USA-ret & CCPA

CCPA forklaret: Sådan håndterer du frameldinger for forbrugere i Californien

7. juli 2026 · 16 min læsning

Kort svar: California Consumer Privacy Act (CCPA) giver indbyggere i Californien ret til at framelde sig salg eller deling af deres personlige oplysninger. Fra den 1. januar 2026 kræver ændrede regler nu, at virksomheder respekterer frameldingspræferencesignaler (såsom Global Privacy Control), synligt bekræfter, at disse signaler er blevet behandlet, og sikrer, at frameldingsforløb ikke er mere komplekse end tilmeldingsforløb. Manglende overholdelse kan resultere i civile bøder på op til 7.500 USD pr. forsætlig overtrædelse.

Nøglepunkter

CCPA gælder for forretningsdrivende virksomheder, der opfylder specifikke tærskler for omsætning, datamængde eller datasalg, ikke alle virksomheder, der opererer i Californien.
Fra den 1. januar 2026 skal virksomheder vise synlig bekræftelse, når et frameldingspræferencesignal (såsom Global Privacy Control) er blevet genkendt og respekteret. [3]
Frameldingsmekanismer skal være lige så nemme at bruge som tilmeldingsforløb; mørke mønstre, der afskrækker frameldinger, er udtrykkeligt forbudt under 2026-ændringerne. [7]
Virksomheder har 15 arbejdsdage til at efterkomme en forbrugers frameldingsanmodning efter modtagelse. [2]
"Personlige oplysninger" under CCPA er bredt defineret: det inkluderer IP-adresser, browserhistorik, geolokaliseringsdata, inferenser trukket fra forbrugeradfærd og mere.
CCPA og GDPR opererer på fundamentalt forskellige samtykkemodeller, framelding vs. tilmelding, og mange virksomheder skal overholde begge samtidigt.
Manglende opdatering af din privatlivspolitik for at afspejle CCPA-rettigheder er i sig selv et overholdelsesgab, adskilt fra tekniske frameldingsfejl.
En platform til samtykkehåndtering som Biscotti CMP kan automatisere signalregistrering, visning af frameldingsbekræftelse og registrering af præferencer.

Hvad er CCPA, og hvorfor er det vigtigt for din virksomhed

California Consumer Privacy Act er en statslov om privatlivets fred, der giver indbyggere i Californien specifikke rettigheder over, hvordan virksomheder indsamler, bruger og sælger deres personlige data. Det er vigtigt, fordi Californien er verdens femtestørste økonomi, og enhver virksomhed, der berører californiske forbrugere, uanset hvor virksomheden har hovedkontor, kan være juridisk forpligtet til at overholde loven.

CCPA blev oprindeligt vedtaget i 2018, styrket af California Privacy Rights Act (CPRA) i 2020 og materielt opdateret igen med regler godkendt af California Office of Administrative Law den 22. september 2025, med virkning fra den 1. januar 2026. [1][5] Disse 2026-ændringer tilføjede nye pligter vedrørende automatiseret beslutningstagningsteknologi (ADMT), risikovurderinger og, kritisk for de fleste virksomheder, design af frameldingsmekanismer og bekræftelseskrav. [1][7]

At forstå CCPA forklaret: hvordan man håndterer frameldinger for forbrugere i Californien er ikke længere valgfrit for dækkede virksomheder. Det lovgivningsmæssige gulv er hævet, og håndhævelsen er fulgt med.

Hvordan ved jeg, om CCPA gælder for min virksomhed

CCPA gælder for forretningsdrivende virksomheder, der driver forretning i Californien og opfylder mindst én af følgende tærskler:

Årlig bruttoomsætning overstiger 25 millioner USD
Årligt køb, salg, modtagelse eller deling af personlige oplysninger fra 100.000 eller flere californiske forbrugere eller husstande
Afleder 50 % eller mere af den årlige omsætning fra salg eller deling af californiske forbrugeres personlige oplysninger [4][6]

Gælder CCPA for små virksomheder under en vis omsætning? Generelt nej. Hvis en virksomhed falder under alle tre tærskler, er den ikke en dækket virksomhed under CCPA. Dog er tjenesteudbydere og entreprenører, der behandler data på vegne af dækkede virksomheder, underlagt kontraktlige CCPA-forpligtelser, selvom de ellers ikke ville kvalificere sig uafhængigt. [2]

Særligt tilfælde: En lille SaaS-virksomhed med under 25 millioner USD i omsætning, men en stor gratis brugerbase, kunne let overskride tærsklen på 100.000 forbrugerdata uden at vide det.

Hvad tæller som personlige oplysninger under CCPA

Personlige oplysninger under CCPA er bredt defineret som enhver information, der identificerer, relaterer til, beskriver eller med rimelighed kan knyttes til en bestemt forbruger eller husstand. Dette går langt ud over navne og e-mailadresser.

Dækkede kategorier inkluderer:

Kategori	Eksempler
Identifikatorer	Navn, e-mail, IP-adresse, enheds-ID
Kommerciel information	Købshistorik, browseradfærd
Biometriske data	Fingeraftryk, ansigtsgenkendelsesdata
Internetaktivitet	Cookies, søgehistorik, interaktioner på webstedet
Geolokation	Præcis placering fra mobile enheder
Inferenser	Profiler bygget ud fra adfærdsdata
Følsomme personlige oplysninger	CPR-numre, sundhedsdata, præcis geolokation

Inferenser trukket fra forbrugerdata for at skabe profiler om præferencer, karakteristika eller adfærd er udtrykkeligt inkluderet. [4] Dette er vigtigt for ad-tech, analyse og personaliseringspipelines.

Hvad er forskellen mellem CCPA Opt-Out og Opt-In

CCPA opererer på en opt-out-model: virksomheder kan som standard indsamle og bruge forbrugerdata, men forbrugere har ret til at kræve, at deres data ikke sælges eller deles. Opt-in-samtykke er kun påkrævet under specifikke omstændigheder, f.eks. ved håndtering af personlige oplysninger om forbrugere under 16 år. [4][6]

Dette er den grundlæggende strukturelle forskel fra GDPR, som opererer på en opt-in-model, der kræver udtrykkeligt samtykke, før de fleste databehandlinger påbegyndes. Under CCPA er tavshed ikke samtykke, men det er heller ikke en hindring for behandling. Under GDPR er tavshed ikke samtykke, og behandling kan ikke påbegyndes uden det.

Vælg opt-in-logik, hvis: du håndterer data fra mindreårige (under 16 år) eller behandler følsomme personlige informationskategorier, der kræver udtrykkeligt samtykke i henhold til californisk lov.

Vælg opt-out-logik, hvis: du håndterer standardforbrugerdata fra voksne og er en dækket virksomhed under CCPA.

Hvordan opsætter jeg et "Do Not Sell or Share My Personal Information"-link

Enhver dækket virksomhed, der sælger eller deler personlige oplysninger, skal give et klart og tydeligt link med titlen "Do Not Sell or Share My Personal Information" på sin hjemmeside og i sin privatlivspolitik. [4][6]

Trin-for-trin opsætning:

Gennemgå dine dataflows for at afgøre, om din virksomhed sælger eller deler personlige oplysninger som defineret af CCPA.
Tilføj det krævede link til din webstedsfooter og mobilapp-indstillingsmenu.
Konfigurer din samtykkehåndteringsplatform til at fange og tidsstemple frameldingsanmodninger.
Sørg for, at frameldingsforløbet ikke kræver flere trin end tilmeldingsforløbet; 2026-reglerne forbyder udtrykkeligt asymmetrisk friktion. [7]
Respekter Global Privacy Control (GPC)-signaler automatisk, hvis din virksomhed behandler browserbaserede data.
Vis synlig bekræftelse af, at frameldingen er blevet genkendt, f.eks. et banner eller en skiftestatus, der viser "Opt-Out Preference Signal Honored." [3]

En platform som Biscotti CMP kan automatisere trin 3 til 6, herunder GPC-signalregistrering og overensstemmende bekræftelsesvisning.

Hvor lang tid har jeg til at svare på en forbrugers frameldingsanmodning

Virksomheder skal efterkomme en forbrugers frameldingsanmodning inden for 15 arbejdsdage efter modtagelsen. [2] Dette adskiller sig fra den 45-dages svarperiode, der gælder for andre forbrugerrettighedsanmodninger (såsom adgang eller sletning).

Når anmodningen er efterkommet, skal virksomheden også underrette eventuelle tredjeparter, som den har solgt eller delt forbrugerens data med inden for de foregående 90 dage, og bede dem om at stoppe med at bruge disse data. [6] Denne forpligtelse til underretning nedstrøms overses ofte og udgør et almindeligt overholdelsesgab.

Kan jeg stadig bruge data, efter en kunde framelder sig

Efter at en forbruger framelder sig salg eller deling, må virksomheden ikke sælge eller dele den pågældende forbrugers personlige oplysninger fremover. Virksomheden må dog stadig bruge dataene til interne formål, der er i overensstemmelse med forbrugerens forhold til virksomheden. [4]

Specifikt forbudt efter framelding:

Salg eller deling af data med tredjeparter til adfærdsbaseret annoncering på tværs af kontekster
Brug af data på måder, der er uforenelige med den kontekst, hvori de blev indsamlet

Stadig tilladt efter framelding:

Opfyldelse af den transaktion eller tjeneste, forbrugeren anmodede om
Intern analyse og forebyggelse af svindel
Overholdelse af juridiske forpligtelser

Almindelig fejl: Antagelse af, at framelding betyder fuld datasletning. Det gør det ikke. Forbrugere skal indsende en separat sletteanmodning for at udløse denne ret.

CCPA vs. GDPR: Hvilken skal jeg følge

Hvis din virksomhed betjener både indbyggere i Californien og EU, skal du sandsynligvis overholde begge. CCPA og GDPR udelukker ikke hinanden, og overholdelseskravene adskiller sig nok til, at en enkelt politik sjældent tilfredsstiller begge.

Faktor	CCPA	GDPR
Samtykkemodel	Opt-out (standardbehandling tilladt)	Opt-in (samtykke kræves først)
Geografisk omfang	Californiske indbyggere	EU/EØS-indbyggere
Hvem det dækker	Forretningsdrivende virksomheder, der opfylder tærskler	Enhver enhed, der behandler EU-indbyggerdata
Sanktioner	Op til 7.500 USD pr. forsætlig overtrædelse	Op til 4 % af den globale årlige omsætning
Ret til sletning	Ja	Ja (Ret til at blive glemt)
Dataportabilitet	Ja	Ja

Den praktiske implikation: GDPR-kompatible samtykkebannere er ikke automatisk CCPA-kompatible, fordi CCPA kræver en specifik frameldingsmekanisme snarere end en samtykkeport.

Hvad sker der, hvis jeg ikke overholder CCPA-kravene

Manglende overholdelse udsætter virksomheder for civile bøder på op til 2.500 USD pr. utilsigtet overtrædelse og 7.500 USD pr. forsætlig overtrædelse, håndhævet af California Privacy Protection Agency (CPPA). [4][6] Overtrædelser, der involverer mindreåriges data, behandles som forsætlige som standard.

Forbrugere har også en privat søgsmålsret for databrud som følge af en virksomheds manglende implementering af rimelige sikkerhedsforanstaltninger, med lovbestemte erstatninger fra 100 til 750 USD pr. forbruger pr. hændelse. [4]

2026-ændringerne udvidede CPPA's revisionsmyndighed, hvilket betyder, at virksomheder, der er underlagt risikovurderingskrav, kan stå over for proaktiv reguleringskontrol, ikke kun reaktiv håndhævelse. [1][7]

Skal jeg opdatere min privatlivspolitik for CCPA

Ja. Dækkede virksomheder skal opretholde en privatlivspolitik, der som minimum oplyser:

Kategorierne af indsamlede personlige oplysninger og formålene med indsamlingen
Om personlige oplysninger sælges eller deles, og kategorierne af involverede tredjeparter
De forbrugerrettigheder, der er tilgængelige under CCPA (framelding, sletning, adgang, rettelse, portabilitet)
Hvordan forbrugere kan indsende anmodninger om at udøve disse rettigheder
Opbevaringsperioden for hver kategori af personlige oplysninger [4][6]

Privatlivspolitikker skal opdateres mindst en gang hver 12. måned. Manglende opdatering af politikken efter en væsentlig ændring i datapraksis, f.eks. tilføjelse af en ny analyseleverandør, er i sig selv en overtrædelse af overholdelsen.

Hvordan verificerer jeg, at en forbrugers frameldingsanmodning er legitim

For frameldingsanmodninger specifikt kræver CCPA ikke, at virksomheder verificerer identiteten af den forbruger, der fremsætter anmodningen. [2] Dette er tilsigtet: at kræve identitetsverifikation for frameldinger ville skabe friktion, der underminerer retten.

Virksomheder kan dog bruge rimelige midler til at bekræfte, at en anmodning ikke er svigagtig, f.eks. ved at bekræfte den e-mailadresse, der er knyttet til kontoen. Standarden for frameldingsverifikation er bevidst lavere end for sletnings- eller adgangsanmodninger, hvor identitetsverifikation er passende, fordi disse anmodninger involverer videregivelse eller ødelæggelse af data.

Særligt tilfælde: Hvis en frameldingsanmodning ankommer via et automatiseret signal (GPC), kræves eller tillades ingen yderligere verificeringstrin; selve signalet udgør en gyldig anmodning. [3][7]

Hvordan fungerer frameldingsmekanismer på mobilapps vs. websites

På websites skal frameldingsmekanismer inkludere linket "Do Not Sell or Share My Personal Information" i footeren og skal respektere browserbaserede GPC-signaler. [3][7] På mobilapps er kravene funktionelt ækvivalente, men implementeringen adskiller sig:

Mobilapps skal inkludere frameldingsmuligheden i appens indstillingsmenu eller sektion for privatlivspræferencer.
Apps distribueret via app-butikker skal overholde eventuelle yderligere platformsspecifikke privatlivskrav (såsom App Tracking Transparency på iOS), men disse platformskrav erstatter ikke CCPA-overholdelse.
Automatiserede signaler fra mobile operativsystemer skal respekteres på samme måde som browserbaserede GPC-signaler, hvis virksomheden behandler disse data.

2026-reglerne gør det klart, at kanalen (web vs. app) ikke ændrer den underliggende forpligtelse, kun den tekniske implementering adskiller sig.

Hvad er almindelige fejl, virksomheder begår med CCPA-overholdelse

Selv velmenende virksomheder begår ofte følgende fejl:

Behandling af framelding som tilmelding: Kræver, at forbrugere bekræfter deres framelding gennem flere trin, hvilket overtræder symmetrikravet i 2026-ændringerne. [7]
Ignorering af GPC-signaler: Ikke at konfigurere deres tekniske stak til at registrere og respektere Global Privacy Control-browsersignaler, som nu behandles som gyldige frameldingsanmodninger. [3]
Manglende visning af frameldingsbekræftelse: 2026-reglerne kræver synlig bekræftelse af, at et signal er blevet behandlet; en backend-logpost er ikke tilstrækkelig. [3]
Overblik over downstream-leverandører: Ikke at underrette tredjepartsdatamodtagere efter modtagelse af en framelding.
Statisk privatlivspolitik: Manglende opdatering af politikken årligt eller efter væsentlige ændringer i datapraksis.
Forveksling af tjenesteudbydere med tredjeparter: Tjenesteudbydere, der behandler data under kontrakt, har andre forpligtelser end tredjeparter, der modtager data til egne formål.

FAQ

Gælder CCPA for nonprofitorganisationer? Nej. CCPA gælder kun for forretningsdrivende virksomheder. Nonprofitorganisationer er ikke dækkede virksomheder, selvom de kan være underlagt andre californiske privatlivslove.

Hvad er Global Privacy Control (GPC), og skal jeg respektere det? GPC er et browserbaseret signal, der automatisk kommunikerer en forbrugers frameldingspræference. Fra den 1. januar 2026 skal dækkede virksomheder, der behandler browserdata, respektere GPC-signaler som gyldige frameldingsanmodninger og vise bekræftelse af, at signalet er blevet behandlet. [3][7]

Kan en virksomhed opkræve en anden pris fra forbrugere, der framelder sig? Generelt nej. CCPA forbyder virksomheder at diskriminere forbrugere, der udøver deres privatlivsrettigheder, herunder ved at opkræve forskellige priser, medmindre forskellen er rimeligt relateret til værdien af forbrugerens data. [4]

Hvor længe skal frameldingsoptegnelser opbevares? CCPA specificerer ikke en universel opbevaringsperiode for frameldingsoptegnelser, men virksomheder bør opbevare optegnelser længe nok til at demonstrere overholdelse i tilfælde af en revision eller håndhævelseshandling, typisk betragtes mindst 24 måneder som en rimelig baseline. [6]

Opfylder et cookiebanner CCPA's frameldingskrav? Et cookiebanner alene er ikke tilstrækkeligt. CCPA kræver et dedikeret "Do Not Sell or Share My Personal Information"-link, og 2026-ændringerne kræver, at virksomheder respekterer og bekræfter GPC-signaler uafhængigt af enhver cookie-samtykkeinteraktion. [3][7]

Hvad er forskellen mellem et "salg" og "deling" under CCPA? "Salg" involverer udveksling af personlige oplysninger for monetær vederlag. "Deling" dækker videregivelse af personlige oplysninger til adfærdsbaseret annoncering på tværs af kontekster, selv uden betaling. Begge udløser frameldingsrettigheder. [4]

Har jeg brug for separate frameldingsmekanismer for hver datakategori? Nej. En enkelt frameldingsmekanisme, der dækker salg og deling, er tilstrækkelig, selvom virksomheder klart skal beskrive i deres privatlivspolitik, hvilke datakategorier der er dækket.

Hvad er en risikovurdering under 2026 CCPA-ændringerne? Virksomheder, der behandler personlige oplysninger på måder, der udgør betydelige privatlivsrisici, herunder brug af automatiseret beslutningstagningsteknologi, skal udføre og dokumentere risikovurderinger, før de påbegynder denne behandling. [1][7]

Konklusion

CCPA forklaret: hvordan man håndterer frameldinger for forbrugere i Californien er et bevægeligt mål, og 2026-ændringerne har hævet barren betydeligt. De centrale forpligtelser, at give en klar frameldingsmekanisme, efterkomme forbrugeranmodninger inden for 15 arbejdsdage og opdatere din privatlivspolitik, forbliver grundlæggende. Men de nye krav omkring GPC-signalbekræftelse, forbud mod mørke mønstre og ADMT-risikovurderinger kræver en mere systematisk tilgang, end et statisk footerlink kan give.

Handlingsorienterede næste skridt for dækkede virksomheder:

Gennemgå dit nuværende frameldingsforløb i forhold til 2026-symmetrikravet: tæl trinene for at framelde dig og sammenlign dem med trinene for at tilmelde dig.
Bekræft, at dit website og din mobilapp registrerer og respekterer Global Privacy Control-signaler, og at en synlig bekræftelsesmeddelelse vises, når et signal modtages.
Gennemgå din liste over tredjepartsleverandører og bekræft, at procedurer for underretning nedstrøms er på plads for dataflows efter framelding.
Opdater din privatlivspolitik for at afspejle nuværende datapraksis, opbevaringsperioder og den fulde liste over forbrugerrettigheder.
Evaluer en samtykkehåndteringsplatform som Biscotti CMP for at automatisere signalregistrering, frameldingsbekræftelse og registrering af præferencer på tværs af web- og mobilkanaler.

Overholdelse er ikke et engangsprojekt. CPPA har vist vilje til at udstede vejledning og forfølge håndhævelse, og det reguleringsmæssige miljø vil fortsat udvikle sig. At opbygge gentagelige, reviderbare processer nu er den mest forsvarlige position, en dækket virksomhed kan indtage.