Yhdysvaltain oikeus ja CCPA

CCPA selitettynä: Kuinka hallita Kalifornian kuluttajien opt-out-pyyntöjä

7. heinäkuuta 2026 · 16 min lukuaika

Pikavastaus: California Consumer Privacy Act (CCPA) antaa Kalifornian asukkaille oikeuden kieltäytyä henkilötietojensa myynnistä tai jakamisesta. Tammikuun 1. päivästä 2026 alkaen muutetut säännökset edellyttävät nyt, että yritysten on kunnioitettava opt-out-asetussignaaleja (kuten Global Privacy Control), vahvistettava näkyvästi, että nämä signaalit on käsitelty, ja varmistettava, että opt-out-prosessit eivät ole monimutkaisempia kuin opt-in-prosessit. Noudattamatta jättäminen voi johtaa jopa 7 500 dollarin siviilioikeudellisiin seuraamuksiin jokaisesta tahallisesta rikkomuksesta.

Tärkeimmät huomiot

CCPA koskee voittoa tavoittelevia yrityksiä, jotka täyttävät tietyt liikevaihto-, datamäärä- tai datamyyntikynnykset, ei kaikkia Kaliforniassa toimivia yrityksiä.
Tammikuun 1. päivästä 2026 alkaen yritysten on näytettävä näkyvä vahvistus, kun opt-out-asetussignaali (kuten Global Privacy Control) on tunnistettu ja huomioitu. [3]
Opt-out-mekanismien on oltava yhtä helppokäyttöisiä kuin opt-in-prosessien; opt-out-pyyntöjä estävät pimeät kuviot ovat nimenomaisesti kiellettyjä vuoden 2026 muutosten mukaan. [7]
Yrityksillä on 15 työpäivää aikaa noudattaa kuluttajan opt-out-pyyntöä sen vastaanottamisen jälkeen. [2]
"Henkilötiedot" CCPA:n mukaan on laaja käsite: se sisältää IP-osoitteet, selaushistorian, maantieteellisen sijainnin tiedot, kuluttajien käyttäytymisestä tehdyt päätelmät ja paljon muuta.
CCPA ja GDPR toimivat perustavanlaatuisesti erilaisilla suostumusmalleilla, opt-out vs. opt-in, ja monien yritysten on noudatettava molempia samanaikaisesti.
Tietosuojakäytännön päivittämättä jättäminen CCPA-oikeuksien mukaiseksi on itsessään puute vaatimustenmukaisuudessa, erillään teknisistä opt-out-virheistä.
Suostumustenhallintajärjestelmä, kuten Biscotti CMP, voi automatisoida signaalien tunnistuksen, opt-out-vahvistuksen näytön ja asetusten kirjaamisen.

Mikä on CCPA ja miksi se on tärkeä yrityksellesi

California Consumer Privacy Act on osavaltiotason tietosuojalaki, joka antaa Kalifornian asukkaille erityisiä oikeuksia siihen, miten yritykset keräävät, käyttävät ja myyvät heidän henkilötietojaan. Se on tärkeä, koska Kalifornia on maailman viidenneksi suurin talous, ja kaikkien yritysten, jotka ovat tekemisissä Kalifornian kuluttajien kanssa, riippumatta siitä, missä yrityksen pääkonttori sijaitsee, on ehkä lain mukaan noudatettava sitä.

CCPA säädettiin alun perin vuonna 2018, sitä vahvisti California Privacy Rights Act (CPRA) vuonna 2020, ja sitä päivitettiin jälleen merkittävästi Kalifornian hallintolain toimiston (California Office of Administrative Law) 22. syyskuuta 2025 hyväksymillä säännöksillä, jotka tulivat voimaan 1. tammikuuta 2026. [1][5] Nämä vuoden 2026 muutokset lisäsivät uusia velvollisuuksia automaattisen päätöksentekoteknologian (ADMT), riskinarviointien ja, mikä on kriittistä useimmille yrityksille, opt-out-mekanismien suunnittelun ja vahvistusvaatimusten osalta. [1][7]

CCPA:n ymmärtäminen selitettynä: kuinka hallita Kalifornian kuluttajien opt-out-pyyntöjä ei ole enää valinnaista kattamille yrityksille. Sääntelytaso on noussut, ja täytäntöönpano on seurannut perässä.

Mistä tiedän, koskeeko CCPA yritystäni

CCPA koskee voittoa tavoittelevia yrityksiä, jotka harjoittavat liiketoimintaa Kaliforniassa ja täyttävät vähintään yhden seuraavista kynnyksistä:

Vuotuinen bruttotulo ylittää 25 miljoonaa dollaria
Ostaa, myy, vastaanottaa tai jakaa vuosittain vähintään 100 000 Kalifornian kuluttajan tai kotitalouden henkilötietoja
Saa vähintään 50 % vuotuisista tuloistaan Kalifornian kuluttajien henkilötietojen myynnistä tai jakamisesta [4][6]

Koskeeko CCPA pienyrityksiä tietyn liikevaihdon alapuolella? Yleensä ei. Jos yritys jää kaikkien kolmen kynnyksen alapuolelle, se ei ole CCPA:n kattama yritys. Palveluntarjoajat ja urakoitsijat, jotka käsittelevät tietoja kattamien yritysten puolesta, ovat kuitenkin CCPA:n sopimusvelvoitteiden alaisia, vaikka ne eivät muuten itsenäisesti täyttäisi vaatimuksia. [2]

Reunatapa: Pieni SaaS-yritys, jonka liikevaihto on alle 25 miljoonaa dollaria, mutta jolla on suuri ilmaispalvelun käyttäjäkunta, voisi helposti ylittää 100 000 kuluttajan datakynnyksen huomaamatta sitä.

Mikä lasketaan henkilötiedoksi CCPA:n mukaan

Henkilötiedot CCPA:n mukaan määritellään laajasti kaikiksi tiedoiksi, jotka tunnistavat, liittyvät, kuvaavat tai jotka voidaan kohtuudella yhdistää tiettyyn kuluttajaan tai kotitalouteen. Tämä ulottuu paljon nimien ja sähköpostiosoitteiden ulkopuolelle.

Kattavat kategoriat sisältävät:

Kategoria	Esimerkkejä
Tunnisteet	Nimi, sähköposti, IP-osoite, laitetunnus
Kaupalliset tiedot	Ostohistoria, selauskäyttäytyminen
Biometriset tiedot	Sormenjäljet, kasvojentunnistustiedot
Internet-toiminta	Evästeet, hakuhistoria, sivuston vuorovaikutukset
Maantieteellinen sijainti	Tarkka sijainti mobiililaitteista
Päätelmät	Käyttäytymistiedoista rakennetut profiilit
Arkaluonteiset henkilötiedot	Sosiaaliturvatunnukset, terveystiedot, tarkka maantieteellinen sijainti

Kuluttajatietojen perusteella tehdyt päätelmät mieltymyksistä, ominaisuuksista tai käyttäytymisestä luotujen profiilien luomiseksi sisältyvät nimenomaisesti. [4] Tämä on tärkeää mainosteknologian, analytiikan ja personointiputkien kannalta.

Mitä eroa on CCPA:n opt-outilla ja opt-inillä

CCPA toimii opt-out-mallilla: yritykset voivat kerätä ja käyttää kuluttajatietoja oletusarvoisesti, mutta kuluttajilla on oikeus vaatia, ettei heidän tietojaan myydä tai jaeta. Opt-in-suostumusta vaaditaan vain tietyissä olosuhteissa, kuten käsiteltäessä alle 16-vuotiaiden kuluttajien henkilötietoja. [4][6]

Tämä on perustavanlaatuinen rakenteellinen ero GDPR:stä, joka toimii opt-in-mallilla ja edellyttää nimenomaista suostumusta ennen useimpien tietojen käsittelyn aloittamista. CCPA:n mukaan hiljaisuus ei ole suostumus, mutta se ei myöskään estä käsittelyä. GDPR:n mukaan hiljaisuus ei ole suostumus, eikä käsittelyä voida aloittaa ilman sitä.

Valitse opt-in-logiikka, jos: käsittelet alaikäisten (alle 16-vuotiaiden) tietoja tai käsittelet arkaluonteisia henkilötietokategorioita, jotka edellyttävät nimenomaista suostumusta Kalifornian lain mukaan.

Valitse opt-out-logiikka, jos: käsittelet aikuisten tavallisia kuluttajatietoja ja olet CCPA:n kattama yritys.

Kuinka asetan "Älä myy tai jaa henkilötietojani" -linkin

Jokaisen kattaman yrityksen, joka myy tai jakaa henkilötietoja, on tarjottava selkeä ja näkyvä linkki nimeltä "Do Not Sell or Share My Personal Information" (Älä myy tai jaa henkilötietojani) kotisivullaan ja tietosuojakäytännössään. [4][6]

Vaiheittainen asennus:

Tarkasta tietovirrat selvittääksesi, myykö tai jakaako yrityksesi henkilötietoja CCPA:n määritelmän mukaisesti.
Lisää vaadittu linkki verkkosivustosi alatunnisteeseen ja mobiilisovelluksen asetukset-valikkoon.
Määritä suostumustenhallintajärjestelmäsi tallentamaan ja aikaleimaamaan opt-out-pyynnöt.
Varmista, että opt-out-prosessi ei vaadi enempää vaiheita kuin opt-in-prosessi; vuoden 2026 säännökset kieltävät nimenomaisesti epäsymmetrisen kitkan. [7]
Kunnioita Global Privacy Control (GPC) -signaaleja automaattisesti, jos yrityksesi käsittelee selainpohjaisia tietoja.
Näytä näkyvä vahvistus siitä, että opt-out on tunnistettu, esimerkiksi banneri tai kytkimen tila, joka näyttää "Opt-Out Preference Signal Honored". [3]

Alusta, kuten Biscotti CMP, voi automatisoida vaiheet 3–6, mukaan lukien GPC-signaalin tunnistuksen ja vaatimustenmukaisen vahvistuksen näytön.

Kuinka kauan minulla on aikaa vastata kuluttajan opt-out-pyyntöön

Yritysten on noudatettava kuluttajan opt-out-pyyntöä 15 työpäivän kuluessa sen vastaanottamisesta. [2] Tämä eroaa 45 päivän vastausajasta, joka koskee muita kuluttajien oikeuksia koskevia pyyntöjä (kuten pääsyä tai poistamista).

Kun pyyntö on noudatettu, yrityksen on myös ilmoitettava kaikille kolmansille osapuolille, joille se on myynyt tai jakanut kuluttajan tietoja edellisten 90 päivän aikana, ja kehotettava heitä lopettamaan kyseisten tietojen käyttö. [6] Tämä alavirran ilmoitusvelvollisuus unohdetaan usein ja se edustaa yleistä vaatimustenmukaisuuden puutetta.

Voinko edelleen käyttää tietoja sen jälkeen, kun asiakas on kieltäytynyt

Sen jälkeen kun kuluttaja on kieltäytynyt myynnistä tai jakamisesta, yritys ei saa enää myydä tai jakaa kyseisen kuluttajan henkilötietoja. Yritys voi kuitenkin edelleen käyttää tietoja sisäisiin tarkoituksiin, jotka ovat yhdenmukaisia kuluttajan ja yrityksen välisen suhteen kanssa. [4]

Nimenomaisesti kielletty opt-outin jälkeen:

Tietojen myynti tai jakaminen kolmansille osapuolille kontekstien väliseen käyttäytymiseen perustuvaan mainontaan
Tietojen käyttö tavoilla, jotka ovat ristiriidassa sen kontekstin kanssa, jossa ne kerättiin

Edelleen sallittua opt-outin jälkeen:

Kuluttajan pyytämän tapahtuman tai palvelun toteuttaminen
Sisäinen analytiikka ja petosten ehkäisy
Lakisääteisten velvoitteiden noudattaminen

Yleinen virhe: Oletus, että opt-out tarkoittaa täydellistä tietojen poistamista. Se ei tarkoita. Kuluttajien on tehtävä erillinen poistopyyntö tämän oikeuden aktivoimiseksi.

CCPA vs. GDPR: Kumpaa minun on noudatettava

Jos yrityksesi palvelee sekä Kalifornian asukkaita että Euroopan unionin asukkaita, sinun on todennäköisesti noudatettava molempia. CCPA ja GDPR eivät sulje toisiaan pois, ja vaatimustenmukaisuusvaatimukset eroavat riittävästi, jotta yksi käytäntö harvoin tyydyttää molempia.

Tekijä	CCPA	GDPR
Suostumusmalli	Opt-out (oletuskäsittely sallittu)	Opt-in (suostumus vaaditaan ensin)
Maantieteellinen soveltamisala	Kalifornian asukkaat	EU/ETA-alueen asukkaat
Kenelle se koskee	Voittoa tavoittelevat yritykset, jotka täyttävät kynnykset	Mikä tahansa taho, joka käsittelee EU:n asukkaiden tietoja
Rangaistukset	Jopa 7 500 dollaria tahallisesta rikkomuksesta	Jopa 4 % maailmanlaajuisesta vuotuisesta liikevaihdosta
Oikeus poistamiseen	Kyllä	Kyllä (oikeus tulla unohdetuksi)
Tietojen siirrettävyys	Kyllä	Kyllä

Käytännön seuraus: GDPR-yhteensopivat suostumusbannerit eivät ole automaattisesti CCPA-yhteensopivia, koska CCPA edellyttää erityistä opt-out-mekanismia eikä suostumusporttia.

Mitä tapahtuu, jos en noudata CCPA:n vaatimuksia

Vaatimusten noudattamatta jättäminen altistaa yritykset siviilioikeudellisille seuraamuksille, jotka voivat olla jopa 2 500 dollaria tahattomasta rikkomuksesta ja 7 500 dollaria tahallisesta rikkomuksesta, ja joita valvoo California Privacy Protection Agency (CPPA). [4][6] Alaikäisten tietoihin liittyvät rikkomukset katsotaan oletusarvoisesti tahallisiksi.

Kuluttajilla on myös yksityinen kanneoikeus tietoturvaloukkauksista, jotka johtuvat yrityksen laiminlyönnistä toteuttaa kohtuullisia turvatoimia, ja lakisääteiset vahingonkorvaukset vaihtelevat 100 dollarista 750 dollariin kuluttajaa kohden tapahtumaa kohti. [4]

Vuoden 2026 muutokset laajensivat CPPA:n tarkastusvaltuuksia, mikä tarkoittaa, että riskinarviointivaatimusten alaiset yritykset voivat joutua ennakoivan sääntelyvalvonnan kohteeksi, ei vain reaktiivisen täytäntöönpanon. [1][7]

Tarvitseeko minun päivittää tietosuojakäytäntöni CCPA:n vuoksi

Kyllä. Kattavien yritysten on ylläpidettävä tietosuojakäytäntöä, joka paljastaa vähintään:

Kerättyjen henkilötietojen luokat ja keräämisen tarkoitukset
Myydäänkö tai jaetaanko henkilötietoja ja mihin kolmansiin osapuoliin se liittyy
CCPA:n mukaiset kuluttajien oikeudet (opt-out, poistaminen, pääsy, korjaaminen, siirrettävyys)
Kuinka kuluttajat voivat tehdä pyyntöjä näiden oikeuksien käyttämiseksi
Kunkin henkilötietoluokan säilytysaika [4][6]

Tietosuojakäytännöt on päivitettävä vähintään kerran 12 kuukaudessa. Käytännön päivittämättä jättäminen tietokäytäntöjen olennaisen muutoksen jälkeen, kuten uuden analytiikkatoimittajan lisääminen, on itsessään vaatimustenmukaisuuden rikkomus.

Kuinka varmistan, että kuluttajan opt-out-pyyntö on oikeutettu

Erityisesti opt-out-pyyntöjen osalta CCPA ei edellytä yritysten varmistavan pyynnön tekevän kuluttajan henkilöllisyyttä. [2] Tämä on tarkoituksellista: henkilöllisyyden varmistaminen opt-out-pyynnöissä loisi kitkaa, joka heikentäisi oikeutta.

Yritykset voivat kuitenkin käyttää kohtuullisia keinoja varmistaakseen, ettei pyyntö ole vilpillinen, kuten vahvistamalla tiliin liittyvän sähköpostiosoitteen. Opt-out-varmennuksen standardi on tarkoituksellisesti alhaisempi kuin poisto- tai pääsyvaatimusten osalta, joissa henkilöllisyyden varmistaminen on asianmukaista, koska nämä pyynnöt sisältävät tietojen paljastamista tai tuhoamista.

Reunatapa: Jos opt-out-pyyntö saapuu automaattisen signaalin (GPC) kautta, lisävarmennusvaihetta ei vaadita tai sallita, signaali itsessään muodostaa pätevän pyynnön. [3][7]

Miten opt-out-mekanismit toimivat mobiilisovelluksissa vs. verkkosivustoilla

Verkkosivustoilla opt-out-mekanismien on sisällettävä "Do Not Sell or Share My Personal Information" -linkki alatunnisteeseen ja niiden on kunnioitettava selaintason GPC-signaaleja. [3][7] Mobiilisovelluksissa vaatimukset ovat toiminnallisesti vastaavia, mutta toteutus eroaa:

Mobiilisovellusten on sisällettävä opt-out-vaihtoehto sovelluksen asetukset-valikkoon tai tietosuoja-asetukset-osioon.
Sovelluskauppojen kautta jaettujen sovellusten on noudatettava kaikkia muita alustakohtaisia tietosuojavaatimuksia (kuten App Tracking Transparency iOS:ssä), mutta nämä alustavaatimukset eivät korvaa CCPA:n noudattamista.
Mobiilikäyttöjärjestelmien automaattisia signaaleja on kunnioitettava samalla tavalla kuin selainpohjaisia GPC-signaaleja, jos yritys käsittelee kyseisiä tietoja.

Vuoden 2026 säännökset tekevät selväksi, että kanava (verkko vs. sovellus) ei muuta perusvelvoitetta, vain tekninen toteutus eroaa.

Mitä yleisiä virheitä yritykset tekevät CCPA:n noudattamisessa

Jopa hyvää tarkoittavat yritykset tekevät usein seuraavia virheitä:

Opt-outin käsittely opt-inina: Vaaditaan kuluttajia vahvistamaan opt-out-pyyntönsä useiden vaiheiden kautta, mikä rikkoo vuoden 2026 muutosten symmetriavaatimusta. [7]
GPC-signaalien huomiotta jättäminen: Tekniset järjestelmät eivät ole konfiguroitu tunnistamaan ja kunnioittamaan Global Privacy Control -selainsignaaleja, joita käsitellään nyt pätevinä opt-out-pyyntöinä. [3]
Opt-out-vahvistuksen näyttämättä jättäminen: Vuoden 2026 säännökset edellyttävät näkyvää vahvistusta siitä, että signaali on käsitelty; pelkkä taustajärjestelmän lokimerkintä ei riitä. [3]
Alavirran toimittajien unohtaminen: Kolmansien osapuolten tietojen vastaanottajien ilmoittamatta jättäminen opt-out-pyynnön vastaanottamisen jälkeen.
Staattiset tietosuojakäytännöt: Käytännön päivittämättä jättäminen vuosittain tai tietokäytäntöjen olennaisten muutosten jälkeen.
Palveluntarjoajien sekoittaminen kolmansiin osapuoliin: Sopimuksen mukaisesti tietoja käsittelevillä palveluntarjoajilla on erilaiset velvoitteet kuin kolmansilla osapuolilla, jotka vastaanottavat tietoja omiin tarkoituksiinsa.

UKK

Koskeeko CCPA voittoa tavoittelemattomia järjestöjä? Ei. CCPA koskee vain voittoa tavoittelevia yrityksiä. Voittoa tavoittelemattomat järjestöt eivät ole kattamia yrityksiä, vaikka ne voivat olla muiden Kalifornian tietosuojalakien alaisia.

Mikä on Global Privacy Control (GPC) ja onko minun kunnioitettava sitä? GPC on selaintason signaali, joka välittää kuluttajan opt-out-asetuksen automaattisesti. Tammikuun 1. päivästä 2026 alkaen kattamien yritysten, jotka käsittelevät selaindataa, on kunnioitettava GPC-signaaleja pätevinä opt-out-pyyntöinä ja näytettävä vahvistus siitä, että signaali on käsitelty. [3][7]

Voiko yritys veloittaa eri hinnan kuluttajilta, jotka kieltäytyvät? Yleensä ei. CCPA kieltää yrityksiä syrjimästä kuluttajia, jotka käyttävät tietosuojaoikeuksiaan, mukaan lukien veloittamalla eri hintoja, ellei ero liity kohtuullisesti kuluttajan tietojen arvoon. [4]

Kuinka kauan opt-out-tietoja on säilytettävä? CCPA ei määrittele yleistä säilytysaikaa opt-out-tiedoille, mutta yritysten tulisi säilyttää tietoja riittävän kauan osoittaakseen vaatimustenmukaisuuden tarkastuksen tai täytäntöönpanotoimien yhteydessä, tyypillisesti vähintään 24 kuukautta pidetään kohtuullisena perustana. [6]

Täyttääkö evästebanneri CCPA:n opt-out-vaatimukset? Pelkkä evästebanneri ei riitä. CCPA edellyttää erillistä "Do Not Sell or Share My Personal Information" -linkkiä, ja vuoden 2026 muutokset edellyttävät yritysten kunnioittavan ja vahvistavan GPC-signaaleja riippumatta evästesuostumuksen vuorovaikutuksesta. [3][7]

Mitä eroa on "myynnillä" ja "jakamisella" CCPA:n mukaan? "Myynti" tarkoittaa henkilötietojen vaihtamista rahallista korvausta vastaan. "Jakaminen" kattaa henkilötietojen paljastamisen kontekstien väliseen käyttäytymiseen perustuvaan mainontaan, jopa ilman maksua. Molemmat laukaisevat opt-out-oikeudet. [4]

Tarvitsenko erilliset opt-out-mekanismit jokaiselle datakategorialle? Ei. Yksi opt-out-mekanismi, joka kattaa myynnin ja jakamisen, riittää, vaikka yritysten on kuvattava selkeästi tietosuojakäytännössään, mitä datakategorioita se kattaa.

Mikä on riskinarviointi vuoden 2026 CCPA-muutosten mukaan? Yritysten, jotka käsittelevät henkilötietoja tavoilla, jotka aiheuttavat merkittäviä tietosuojariskejä, mukaan lukien automaattisen päätöksentekoteknologian käyttö, on suoritettava ja dokumentoitava riskinarvioinnit ennen kyseisen käsittelyn aloittamista. [1][7]

Johtopäätös

CCPA selitettynä: kuinka hallita Kalifornian kuluttajien opt-out-pyyntöjä on liikkuva kohde, ja vuoden 2026 muutokset ovat nostaneet rimaa huomattavasti. Keskeiset velvoitteet, selkeän opt-out-mekanismin tarjoaminen, kuluttajien pyyntöjen kunnioittaminen 15 työpäivän kuluessa ja tietosuojakäytännön päivittäminen, pysyvät perustana. Mutta uudet vaatimukset GPC-signaalin vahvistuksen, pimeiden kuvioiden kiellon ja ADMT-riskinarviointien ympärillä edellyttävät järjestelmällisempää lähestymistapaa kuin staattinen alatunnisteen linkki voi tarjota.

Toiminnalliset seuraavat vaiheet kattamille yrityksille:

Tarkasta nykyinen opt-out-prosessisi vuoden 2026 symmetriavaatimuksen mukaisesti: laske opt-out-vaiheet ja vertaa niitä opt-in-vaiheisiin.
Varmista, että verkkosivustosi ja mobiilisovelluksesi havaitsevat ja kunnioittavat Global Privacy Control -signaaleja ja että näkyvä vahvistusviesti näytetään, kun signaali vastaanotetaan.
Tarkista kolmannen osapuolen toimittajaluettelosi ja varmista, että alavirran ilmoitusmenettelyt ovat käytössä opt-outin jälkeisissä tietovirroissa.
Päivitä tietosuojakäytäntösi vastaamaan nykyisiä tietokäytäntöjä, säilytysaikoja ja täydellistä luetteloa kuluttajien oikeuksista.
Arvioi suostumustenhallintajärjestelmä, kuten Biscotti CMP, automatisoimaan signaalien tunnistuksen, opt-out-vahvistuksen ja asetusten kirjaamisen verkko- ja mobiilikanavilla.

Vaatimustenmukaisuus ei ole kertaluonteinen projekti. CPPA on osoittanut halukkuutensa antaa ohjeita ja ryhtyä täytäntöönpanotoimiin, ja sääntely-ympäristö kehittyy edelleen. Toistettavien, auditoitavien prosessien rakentaminen nyt on puolustettavin asema, jonka kattama yritys voi ottaa.