त्वरित उत्तर: कैलिफ़ोर्निया उपभोक्ता गोपनीयता अधिनियम (CCPA) कैलिफ़ोर्निया के निवासियों को उनकी व्यक्तिगत जानकारी की बिक्री या साझाकरण से ऑप्ट-आउट करने का अधिकार देता है। 1 जनवरी, 2026 से, संशोधित नियमों के लिए अब व्यवसायों को ऑप्ट-आउट वरीयता संकेतों (जैसे ग्लोबल प्राइवेसी कंट्रोल) का सम्मान करने, स्पष्ट रूप से पुष्टि करने कि उन संकेतों को संसाधित किया गया है, और यह सुनिश्चित करने की आवश्यकता है कि ऑप्ट-आउट प्रवाह ऑप्ट-इन प्रवाह से अधिक जटिल न हों। गैर-अनुपालन के परिणामस्वरूप प्रति जानबूझकर उल्लंघन $7,500 तक का नागरिक दंड हो सकता है।
मुख्य बातें
- CCPA विशिष्ट राजस्व, डेटा वॉल्यूम, या डेटा-बिक्री सीमा को पूरा करने वाले लाभ-उन्मुख व्यवसायों पर लागू होता है, न कि कैलिफ़ोर्निया में संचालित होने वाली हर कंपनी पर।
- 1 जनवरी, 2026 से, व्यवसायों को दृश्यमान पुष्टि प्रदर्शित करनी होगी जब एक ऑप्ट-आउट वरीयता संकेत (जैसे ग्लोबल प्राइवेसी कंट्रोल) को पहचाना और सम्मानित किया गया हो। [3]
- ऑप्ट-आउट तंत्र ऑप्ट-इन प्रवाह के रूप में उपयोग करने में आसान होने चाहिए; 2026 के संशोधनों के तहत ऑप्ट-आउट को हतोत्साहित करने वाले डार्क पैटर्न स्पष्ट रूप से निषिद्ध हैं। [7]
- व्यवसायों के पास उपभोक्ता ऑप्ट-आउट अनुरोध प्राप्त होने के 15 व्यावसायिक दिनों के भीतर उसका सम्मान करना होगा। [2]
- CCPA के तहत "व्यक्तिगत जानकारी" व्यापक है: इसमें IP पते, ब्राउज़िंग इतिहास, भू-स्थान डेटा, उपभोक्ता व्यवहार से निकाले गए अनुमान, और बहुत कुछ शामिल है।
- CCPA और GDPR मौलिक रूप से अलग-अलग सहमति मॉडल, ऑप्ट-आउट बनाम ऑप्ट-इन पर काम करते हैं, और कई व्यवसायों को एक साथ दोनों का पालन करना होगा।
- CCPA अधिकारों को दर्शाने के लिए अपनी गोपनीयता नीति को अपडेट करने में विफलता स्वयं एक अनुपालन अंतर है, तकनीकी ऑप्ट-आउट विफलताओं से अलग।
- Biscotti CMP जैसा एक सहमति प्रबंधन प्लेटफ़ॉर्म सिग्नल डिटेक्शन, ऑप्ट-आउट पुष्टिकरण प्रदर्शन, और वरीयता रिकॉर्ड-कीपिंग को स्वचालित कर सकता है।
CCPA क्या है और यह आपके व्यवसाय के लिए क्यों मायने रखता है
कैलिफ़ोर्निया उपभोक्ता गोपनीयता अधिनियम एक राज्य-स्तरीय गोपनीयता कानून है जो कैलिफ़ोर्निया के निवासियों को इस बात पर विशिष्ट अधिकार देता है कि व्यवसाय उनके व्यक्तिगत डेटा को कैसे एकत्र, उपयोग और बेचते हैं। यह मायने रखता है क्योंकि कैलिफ़ोर्निया दुनिया की पांचवीं सबसे बड़ी अर्थव्यवस्था है, और कोई भी व्यवसाय जो कैलिफ़ोर्निया के उपभोक्ताओं को छूता है, चाहे व्यवसाय का मुख्यालय कहीं भी हो, कानूनी रूप से अनुपालन करने के लिए आवश्यक हो सकता है।
CCPA को मूल रूप से 2018 में अधिनियमित किया गया था, जिसे 2020 में कैलिफ़ोर्निया गोपनीयता अधिकार अधिनियम (CPRA) द्वारा मजबूत किया गया था, और 22 सितंबर, 2025 को कैलिफ़ोर्निया कार्यालय प्रशासनिक कानून द्वारा अनुमोदित नियमों के साथ 1 जनवरी, 2026 से प्रभावी रूप से फिर से अपडेट किया गया था। [1][5] इन 2026 के संशोधनों ने स्वचालित निर्णय लेने वाली प्रौद्योगिकी (ADMT), जोखिम आकलन, और, अधिकांश व्यवसायों के लिए महत्वपूर्ण रूप से, ऑप्ट-आउट तंत्र डिजाइन और पुष्टिकरण आवश्यकताओं के आसपास नए कर्तव्य जोड़े। [1][7]
CCPA को समझना: कैलिफ़ोर्निया के उपभोक्ताओं के लिए ऑप्ट-आउट कैसे प्रबंधित करें, अब कवर किए गए व्यवसायों के लिए वैकल्पिक नहीं है। नियामक मंजिल बढ़ गई है, और प्रवर्तन भी बढ़ गया है।
मुझे कैसे पता चलेगा कि CCPA मेरी कंपनी पर लागू होता है
CCPA उन लाभ-उन्मुख व्यवसायों पर लागू होता है जो कैलिफ़ोर्निया में व्यवसाय करते हैं और निम्नलिखित में से कम से कम एक सीमा को पूरा करते हैं:
- वार्षिक सकल राजस्व $25 मिलियन से अधिक
- सालाना 100,000 या अधिक कैलिफ़ोर्निया के उपभोक्ताओं या घरों की व्यक्तिगत जानकारी खरीदना, बेचना, प्राप्त करना या साझा करना
- कैलिफ़ोर्निया के उपभोक्ताओं की व्यक्तिगत जानकारी बेचने या साझा करने से वार्षिक राजस्व का 50% या अधिक प्राप्त करना [4][6]
क्या CCPA एक निश्चित राजस्व से कम छोटे व्यवसायों पर लागू होता है? आम तौर पर, नहीं। यदि कोई व्यवसाय तीनों सीमाओं से नीचे आता है, तो वह CCPA के तहत कवर किया गया व्यवसाय नहीं है। हालांकि, सेवा प्रदाता और ठेकेदार जो कवर किए गए व्यवसायों की ओर से डेटा संसाधित करते हैं, वे संविदात्मक CCPA दायित्वों के अधीन होते हैं, भले ही वे अन्यथा स्वतंत्र रूप से योग्य न हों। [2]
किनारे का मामला: $25 मिलियन से कम राजस्व वाली एक छोटी SaaS कंपनी, लेकिन एक बड़े फ्री-टियर उपयोगकर्ता आधार के साथ, बिना एहसास किए 100,000-उपभोक्ता डेटा सीमा को आसानी से पार कर सकती है।
CCPA के तहत व्यक्तिगत जानकारी क्या मानी जाती है
CCPA के तहत व्यक्तिगत जानकारी को व्यापक रूप से किसी भी जानकारी के रूप में परिभाषित किया गया है जो किसी विशेष उपभोक्ता या घर की पहचान करती है, उससे संबंधित है, उसका वर्णन करती है, या उससे यथोचित रूप से जोड़ा जा सकता है। यह नाम और ईमेल पते से कहीं आगे जाता है।
कवर की गई श्रेणियों में शामिल हैं:
| श्रेणी | उदाहरण |
|---|---|
| पहचानकर्ता | नाम, ईमेल, IP पता, डिवाइस ID |
| वाणिज्यिक जानकारी | खरीद इतिहास, ब्राउज़िंग व्यवहार |
| बायोमेट्रिक डेटा | फिंगरप्रिंट, चेहरे की पहचान डेटा |
| इंटरनेट गतिविधि | कुकीज़, खोज इतिहास, साइट इंटरैक्शन |
| भू-स्थान | मोबाइल उपकरणों से सटीक स्थान |
| अनुमान | व्यवहार डेटा से निर्मित प्रोफाइल |
| संवेदनशील व्यक्तिगत जानकारी | सामाजिक सुरक्षा नंबर, स्वास्थ्य डेटा, सटीक भू-स्थान |
उपभोक्ता डेटा से वरीयताओं, विशेषताओं या व्यवहार के बारे में प्रोफाइल बनाने के लिए निकाले गए अनुमान स्पष्ट रूप से शामिल हैं। [4] यह विज्ञापन-तकनीक, विश्लेषण और वैयक्तिकरण पाइपलाइनों के लिए मायने रखता है।
CCPA ऑप्ट-आउट और ऑप्ट-इन में क्या अंतर है
CCPA एक ऑप्ट-आउट मॉडल पर काम करता है: व्यवसाय डिफ़ॉल्ट रूप से उपभोक्ता डेटा एकत्र और उपयोग कर सकते हैं, लेकिन उपभोक्ताओं को यह मांग करने का अधिकार है कि उनका डेटा बेचा या साझा न किया जाए। ऑप्ट-इन सहमति केवल विशिष्ट परिस्थितियों में आवश्यक है, जैसे कि 16 वर्ष से कम उम्र के उपभोक्ताओं की व्यक्तिगत जानकारी को संभालते समय। [4][6]
यह GDPR से मौलिक संरचनात्मक अंतर है, जो एक ऑप्ट-इन मॉडल पर काम करता है जिसमें अधिकांश डेटा प्रोसेसिंग शुरू होने से पहले सकारात्मक सहमति की आवश्यकता होती है। CCPA के तहत, चुप्पी सहमति नहीं है, लेकिन यह प्रोसेसिंग में बाधा भी नहीं है। GDPR के तहत, चुप्पी सहमति नहीं है और इसके बिना प्रोसेसिंग शुरू नहीं हो सकती है।
ऑप्ट-इन तर्क चुनें यदि: आप नाबालिगों (16 वर्ष से कम) से डेटा संभाल रहे हैं या संवेदनशील व्यक्तिगत जानकारी श्रेणियों को संसाधित कर रहे हैं जिनके लिए कैलिफ़ोर्निया कानून के तहत स्पष्ट सहमति की आवश्यकता है।
ऑप्ट-आउट तर्क चुनें यदि: आप वयस्कों से मानक उपभोक्ता डेटा संभाल रहे हैं और CCPA के तहत एक कवर किया गया व्यवसाय हैं।
मैं "मेरी व्यक्तिगत जानकारी न बेचें या साझा करें" लिंक कैसे सेट करूं
प्रत्येक कवर किए गए व्यवसाय को जो व्यक्तिगत जानकारी बेचता या साझा करता है, उसे अपनी वेबसाइट के होमपेज पर और अपनी गोपनीयता नीति में "मेरी व्यक्तिगत जानकारी न बेचें या साझा करें" शीर्षक वाला एक स्पष्ट और सुस्पष्ट लिंक प्रदान करना होगा। [4][6]
चरण-दर-चरण सेटअप:
- यह निर्धारित करने के लिए अपने डेटा प्रवाह का ऑडिट करें कि क्या आपका व्यवसाय CCPA द्वारा परिभाषित व्यक्तिगत जानकारी बेचता या साझा करता है।
- अपनी वेबसाइट के फुटर और मोबाइल ऐप सेटिंग्स मेनू में आवश्यक लिंक जोड़ें।
- ऑप्ट-आउट अनुरोधों को कैप्चर और टाइमस्टैम्प करने के लिए अपने सहमति प्रबंधन प्लेटफ़ॉर्म को कॉन्फ़िगर करें।
- सुनिश्चित करें कि ऑप्ट-आउट प्रवाह में ऑप्ट-इन प्रवाह से अधिक चरण न हों, 2026 के नियम स्पष्ट रूप से असममित घर्षण को प्रतिबंधित करते हैं। [7]
- यदि आपका व्यवसाय ब्राउज़र-आधारित डेटा संसाधित करता है तो ग्लोबल प्राइवेसी कंट्रोल (GPC) संकेतों का स्वचालित रूप से सम्मान करें।
- दृश्यमान पुष्टि प्रदर्शित करें कि ऑप्ट-आउट को पहचाना गया है, उदाहरण के लिए, एक बैनर या टॉगल स्थिति जो "ऑप्ट-आउट वरीयता संकेत सम्मानित" दिखा रही है। [3]
Biscotti CMP जैसा एक प्लेटफ़ॉर्म GPC सिग्नल डिटेक्शन और अनुपालन पुष्टिकरण प्रदर्शन सहित चरण 3 से 6 को स्वचालित कर सकता है।
उपभोक्ता ऑप्ट-आउट अनुरोध का जवाब देने के लिए मेरे पास कितना समय है
व्यवसायों को उपभोक्ता के ऑप्ट-आउट अनुरोध को प्राप्त होने के 15 व्यावसायिक दिनों के भीतर सम्मान करना होगा। [2] यह अन्य उपभोक्ता अधिकार अनुरोधों (जैसे पहुंच या विलोपन) पर लागू होने वाली 45-दिवसीय प्रतिक्रिया विंडो से अलग है।
एक बार सम्मानित होने के बाद, व्यवसाय को उन सभी तीसरे पक्षों को भी सूचित करना होगा जिन्हें उसने पिछले 90 दिनों के भीतर उपभोक्ता का डेटा बेचा या साझा किया था, उन्हें उस डेटा का उपयोग बंद करने का निर्देश देना होगा। [6] यह डाउनस्ट्रीम अधिसूचना दायित्व अक्सर अनदेखा किया जाता है और एक सामान्य अनुपालन अंतर का प्रतिनिधित्व करता है।
क्या मैं ग्राहक के ऑप्ट-आउट करने के बाद भी डेटा का उपयोग कर सकता हूं
एक उपभोक्ता के बिक्री या साझाकरण से ऑप्ट-आउट करने के बाद, व्यवसाय उस उपभोक्ता की व्यक्तिगत जानकारी को आगे नहीं बेच सकता या साझा नहीं कर सकता। हालांकि, व्यवसाय अभी भी उपभोक्ता के व्यवसाय के साथ संबंध के अनुरूप आंतरिक उद्देश्यों के लिए डेटा का उपयोग कर सकता है। [4]
ऑप्ट-आउट के बाद विशेष रूप से निषिद्ध:
- क्रॉस-संदर्भ व्यवहार विज्ञापन के लिए तीसरे पक्षों के साथ डेटा बेचना या साझा करना
- डेटा का उपयोग उन तरीकों से करना जो उस संदर्भ के साथ असंगत हैं जिसमें इसे एकत्र किया गया था
ऑप्ट-आउट के बाद भी अनुमति है:
- उपभोक्ता द्वारा अनुरोधित लेनदेन या सेवा को पूरा करना
- आंतरिक विश्लेषण और धोखाधड़ी की रोकथाम
- कानूनी दायित्वों का अनुपालन
सामान्य गलती: यह मान लेना कि ऑप्ट-आउट का मतलब पूर्ण डेटा विलोपन है। ऐसा नहीं है। उपभोक्ताओं को उस अधिकार को ट्रिगर करने के लिए एक अलग विलोपन अनुरोध प्रस्तुत करना होगा।
CCPA बनाम GDPR: मुझे किसका पालन करने की आवश्यकता है
यदि आपका व्यवसाय कैलिफ़ोर्निया के निवासियों और यूरोपीय संघ के निवासियों दोनों की सेवा करता है, तो आपको संभवतः दोनों का पालन करना होगा। CCPA और GDPR परस्पर अनन्य नहीं हैं, और अनुपालन आवश्यकताएं इतनी भिन्न हैं कि एक ही नीति शायद ही कभी दोनों को संतुष्ट करती है।
| कारक | CCPA | GDPR |
|---|---|---|
| सहमति मॉडल | ऑप्ट-आउट (डिफ़ॉल्ट प्रोसेसिंग की अनुमति) | ऑप्ट-इन (पहले सहमति आवश्यक) |
| भौगोलिक दायरा | कैलिफ़ोर्निया के निवासी | EU/EEA के निवासी |
| यह किसे कवर करता है | सीमाएं पूरी करने वाले लाभ-उन्मुख व्यवसाय | EU निवासी डेटा को संसाधित करने वाली कोई भी इकाई |
| दंड | प्रति जानबूझकर उल्लंघन $7,500 तक | वैश्विक वार्षिक कारोबार का 4% तक |
| विलोपन का अधिकार | हाँ | हाँ (मिटाने का अधिकार) |
| डेटा पोर्टेबिलिटी | हाँ | हाँ |
व्यावहारिक निहितार्थ: GDPR-अनुपालन सहमति बैनर स्वचालित रूप से CCPA-अनुपालन नहीं होते हैं, क्योंकि CCPA को सहमति गेट के बजाय एक विशिष्ट ऑप्ट-आउट तंत्र की आवश्यकता होती है।
यदि मैं CCPA आवश्यकताओं का पालन नहीं करता तो क्या होगा
गैर-अनुपालन व्यवसायों को प्रति अनजाने उल्लंघन $2,500 तक और प्रति जानबूझकर उल्लंघन $7,500 तक के नागरिक दंड के लिए उजागर करता है, जिसे कैलिफ़ोर्निया गोपनीयता संरक्षण एजेंसी (CPPA) द्वारा लागू किया जाता है। [4][6] नाबालिगों के डेटा से जुड़े उल्लंघनों को डिफ़ॉल्ट रूप से जानबूझकर माना जाता है।
व्यवसाय द्वारा उचित सुरक्षा उपायों को लागू करने में विफलता के परिणामस्वरूप डेटा उल्लंघनों के लिए उपभोक्ताओं के पास कार्रवाई का एक निजी अधिकार भी है, जिसमें प्रति उपभोक्ता प्रति घटना $100 से $750 तक का वैधानिक नुकसान होता है। [4]
2026 के संशोधनों ने CPPA के ऑडिट अधिकार का विस्तार किया, जिसका अर्थ है कि जोखिम आकलन आवश्यकताओं के अधीन व्यवसायों को सक्रिय नियामक जांच का सामना करना पड़ सकता है, न कि केवल प्रतिक्रियाशील प्रवर्तन का। [1][7]
क्या मुझे CCPA के लिए अपनी गोपनीयता नीति अपडेट करने की आवश्यकता है
हाँ। कवर किए गए व्यवसायों को एक गोपनीयता नीति बनाए रखनी होगी जो कम से कम निम्नलिखित का खुलासा करती है:
- एकत्र की गई व्यक्तिगत जानकारी की श्रेणियां और संग्रह के उद्देश्य
- क्या व्यक्तिगत जानकारी बेची या साझा की जाती है, और इसमें शामिल तीसरे पक्षों की श्रेणियां
- CCPA के तहत उपलब्ध उपभोक्ता अधिकार (ऑप्ट-आउट, विलोपन, पहुंच, सुधार, पोर्टेबिलिटी)
- उपभोक्ता उन अधिकारों का प्रयोग करने के लिए अनुरोध कैसे प्रस्तुत कर सकते हैं
- व्यक्तिगत जानकारी की प्रत्येक श्रेणी के लिए प्रतिधारण अवधि [4][6]
गोपनीयता नीतियों को कम से कम हर 12 महीने में एक बार अपडेट किया जाना चाहिए। डेटा प्रथाओं में भौतिक परिवर्तन के बाद नीति को अपडेट करने में विफलता, जैसे कि एक नया विश्लेषण विक्रेता जोड़ना, स्वयं एक अनुपालन उल्लंघन है।
मैं उपभोक्ता के ऑप्ट-आउट अनुरोध की वैधता को कैसे सत्यापित करूं
विशेष रूप से ऑप्ट-आउट अनुरोधों के लिए, CCPA व्यवसायों को अनुरोध करने वाले उपभोक्ता की पहचान सत्यापित करने की आवश्यकता नहीं करता है। [2] यह जानबूझकर है: ऑप्ट-आउट के लिए पहचान सत्यापन की आवश्यकता से घर्षण पैदा होगा जो अधिकार को कमजोर करता है।
हालांकि, व्यवसाय यह पुष्टि करने के लिए उचित साधनों का उपयोग कर सकते हैं कि अनुरोध धोखाधड़ी वाला नहीं है, जैसे कि खाते से जुड़े ईमेल पते की पुष्टि करना। ऑप्ट-आउट सत्यापन के लिए मानक विलोपन या पहुंच अनुरोधों की तुलना में जानबूझकर कम है, जहां पहचान सत्यापन उचित है क्योंकि उन अनुरोधों में डेटा का खुलासा या विनाश शामिल है।
किनारे का मामला: यदि एक ऑप्ट-आउट अनुरोध एक स्वचालित सिग्नल (GPC) के माध्यम से आता है, तो कोई अतिरिक्त सत्यापन चरण आवश्यक या अनुमत नहीं है, सिग्नल स्वयं एक वैध अनुरोध का गठन करता है। [3][7]
मोबाइल ऐप्स बनाम वेबसाइटों पर ऑप्ट-आउट तंत्र कैसे काम करते हैं
वेबसाइटों पर, ऑप्ट-आउट तंत्र में फुटर में "मेरी व्यक्तिगत जानकारी न बेचें या साझा करें" लिंक शामिल होना चाहिए और ब्राउज़र-स्तरीय GPC संकेतों का सम्मान करना चाहिए। [3][7] मोबाइल ऐप्स पर, आवश्यकताएं कार्यात्मक रूप से समान हैं लेकिन कार्यान्वयन भिन्न है:
- मोबाइल ऐप्स को ऐप की सेटिंग्स मेनू या गोपनीयता वरीयता अनुभाग में ऑप्ट-आउट विकल्प शामिल करना होगा।
- ऐप स्टोर के माध्यम से वितरित ऐप्स को किसी भी अतिरिक्त प्लेटफ़ॉर्म-स्तरीय गोपनीयता आवश्यकताओं (जैसे iOS पर ऐप ट्रैकिंग ट्रांसपेरेंसी) का पालन करना होगा, लेकिन वे प्लेटफ़ॉर्म आवश्यकताएं CCPA अनुपालन का विकल्प नहीं हैं।
- यदि व्यवसाय उस डेटा को संसाधित करता है तो मोबाइल ऑपरेटिंग सिस्टम से स्वचालित संकेतों का उसी तरह सम्मान किया जाना चाहिए जैसे ब्राउज़र-आधारित GPC संकेतों का।
2026 के नियम स्पष्ट करते हैं कि चैनल (वेब बनाम ऐप) अंतर्निहित दायित्व को नहीं बदलता है, केवल तकनीकी कार्यान्वयन भिन्न होता है।
व्यवसाय CCPA अनुपालन के साथ कौन सी सामान्य गलतियाँ करते हैं
यहां तक कि अच्छे इरादों वाले व्यवसाय भी अक्सर निम्नलिखित गलतियाँ करते हैं:
- ऑप्ट-आउट को ऑप्ट-इन के रूप में मानना: उपभोक्ताओं को कई चरणों के माध्यम से अपने ऑप्ट-आउट की सकारात्मक पुष्टि करने की आवश्यकता, जो 2026 के संशोधनों में समरूपता आवश्यकता का उल्लंघन करती है। [7]
- GPC संकेतों को अनदेखा करना: ग्लोबल प्राइवेसी कंट्रोल ब्राउज़र संकेतों का पता लगाने और उनका सम्मान करने के लिए अपनी तकनीकी स्टैक को कॉन्फ़िगर नहीं करना, जिन्हें अब वैध ऑप्ट-आउट अनुरोधों के रूप में माना जाता है। [3]
- ऑप्ट-आउट पुष्टिकरण प्रदर्शित करने में विफलता: 2026 के नियमों के लिए यह आवश्यक है कि एक सिग्नल को संसाधित किया गया है, एक बैकएंड लॉग एंट्री पर्याप्त नहीं है। [3]
- डाउनस्ट्रीम विक्रेताओं को अनदेखा करना: ऑप्ट-आउट प्राप्त होने के बाद तीसरे पक्ष के डेटा प्राप्तकर्ताओं को सूचित नहीं करना।
- स्थिर गोपनीयता नीतियां: वार्षिक रूप से या डेटा प्रथाओं में भौतिक परिवर्तनों के बाद नीति को अपडेट करने में विफलता।
- सेवा प्रदाताओं को तीसरे पक्षों के साथ भ्रमित करना: अनुबंध के तहत डेटा संसाधित करने वाले सेवा प्रदाताओं के पास अपने स्वयं के उद्देश्यों के लिए डेटा प्राप्त करने वाले तीसरे पक्षों की तुलना में अलग-अलग दायित्व होते हैं।
अक्सर पूछे जाने वाले प्रश्न
क्या CCPA गैर-लाभकारी संस्थाओं पर लागू होता है? नहीं। CCPA केवल लाभ-उन्मुख व्यवसायों पर लागू होता है। गैर-लाभकारी संस्थाएं कवर किए गए व्यवसाय नहीं हैं, हालांकि वे अन्य कैलिफ़ोर्निया गोपनीयता कानूनों के अधीन हो सकती हैं।
ग्लोबल प्राइवेसी कंट्रोल (GPC) क्या है और क्या मुझे इसका सम्मान करना होगा? GPC एक ब्राउज़र-स्तरीय सिग्नल है जो उपभोक्ता की ऑप्ट-आउट वरीयता को स्वचालित रूप से संप्रेषित करता है। 1 जनवरी, 2026 से, कवर किए गए व्यवसायों को जो ब्राउज़र डेटा संसाधित करते हैं, उन्हें GPC संकेतों को वैध ऑप्ट-आउट अनुरोधों के रूप में सम्मान करना होगा और यह पुष्टि प्रदर्शित करनी होगी कि सिग्नल संसाधित किया गया था। [3][7]
क्या कोई व्यवसाय उन उपभोक्ताओं से अलग कीमत वसूल सकता है जो ऑप्ट-आउट करते हैं? आम तौर पर नहीं। CCPA उन उपभोक्ताओं के खिलाफ भेदभाव करने से व्यवसायों को प्रतिबंधित करता है जो अपने गोपनीयता अधिकारों का प्रयोग करते हैं, जिसमें अलग-अलग कीमतें वसूलना भी शामिल है, जब तक कि अंतर उपभोक्ता के डेटा के मूल्य से यथोचित रूप से संबंधित न हो। [4]
ऑप्ट-आउट रिकॉर्ड को कितने समय तक बनाए रखना चाहिए? CCPA ऑप्ट-आउट रिकॉर्ड के लिए एक सार्वभौमिक प्रतिधारण अवधि निर्दिष्ट नहीं करता है, लेकिन व्यवसायों को ऑडिट या प्रवर्तन कार्रवाई की स्थिति में अनुपालन प्रदर्शित करने के लिए पर्याप्त समय तक रिकॉर्ड बनाए रखना चाहिए, आमतौर पर कम से कम 24 महीने को एक उचित आधार रेखा माना जाता है। [6]
क्या एक कुकी बैनर CCPA ऑप्ट-आउट आवश्यकताओं को पूरा करता है? एक कुकी बैनर अकेला पर्याप्त नहीं है। CCPA को एक समर्पित "मेरी व्यक्तिगत जानकारी न बेचें या साझा करें" लिंक की आवश्यकता है, और 2026 के संशोधनों के लिए व्यवसायों को किसी भी कुकी सहमति इंटरैक्शन से स्वतंत्र रूप से GPC संकेतों का सम्मान और पुष्टि करने की आवश्यकता है। [3][7]
CCPA के तहत "बिक्री" और "साझाकरण" में क्या अंतर है? "बिक्री" में मौद्रिक विचार के लिए व्यक्तिगत जानकारी का आदान-प्रदान शामिल है। "साझाकरण" में क्रॉस-संदर्भ व्यवहार विज्ञापन के लिए व्यक्तिगत जानकारी का खुलासा करना शामिल है, भले ही भुगतान के बिना। दोनों ऑप्ट-आउट अधिकारों को ट्रिगर करते हैं। [4]
क्या मुझे डेटा की प्रत्येक श्रेणी के लिए अलग-अलग ऑप्ट-आउट तंत्र की आवश्यकता है? नहीं। बिक्री और साझाकरण को कवर करने वाला एक एकल ऑप्ट-आउट तंत्र पर्याप्त है, हालांकि व्यवसायों को अपनी गोपनीयता नीति में स्पष्ट रूप से वर्णन करना होगा कि डेटा की कौन सी श्रेणियां कवर की गई हैं।
2026 CCPA संशोधनों के तहत जोखिम आकलन क्या है? जो व्यवसाय व्यक्तिगत जानकारी को इस तरह से संसाधित करते हैं जो महत्वपूर्ण गोपनीयता जोखिम प्रस्तुत करते हैं, जिसमें स्वचालित निर्णय लेने वाली प्रौद्योगिकी का उपयोग भी शामिल है, उन्हें उस प्रोसेसिंग को शुरू करने से पहले जोखिम आकलन करना और दस्तावेज करना होगा। [1][7]
निष्कर्ष
CCPA समझाया गया: कैलिफ़ोर्निया के उपभोक्ताओं के लिए ऑप्ट-आउट कैसे प्रबंधित करें एक गतिशील लक्ष्य है, और 2026 के संशोधनों ने बार को काफी बढ़ा दिया है। मुख्य दायित्व, एक स्पष्ट ऑप्ट-आउट तंत्र प्रदान करना, 15 व्यावसायिक दिनों के भीतर उपभोक्ता अनुरोधों का सम्मान करना, और अपनी गोपनीयता नीति को अपडेट करना, मूलभूत बने हुए हैं। लेकिन GPC सिग्नल पुष्टिकरण, डार्क-पैटर्न निषेध, और ADMT जोखिम आकलन के आसपास की नई आवश्यकताएं एक स्थिर फुटर लिंक प्रदान करने की तुलना में अधिक व्यवस्थित दृष्टिकोण की मांग करती हैं।
कवर किए गए व्यवसायों के लिए कार्रवाई योग्य अगले कदम:
- 2026 समरूपता आवश्यकता के खिलाफ अपने वर्तमान ऑप्ट-आउट प्रवाह का ऑडिट करें: ऑप्ट-आउट करने के चरणों की गणना करें और उनकी तुलना ऑप्ट-इन करने के चरणों से करें।
- सत्यापित करें कि आपकी वेबसाइट और मोबाइल ऐप ग्लोबल प्राइवेसी कंट्रोल संकेतों का पता लगाते हैं और उनका सम्मान करते हैं, और यह कि सिग्नल प्राप्त होने पर एक दृश्यमान पुष्टिकरण संदेश प्रदर्शित होता है।
- अपनी तीसरे पक्ष के विक्रेता सूची की समीक्षा करें और पुष्टि करें कि ऑप्ट-आउट के बाद डेटा प्रवाह के लिए डाउनस्ट्रीम अधिसूचना प्रक्रियाएं मौजूद हैं।
- वर्तमान डेटा प्रथाओं, प्रतिधारण अवधियों और उपभोक्ता अधिकारों की पूरी सूची को दर्शाने के लिए अपनी गोपनीयता नीति को अपडेट करें।
- वेब और मोबाइल चैनलों पर सिग्नल डिटेक्शन, ऑप्ट-आउट पुष्टिकरण, और वरीयता रिकॉर्ड-कीपिंग को स्वचालित करने के लिए Biscotti CMP जैसे सहमति प्रबंधन प्लेटफ़ॉर्म का मूल्यांकन करें।
अनुपालन एक बार का प्रोजेक्ट नहीं है। CPPA ने मार्गदर्शन जारी करने और प्रवर्तन का पीछा करने की इच्छा प्रदर्शित की है, और नियामक वातावरण विकसित होता रहेगा। अब दोहराने योग्य, ऑडिट करने योग्य प्रक्रियाएं बनाना एक कवर किया गया व्यवसाय ले सकता है सबसे रक्षात्मक स्थिति है।
संदर्भ
[1] Navigating New Obligations Under The CCPA Updated Regulations - https://www.lw.com/en/insights/navigating-new-obligations-under-the-ccpa-updated-regulations
[2] Navigating California Consumer Privacy Act 30 Essential FAQs Covered Businesses Including Clarifying Regulations Effective 1/1/26 - https://www.jacksonlewis.com/insights/navigating-california-consumer-privacy-act-30-essential-faqs-covered-businesses-including-clarifying-regulations-effective-1126
[3] Show Me That You've Opted Me Out: New CCPA Rules Require Businesses To Prove Compliance - https://www.nelsonmullins.com/insights/alerts/fcc-download/all/show-me-that-you-ve-opt-me-out-new-ccpa-rules-require-businesses-to-prove-compliance
[4] CCPA Statute Effective 2026-01-01 - https://cppa.ca.gov/regulations/pdf/ccpa_statute_eff_20260101.pdf
[5] CCPA Updates - https://cppa.ca.gov/regulations/ccpa_updates.html
[6] CCPA Requirements 2026: Complete Compliance Guide - https://secureprivacy.ai/blog/ccpa-requirements-2026-complete-compliance-guide
[7] CCPA 2026: Navigating The Expanded Consumer Privacy Compliance Requirements For Businesses - https://www.lathropgpm.com/insights/ccpa-2026-navigating-the-expanded-consumer-privacy-compliance-requirements-for-businesses/
[8] CCPA in 2026: What's Changing in Consent, Consumer Rights, and AI Governance - https://www.onetrust.com/blog/ccpa-in-2026-whats-changing-in-consent-consumer-rights-and-ai-governance/
[9] New CCPA 2026 Regulations: Your Complete Compliance Action Guide - https://captaincompliance.com/education/new-ccpa-2026-regulations-your-complete-compliance-action-guide/
[10] CPPA Regulations - https://cppa.ca.gov/regulations/