ (SPI) vyžaduje na webových stránkách shromažďujících tato data vyhrazený odhlašovací odkaz.
- Spotřebitelé získali právo na opravu nepřesných osobních údajů, právo, které neexistovalo podle původního CCPA.
- Prahová hodnota použitelnosti se zvýšila z 50 000 na 100 000 spotřebitelů nebo domácností, čímž se někteří menší provozovatelé osvobodili.
- „Sdílení“ osobních údajů pro behaviorální reklamu napříč kontexty se nyní počítá jako „prodej“, což vyžaduje mechanismy pro odhlášení.
- Provozovatelé webových stránek musí respektovat signály Global Privacy Control (GPC) jako platné žádosti o odhlášení.
- Administrativní pokuty se k 1. lednu 2025 zvýšily na 2 663 USD za neúmyslné porušení a 7 988 USD za úmyslné porušení.
- Kalifornská agentura pro ochranu soukromí (CPPA) má nyní nezávislou donucovací pravomoc oddělenou od generálního prokurátora.
- Požadavky na transparentnost automatizovaného rozhodování mají vstoupit v platnost 1. ledna 2027.
- Posouzení rizik a audity kybernetické bezpečnosti jsou nyní povinné pro činnosti zpracování dat s vysokým rizikem.
Jaký je rozdíl mezi CCPA a CPRA?
CCPA, účinná od 1. ledna 2020, poskytla kalifornským spotřebitelům základní práva k jejich osobním údajům: právo vědět, smazat a odhlásit se z prodeje jejich informací. CPRA, schválená kalifornskými voliči v listopadu 2020 a plně vymahatelná od 1. července 2023, CCPA přímo nenahradila, ale novelizovala ji a významně rozšířila [1].
Klíčové strukturální rozdíly zahrnují:
| Funkce | CCPA (původní) | CPRA (novelizovaná) |
|---|---|---|
| Donucovací orgán | Kalifornský generální prokurátor | CPPA + generální prokurátor |
| Kategorie citlivých dat | Nedefinováno | Formálně definováno (SPI) |
| Právo na opravu | Nezahrnuto | Zahrnuto |
| Definice „prodeje“ | Výměna dat za hodnotu | Zahrnuje „sdílení“ pro reklamu |
| Prahová hodnota použitelnosti | 50 000 spotřebitelů/domácností | 100 000 spotřebitelů/domácností |
| Posouzení rizik | Nevyžadováno | Vyžadováno pro zpracování s vysokým rizikem |
| Soulad se signálem GPC | Není nařízeno | Povinné |
Praktickým důsledkem pro provozovatele webových stránek je, že soulad s CPRA vs. CCPA není pouze aktualizací dokumentace, ale vyžaduje architektonické změny v tocích souhlasu, zásadách ochrany osobních údajů a smlouvách s dodavateli [2].
Kdy CPRA vstoupila v platnost a nahradila CCPA?
Podstatná práva a povinnosti CPRA se vztahovaly na údaje shromážděné 1. ledna 2022 nebo později, přičemž vymáhání začalo 1. července 2023. Jednoletá lhůta pro vymáhání skončila k tomuto datu, což znamená, že Kalifornská agentura pro ochranu soukromí mohla začít ukládat pokuty bez předchozího varování [4].
Pro provozovatele webových stránek, kteří v roce 2026 stále fungují podle zásad z doby CCPA, je riziko reálné a okamžité.
Jaká nová práva mají spotřebitelé podle CPRA, která nebyla v CCPA?
CPRA přidala dvě práva spotřebitelů, která v původním rámci CCPA chyběla:
Právo na opravu: Spotřebitelé nyní mohou požadovat, aby podnik opravil nepřesné osobní údaje, které o nich uchovává. Provozovatelé webových stránek musí zavést ověřitelný proces žádostí a jednat na základě žádostí o opravu do 45 dnů [2].
Právo omezit používání citlivých osobních údajů: Spotřebitelé mohou omezit, jak podniky používají jejich SPI nad rámec účelu, pro který byly původně shromážděny. Toto právo vyžaduje samostatný, jasně označený mechanismus pro odhlášení na webových stránkách [1].
Tyto dodatky doplňují stávající práva vědět, smazat, odhlásit se z prodeje a nediskriminace, čímž vytvářejí vrstvenější požadavek na dodržování pro jakoukoli stránku, která shromažďuje uživatelská data nad rámec základní analýzy.
Co je právo na opravu podle CPRA?
Právo na opravu je jedním z provozně nejnáročnějších dodatků v CPRA. Když spotřebitel podá ověřenou žádost o opravu, podnik musí vynaložit komerčně přiměřené úsilí k opravě nepřesných osobních údajů a nařídit všem poskytovatelům služeb nebo dodavatelům, kteří tato data obdrželi, aby provedli stejnou opravu [2].
Pro provozovatele webových stránek to znamená:
- Vytvoření mechanismu pro příjem žádostí o opravu (webový formulář, e-mailový proces nebo portál účtu).
- Dokumentování opravy a informování následných zpracovatelů dat.
- Odpověď do 45 dnů, s možností jednoho prodloužení o 45 dnů v případě potřeby.
Častá chyba: Mnoho provozovatelů předpokládá, že právo na opravu se vztahuje pouze na data profilu účtu. V praxi se vztahuje na jakékoli osobní údaje, které podnik uchovává, včetně behaviorálních dat, odvozených preferencí a historie nákupů.
Jaké nové kategorie dat pokrývá CPRA, které CCPA nepokrývala?
CPRA formálně definovala „citlivé osobní údaje“ (SPI) jako samostatnou kategorii dat s vyšší ochranou. CCPA neměla ekvivalentní klasifikaci [1].
SPI podle CPRA zahrnuje:
- Čísla sociálního pojištění a státem vydané průkazy totožnosti
- Přihlašovací údaje k finančním účtům (přihlašovací údaje plus bezpečnostní kódy)
- Přesné geolokační údaje
- Rasový nebo etnický původ, náboženské přesvědčení a členství v odborech
- Obsah soukromé komunikace (pošta, e-mail, text)
- Genetická a biometrická data zpracovávaná pro identifikaci
- Zdravotní informace a sexuální život nebo sexuální orientace
Provozovatelé webových stránek shromažďující kteroukoli z těchto kategorií musí poskytnout odkaz „Omezit používání mých citlivých osobních údajů“, funkčně podobný odkazu „Neprodávat mé osobní údaje“, který již vyžaduje CCPA [1].
CPRA vs. CCPA: Která se vztahuje na mou firmu?
Od roku 2026 se rámec CPRA vztahuje na ziskové podniky, které podnikají v Kalifornii A splňují alespoň jednu z těchto prahových hodnot [7]:
- Roční hrubé příjmy přesahující 25 milionů USD.
- Nakupuje, prodává, přijímá nebo sdílí osobní údaje 100 000 nebo více kalifornských spotřebitelů nebo domácností ročně (zvýšeno z 50 000 podle CCPA).
- Odvozuje 50 % nebo více ročních příjmů z prodeje nebo sdílení osobních údajů spotřebitelů.
Zvolte soulad s CPRA, pokud: Váš web slouží obyvatelům Kalifornie a splňujete kterékoli z výše uvedených kritérií. Pokud jste dříve splňovali prahovou hodnotu 50 000 spotřebitelů podle CCPA, ale zpracováváte méně než 100 000 záznamů ročně, nemusíte již být přímo podrobeni, ačkoli smluvní závazky s většími partnery mohou stále vyžadovat dodržování.
Okrajový případ: Neziskové organizace a čistě B2B provozovatelé jsou obecně osvobozeni, ale poskytovatelé služeb a dodavatelé pro pokryté podniky mají své vlastní povinnosti podle CPRA [3].
Jak CPRA ovlivňuje zásady ochrany osobních údajů mého webu?
Zásady ochrany osobních údajů v souladu s CCPA již nejsou dostatečné. CPRA vyžaduje, aby provozovatelé webových stránek aktualizovali své zásady ochrany osobních údajů tak, aby odrážely [2][3]:
- Novou kategorii SPI a právo omezit její používání.
- Právo na opravu nepřesných osobních údajů.
- Rozšířenou definici „prodeje“ tak, aby zahrnovala „sdílení“ pro behaviorální reklamu napříč kontexty.
- Jak podnik reaguje na signály GPC.
- Doby uchovávání dat pro každou kategorii shromážděných osobních údajů.
- Zda se používá automatizované rozhodování a jak se spotřebitelé mohou odhlásit.
Zásady ochrany osobních údajů musí být revidovány alespoň jednou za 12 měsíců a aktualizovány tak, aby odrážely aktuální postupy zpracování dat. Zastaralé zásady, které popisují práva z doby CCPA bez dodatků CPRA, jsou častým spouštěčem vymáhání.
Potřebuji aktualizovat své formuláře souhlasu pro soulad s CPRA?
Ano. Mechanismy souhlasu, které byly dostatečné podle CCPA, vyžadují pro CPRA smysluplné aktualizace. Konkrétně provozovatelé webových stránek musí [3][5]:
- Přidat odkaz pro odhlášení „Omezit používání mých citlivých osobních údajů“, pokud web shromažďuje SPI.
- Respektovat signály prohlížeče GPC jako platné odhlášení z prodeje a sdílení, to nesmí vyžadovat, aby uživatel podnikl další kroky.
- Získat výslovný souhlas před prodejem nebo sdílením osobních údajů spotřebitelů mladších 16 let.
- Zajistit, aby souhlas s behaviorální reklamou napříč kontexty (retargeting, sdílení publika s reklamními platformami) byl jasně odlišen od jiných použití dat.
Platforma pro správu souhlasu může pomoci automatizovat detekci GPC a zaznamenávání preferencí. Biscotti CMP (www.biscotti-cmp.com) je navržena tak, aby zvládala tyto specifické požadavky CPRA, včetně toků odhlášení SPI a souladu se signály GPC, aniž by vyžadovala vlastní vývoj od provozovatele webových stránek.
Jaké jsou sankce za nedodržení CPRA?
K 1. lednu 2025 jsou administrativní pokuty podle rámce CPRA [5]:
- 2 663 USD za neúmyslné porušení.
- 7 988 USD za úmyslné porušení.
- 7 988 USD za porušení (trojnásobně) za porušení týkající se osobních údajů spotřebitelů mladších 16 let.
Tyto údaje jsou pravidelně upravovány o inflaci. Pokuty se ukládají za každé porušení, což znamená, že jediná nevyhovující datová praxe ovlivňující tisíce spotřebitelů může generovat celkovou odpovědnost v řádu milionů. CPPA má nezávislou pravomoc zahájit donucovací opatření bez doporučení generálního prokurátora [4].
Důležité: CPRA zrušila 30denní lhůtu pro nápravu, která existovala podle CCPA pro většinu porušení, čímž odstranila záchrannou síť, na kterou se mnoho provozovatelů spoléhalo.
Jaké běžné chyby dělají webové stránky při dodržování CPRA?
Na základě rozšířených požadavků patří mezi nejčastější selhání v dodržování [3][6]:
- Ignorování signálů GPC: Neschopnost detekovat a respektovat signály odhlášení na úrovni prohlížeče je jednou z deklarovaných priorit vymáhání CPPA.
- Chybějící odhlašovací odkaz SPI: Přidání pouze odkazu „Neprodávat“ bez samostatného odkazu „Omezit používání SPI“, pokud jsou shromažďovány SPI.
- Zastaralé smlouvy s dodavateli: Neaktualizace smluv o zpracování dat s poskytovateli služeb tak, aby zahrnovaly podmínky vyžadované CPRA.
- Žádný plán uchovávání dat: CPRA vyžaduje, aby podniky zveřejňovaly a dodržovaly doby uchovávání; mnoho zásad ochrany osobních údajů to stále opomíjí.
- Předpoklad, že lhůta pro nápravu stále platí: Provozovatelé, kteří čekají na oznámení před opravou porušení, mohou čelit okamžitým pokutám.
- Přehlížení práva na opravu: Vytváření pouze pracovních postupů pro smazání bez zpracování žádostí o opravu.
Mají malé podniky odlišné požadavky CPRA?
Zvýšení prahové hodnoty z 50 000 na 100 000 spotřebitelů přímo snižuje zátěž dodržování pro menší provozovatele webových stránek [7]. Malý e-commerce web nebo SaaS produkt obsluhující méně než 100 000 kalifornských spotřebitelů ročně, s příjmy pod 25 milionů USD a bez příjmů z prodeje dat, spadá mimo přímý rozsah CPRA.
Malé podniky by si však měly všimnout:
- Pokud jednají jako poskytovatel služeb pro pokrytý podnik, dědí smluvní závazky CPRA bez ohledu na velikost.
- Dobrovolné dodržování je stále více očekáváno podnikovými klienty a může být konkurenční výhodou.
- Jiné státy přijaly podobné zákony a federální legislativa o ochraně soukromí je k roku 2026 stále aktivně projednávána.
Kolik stojí dodržování CPRA?
Neexistují žádné pevné náklady na dodržování, ty se výrazně liší v závislosti na složitosti datového ekosystému webu. Obecné faktory nákladů zahrnují:
- Aktualizace zásad ochrany osobních údajů: Nízké náklady, pokud se provádí interně; 500 USD, 3 000 USD+ při použití právního poradenství.
- Platforma pro správu souhlasu: Průběžné předplatné SaaS; ceny se liší podle objemu provozu a sady funkcí.
- Technická implementace: Čas vývojáře na přidání odhlašovacích odkazů, detekce GPC a pracovních postupů pro žádosti o opravu.
- Revize smluv s dodavateli: Právní revize smluv o zpracování dat se všemi zpracovateli třetích stran.
- Posouzení rizik: Pro zpracování s vysokým rizikem mohou formální posouzení vyžadovat externí konzultanty.
Pro většinu středně velkých provozovatelů webových stránek se počáteční náprava souladu pohybuje v řádu několika tisíc dolarů, s průběžnými provozními náklady na údržbu zásad a správu souhlasu. Náklady na nedodržení, vzhledem k pokutám za porušení, podstatně převyšují investici.
Jak zjistím, zda se CPRA vztahuje na návštěvníky mého webu?
CPRA se vztahuje na základě bydliště spotřebitele, nikoli na základě umístění podniku. Pokud má web návštěvníky z Kalifornie a provozovatel splňuje kteroukoli ze tří obchodních prahových hodnot, platí povinnosti CPRA pro data shromážděná od těchto návštěvníků [7][8].
Praktické ukazatele, že CPRA se pravděpodobně vztahuje:
- Web přijímá objednávky, registrace nebo cílení reklam od uživatelů z USA bez geografického blokování Kalifornie.
- Podnik používá reklamní sítě třetích stran, které se zabývají behaviorální reklamou napříč kontexty.
- Web shromažďuje jakoukoli formu SPI od uživatelů (zdravotní dotazníky, finanční údaje, přesná poloha).
V případě pochybností je konzervativní a právně obhajitelnou pozicí považovat všechny návštěvníky webu z USA za potenciálně pokryté CPRA a odpovídajícím způsobem implementovat vyhovující toky souhlasu.
Povinná posouzení rizik, audity kybernetické bezpečnosti a co dál
CPRA vyžaduje, aby podniky zapojené do zpracování s vysokým rizikem prováděly pravidelná posouzení rizik a audity kybernetické bezpečnosti. Předpisy podrobně popisující tyto požadavky byly dokončeny v roce 2025 a vstoupily v platnost v roce 2026 [6]. Činnosti s vysokým rizikem zahrnují zpracování SPI ve velkém měřítku, profilování spotřebitelů pro významná rozhodnutí a prodej nebo sdílení dat s velkým počtem třetích stran.
Kromě toho mají požadavky na transparentnost automatizovaného rozhodování, pokrývající profilování pro zaměstnání, úvěry, bydlení a podobná důležitá rozhodnutí, vstoupit v platnost 1. ledna 2027 [6]. Provozovatelé webových stránek používající algoritmické doporučovací systémy, nástroje pro hodnocení úvěruschopnosti nebo behaviorální profilování by měli začít s plánováním dodržování již nyní.
Závěr
Pochopení CCPA vs. CPRA: Co se změnilo pro provozovatele webových stránek v Kalifornii? není volitelné pro žádný podnik obsluhující obyvatele Kalifornie ve velkém měřítku. CPRA zavedla podstatné nové povinnosti, kategorie citlivých dat, právo na opravu, soulad se signály GPC, rozšířené požadavky na dodavatele a specializovanou donucovací agenturu se skutečnou pravomocí ukládat pokuty, které vyžadují konkrétní provozní reakce, nikoli pouze aktualizace zásad.
Akční další kroky pro provozovatele webových stránek v roce 2026:
- Zkontrolujte své stávající postupy shromažďování dat podle seznamu kategorií SPI a v případě potřeby přidejte požadovaný odhlašovací odkaz.
- Aktualizujte své zásady ochrany osobních údajů tak, aby odrážely práva CPRA, plány uchovávání dat a rozšířenou definici „prodeje“.
- Implementujte detekci signálu GPC, toto je priorita vymáhání a nelze ji odkládat.
- Zkontrolujte a aktualizujte všechny smlouvy o zpracování dat s poskytovateli služeb a dodavateli.
- Vytvořte pracovní postup pro žádosti o opravu vedle vašeho stávajícího procesu smazání.
- Pokud se váš web zabývá zpracováním s vysokým rizikem, zadejte formální posouzení rizik, než jej iniciují regulátoři za vás.
- Vyhodnoťte řešení pro správu souhlasu, jako je Biscotti CMP (www.biscotti-cmp.com), pro automatizaci toků odhlášení, souladu s GPC a zaznamenávání preferencí.
Trajektorie vymáhání CPRA v roce 2026 činí proaktivní dodržování jedinou racionální strategií.
FAQ
Otázka: Je CPRA stejná jako CCPA 2.0? CPRA se běžně nazývá „CCPA 2.0“, protože CCPA novelizovala, nikoli nahradila. Přidala nová práva, novou donucovací agenturu a nové kategorie dat, přičemž zachovala původní rámec CCPA.
Otázka: Kdy začalo vymáhání CPRA? Plné vymáhání začalo 1. července 2023. CPPA může ukládat pokuty za porušení, ke kterým došlo po tomto datu, bez předchozí lhůty pro nápravu pro většinu porušení.
Otázka: Vztahuje se CPRA na podniky mimo Kalifornii? Ano. Jakýkoli ziskový podnik, který shromažďuje osobní údaje od obyvatel Kalifornie a splňuje prahové hodnoty použitelnosti, musí dodržovat, bez ohledu na to, kde má podnik sídlo.
Otázka: Co je signál GPC a proč je důležitý? Global Privacy Control (GPC) je nastavení na úrovni prohlížeče, které signalizuje preferenci spotřebitele pro odhlášení. Podle CPRA musí provozovatelé webových stránek detekovat a respektovat signály GPC jako platné žádosti o odhlášení, jejich ignorování je porušením souladu.
Otázka: Vztahuje se CPRA na údaje o zaměstnancích? Ano. K 1. lednu 2023 vypršely dočasné výjimky pro údaje o zaměstnancích a B2B. Osobní údaje zaměstnanců nyní podléhají plné ochraně CPRA.
Otázka: Jaký je rozdíl mezi „prodejem“ a „sdílením“ podle CPRA? Podle původního CCPA vyžadoval „prodej“ výměnu za peněžní hodnotu. CPRA to rozšířila tak, aby zahrnovala „sdílení“ osobních údajů s třetími stranami pro behaviorální reklamu napříč kontexty, a to i bez přímé platby.
Otázka: Jak často musí být aktualizovány zásady ochrany osobních údajů podle CPRA? Minimálně jednou za 12 měsíců. Musí být také aktualizovány, kdykoli se podstatně změní postupy zpracování dat.
Otázka: Jsou neziskové organizace osvobozeny od CPRA? Obecně ano, CPRA se vztahuje na ziskové podniky. Nicméně neziskové organizace jednající jako poskytovatelé služeb pro pokryté podniky mohou mít smluvní povinnosti dodržování.
Otázka: Co se stane, když spotřebitel podá žádost o opravu a podnik nesouhlasí? Podnik může opravu odmítnout, pokud zjistí, že informace jsou přesné, ale musí rozhodnutí zdokumentovat a informovat spotřebitele o důvodu zamítnutí.
Otázka: Existuje soukromé právo na žalobu podle CPRA? Omezené soukromé právo na žalobu existuje pro narušení dat týkající se určitých kategorií osobních údajů. Většinu ostatních porušení vymáhá CPPA nebo generální prokurátor, nikoli soukromé žaloby.
Interaktivní kontrola souladu s CPRA
Reference
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai