Stručná odpověď: Kalifornský zákon o ochraně soukromí spotřebitelů (CCPA) uděluje obyvatelům Kalifornie právo odhlásit se z prodeje nebo sdílení jejich osobních údajů. Od 1. ledna 2026 nyní pozměněné předpisy vyžadují, aby podniky respektovaly signály preferencí odhlášení (jako je Global Privacy Control), viditelně potvrdily, že tyto signály byly zpracovány, a zajistily, že postupy odhlášení nebudou složitější než postupy přihlášení. Nedodržení může vést k občanskoprávním sankcím až do výše 7 500 USD za úmyslné porušení.
Klíčové poznatky
- CCPA se vztahuje na ziskové podniky splňující specifické prahové hodnoty příjmů, objemu dat nebo prodeje dat, nikoli na každou společnost působící v Kalifornii.
- Od 1. ledna 2026 musí podniky zobrazovat viditelné potvrzení, když byl rozpoznán a respektován signál preference odhlášení (jako je Global Privacy Control). [3]
- Mechanismy odhlášení musí být stejně snadno použitelné jako postupy přihlášení; temné vzory, které odrazují od odhlášení, jsou výslovně zakázány podle změn z roku 2026. [7]
- Podniky mají 15 pracovních dnů na vyřízení žádosti spotřebitele o odhlášení po jejím obdržení. [2]
- „Osobní údaje“ podle CCPA jsou široké: zahrnují IP adresy, historii prohlížení, geolokační data, odvozené informace z chování spotřebitelů a další.
- CCPA a GDPR fungují na zásadně odlišných modelech souhlasu, opt-out vs. opt-in, a mnoho podniků musí dodržovat oba současně.
- Neaktualizace zásad ochrany osobních údajů tak, aby odrážely práva CCPA, je sama o sobě mezerou v dodržování předpisů, oddělenou od technických selhání odhlášení.
- Platforma pro správu souhlasu, jako je Biscotti CMP, může automatizovat detekci signálů, zobrazení potvrzení odhlášení a vedení záznamů o preferencích.
Co je CCPA a proč je důležité pro vaše podnikání
Kalifornský zákon o ochraně soukromí spotřebitelů je státní zákon o ochraně soukromí, který dává obyvatelům Kalifornie specifická práva ohledně toho, jak podniky shromažďují, používají a prodávají jejich osobní údaje. Je to důležité, protože Kalifornie je pátou největší ekonomikou na světě a jakýkoli podnik, který se dotýká kalifornských spotřebitelů, bez ohledu na to, kde má podnik sídlo, může být právně povinen dodržovat předpisy.
CCPA byl původně přijat v roce 2018, posílen zákonem o právech na ochranu soukromí v Kalifornii (CPRA) v roce 2020 a znovu podstatně aktualizován předpisy schválenými Kalifornským úřadem pro správní právo dne 22. září 2025, s účinností od 1. ledna 2026. [1][5] Tyto změny z roku 2026 přidaly nové povinnosti týkající se technologie automatizovaného rozhodování (ADMT), posouzení rizik a, což je pro většinu podniků kritické, návrhu mechanismů odhlášení a požadavků na potvrzení. [1][7]
Pochopení CCPA vysvětleno: jak spravovat odhlášení pro spotřebitele v Kalifornii již není pro dotčené podniky volitelné. Regulační úroveň se zvýšila a vymáhání se řídí.
Jak zjistím, zda se CCPA vztahuje na mou společnost
CCPA se vztahuje na ziskové podniky, které podnikají v Kalifornii a splňují alespoň jednu z následujících prahových hodnot:
- Roční hrubé příjmy přesahující 25 milionů USD
- Roční nákup, prodej, příjem nebo sdílení osobních údajů 100 000 nebo více kalifornských spotřebitelů nebo domácností
- Odvození 50 % nebo více ročních příjmů z prodeje nebo sdílení osobních údajů kalifornských spotřebitelů [4][6]
Vztahuje se CCPA na malé podniky pod určitou hranicí příjmů? Obecně ne. Pokud podnik spadá pod všechny tři prahové hodnoty, není podle CCPA dotčeným podnikem. Nicméně poskytovatelé služeb a dodavatelé, kteří zpracovávají data jménem dotčených podniků, podléhají smluvním závazkům CCPA, i když by se jinak samostatně nekvalifikovali. [2]
Okrajový případ: Malá SaaS společnost s příjmy pod 25 milionů USD, ale s velkou uživatelskou základnou s bezplatnou úrovní, by mohla snadno překročit hranici 100 000 spotřebitelských dat, aniž by si to uvědomila.
Co se podle CCPA považuje za osobní údaje
Osobní údaje podle CCPA jsou široce definovány jako jakékoli informace, které identifikují, vztahují se k, popisují nebo by mohly být přiměřeně spojeny s konkrétním spotřebitelem nebo domácností. To jde daleko za jména a e-mailové adresy.
Zahrnuté kategorie zahrnují:
| Kategorie | Příklady |
|---|---|
| Identifikátory | Jméno, e-mail, IP adresa, ID zařízení |
| Komerční informace | Historie nákupů, chování při prohlížení |
| Biometrická data | Otisk prstu, data rozpoznávání obličeje |
| Internetová aktivita | Cookies, historie vyhledávání, interakce s webem |
| Geolokace | Přesná poloha z mobilních zařízení |
| Odvozené informace | Profily vytvořené z behaviorálních dat |
| Citlivé osobní údaje | Čísla sociálního pojištění, zdravotní údaje, přesná geolokace |
Odvozené informace z dat spotřebitelů k vytváření profilů o preferencích, charakteristikách nebo chování jsou výslovně zahrnuty. [4] To je důležité pro reklamní technologie, analýzy a personalizační procesy.
Jaký je rozdíl mezi CCPA Opt-Out a Opt-In
CCPA funguje na modelu opt-out: podniky mohou shromažďovat a používat data spotřebitelů ve výchozím nastavení, ale spotřebitelé mají právo požadovat, aby jejich data nebyla prodávána nebo sdílena. Souhlas opt-in je vyžadován pouze za specifických okolností, například při nakládání s osobními údaji spotřebitelů mladších 16 let. [4][6]
To je zásadní strukturální rozdíl od GDPR, které funguje na modelu opt-in vyžadujícím výslovný souhlas před zahájením většiny zpracování dat. Podle CCPA ticho není souhlas, ale také není překážkou zpracování. Podle GDPR ticho není souhlas a zpracování bez něj nemůže začít.
Zvolte logiku opt-in, pokud: nakládáte s daty nezletilých (pod 16 let) nebo zpracováváte citlivé kategorie osobních údajů, které vyžadují výslovný souhlas podle kalifornského práva.
Zvolte logiku opt-out, pokud: nakládáte se standardními spotřebitelskými daty od dospělých a jste dotčeným podnikem podle CCPA.
Jak nastavit odkaz „Neprodávat ani nesdílet mé osobní údaje“
Každý dotčený podnik, který prodává nebo sdílí osobní údaje, musí na své domovské stránce a v zásadách ochrany osobních údajů poskytnout jasný a nápadný odkaz s názvem „Neprodávat ani nesdílet mé osobní údaje“. [4][6]
Nastavení krok za krokem:
- Proveďte audit svých datových toků, abyste zjistili, zda vaše podnikání prodává nebo sdílí osobní údaje, jak je definováno CCPA.
- Přidejte požadovaný odkaz do zápatí vašeho webu a do nabídky nastavení mobilní aplikace.
- Nakonfigurujte svou platformu pro správu souhlasu tak, aby zachycovala a časově označovala žádosti o odhlášení.
- Zajistěte, aby proces odhlášení nevyžadoval více kroků než proces přihlášení, předpisy z roku 2026 výslovně zakazují asymetrické tření. [7]
- Automaticky respektujte signály Global Privacy Control (GPC), pokud vaše podnikání zpracovává data založená na prohlížeči.
- Zobrazte viditelné potvrzení, že odhlášení bylo rozpoznáno, například banner nebo stav přepínače zobrazující „Signál preference odhlášení respektován“. [3]
Platforma jako Biscotti CMP může automatizovat kroky 3 až 6, včetně detekce signálů GPC a zobrazení potvrzení v souladu s předpisy.
Jak dlouho mám na odpověď na žádost spotřebitele o odhlášení
Podniky musí vyhovět žádosti spotřebitele o odhlášení do 15 pracovních dnů od jejího obdržení. [2] To se liší od 45denní lhůty pro odpověď, která platí pro jiné žádosti o práva spotřebitelů (jako je přístup nebo vymazání).
Jakmile je žádost vyřízena, podnik musí také informovat všechny třetí strany, kterým prodal nebo sdílel data spotřebitele během předchozích 90 dnů, a nařídit jim, aby přestaly tato data používat. [6] Tato povinnost následného oznámení je často přehlížena a představuje běžnou mezeru v dodržování předpisů.
Mohu stále používat data poté, co se zákazník odhlásí
Poté, co se spotřebitel odhlásí z prodeje nebo sdílení, podnik nesmí nadále prodávat ani sdílet osobní údaje tohoto spotřebitele. Podnik však může data stále používat pro interní účely, které jsou v souladu se vztahem spotřebitele s podnikem. [4]
Výslovně zakázáno po odhlášení:
- Prodej nebo sdílení dat s třetími stranami pro behaviorální reklamu napříč kontexty
- Používání dat způsobem, který je neslučitelný s kontextem, ve kterém byla shromážděna
Stále povoleno po odhlášení:
- Splnění transakce nebo služby, kterou spotřebitel požadoval
- Interní analýzy a prevence podvodů
- Dodržování právních závazků
Častá chyba: Předpoklad, že odhlášení znamená úplné vymazání dat. Není tomu tak. Spotřebitelé musí podat samostatnou žádost o vymazání, aby toto právo uplatnili.
CCPA vs. GDPR: Který z nich musím dodržovat
Pokud vaše podnikání slouží jak obyvatelům Kalifornie, tak obyvatelům Evropské unie, pravděpodobně musíte dodržovat oba. CCPA a GDPR se vzájemně nevylučují a požadavky na dodržování se natolik liší, že jedna politika zřídka uspokojí obě.
| Faktor | CCPA | GDPR |
|---|---|---|
| Model souhlasu | Opt-out (výchozí zpracování povoleno) | Opt-in (nejprve je vyžadován souhlas) |
| Geografický rozsah | Obyvatelé Kalifornie | Obyvatelé EU/EHP |
| Koho pokrývá | Ziskové podniky splňující prahové hodnoty | Jakýkoli subjekt zpracovávající data obyvatel EU |
| Sankce | Až 7 500 USD za úmyslné porušení | Až 4 % celkového ročního obratu |
| Právo na vymazání | Ano | Ano (právo na výmaz) |
| Přenositelnost dat | Ano | Ano |
Praktický důsledek: Bannery souhlasu v souladu s GDPR nejsou automaticky v souladu s CCPA, protože CCPA vyžaduje specifický mechanismus odhlášení spíše než bránu souhlasu.
Co se stane, když nedodržím požadavky CCPA
Nedodržení vystavuje podniky občanskoprávním sankcím až do výše 2 500 USD za neúmyslné porušení a 7 500 USD za úmyslné porušení, vymáhaným Kalifornskou agenturou pro ochranu soukromí (CPPA). [4][6] Porušení týkající se dat nezletilých jsou ve výchozím nastavení považována za úmyslná.
Spotřebitelé mají také soukromé právo na žalobu za narušení dat vyplývající z selhání podniku zavést přiměřená bezpečnostní opatření, se zákonnými náhradami škody v rozmezí od 100 do 750 USD na spotřebitele za incident. [4]
Změny z roku 2026 rozšířily pravomoci CPPA v oblasti auditu, což znamená, že podniky podléhající požadavkům na posouzení rizik mohou čelit proaktivní regulační kontrole, nikoli pouze reaktivnímu vymáhání. [1][7]
Musím aktualizovat své zásady ochrany osobních údajů pro CCPA
Ano. Dotčené podniky musí udržovat zásady ochrany osobních údajů, které minimálně zveřejňují:
- Kategorie shromažďovaných osobních údajů a účely shromažďování
- Zda jsou osobní údaje prodávány nebo sdíleny a kategorie zúčastněných třetích stran
- Práva spotřebitelů dostupná podle CCPA (odhlášení, vymazání, přístup, oprava, přenositelnost)
- Jak mohou spotřebitelé podávat žádosti o uplatnění těchto práv
- Doba uchovávání pro každou kategorii osobních údajů [4][6]
Zásady ochrany osobních údajů musí být aktualizovány alespoň jednou za 12 měsíců. Neaktualizace zásad po podstatné změně v datových postupech, jako je přidání nového dodavatele analytiky, je sama o sobě porušením dodržování předpisů.
Jak ověřím, že žádost spotřebitele o odhlášení je legitimní
Pro žádosti o odhlášení konkrétně CCPA nevyžaduje, aby podniky ověřovaly totožnost spotřebitele, který žádost podává. [2] To je úmyslné: vyžadování ověření totožnosti pro odhlášení by vytvořilo tření, které podkopává právo.
Podniky však mohou použít přiměřené prostředky k potvrzení, že žádost není podvodná, například potvrzením e-mailové adresy spojené s účtem. Standard pro ověření odhlášení je záměrně nižší než pro žádosti o vymazání nebo přístup, kde je ověření totožnosti vhodné, protože tyto žádosti zahrnují zveřejnění nebo zničení dat.
Okrajový případ: Pokud žádost o odhlášení dorazí prostřednictvím automatického signálu (GPC), není vyžadován ani povolen žádný další ověřovací krok, samotný signál představuje platnou žádost. [3][7]
Jak fungují mechanismy odhlášení v mobilních aplikacích vs. na webových stránkách
Na webových stránkách musí mechanismy odhlášení zahrnovat odkaz „Neprodávat ani nesdílet mé osobní údaje“ v zápatí a musí respektovat signály GPC na úrovni prohlížeče. [3][7] V mobilních aplikacích jsou požadavky funkčně ekvivalentní, ale implementace se liší:
- Mobilní aplikace musí zahrnovat možnost odhlášení v nabídce nastavení aplikace nebo v sekci předvoleb soukromí.
- Aplikace distribuované prostřednictvím obchodů s aplikacemi musí dodržovat veškeré další požadavky na ochranu soukromí na úrovni platformy (jako je App Tracking Transparency na iOS), ale tyto požadavky platformy nenahrazují dodržování CCPA.
- Automatické signály z mobilních operačních systémů musí být respektovány stejným způsobem jako signály GPC založené na prohlížeči, pokud podnik tato data zpracovává.
Předpisy z roku 2026 jasně stanoví, že kanál (web vs. aplikace) nemění základní povinnost, liší se pouze technická implementace.
Jaké jsou běžné chyby, kterých se podniky dopouštějí při dodržování CCPA
I dobře míněné podniky se často dopouštějí následujících chyb:
- Považování opt-out za opt-in: Vyžadování, aby spotřebitelé výslovně potvrdili své odhlášení prostřednictvím více kroků, což porušuje požadavek symetrie ve změnách z roku 2026. [7]
- Ignorování signálů GPC: Nekonfigurace jejich technologického stacku tak, aby detekoval a respektoval signály prohlížeče Global Privacy Control, které jsou nyní považovány za platné žádosti o odhlášení. [3]
- Nezobrazení potvrzení odhlášení: Pravidla z roku 2026 vyžadují viditelné potvrzení, že signál byl zpracován, záznam v backendu není dostatečný. [3]
- Přehlížení následných dodavatelů: Neoznámení třetím stranám příjemcům dat po obdržení odhlášení.
- Statické zásady ochrany osobních údajů: Neaktualizace zásad ročně nebo po podstatných změnách v datových postupech.
- Zaměňování poskytovatelů služeb s třetími stranami: Poskytovatelé služeb zpracovávající data na základě smlouvy mají jiné povinnosti než třetí strany přijímající data pro své vlastní účely.
Často kladené otázky
Vztahuje se CCPA na neziskové organizace? Ne. CCPA se vztahuje pouze na ziskové podniky. Neziskové organizace nejsou dotčenými podniky, ačkoli mohou podléhat jiným kalifornským zákonům o ochraně soukromí.
Co je Global Privacy Control (GPC) a musím ho respektovat? GPC je signál na úrovni prohlížeče, který automaticky sděluje preferenci spotřebitele ohledně odhlášení. Od 1. ledna 2026 musí dotčené podniky, které zpracovávají data prohlížeče, respektovat signály GPC jako platné žádosti o odhlášení a zobrazit potvrzení, že signál byl zpracován. [3][7]
Může podnik účtovat jinou cenu spotřebitelům, kteří se odhlásí? Obecně ne. CCPA zakazuje podnikům diskriminovat spotřebitele, kteří uplatňují svá práva na ochranu soukromí, včetně účtování různých cen, pokud rozdíl přiměřeně nesouvisí s hodnotou dat spotřebitele. [4]
Jak dlouho musí být uchovávány záznamy o odhlášení? CCPA nestanoví univerzální dobu uchovávání záznamů o odhlášení, ale podniky by měly uchovávat záznamy dostatečně dlouho, aby prokázaly dodržování předpisů v případě auditu nebo vymáhacího řízení, obvykle se za přiměřenou základní dobu považuje alespoň 24 měsíců. [6]
Splňuje banner s cookies požadavky CCPA na odhlášení? Samotný banner s cookies nestačí. CCPA vyžaduje vyhrazený odkaz „Neprodávat ani nesdílet mé osobní údaje“ a změny z roku 2026 vyžadují, aby podniky respektovaly a potvrzovaly signály GPC nezávisle na jakékoli interakci se souhlasem s cookies. [3][7]
Jaký je rozdíl mezi „prodejem“ a „sdílením“ podle CCPA? „Prodej“ zahrnuje výměnu osobních údajů za peněžní protiplnění. „Sdílení“ pokrývá zveřejňování osobních údajů pro behaviorální reklamu napříč kontexty, a to i bez platby. Obě spouštějí práva na odhlášení. [4]
Potřebuji samostatné mechanismy odhlášení pro každou kategorii dat? Ne. Jediný mechanismus odhlášení pokrývající prodej a sdílení je dostatečný, ačkoli podniky musí ve svých zásadách ochrany osobních údajů jasně popsat, jaké kategorie dat jsou pokryty.
Co je posouzení rizik podle změn CCPA z roku 2026? Podniky, které zpracovávají osobní údaje způsobem, který představuje významná rizika pro soukromí, včetně použití technologie automatizovaného rozhodování, musí před zahájením tohoto zpracování provést a zdokumentovat posouzení rizik. [1][7]
Závěr
CCPA vysvětleno: jak spravovat odhlášení pro spotřebitele v Kalifornii je pohyblivý cíl a změny z roku 2026 značně zvýšily laťku. Základní povinnosti, poskytnutí jasného mechanismu odhlášení, vyřízení žádostí spotřebitelů do 15 pracovních dnů a aktualizace zásad ochrany osobních údajů, zůstávají základní. Nové požadavky týkající se potvrzení signálu GPC, zákazu temných vzorů a posouzení rizik ADMT však vyžadují systematičtější přístup, než jaký může poskytnout statický odkaz v zápatí.
Akční další kroky pro dotčené podniky:
- Proveďte audit svého aktuálního procesu odhlášení proti požadavku symetrie z roku 2026: spočítejte kroky k odhlášení a porovnejte je s kroky k přihlášení.
- Ověřte, že váš web a mobilní aplikace detekují a respektují signály Global Privacy Control a že se zobrazí viditelná potvrzovací zpráva, když je signál přijat.
- Zkontrolujte svůj seznam dodavatelů třetích stran a potvrďte, že jsou zavedeny postupy pro následné oznamování pro datové toky po odhlášení.
- Aktualizujte své zásady ochrany osobních údajů tak, aby odrážely aktuální datové postupy, doby uchovávání a úplný seznam práv spotřebitelů.
- Zvažte platformu pro správu souhlasu, jako je Biscotti CMP, pro automatizaci detekce signálů, potvrzení odhlášení a vedení záznamů o preferencích napříč webovými a mobilními kanály.
Dodržování předpisů není jednorázový projekt. CPPA prokázala ochotu vydávat pokyny a prosazovat vymáhání, a regulační prostředí se bude nadále vyvíjet. Vybudování opakovatelných, auditovatelných procesů nyní je nejobhajitelnější pozicí, kterou může dotčený podnik zaujmout.
Reference
[1] Navigating New Obligations Under The CCPA Updated Regulations - https://www.lw.com/en/insights/navigating-new-obligations-under-the-ccpa-updated-regulations
[2] Navigating California Consumer Privacy Act 30 Essential FAQs Covered Businesses Including Clarifying Regulations Effective 1/1/26 - https://www.jacksonlewis.com/insights/navigating-california-consumer-privacy-act-30-essential-faqs-covered-businesses-including-clarifying-regulations-effective-1126
[3] Show Me That You've Opted Me Out: New CCPA Rules Require Businesses To Prove Compliance - https://www.nelsonmullins.com/insights/alerts/fcc-download/all/show-me-that-you-ve-opted-me-out-new-ccpa-rules-require-businesses-to-prove-compliance
[4] CCPA Statute Effective 2026-01-01 - https://cppa.ca.gov/regulations/pdf/ccpa_statute_eff_20260101.pdf
[5] CCPA Updates - https://cppa.ca.gov/regulations/ccpa_updates.html
[6] CCPA Requirements 2026: Complete Compliance Guide - https://secureprivacy.ai/blog/ccpa-requirements-2026-complete-compliance-guide
[7] CCPA 2026: Navigating The Expanded Consumer Privacy Compliance Requirements For Businesses - https://www.lathropgpm.com/insights/ccpa-2026-navigating-the-expanded-consumer-privacy-compliance-requirements-for-businesses/
[8] CCPA in 2026: What's Changing in Consent, Consumer Rights, and AI Governance - https://www.onetrust.com/blog/ccpa-in-2026-whats-changing-in-consent-consumer-rights-and-ai-governance/
[9] New CCPA 2026 Regulations: Your Complete Compliance Action Guide - https://captaincompliance.com/education/new-ccpa-2026-regulations-your-complete-compliance-action-guide/
[10] CPPA Regulations - https://cppa.ca.gov/regulations/