त्वरित उत्तर: कैलिफ़ोर्निया प्राइवेसी राइट्स एक्ट (CPRA) ने मूल कैलिफ़ोर्निया कंज्यूमर प्राइवेसी एक्ट (CCPA) में पर्याप्त संशोधन किए, जिसमें नए उपभोक्ता अधिकार, एक समर्पित प्रवर्तन एजेंसी, सख्त दंड और संवेदनशील व्यक्तिगत जानकारी की एक पूरी नई श्रेणी पेश की गई। वेबसाइट ऑपरेटरों के लिए, CCPA बनाम CPRA: कैलिफ़ोर्निया में वेबसाइट ऑपरेटरों के लिए क्या बदला? यह एक सैद्धांतिक प्रश्न नहीं है, यह सीधे तौर पर अद्यतन गोपनीयता नीतियों, नए सहमति तंत्रों और तीसरे पक्ष के विक्रेताओं के साथ विस्तारित संविदात्मक दायित्वों में बदल जाता है।
मुख्य बातें
- CPRA 1 जुलाई, 2023 को पूरी तरह से लागू हो गया, जिसने CCPA ढांचे को बदल दिया और उसका विस्तार किया।
- एक नई "संवेदनशील व्यक्तिगत जानकारी" (SPI) श्रेणी के लिए उस डेटा को एकत्र करने वाली वेबसाइटों पर एक समर्पित ऑप्ट-आउट लिंक की आवश्यकता होती है।
- उपभोक्ताओं को गलत व्यक्तिगत डेटा को ठीक करने का अधिकार मिला, एक ऐसा अधिकार जो मूल CCPA के तहत मौजूद नहीं था।
- प्रयोज्यता सीमा 50,000 से बढ़कर 100,000 उपभोक्ताओं या घरों तक हो गई, जिससे कुछ छोटे ऑपरेटरों को छूट मिली।
- क्रॉस-कॉन्टेक्स्ट व्यवहारिक विज्ञापन के लिए व्यक्तिगत डेटा "साझा करना" अब एक "बिक्री" के रूप में गिना जाता है, जिसके लिए ऑप्ट-आउट तंत्र की आवश्यकता होती है।
- वेबसाइट ऑपरेटरों को ग्लोबल प्राइवेसी कंट्रोल (GPC) संकेतों को वैध ऑप्ट-आउट अनुरोधों के रूप में मानना चाहिए।
- 1 जनवरी, 2025 तक अनजाने उल्लंघन के लिए प्रशासनिक जुर्माना बढ़कर $2,663 और जानबूझकर उल्लंघन के लिए $7,988 हो गया।
- कैलिफ़ोर्निया प्राइवेसी प्रोटेक्शन एजेंसी (CPPA) के पास अब अटॉर्नी जनरल से अलग स्वतंत्र प्रवर्तन प्राधिकरण है।
- स्वचालित निर्णय लेने की पारदर्शिता आवश्यकताएं 1 जनवरी, 2027 को प्रभावी होने वाली हैं।
- उच्च जोखिम वाली डेटा प्रोसेसिंग गतिविधियों के लिए जोखिम मूल्यांकन और साइबर सुरक्षा ऑडिट अब अनिवार्य हैं।
CCPA और CPRA में क्या अंतर है?
1 जनवरी, 2020 को प्रभावी CCPA ने कैलिफ़ोर्निया के उपभोक्ताओं को उनके व्यक्तिगत डेटा पर आधारभूत अधिकार दिए: जानने का अधिकार, हटाने का अधिकार और उनकी जानकारी की बिक्री से ऑप्ट-आउट करने का अधिकार। नवंबर 2020 में कैलिफ़ोर्निया के मतदाताओं द्वारा पारित और 1 जुलाई, 2023 से पूरी तरह से लागू CPRA ने CCPA को सीधे तौर पर नहीं बदला, बल्कि इसमें संशोधन किया और इसका महत्वपूर्ण विस्तार किया [1]।
मुख्य संरचनात्मक अंतरों में शामिल हैं:
| विशेषता | CCPA (मूल) | CPRA (संशोधित) |
|---|---|---|
| प्रवर्तन निकाय | कैलिफ़ोर्निया अटॉर्नी जनरल | CPPA + अटॉर्नी जनरल |
| संवेदनशील डेटा श्रेणी | परिभाषित नहीं | औपचारिक रूप से परिभाषित (SPI) |
| सुधार का अधिकार | शामिल नहीं | शामिल |
| "बिक्री" की परिभाषा | मूल्य के लिए डेटा विनिमय | विज्ञापन के लिए "साझा करना" शामिल है |
| प्रयोज्यता सीमा | 50,000 उपभोक्ता/घर | 100,000 उपभोक्ता/घर |
| जोखिम मूल्यांकन | आवश्यक नहीं | उच्च जोखिम वाली प्रोसेसिंग के लिए आवश्यक |
| GPC सिग्नल अनुपालन | अनिवार्य नहीं | अनिवार्य |
वेबसाइट ऑपरेटरों के लिए व्यावहारिक परिणाम यह है कि CPRA बनाम CCPA अनुपालन केवल कागजी कार्रवाई का अद्यतन नहीं है, इसके लिए सहमति प्रवाह, गोपनीयता नीतियों और विक्रेता अनुबंधों में वास्तुशिल्प परिवर्तनों की आवश्यकता है [2]।
CPRA कब लागू हुआ और उसने CCPA को कब बदला?
CPRA के महत्वपूर्ण अधिकार और दायित्व 1 जनवरी, 2022 को या उसके बाद एकत्र किए गए डेटा पर लागू हुए, जिसका प्रवर्तन 1 जुलाई, 2023 से शुरू हुआ। एक साल की प्रवर्तन छूट अवधि उस तारीख को समाप्त हो गई, जिसका अर्थ है कि कैलिफ़ोर्निया प्राइवेसी प्रोटेक्शन एजेंसी बिना किसी पूर्व चेतावनी के जुर्माना जारी करना शुरू कर सकती है [4]।
2026 तक CCPA-युग की नीतियों के तहत काम कर रहे वेबसाइट ऑपरेटरों के लिए, जोखिम वास्तविक और तत्काल है।
CPRA के तहत उपभोक्ताओं के पास कौन से नए अधिकार हैं जो CCPA में नहीं थे?
CPRA ने दो उपभोक्ता अधिकार जोड़े जो मूल CCPA ढांचे में अनुपस्थित थे:
सुधार का अधिकार: उपभोक्ता अब किसी व्यवसाय से उनके बारे में रखी गई गलत व्यक्तिगत जानकारी को ठीक करने का अनुरोध कर सकते हैं। वेबसाइट ऑपरेटरों को एक सत्यापन योग्य अनुरोध प्रक्रिया स्थापित करनी होगी और 45 दिनों के भीतर सुधार अनुरोधों पर कार्रवाई करनी होगी [2]।
संवेदनशील व्यक्तिगत जानकारी के उपयोग को सीमित करने का अधिकार: उपभोक्ता इस बात को प्रतिबंधित कर सकते हैं कि व्यवसाय अपनी SPI का उपयोग उस उद्देश्य से परे कैसे करते हैं जिसके लिए इसे मूल रूप से एकत्र किया गया था। इस अधिकार के लिए वेबसाइट पर एक अलग, स्पष्ट रूप से लेबल वाला ऑप्ट-आउट तंत्र आवश्यक है [1]।
ये अतिरिक्त जानने, हटाने, बिक्री से ऑप्ट-आउट करने और गैर-भेदभाव के मौजूदा अधिकारों के साथ बैठते हैं, जिससे किसी भी साइट के लिए एक अधिक स्तरीय अनुपालन आवश्यकता बनती है जो बुनियादी विश्लेषण से परे उपयोगकर्ता डेटा एकत्र करती है।
CPRA के तहत सुधार का अधिकार क्या है?
सुधार का अधिकार CPRA में सबसे अधिक परिचालन रूप से मांग वाले परिवर्धनों में से एक है। जब कोई उपभोक्ता एक सत्यापित सुधार अनुरोध प्रस्तुत करता है, तो व्यवसाय को गलत व्यक्तिगत जानकारी को ठीक करने के लिए व्यावसायिक रूप से उचित प्रयास करने चाहिए और किसी भी सेवा प्रदाताओं या ठेकेदारों को निर्देश देना चाहिए जिन्होंने उस डेटा को प्राप्त किया है ताकि वही सुधार किया जा सके [2]।
वेबसाइट ऑपरेटरों के लिए, इसका मतलब है:
- एक सुधार अनुरोध सेवन तंत्र (वेब फॉर्म, ईमेल प्रक्रिया, या खाता पोर्टल) का निर्माण।
- सुधार का दस्तावेजीकरण और डाउनस्ट्रीम डेटा प्रोसेसर को सूचित करना।
- 45 दिनों के भीतर प्रतिक्रिया देना, यदि आवश्यक हो तो एक 45-दिवसीय विस्तार की अनुमति है।
सामान्य गलती: कई ऑपरेटर मानते हैं कि सुधार का अधिकार केवल खाता प्रोफ़ाइल डेटा पर लागू होता है। व्यवहार में, यह किसी भी व्यक्तिगत जानकारी तक फैला हुआ है जो व्यवसाय रखता है, जिसमें व्यवहार डेटा, अनुमानित प्राथमिकताएं और खरीद इतिहास शामिल है।
CPRA में कौन सी नई डेटा श्रेणियां शामिल हैं जो CCPA में नहीं थीं?
CPRA ने औपचारिक रूप से "संवेदनशील व्यक्तिगत जानकारी" (SPI) को एक अलग, उच्च-सुरक्षा डेटा श्रेणी के रूप में परिभाषित किया। CCPA में कोई समान वर्गीकरण नहीं था [1]।
CPRA के तहत SPI में शामिल हैं:
- सामाजिक सुरक्षा नंबर और सरकार द्वारा जारी आईडी
- वित्तीय खाता क्रेडेंशियल (लॉगिन प्लस सुरक्षा कोड)
- सटीक भू-स्थान डेटा
- नस्लीय या जातीय मूल, धार्मिक विश्वास और संघ सदस्यता
- निजी संचार की सामग्री (मेल, ईमेल, टेक्स्ट)
- पहचान के लिए संसाधित आनुवंशिक और बायोमेट्रिक डेटा
- स्वास्थ्य जानकारी और यौन जीवन या यौन अभिविन्यास
इनमें से किसी भी श्रेणी को एकत्र करने वाले वेबसाइट ऑपरेटरों को "मेरी संवेदनशील व्यक्तिगत जानकारी के उपयोग को सीमित करें" लिंक प्रदान करना होगा, जो CCPA के तहत पहले से आवश्यक "मेरी व्यक्तिगत जानकारी न बेचें" लिंक के समान कार्यात्मक रूप से है [1]।
CPRA बनाम CCPA: मेरे व्यवसाय पर कौन सा लागू होता है?
2026 तक, CPRA ढांचा उन लाभ-उन्मुख व्यवसायों पर लागू होता है जो कैलिफ़ोर्निया में व्यवसाय करते हैं और इनमें से कम से कम एक सीमा को पूरा करते हैं [7]:
- वार्षिक सकल राजस्व $25 मिलियन से अधिक।
- प्रति वर्ष 100,000 या अधिक कैलिफ़ोर्निया उपभोक्ताओं या घरों की व्यक्तिगत जानकारी खरीदता, बेचता, प्राप्त करता या साझा करता है (CCPA के तहत 50,000 से बढ़ाया गया)।
- उपभोक्ताओं की व्यक्तिगत जानकारी बेचने या साझा करने से वार्षिक राजस्व का 50% या अधिक प्राप्त करता है।
CPRA अनुपालन चुनें यदि: आपकी वेबसाइट कैलिफ़ोर्निया के निवासियों को सेवा प्रदान करती है और आप उपरोक्त मानदंडों में से किसी एक को पूरा करते हैं। यदि आप पहले CCPA की 50,000-उपभोक्ता सीमा के तहत योग्य थे, लेकिन सालाना 100,000 से कम रिकॉर्ड संसाधित करते हैं, तो आप अब सीधे अधीन नहीं हो सकते हैं, हालांकि बड़े भागीदारों के साथ संविदात्मक दायित्वों के लिए अभी भी पालन की आवश्यकता हो सकती है।
किनारे का मामला: गैर-लाभकारी संगठन और विशुद्ध रूप से B2B ऑपरेटर आम तौर पर छूट प्राप्त होते हैं, लेकिन कवर किए गए व्यवसायों के सेवा प्रदाताओं और ठेकेदारों के अपने CPRA दायित्व होते हैं [3]।
CPRA मेरी वेबसाइट की गोपनीयता नीति को कैसे प्रभावित करता है?
एक CCPA-अनुरूप गोपनीयता नीति अब पर्याप्त नहीं है। CPRA के लिए वेबसाइट ऑपरेटरों को अपनी गोपनीयता नीतियों को अपडेट करने की आवश्यकता है ताकि वे [2][3] को प्रतिबिंबित कर सकें:
- नई SPI श्रेणी और इसके उपयोग को सीमित करने का अधिकार।
- गलत व्यक्तिगत जानकारी को ठीक करने का अधिकार।
- क्रॉस-कॉन्टेक्स्ट व्यवहारिक विज्ञापन के लिए "साझा करना" शामिल करने के लिए "बिक्री" की विस्तारित परिभाषा।
- व्यवसाय GPC संकेतों पर कैसे प्रतिक्रिया देता है।
- एकत्र की गई व्यक्तिगत जानकारी की प्रत्येक श्रेणी के लिए डेटा प्रतिधारण अवधि।
- क्या स्वचालित निर्णय लेने का उपयोग किया जाता है और उपभोक्ता कैसे ऑप्ट-आउट कर सकते हैं।
गोपनीयता नीतियों की समीक्षा कम से कम हर 12 महीने में एक बार की जानी चाहिए और वर्तमान डेटा प्रथाओं को प्रतिबिंबित करने के लिए अद्यतन किया जाना चाहिए। CPRA परिवर्धन के बिना CCPA-युग के अधिकारों का वर्णन करने वाली पुरानी नीतियां एक सामान्य प्रवर्तन ट्रिगर हैं।
क्या मुझे CPRA अनुपालन के लिए अपने सहमति फॉर्म को अपडेट करने की आवश्यकता है?
हाँ। CCPA के तहत पर्याप्त सहमति तंत्रों को CPRA के लिए सार्थक अपडेट की आवश्यकता है। विशेष रूप से, वेबसाइट ऑपरेटरों को [3][5] करना चाहिए:
- यदि साइट SPI एकत्र करती है तो "मेरी संवेदनशील व्यक्तिगत जानकारी के उपयोग को सीमित करें" ऑप्ट-आउट लिंक जोड़ें।
- बिक्री और साझाकरण से ऑप्ट-आउट के वैध के रूप में GPC ब्राउज़र संकेतों का सम्मान करें, इसके लिए उपयोगकर्ता को अतिरिक्त कदम उठाने की आवश्यकता नहीं हो सकती है।
- 16 वर्ष से कम उम्र के उपभोक्ताओं की व्यक्तिगत जानकारी बेचने या साझा करने से पहले सकारात्मक ऑप्ट-इन सहमति प्राप्त करें।
- सुनिश्चित करें कि क्रॉस-कॉन्टेक्स्ट व्यवहारिक विज्ञापन (रीटारगेटिंग, विज्ञापन प्लेटफार्मों के साथ दर्शक साझाकरण) के लिए सहमति को अन्य डेटा उपयोगों से स्पष्ट रूप से अलग किया गया है।
एक सहमति प्रबंधन प्लेटफ़ॉर्म GPC पहचान और वरीयता रिकॉर्डिंग को स्वचालित करने में मदद कर सकता है। Biscotti CMP (www.biscotti-cmp.com) को इन CPRA-विशिष्ट आवश्यकताओं को संभालने के लिए बनाया गया है, जिसमें SPI ऑप्ट-आउट प्रवाह और GPC सिग्नल अनुपालन शामिल है, जिसमें वेबसाइट ऑपरेटर से कस्टम विकास की आवश्यकता नहीं है।
CPRA का पालन न करने पर क्या दंड हैं?
1 जनवरी, 2025 तक, CPRA ढांचे के तहत प्रशासनिक जुर्माना [5] हैं:
- अनजाने उल्लंघन के लिए $2,663।
- जानबूझकर उल्लंघन के लिए $7,988।
- 16 वर्ष से कम उम्र के उपभोक्ताओं की व्यक्तिगत जानकारी से जुड़े उल्लंघनों के लिए $7,988 प्रति उल्लंघन (तीन गुना)।
इन आंकड़ों को समय-समय पर मुद्रास्फीति के लिए समायोजित किया जाता है। जुर्माना प्रति उल्लंघन का आकलन किया जाता है, जिसका अर्थ है कि हजारों उपभोक्ताओं को प्रभावित करने वाली एक गैर-अनुपालन डेटा प्रथा लाखों में कुल देयता उत्पन्न कर सकती है। CPPA के पास अटॉर्नी जनरल से रेफरल के बिना प्रवर्तन कार्रवाई शुरू करने का स्वतंत्र अधिकार है [4]।
महत्वपूर्ण: CPRA ने 30-दिवसीय उपचार अवधि को समाप्त कर दिया जो अधिकांश उल्लंघनों के लिए CCPA के तहत मौजूद थी, जिससे एक सुरक्षा जाल हट गया जिस पर कई ऑपरेटर निर्भर थे।
CPRA अनुपालन के साथ वेबसाइटें कौन सी सामान्य गलतियाँ करती हैं?
विस्तारित आवश्यकताओं के आधार पर, सबसे लगातार अनुपालन विफलताएं [3][6] में शामिल हैं:
- GPC संकेतों को अनदेखा करना: ब्राउज़र-स्तरीय ऑप्ट-आउट संकेतों का पता लगाने और उनका सम्मान करने में विफल रहना CPPA की घोषित प्रवर्तन प्राथमिकताओं में से एक है।
- SPI ऑप्ट-आउट लिंक गायब होना: SPI एकत्र होने पर अलग "SPI उपयोग सीमित करें" लिंक के बिना केवल "न बेचें" लिंक जोड़ना।
- पुराने विक्रेता अनुबंध: सेवा प्रदाताओं के साथ डेटा प्रोसेसिंग समझौतों को CPRA-आवश्यक शर्तों को शामिल करने के लिए अपडेट नहीं करना।
- कोई डेटा प्रतिधारण अनुसूची नहीं: CPRA व्यवसायों को प्रतिधारण अवधि का खुलासा करने और उनका पालन करने की आवश्यकता है; कई गोपनीयता नीतियां अभी भी इसे छोड़ देती हैं।
- यह मानना कि उपचार अवधि अभी भी लागू होती है: जो ऑपरेटर उल्लंघनों को ठीक करने से पहले नोटिस की प्रतीक्षा करते हैं, उन्हें तत्काल जुर्माना का सामना करना पड़ सकता है।
- सुधार के अधिकार को अनदेखा करना: केवल विलोपन वर्कफ़्लो का निर्माण करना जिसमें सुधार अनुरोध हैंडलिंग न हो।
क्या छोटे व्यवसायों के लिए अलग CPRA आवश्यकताएं हैं?
50,000 से 100,000 उपभोक्ताओं तक की सीमा वृद्धि सीधे छोटे वेबसाइट ऑपरेटरों पर अनुपालन बोझ को कम करती है [7]। एक छोटी ई-कॉमर्स साइट या SaaS उत्पाद जो सालाना 100,000 से कम कैलिफ़ोर्निया उपभोक्ताओं को सेवा प्रदान करता है, जिसका राजस्व $25 मिलियन से कम है और डेटा बिक्री से कोई राजस्व नहीं है, CPRA के प्रत्यक्ष दायरे से बाहर आता है।
हालांकि, छोटे व्यवसायों को ध्यान देना चाहिए:
- यदि वे किसी कवर किए गए व्यवसाय के लिए सेवा प्रदाता के रूप में कार्य करते हैं, तो वे आकार की परवाह किए बिना संविदात्मक CPRA दायित्वों को प्राप्त करते हैं।
- उद्यम ग्राहकों द्वारा स्वैच्छिक अनुपालन की उम्मीद तेजी से की जा रही है और यह एक प्रतिस्पर्धी अंतर हो सकता है।
- अन्य राज्यों ने इसी तरह के कानून बनाए हैं, और 2026 तक संघीय गोपनीयता कानून पर सक्रिय चर्चा जारी है।
CPRA-अनुरूप बनने में कितना खर्च आता है?
कोई निश्चित अनुपालन लागत नहीं है, यह वेबसाइट के डेटा पारिस्थितिकी तंत्र की जटिलता के आधार पर काफी भिन्न होती है। सामान्य लागत चालकों में शामिल हैं:
- गोपनीयता नीति अद्यतन: यदि घर में किया जाता है तो कम लागत; यदि कानूनी वकील का उपयोग किया जाता है तो $500, $3,000+।
- सहमति प्रबंधन प्लेटफ़ॉर्म: चल रही SaaS सदस्यता; मूल्य निर्धारण यातायात की मात्रा और सुविधा सेट के अनुसार भिन्न होता है।
- तकनीकी कार्यान्वयन: ऑप्ट-आउट लिंक, GPC पहचान और सुधार अनुरोध वर्कफ़्लो जोड़ने के लिए डेवलपर समय।
- विक्रेता अनुबंध समीक्षा: सभी तीसरे पक्ष के प्रोसेसर के साथ डेटा प्रोसेसिंग समझौतों की कानूनी समीक्षा।
- जोखिम मूल्यांकन: उच्च जोखिम वाली प्रोसेसिंग के लिए, औपचारिक मूल्यांकन के लिए बाहरी सलाहकारों की आवश्यकता हो सकती है।
अधिकांश मध्यम आकार के वेबसाइट ऑपरेटरों के लिए, प्रारंभिक अनुपालन सुधार कई हजार डॉलर की सीमा में चलता है, जिसमें नीति रखरखाव और सहमति प्रबंधन के लिए चल रही परिचालन लागतें शामिल हैं। गैर-अनुपालन की लागत, प्रति-उल्लंघन जुर्माने को देखते हुए, निवेश से काफी अधिक है।
मुझे कैसे पता चलेगा कि CPRA मेरे वेबसाइट आगंतुकों पर लागू होता है?
CPRA उपभोक्ता के निवास स्थान के आधार पर लागू होता है, न कि व्यवसाय के स्थान पर। यदि किसी वेबसाइट पर कैलिफ़ोर्निया-निवासी आगंतुक हैं और ऑपरेटर तीन व्यावसायिक सीमाओं में से किसी एक को पूरा करता है, तो CPRA दायित्व उन आगंतुकों से एकत्र किए गए डेटा पर लागू होते हैं [7][8]।
व्यावहारिक संकेतक कि CPRA संभवतः लागू होता है:
- वेबसाइट भू-अवरुद्ध कैलिफ़ोर्निया के बिना अमेरिकी उपयोगकर्ताओं से ऑर्डर, पंजीकरण या विज्ञापन लक्ष्यीकरण स्वीकार करती है।
- व्यवसाय तीसरे पक्ष के विज्ञापन नेटवर्क का उपयोग करता है जो क्रॉस-कॉन्टेक्स्ट व्यवहारिक विज्ञापन में संलग्न होते हैं।
- वेबसाइट उपयोगकर्ताओं से किसी भी प्रकार की SPI (स्वास्थ्य प्रश्नावली, वित्तीय डेटा, सटीक स्थान) एकत्र करती है।
जब संदेह हो, तो रूढ़िवादी और कानूनी रूप से बचाव योग्य स्थिति सभी अमेरिकी वेबसाइट आगंतुकों को CPRA के तहत संभावित रूप से कवर के रूप में मानना और तदनुसार अनुपालन सहमति प्रवाह को लागू करना है।
अनिवार्य जोखिम मूल्यांकन, साइबर सुरक्षा ऑडिट और आगे क्या आता है
CPRA के लिए उच्च जोखिम वाली प्रोसेसिंग में लगे व्यवसायों को नियमित जोखिम मूल्यांकन और साइबर सुरक्षा ऑडिट करने की आवश्यकता है। इन आवश्यकताओं का विवरण देने वाले विनियमों को 2025 में अंतिम रूप दिया गया और 2026 में प्रभावी हुए [6]। उच्च जोखिम वाली गतिविधियों में बड़े पैमाने पर SPI को संसाधित करना, महत्वपूर्ण निर्णयों के लिए उपभोक्ताओं को प्रोफाइल करना, और बड़ी संख्या में तीसरे पक्ष के साथ डेटा बेचना या साझा करना शामिल है।
इसके अतिरिक्त, स्वचालित निर्णय लेने की पारदर्शिता आवश्यकताएं, जिसमें रोजगार, क्रेडिट, आवास और इसी तरह के महत्वपूर्ण निर्णयों के लिए प्रोफाइलिंग शामिल है, 1 जनवरी, 2027 को प्रभावी होने वाली हैं [6]। एल्गोरिथम सिफारिश इंजन, क्रेडिट स्कोरिंग टूल, या व्यवहारिक प्रोफाइलिंग का उपयोग करने वाले वेबसाइट ऑपरेटरों को अब अनुपालन योजना शुरू करनी चाहिए।
निष्कर्ष
CCPA बनाम CPRA को समझना: कैलिफ़ोर्निया में वेबसाइट ऑपरेटरों के लिए क्या बदला? कैलिफ़ोर्निया के निवासियों को बड़े पैमाने पर सेवा प्रदान करने वाले किसी भी व्यवसाय के लिए वैकल्पिक नहीं है। CPRA ने महत्वपूर्ण नए दायित्वों, संवेदनशील डेटा श्रेणियों, सुधार के अधिकार, GPC सिग्नल अनुपालन, विस्तारित विक्रेता आवश्यकताओं और वास्तविक जुर्माना प्राधिकरण के साथ एक समर्पित प्रवर्तन एजेंसी की शुरुआत की, जो केवल नीति अपडेट नहीं, बल्कि ठोस परिचालन प्रतिक्रियाओं की मांग करती है।
2026 में वेबसाइट ऑपरेटरों के लिए कार्रवाई योग्य अगले कदम:
- SPI श्रेणी सूची के विरुद्ध अपनी वर्तमान डेटा संग्रह प्रथाओं का ऑडिट करें और यदि लागू हो तो आवश्यक ऑप्ट-आउट लिंक जोड़ें।
- CPRA अधिकारों, डेटा प्रतिधारण अनुसूचियों और "बिक्री" की विस्तारित परिभाषा को प्रतिबिंबित करने के लिए अपनी गोपनीयता नीति को अपडेट करें।
- GPC सिग्नल पहचान लागू करें, यह एक प्रवर्तन प्राथमिकता है और इसे टाला नहीं जा सकता है।
- सेवा प्रदाताओं और ठेकेदारों के साथ सभी डेटा प्रोसेसिंग समझौतों की समीक्षा और अद्यतन करें।
- अपनी मौजूदा विलोपन प्रक्रिया के साथ एक सुधार अनुरोध वर्कफ़्लो बनाएं।
- यदि आपकी साइट उच्च जोखिम वाली प्रोसेसिंग में संलग्न है, तो नियामकों द्वारा आपके लिए एक शुरू करने से पहले एक औपचारिक जोखिम मूल्यांकन शुरू करें।
- ऑप्ट-आउट प्रवाह, GPC अनुपालन और वरीयता रिकॉर्डकीपिंग को स्वचालित करने के लिए Biscotti CMP (www.biscotti-cmp.com) जैसे सहमति प्रबंधन समाधान का मूल्यांकन करें।
2026 में CPRA का प्रवर्तन प्रक्षेपवक्र सक्रिय अनुपालन को एकमात्र तर्कसंगत रणनीति बनाता है।
अक्सर पूछे जाने वाले प्रश्न
प्रश्न: क्या CPRA CCPA 2.0 के समान है? CPRA को आमतौर पर "CCPA 2.0" कहा जाता है क्योंकि इसने CCPA को बदलने के बजाय उसमें संशोधन किया। इसने मूल CCPA ढांचे को बनाए रखते हुए नए अधिकार, एक नई प्रवर्तन एजेंसी और नई डेटा श्रेणियां जोड़ीं।
प्रश्न: CPRA प्रवर्तन कब शुरू हुआ? पूर्ण प्रवर्तन 1 जुलाई, 2023 को शुरू हुआ। CPPA उस तारीख के बाद होने वाले उल्लंघनों के लिए जुर्माना जारी कर सकता है, जिसमें अधिकांश उल्लंघनों के लिए कोई पूर्व उपचार अवधि नहीं है।
प्रश्न: क्या CPRA कैलिफ़ोर्निया के बाहर के व्यवसायों पर लागू होता है? हाँ। कोई भी लाभ-उन्मुख व्यवसाय जो कैलिफ़ोर्निया के निवासियों से व्यक्तिगत जानकारी एकत्र करता है और प्रयोज्यता सीमाओं को पूरा करता है, उसे अनुपालन करना होगा, भले ही व्यवसाय का मुख्यालय कहीं भी हो।
प्रश्न: GPC सिग्नल क्या है और यह क्यों मायने रखता है? एक ग्लोबल प्राइवेसी कंट्रोल (GPC) एक ब्राउज़र-स्तरीय सेटिंग है जो उपभोक्ता की ऑप्ट-आउट वरीयता को संकेत देती है। CPRA के तहत, वेबसाइट ऑपरेटरों को GPC संकेतों को वैध ऑप्ट-आउट अनुरोधों के रूप में पहचानना और उनका सम्मान करना चाहिए, उन्हें अनदेखा करना एक अनुपालन उल्लंघन है।
प्रश्न: क्या CPRA कर्मचारी डेटा पर लागू होता है? हाँ। 1 जनवरी, 2023 तक, कर्मचारी और B2B डेटा के लिए अस्थायी छूट समाप्त हो गई। कर्मचारी व्यक्तिगत जानकारी अब पूर्ण CPRA सुरक्षा के अधीन है।
प्रश्न: CPRA के तहत "बिक्री" और "साझाकरण" में क्या अंतर है? मूल CCPA के तहत, "बिक्री" के लिए मौद्रिक मूल्य के लिए विनिमय की आवश्यकता होती थी। CPRA ने इसे तीसरे पक्ष के साथ क्रॉस-कॉन्टेक्स्ट व्यवहारिक विज्ञापन के लिए व्यक्तिगत डेटा "साझा करना" शामिल करने के लिए विस्तारित किया, भले ही सीधे भुगतान के बिना।
प्रश्न: CPRA के तहत गोपनीयता नीति को कितनी बार अपडेट किया जाना चाहिए? कम से कम, हर 12 महीने में एक बार। जब भी डेटा प्रथाओं में भौतिक परिवर्तन होता है, तो इसे भी अपडेट किया जाना चाहिए।
प्रश्न: क्या गैर-लाभकारी CPRA से छूट प्राप्त हैं? आम तौर पर हाँ, CPRA लाभ-उन्मुख व्यवसायों पर लागू होता है। हालांकि, कवर किए गए व्यवसायों के लिए सेवा प्रदाताओं के रूप में कार्य करने वाले गैर-लाभकारी संगठनों के संविदात्मक अनुपालन दायित्व हो सकते हैं।
प्रश्न: यदि कोई उपभोक्ता सुधार अनुरोध प्रस्तुत करता है और व्यवसाय असहमत होता है तो क्या होता है? व्यवसाय सुधार को अस्वीकार कर सकता है यदि वह निर्धारित करता है कि जानकारी सटीक है, लेकिन उसे निर्णय का दस्तावेजीकरण करना होगा और उपभोक्ता को इनकार के आधार के बारे में सूचित करना होगा।
प्रश्न: क्या CPRA के तहत कार्रवाई का कोई निजी अधिकार है? व्यक्तिगत जानकारी की कुछ श्रेणियों से जुड़े डेटा उल्लंघनों के लिए कार्रवाई का एक सीमित निजी अधिकार मौजूद है। अधिकांश अन्य उल्लंघनों को CPPA या अटॉर्नी जनरल द्वारा लागू किया जाता है, न कि निजी मुकदमों के माध्यम से।
इंटरैक्टिव CPRA अनुपालन चेकर
संदर्भ
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai