USA õigus ja CCPA

CCPA selgitus: Kuidas hallata California tarbijate loobumisi

7. juuli 2026 · 16 min lugemine

Lühike vastus: California tarbijate privaatsuse seadus (CCPA) annab California elanikele õiguse loobuda oma isikuandmete müügist või jagamisest. Alates 1. jaanuarist 2026 nõuavad muudetud määrused ettevõtetelt loobumise eelistussignaalide (nagu Global Privacy Control) austamist, nende signaalide töötlemise nähtavat kinnitamist ja tagamist, et loobumisvood ei oleks keerulisemad kui nõustumise vood. Nõuete rikkumine võib kaasa tuua tsiviilkaristused kuni 7500 dollarit iga tahtliku rikkumise eest.

Peamised järeldused

CCPA kehtib kasumit taotlevatele ettevõtetele, mis vastavad konkreetsetele tulude, andmemahu või andmete müügi künnistele, mitte igale Californias tegutsevale ettevõttele.
Alates 1. jaanuarist 2026 peavad ettevõtted näitama nähtavat kinnitust, kui loobumise eelistussignaal (nagu Global Privacy Control) on tuvastatud ja austatud. [3]
Loobumismehhanismid peavad olema sama lihtsasti kasutatavad kui nõustumise vood; 2026. aasta muudatuste kohaselt on loobumisi takistavad tumedad mustrid selgesõnaliselt keelatud. [7]
Ettevõtetel on 15 tööpäeva aega tarbija loobumistaotluse täitmiseks pärast selle saamist. [2]
"Isikuandmed" CCPA alusel on laiaulatuslikud: need hõlmavad IP-aadresse, sirvimisajalugu, geolokatsiooniandmeid, tarbijakäitumisest tuletatud järeldusi ja palju muud.
CCPA ja GDPR toimivad põhimõtteliselt erinevatel nõusolekumudelitel, loobumine vs. nõustumine, ja paljud ettevõtted peavad mõlemat korraga järgima.
Privaatsuspoliitika uuendamata jätmine CCPA õiguste kajastamiseks on iseenesest nõuete rikkumine, eraldi tehnilistest loobumise ebaõnnestumistest.
Nõusolekuhaldusplatvorm, nagu Biscotti CMP, saab automatiseerida signaalide tuvastamise, loobumise kinnituse kuvamise ja eelistuste arvestuse pidamise.

Mis on CCPA ja miks see teie ettevõtte jaoks oluline on

California tarbijate privaatsuse seadus on osariigi tasandi privaatsusseadus, mis annab California elanikele konkreetsed õigused selle kohta, kuidas ettevõtted nende isikuandmeid koguvad, kasutavad ja müüvad. See on oluline, sest California on maailma suuruselt viies majandus ja iga ettevõte, mis puudutab California tarbijaid, olenemata ettevõtte peakontori asukohast, võib olla seaduslikult kohustatud seda järgima.

CCPA võeti algselt vastu 2018. aastal, seda tugevdas California privaatsusõiguste seadus (CPRA) 2020. aastal ja seda uuendati oluliselt uuesti California haldusõiguse büroo poolt 22. septembril 2025 heaks kiidetud määrustega, mis jõustusid 1. jaanuaril 2026. [1][5] Need 2026. aasta muudatused lisasid uusi kohustusi automatiseeritud otsustusprotsesside tehnoloogia (ADMT), riskihindamiste ja, mis on enamiku ettevõtete jaoks kriitiline, loobumismehhanismide disaini ja kinnitusnõuete osas. [1][7]

CCPA mõistmine: kuidas hallata California tarbijate loobumisi, ei ole enam kaetud ettevõtete jaoks valikuline. Regulatiivne tase on tõusnud ja jõustamine on järgnenud.

Kuidas ma tean, kas CCPA kehtib minu ettevõttele

CCPA kehtib kasumit taotlevatele ettevõtetele, mis tegutsevad Californias ja vastavad vähemalt ühele järgmistest künnistest:

Aastane brutotulu ületab 25 miljonit dollarit
Aastas ostetakse, müüakse, saadakse või jagatakse 100 000 või enama California tarbija või leibkonna isikuandmeid
50% või rohkem aastasest tulust saadakse California tarbijate isikuandmete müügist või jagamisest [4][6]

Kas CCPA kehtib väikestele ettevõtetele teatud tulude piiri all? Üldiselt mitte. Kui ettevõte jääb alla kõigi kolme künnise, ei ole see CCPA alusel kaetud ettevõte. Kuid teenusepakkujad ja töövõtjad, kes töötlevad andmeid kaetud ettevõtete nimel, on seotud lepinguliste CCPA kohustustega, isegi kui nad muidu iseseisvalt ei kvalifitseeruks. [2]

Eriolukord: Väike SaaS-ettevõte, mille tulu on alla 25 miljoni dollari, kuid millel on suur tasuta kasutajate baas, võib kergesti ületada 100 000 tarbija andmekünnise seda teadvustamata.

Mis loetakse isikuandmeteks CCPA alusel

Isikuandmed CCPA alusel on laialt määratletud kui mis tahes teave, mis identifitseerib, on seotud, kirjeldab või mida saab mõistlikult seostada konkreetse tarbija või leibkonnaga. See ulatub tunduvalt kaugemale nimedest ja e-posti aadressidest.

Kaetud kategooriad hõlmavad:

Kategooria	Näited
Identifikaatorid	Nimi, e-post, IP-aadress, seadme ID
Kaubanduslik teave	Ostuajalugu, sirvimiskäitumine
Biomeetrilised andmed	Sõrmejäljed, näotuvastuse andmed
Interneti-tegevus	Küpsised, otsinguajalugu, saidi interaktsioonid
Geolokatsioon	Täpne asukoht mobiilseadmetest
Järeldused	Käitumuslikest andmetest koostatud profiilid
Tundlikud isikuandmed	Sotsiaalkindlustuse numbrid, terviseandmed, täpne geolokatsioon

Tarbijate andmetest tuletatud järeldused eelistuste, omaduste või käitumise kohta profiilide loomiseks on selgesõnaliselt kaasatud. [4] See on oluline reklaamitehnoloogia, analüütika ja isikupärastamise torujuhtmete jaoks.

Mis vahe on CCPA loobumisel ja nõustumisel

CCPA toimib loobumismudelil: ettevõtted võivad vaikimisi koguda ja kasutada tarbijaandmeid, kuid tarbijatel on õigus nõuda, et nende andmeid ei müüdaks ega jagataks. Nõustumise nõusolek on vajalik ainult konkreetsetel asjaoludel, näiteks alla 16-aastaste tarbijate isikuandmete käsitlemisel. [4][6]

See on põhimõtteline struktuurne erinevus GDPR-ist, mis toimib nõustumismudelil, nõudes enne enamiku andmetöötluse algust selgesõnalist nõusolekut. CCPA alusel ei ole vaikus nõusolek, kuid see ei takista ka töötlemist. GDPR-i alusel ei ole vaikus nõusolek ja töötlemist ei saa ilma selleta alustada.

Valige nõustumise loogika, kui: käsitlete alaealiste (alla 16-aastaste) andmeid või töötlete tundlikke isikuandmete kategooriaid, mis nõuavad California seaduste kohaselt selgesõnalist nõusolekut.

Valige loobumise loogika, kui: käsitlete täiskasvanute standardseid tarbijaandmeid ja olete CCPA alusel kaetud ettevõte.

Kuidas seadistada linki "Ära müü ega jaga minu isikuandmeid"

Iga kaetud ettevõte, mis müüb või jagab isikuandmeid, peab oma kodulehel ja privaatsuspoliitikas esitama selge ja silmapaistva lingi pealkirjaga "Ära müü ega jaga minu isikuandmeid". [4][6]

Samm-sammult seadistamine:

Auditige oma andmevooge, et teha kindlaks, kas teie ettevõte müüb või jagab isikuandmeid CCPA määratluse kohaselt.
Lisage nõutav link oma veebisaidi jalusesse ja mobiilirakenduse seadete menüüsse.
Konfigureerige oma nõusolekuhaldusplatvorm, et jäädvustada ja ajatempliga varustada loobumistaotlusi.
Veenduge, et loobumisvoog ei nõua rohkem samme kui nõustumise voog, 2026. aasta määrused keelavad selgesõnaliselt asümmeetrilise hõõrdumise. [7]
Austage Global Privacy Control (GPC) signaale automaatselt, kui teie ettevõte töötleb brauseripõhiseid andmeid.
Kuvage nähtav kinnitus, et loobumine on tuvastatud, näiteks bänner või lüliti olek, mis näitab "Loobumise eelistussignaal austatud". [3]

Platvorm nagu Biscotti CMP saab automatiseerida samme 3 kuni 6, sealhulgas GPC signaalide tuvastamise ja nõuetele vastava kinnituse kuvamise.

Kui kaua mul on aega tarbija loobumistaotlusele vastamiseks

Ettevõtted peavad täitma tarbija loobumistaotluse 15 tööpäeva jooksul pärast selle saamist. [2] See erineb 45-päevasest vastamisajast, mis kehtib teistele tarbijaõiguste taotlustele (nagu juurdepääs või kustutamine).

Pärast täitmist peab ettevõte teavitama ka kõiki kolmandaid osapooli, kellele ta on tarbija andmeid eelneva 90 päeva jooksul müünud või jaganud, suunates neid andmete kasutamise lõpetama. [6] See allavoolu teavitamiskohustus jäetakse sageli tähelepanuta ja see on tavaline nõuete rikkumine.

Kas ma saan andmeid endiselt kasutada pärast seda, kui klient on loobunud

Pärast seda, kui tarbija on loobunud müügist või jagamisest, ei tohi ettevõte enam seda tarbija isikuandmeid müüa ega jagada. Kuid ettevõte võib andmeid endiselt kasutada sisemistel eesmärkidel, mis on kooskõlas tarbija suhtega ettevõttega. [4]

Pärast loobumist on konkreetselt keelatud:

Andmete müümine või jagamine kolmandate osapooltega kontekstideülese käitumusliku reklaami eesmärgil
Andmete kasutamine viisil, mis on vastuolus kontekstiga, milles need koguti

Pärast loobumist on endiselt lubatud:

Tarbija soovitud tehingu või teenuse täitmine
Sisemine analüüs ja pettuste ennetamine
Juriidiliste kohustuste täitmine

Levinud viga: Eeldamine, et loobumine tähendab andmete täielikku kustutamist. See ei ole nii. Tarbijad peavad selle õiguse käivitamiseks esitama eraldi kustutamistaotluse.

CCPA vs. GDPR: Kumba ma pean järgima

Kui teie ettevõte teenindab nii California elanikke kui ka Euroopa Liidu elanikke, peate tõenäoliselt järgima mõlemat. CCPA ja GDPR ei ole vastastikku välistavad ning nõuete täitmise nõuded erinevad piisavalt, et üks poliitika harva rahuldab mõlemat.

Tegur	CCPA	GDPR
Nõusoleku mudel	Loobumine (vaikimisi töötlemine lubatud)	Nõustumine (nõusolek vajalik esmalt)
Geograafiline ulatus	California elanikud	EL/EMP elanikud
Keda see hõlmab	Kasumit taotlevad ettevõtted, mis vastavad künnistele	Iga üksus, mis töötleb EL-i elanike andmeid
Karistused	Kuni 7500 dollarit iga tahtliku rikkumise eest	Kuni 4% ülemaailmsest aastakäibest
Kustutamisõigus	Jah	Jah (õigus olla unustatud)
Andmete teisaldatavus	Jah	Jah

Praktiline tagajärg: GDPR-iga ühilduvad nõusolekubännerid ei ole automaatselt CCPA-ga ühilduvad, sest CCPA nõuab spetsiifilist loobumismehhanismi, mitte nõusolekuväravat.

Mis juhtub, kui ma ei järgi CCPA nõudeid

Nõuete rikkumine toob ettevõtetele kaasa tsiviilkaristused kuni 2500 dollarit iga tahtmatu rikkumise eest ja 7500 dollarit iga tahtliku rikkumise eest, mida jõustab California privaatsuskaitse agentuur (CPPA). [4][6] Alaealiste andmetega seotud rikkumisi käsitletakse vaikimisi tahtlikena.

Tarbijatel on ka eraõiguslik hagi andmerikkumiste korral, mis tulenevad ettevõtte suutmatusest rakendada mõistlikke turvameetmeid, millega kaasnevad seadusjärgsed kahjuhüvitised vahemikus 100 kuni 750 dollarit tarbija kohta juhtumi kohta. [4]

aasta muudatused laiendasid CPPA auditeerimisvolitusi, mis tähendab, et riskihindamise nõuetele alluvad ettevõtted võivad silmitsi seista ennetava regulatiivse kontrolliga, mitte ainult reaktiivse jõustamisega. [1][7]

Kas ma pean oma privaatsuspoliitikat CCPA jaoks uuendama

Jah. Kaetud ettevõtted peavad säilitama privaatsuspoliitika, mis avaldab vähemalt:

Kogutud isikuandmete kategooriad ja kogumise eesmärgid
Kas isikuandmeid müüakse või jagatakse ja kaasatud kolmandate osapoolte kategooriad
CCPA alusel kättesaadavad tarbijaõigused (loobumine, kustutamine, juurdepääs, parandamine, teisaldatavus)
Kuidas tarbijad saavad esitada taotlusi nende õiguste kasutamiseks
Iga isikuandmete kategooria säilitamisaeg [4][6]

Privaatsuspoliitikat tuleb uuendada vähemalt kord 12 kuu jooksul. Poliitika uuendamata jätmine pärast olulist muutust andmetöötluspraktikates, näiteks uue analüütikapakkujate lisamine, on iseenesest nõuete rikkumine.

Kuidas ma saan kontrollida, kas tarbija loobumistaotlus on legitiimne

Loobumistaotluste puhul ei nõua CCPA ettevõtetelt taotluse esitava tarbija identiteedi kontrollimist. [2] See on tahtlik: identiteedi kontrollimise nõudmine loobumiste puhul tekitaks hõõrdumist, mis õõnestab õigust.

Kuid ettevõtted võivad kasutada mõistlikke vahendeid, et kinnitada, et taotlus ei ole petturlik, näiteks kinnitades kontoga seotud e-posti aadressi. Loobumise kontrollimise standard on tahtlikult madalam kui kustutamise või juurdepääsu taotluste puhul, kus identiteedi kontrollimine on asjakohane, sest need taotlused hõlmavad andmete avaldamist või hävitamist.

Eriolukord: Kui loobumistaotlus saabub automatiseeritud signaali (GPC) kaudu, ei ole täiendavat kontrollimisetappi vaja ega lubatud, signaal ise moodustab kehtiva taotluse. [3][7]

Kuidas toimivad loobumismehhanismid mobiilirakendustes vs. veebisaitidel

Veebisaitidel peavad loobumismehhanismid sisaldama linki "Ära müü ega jaga minu isikuandmeid" jaluses ja peavad austama brauseritaseme GPC signaale. [3][7] Mobiilirakendustes on nõuded funktsionaalselt samaväärsed, kuid rakendamine erineb:

Mobiilirakendused peavad sisaldama loobumisvõimalust rakenduse seadete menüüs või privaatsuseelistuste jaotises.
Rakenduste poodide kaudu levitatavad rakendused peavad vastama kõigile täiendavatele platvormitaseme privaatsusnõuetele (nagu App Tracking Transparency iOS-is), kuid need platvorminõuded ei asenda CCPA nõuete täitmist.
Mobiilsete operatsioonisüsteemide automatiseeritud signaale tuleb austada samamoodi nagu brauseripõhiseid GPC signaale, kui ettevõte neid andmeid töötleb.

aasta määrused teevad selgeks, et kanal (veeb vs. rakendus) ei muuda aluskohtustust, erineb ainult tehniline rakendamine.

Millised on levinud vead, mida ettevõtted CCPA nõuete täitmisel teevad

Isegi heade kavatsustega ettevõtted teevad sageli järgmisi vigu:

Loobumise käsitlemine nõustumisena: Nõudes tarbijatelt oma loobumise kinnitamist mitme sammu kaudu, mis rikub 2026. aasta muudatuste sümmeetrianõuet. [7]
GPC signaalide ignoreerimine: Tehnilise virna konfigureerimata jätmine Global Privacy Control brauserisignaalide tuvastamiseks ja austamiseks, mida nüüd käsitletakse kehtivate loobumistaotlustena. [3]
Loobumise kinnituse kuvamata jätmine: 2026. aasta reeglid nõuavad nähtavat kinnitust, et signaal on töödeldud, taustaprogrammi logikirje ei ole piisav. [3]
Allavoolu müüjate tähelepanuta jätmine: Kolmandate osapoolte andmesaajate teavitamata jätmine pärast loobumise saamist.
Staatilised privaatsuspoliitikad: Poliitika uuendamata jätmine igal aastal või pärast olulisi muutusi andmetöötluspraktikates.
Teenusepakkujate segiajamine kolmandate osapooltega: Lepinguliselt andmeid töötlevatel teenusepakkujatel on erinevad kohustused kui kolmandatel osapooltel, kes saavad andmeid oma eesmärkidel.

KKK

Kas CCPA kehtib mittetulundusühingutele? Ei. CCPA kehtib ainult kasumit taotlevatele ettevõtetele. Mittetulundusühingud ei ole kaetud ettevõtted, kuigi neile võivad kehtida muud California privaatsusseadused.

Mis on Global Privacy Control (GPC) ja kas ma pean seda austama? GPC on brauseritaseme signaal, mis edastab tarbija loobumise eelistuse automaatselt. Alates 1. jaanuarist 2026 peavad kaetud ettevõtted, mis töötlevad brauseriandmeid, austama GPC signaale kehtivate loobumistaotlustena ja kuvama kinnituse, et signaal on töödeldud. [3][7]

Kas ettevõte saab nõuda erinevat hinda tarbijatelt, kes loobuvad? Üldiselt mitte. CCPA keelab ettevõtetel diskrimineerida tarbijaid, kes kasutavad oma privaatsusõigusi, sealhulgas nõudes erinevaid hindu, välja arvatud juhul, kui erinevus on mõistlikult seotud tarbija andmete väärtusega. [4]

Kui kaua tuleb loobumise andmeid säilitada? CCPA ei täpsusta universaalset säilitamisaega loobumise andmetele, kuid ettevõtted peaksid säilitama andmeid piisavalt kaua, et tõendada nõuete täitmist auditi või jõustamismeetmete korral, tavaliselt peetakse mõistlikuks baasiks vähemalt 24 kuud. [6]

Kas küpsisebänner rahuldab CCPA loobumisnõudeid? Ainult küpsisebänner ei ole piisav. CCPA nõuab spetsiaalset linki "Ära müü ega jaga minu isikuandmeid" ja 2026. aasta muudatused nõuavad ettevõtetelt GPC signaalide austamist ja kinnitamist sõltumata küpsiste nõusoleku interaktsioonist. [3][7]

Mis vahe on "müügil" ja "jagamisel" CCPA alusel? "Müük" hõlmab isikuandmete vahetamist rahalise tasu eest. "Jagamine" hõlmab isikuandmete avaldamist kontekstideülese käitumusliku reklaami eesmärgil, isegi ilma tasuta. Mõlemad käivitavad loobumisõigused. [4]

Kas ma vajan iga andmekategooria jaoks eraldi loobumismehhanisme? Ei. Piisab ühest loobumismehhanismist, mis hõlmab müüki ja jagamist, kuigi ettevõtted peavad oma privaatsuspoliitikas selgelt kirjeldama, millised andmekategooriad on kaetud.

Mis on riskihindamine 2026. aasta CCPA muudatuste alusel? Ettevõtted, mis töötlevad isikuandmeid viisil, mis kujutab endast olulisi privaatsusriske, sealhulgas automatiseeritud otsustusprotsesside tehnoloogia kasutamine, peavad enne selle töötlemise alustamist läbi viima ja dokumenteerima riskihindamised. [1][7]

Kokkuvõte

CCPA selgitus: kuidas hallata California tarbijate loobumisi on liikuv sihtmärk ja 2026. aasta muudatused on lati oluliselt tõstnud. Põhikohustused, pakkudes selget loobumismehhanismi, austades tarbijate taotlusi 15 tööpäeva jooksul ja uuendades oma privaatsuspoliitikat, jäävad aluseks. Kuid uued nõuded GPC signaalide kinnitamise, tumedate mustrite keelamise ja ADMT riskihindamiste osas nõuavad süstemaatilisemat lähenemist, kui staatiline jaluslink suudab pakkuda.

Tegevuskava kaetud ettevõtetele:

Auditige oma praegust loobumisvoogu 2026. aasta sümmeetrianõude suhtes: loendage loobumise samme ja võrrelge neid nõustumise sammudega.
Kontrollige, et teie veebisait ja mobiilirakendus tuvastaksid ja austaksid Global Privacy Control signaale ning et signaali saamisel kuvatakse nähtav kinnitussõnum.
Vaadake üle oma kolmandate osapoolte müüjate nimekiri ja kinnitage, et allavoolu teavitamise protseduurid on paigas pärast loobumist andmevoogude jaoks.
Uuendage oma privaatsuspoliitikat, et kajastada praeguseid andmetöötluspraktikaid, säilitamisaegu ja kõiki tarbijaõigusi.
Hinnake nõusolekuhaldusplatvormi, nagu Biscotti CMP, et automatiseerida signaalide tuvastamist, loobumise kinnitamist ja eelistuste arvestuse pidamist veebi- ja mobiilikanalites.

Nõuete täitmine ei ole ühekordne projekt. CPPA on näidanud valmisolekut anda juhiseid ja teostada jõustamist ning regulatiivne keskkond areneb edasi. Korratavate ja auditeeritavate protsesside loomine on praegu kõige kaitstavam positsioon, mida kaetud ettevõte saab võtta.