Kratak odgovor: Kalifornijski Zakon o pravima na privatnost (CPRA) značajno je izmijenio izvorni Kalifornijski Zakon o privatnosti potrošača (CCPA), uvodeći nova prava potrošača, namjensku agenciju za provedbu, strože kazne i potpuno novu kategoriju osjetljivih osobnih podataka. Za operatere web stranica, CCPA vs. CPRA: Što se promijenilo za operatere web stranica u Kaliforniji? nije teorijsko pitanje, već se izravno prevodi u ažurirane politike privatnosti, nove mehanizme pristanka i proširene ugovorne obveze s dobavljačima trećih strana.
Ključne spoznaje
- CPRA je stupila na snagu 1. srpnja 2023., zamjenjujući i proširujući okvir CCPA-e.
- Nova kategorija "osjetljivih osobnih podataka" (SPI) zahtijeva namjensku vezu za odustajanje na web stranicama koje prikupljaju te podatke.
- Potrošači su stekli pravo na ispravak netočnih osobnih podataka, pravo koje nije postojalo prema izvornom CCPA-u.
- Prag primjenjivosti porastao je s 50.000 na 100.000 potrošača ili kućanstava, izuzimajući neke manje operatere.
- "Dijeljenje" osobnih podataka za bihevioralno oglašavanje u više konteksta sada se računa kao "prodaja", zahtijevajući mehanizme za odustajanje.
- Operateri web stranica moraju poštovati signale Global Privacy Control (GPC) kao valjane zahtjeve za odustajanje.
- Administrativne kazne povećane su na 2.663 USD po nenamjernom kršenju i 7.988 USD po namjernom kršenju od 1. siječnja 2025.
- Kalifornijska agencija za zaštitu privatnosti (CPPA) sada ima neovisnu ovlast za provedbu, odvojenu od državnog odvjetnika.
- Zahtjevi za transparentnost automatiziranog donošenja odluka trebali bi stupiti na snagu 1. siječnja 2027.
- Procjene rizika i revizije kibernetičke sigurnosti sada su obvezne za aktivnosti obrade podataka visokog rizika.
Koja je razlika između CCPA i CPRA?
CCPA, koji je stupio na snagu 1. siječnja 2020., dao je kalifornijskim potrošačima osnovna prava nad njihovim osobnim podacima: pravo na znanje, brisanje i odustajanje od prodaje njihovih informacija. CPRA, koju su kalifornijski glasači usvojili u studenom 2020. i koja je u potpunosti primjenjiva od 1. srpnja 2023., nije izravno zamijenila CCPA, već ju je izmijenila i značajno proširila [1].
Ključne strukturne razlike uključuju:
| Značajka | CCPA (Izvorno) | CPRA (Izmijenjeno) |
|---|---|---|
| Tijelo za provedbu | Kalifornijski državni odvjetnik | CPPA + državni odvjetnik |
| Kategorija osjetljivih podataka | Nije definirano | Formalno definirano (SPI) |
| Pravo na ispravak | Nije uključeno | Uključeno |
| Definicija "prodaje" | Razmjena podataka za vrijednost | Uključuje "dijeljenje" za oglašavanje |
| Prag primjenjivosti | 50.000 potrošača/kućanstava | 100.000 potrošača/kućanstava |
| Procjene rizika | Nije obvezno | Obvezno za obradu visokog rizika |
| Usklađenost sa signalom GPC | Nije propisano | Obvezno |
Praktična posljedica za operatere web stranica je da usklađenost s CPRA vs. CCPA nije samo ažuriranje papirologije, već zahtijeva arhitektonske promjene u tokovima pristanka, politikama privatnosti i ugovorima s dobavljačima [2].
Kada je CPRA stupila na snagu i zamijenila CCPA?
Bitna prava i obveze CPRA-e primjenjivale su se na podatke prikupljene 1. siječnja 2022. ili nakon tog datuma, a provedba je započela 1. srpnja 2023. Jednogodišnji grace period za provedbu završio je tog datuma, što znači da je Kalifornijska agencija za zaštitu privatnosti mogla početi izdavati kazne bez prethodnog upozorenja [4].
Za operatere web stranica koji još uvijek posluju prema politikama iz ere CCPA-e od 2026. godine, izloženost je stvarna i neposredna.
Koja nova prava potrošači imaju prema CPRA-i koja nisu bila u CCPA-i?
CPRA je dodala dva prava potrošača koja su nedostajala u izvornom okviru CCPA-e:
Pravo na ispravak: Potrošači sada mogu zatražiti od tvrtke da ispravi netočne osobne podatke koje posjeduje o njima. Operateri web stranica moraju uspostaviti provjerljiv postupak zahtjeva i postupiti po zahtjevima za ispravak u roku od 45 dana [2].
Pravo na ograničenje korištenja osjetljivih osobnih podataka: Potrošači mogu ograničiti način na koji tvrtke koriste njihove SPI izvan svrhe za koju su izvorno prikupljeni. Ovo pravo zahtijeva zaseban, jasno označen mehanizam za odustajanje na web stranici [1].
Ovi dodaci stoje uz postojeća prava na znanje, brisanje, odustajanje od prodaje i nediskriminaciju, stvarajući složeniji zahtjev za usklađenost za bilo koju stranicu koja prikuplja korisničke podatke izvan osnovne analitike.
Što je pravo na ispravak prema CPRA-i?
Pravo na ispravak jedno je od operativno najzahtjevnijih dodataka u CPRA-i. Kada potrošač podnese provjereni zahtjev za ispravak, tvrtka mora uložiti komercijalno razumne napore da ispravi netočne osobne podatke i uputi sve pružatelje usluga ili ugovaratelje koji su primili te podatke da izvrše isti ispravak [2].
Za operatere web stranica to znači:
- Izgradnju mehanizma za unos zahtjeva za ispravak (web obrazac, postupak e-pošte ili portal računa).
- Dokumentiranje ispravka i obavještavanje daljnjih obrađivača podataka.
- Odgovor u roku od 45 dana, s jednim produženjem od 45 dana ako je potrebno.
Uobičajena pogreška: Mnogi operateri pretpostavljaju da se pravo na ispravak odnosi samo na podatke profila računa. U praksi se proteže na sve osobne podatke koje tvrtka posjeduje, uključujući bihevioralne podatke, pretpostavljene preferencije i povijest kupnji.
Koje nove kategorije podataka CPRA pokriva, a CCPA nije?
CPRA je formalno definirala "osjetljive osobne podatke" (SPI) kao zasebnu kategoriju podataka s višom razinom zaštite. CCPA nije imala ekvivalentnu klasifikaciju [1].
SPI prema CPRA uključuje:
- Brojeve socijalnog osiguranja i državne identifikacijske dokumente
- Podatke o financijskim računima (prijava plus sigurnosni kodovi)
- Precizne podatke o geolokaciji
- Rasno ili etničko podrijetlo, vjerska uvjerenja i članstvo u sindikatu
- Sadržaj privatnih komunikacija (pošta, e-pošta, tekst)
- Genetske i biometrijske podatke obrađene za identifikaciju
- Zdravstvene informacije i seksualni život ili seksualnu orijentaciju
Operateri web stranica koji prikupljaju bilo koju od ovih kategorija moraju pružiti vezu "Ograniči korištenje mojih osjetljivih osobnih podataka", funkcionalno sličnu vezi "Ne prodaj moje osobne podatke" koja je već potrebna prema CCPA-i [1].
CPRA vs. CCPA: Koja se primjenjuje na moje poslovanje?
Od 2026. godine, okvir CPRA-e primjenjuje se na profitne tvrtke koje posluju u Kaliforniji I ispunjavaju barem jedan od ovih pragova [7]:
- Godišnji bruto prihodi veći od 25 milijuna USD.
- Kupuje, prodaje, prima ili dijeli osobne podatke 100.000 ili više kalifornijskih potrošača ili kućanstava godišnje (povećano s 50.000 prema CCPA-i).
- Ostvaruje 50% ili više godišnjih prihoda od prodaje ili dijeljenja osobnih podataka potrošača.
Odaberite usklađenost s CPRA-om ako: Vaša web stranica služi stanovnicima Kalifornije i ispunjavate bilo koji od gore navedenih kriterija. Ako ste prethodno ispunjavali uvjete prema pragu od 50.000 potrošača CCPA-e, ali obrađujete manje od 100.000 zapisa godišnje, možda više nećete biti izravno podložni, iako ugovorne obveze s većim partnerima i dalje mogu zahtijevati pridržavanje.
Rubni slučaj: Neprofitne organizacije i isključivo B2B operateri općenito su izuzeti, ali pružatelji usluga i ugovaratelji pokrivenih tvrtki snose vlastite CPRA obveze [3].
Kako CPRA utječe na politiku privatnosti moje web stranice?
Politika privatnosti usklađena s CCPA-om više nije dovoljna. CPRA zahtijeva od operatera web stranica da ažuriraju svoje politike privatnosti kako bi odražavale [2][3]:
- Novu kategoriju SPI i pravo na ograničenje njezine upotrebe.
- Pravo na ispravak netočnih osobnih podataka.
- Proširenu definiciju "prodaje" koja uključuje "dijeljenje" za bihevioralno oglašavanje u više konteksta.
- Kako tvrtka reagira na GPC signale.
- Razdoblja zadržavanja podataka za svaku kategoriju prikupljenih osobnih podataka.
- Koristi li se automatizirano donošenje odluka i kako se potrošači mogu odjaviti.
Politike privatnosti moraju se pregledavati najmanje jednom svakih 12 mjeseci i ažurirati kako bi odražavale trenutne prakse podataka. Zastarjele politike koje opisuju prava iz ere CCPA-e bez dodataka CPRA-e čest su okidač za provedbu.
Trebam li ažurirati svoje obrasce za pristanak za usklađenost s CPRA-om?
Da. Mehanizmi pristanka koji su bili dovoljni prema CCPA-i zahtijevaju značajna ažuriranja za CPRA. Konkretno, operateri web stranica moraju [3][5]:
- Dodati vezu za odustajanje "Ograniči korištenje mojih osjetljivih osobnih podataka" ako stranica prikuplja SPI.
- Poštovati GPC signale preglednika kao valjanu odjavu od prodaje i dijeljenja, to ne smije zahtijevati od korisnika poduzimanje dodatnih koraka.
- Dobiti potvrdan pristanak prije prodaje ili dijeljenja osobnih podataka potrošača mlađih od 16 godina.
- Osigurati da se pristanak za bihevioralno oglašavanje u više konteksta (ponovno ciljanje, dijeljenje publike s oglasnim platformama) jasno razlikuje od drugih upotreba podataka.
Platforma za upravljanje pristankom može pomoći u automatizaciji otkrivanja GPC-a i bilježenja preferencija. Biscotti CMP (www.biscotti-cmp.com) je izgrađen za rješavanje ovih specifičnih zahtjeva CPRA-e, uključujući tokove odustajanja od SPI-a i usklađenost sa signalima GPC-a, bez potrebe za prilagođenim razvojem od strane operatera web stranice.
Koje su kazne za nepoštivanje CPRA-e?
Od 1. siječnja 2025. administrativne kazne prema okviru CPRA-e iznose [5]:
- 2.663 USD po nenamjernom kršenju.
- 7.988 USD po namjernom kršenju.
- 7.988 USD po kršenju (utrostručeno) za kršenja koja uključuju osobne podatke potrošača mlađih od 16 godina.
Ovi se podaci povremeno prilagođavaju inflaciji. Kazne se procjenjuju po kršenju, što znači da jedna neusklađena praksa podataka koja utječe na tisuće potrošača može generirati ukupnu odgovornost u milijunima. CPPA ima neovisnu ovlast za pokretanje provedbenih radnji bez upućivanja državnog odvjetnika [4].
Važno: CPRA je ukinula 30-dnevno razdoblje za ispravak koje je postojalo prema CCPA-i za većinu kršenja, uklanjajući sigurnosnu mrežu na koju su se mnogi operateri oslanjali.
Koje uobičajene pogreške web stranice čine u vezi s usklađenošću s CPRA-om?
Na temelju proširenih zahtjeva, najčešći propusti u usklađenosti uključuju [3][6]:
- Ignoriranje GPC signala: Neuspjeh u otkrivanju i poštivanju signala za odustajanje na razini preglednika jedan je od navedenih prioriteta provedbe CPPA-e.
- Nedostaje veza za odustajanje od SPI: Dodavanje samo veze "Ne prodaj" bez zasebne veze "Ograniči korištenje SPI" kada se prikuplja SPI.
- Zastarjeli ugovori s dobavljačima: Neažuriranje ugovora o obradi podataka s pružateljima usluga kako bi uključili uvjete propisane CPRA-om.
- Nema rasporeda zadržavanja podataka: CPRA zahtijeva od tvrtki da objave i pridržavaju se razdoblja zadržavanja; mnoge politike privatnosti to još uvijek izostavljaju.
- Pretpostavka da se razdoblje za ispravak još uvijek primjenjuje: Operateri koji čekaju obavijest prije ispravljanja kršenja mogu se suočiti s neposrednim kaznama.
- Previđanje prava na ispravak: Izgradnja samo tijekova rada za brisanje bez rukovanja zahtjevima za ispravak.
Imaju li mala poduzeća različite CPRA zahtjeve?
Povećanje praga s 50.000 na 100.000 potrošača izravno smanjuje teret usklađenosti za manje operatere web stranica [7]. Mala e-trgovina ili SaaS proizvod koji godišnje opslužuje manje od 100.000 kalifornijskih potrošača, s prihodima ispod 25 milijuna USD i bez prihoda od prodaje podataka, izvan je izravnog dosega CPRA-e.
Međutim, mala poduzeća trebaju napomenuti:
- Ako djeluju kao pružatelj usluga pokrivenoj tvrtki, nasljeđuju ugovorne CPRA obveze bez obzira na veličinu.
- Dobrovoljna usklađenost sve se više očekuje od korporativnih klijenata i može biti konkurentska prednost.
- Druge države donijele su slične zakone, a savezni zakon o privatnosti još uvijek je u aktivnoj raspravi od 2026. godine.
Koliko košta usklađivanje s CPRA-om?
Ne postoji fiksni trošak usklađenosti, on se značajno razlikuje ovisno o složenosti ekosustava podataka web stranice. Opći pokretači troškova uključuju:
- Ažuriranje politike privatnosti: Niski troškovi ako se radi interno; 500 USD, 3.000 USD+ ako se koristi pravni savjetnik.
- Platforma za upravljanje pristankom: Stalna SaaS pretplata; cijene variraju ovisno o volumenu prometa i skupu značajki.
- Tehnička implementacija: Vrijeme programera za dodavanje veza za odustajanje, otkrivanje GPC-a i tijekove rada za zahtjeve za ispravak.
- Pregled ugovora s dobavljačima: Pravni pregled ugovora o obradi podataka sa svim obrađivačima trećih strana.
- Procjene rizika: Za obradu visokog rizika, formalne procjene mogu zahtijevati vanjske konzultante.
Za većinu srednje velikih operatera web stranica, početno rješavanje usklađenosti kreće se u rasponu od nekoliko tisuća dolara, uz tekuće operativne troškove za održavanje politike i upravljanje pristankom. Trošak neusklađenosti, s obzirom na kazne po kršenju, znatno nadmašuje ulaganje.
Kako znati primjenjuje li se CPRA na posjetitelje moje web stranice?
CPRA se primjenjuje na temelju prebivališta potrošača, a ne lokacije tvrtke. Ako web stranica ima posjetitelje koji su stanovnici Kalifornije i operater ispunjava bilo koji od tri poslovna praga, obveze CPRA-e primjenjuju se na podatke prikupljene od tih posjetitelja [7][8].
Praktični pokazatelji da se CPRA vjerojatno primjenjuje:
- Web stranica prihvaća narudžbe, registracije ili ciljanje oglasa od korisnika iz SAD-a bez geo-blokiranja Kalifornije.
- Tvrtka koristi oglašivačke mreže trećih strana koje se bave bihevioralnim oglašavanjem u više konteksta.
- Web stranica prikuplja bilo koji oblik SPI od korisnika (zdravstveni upitnici, financijski podaci, precizna lokacija).
Kada ste u nedoumici, konzervativan i pravno obranjiv stav je tretirati sve posjetitelje web stranice iz SAD-a kao potencijalno obuhvaćene CPRA-om i sukladno tome implementirati usklađene tokove pristanka.
Obvezne procjene rizika, revizije kibernetičke sigurnosti i što slijedi
CPRA zahtijeva od tvrtki koje se bave obradom visokog rizika da provode redovite procjene rizika i revizije kibernetičke sigurnosti. Propisi koji detaljno opisuju ove zahtjeve finalizirani su 2025. i stupili su na snagu 2026. [6]. Aktivnosti visokog rizika uključuju obradu SPI-a u velikom opsegu, profiliranje potrošača za značajne odluke te prodaju ili dijeljenje podataka s velikim brojem trećih strana.
Osim toga, zahtjevi za transparentnost automatiziranog donošenja odluka, koji pokrivaju profiliranje za zapošljavanje, kredit, stanovanje i slične značajne odluke, trebali bi stupiti na snagu 1. siječnja 2027. [6]. Operateri web stranica koji koriste algoritamske sustave preporuka, alate za ocjenjivanje kredita ili bihevioralno profiliranje trebali bi odmah započeti planiranje usklađenosti.
Zaključak
Razumijevanje CCPA vs. CPRA: Što se promijenilo za operatere web stranica u Kaliforniji? nije opcionalno za bilo koje poslovanje koje u velikom opsegu opslužuje stanovnike Kalifornije. CPRA je uvela značajne nove obveze, kategorije osjetljivih podataka, pravo na ispravak, usklađenost sa signalima GPC-a, proširene zahtjeve za dobavljače i namjensku agenciju za provedbu s stvarnom ovlasti za izricanje kazni, što zahtijeva konkretne operativne odgovore, a ne samo ažuriranja politika.
Akcijski sljedeći koraci za operatere web stranica u 2026.:
- Provjerite svoje trenutne prakse prikupljanja podataka prema popisu kategorija SPI i dodajte potrebnu vezu za odustajanje ako je primjenjivo.
- Ažurirajte svoju politiku privatnosti kako bi odražavala prava CPRA-e, rasporede zadržavanja podataka i proširenu definiciju "prodaje".
- Implementirajte otkrivanje GPC signala, ovo je prioritet provedbe i ne može se odgađati.
- Pregledajte i ažurirajte sve ugovore o obradi podataka s pružateljima usluga i ugovarateljima.
- Izgradite tijek rada za zahtjeve za ispravak uz vaš postojeći postupak brisanja.
- Ako vaša stranica sudjeluje u obradi visokog rizika, naručite formalnu procjenu rizika prije nego što je regulatori pokrenu za vas.
- Procijenite rješenje za upravljanje pristankom kao što je Biscotti CMP (www.biscotti-cmp.com) za automatizaciju tokova odustajanja, usklađenosti s GPC-om i bilježenja preferencija.
Put provedbe CPRA-e u 2026. čini proaktivnu usklađenost jedinom racionalnom strategijom.
Često postavljana pitanja
P: Je li CPRA isto što i CCPA 2.0? CPRA se obično naziva "CCPA 2.0" jer je izmijenila, a ne zamijenila CCPA. Dodala je nova prava, novu agenciju za provedbu i nove kategorije podataka, zadržavajući izvorni okvir CCPA-e.
P: Kada je započela provedba CPRA-e? Potpuna provedba započela je 1. srpnja 2023. CPPA može izricati kazne za kršenja koja su se dogodila nakon tog datuma bez prethodnog razdoblja za ispravak za većinu kršenja.
P: Primjenjuje li se CPRA na tvrtke izvan Kalifornije? Da. Svaka profitna tvrtka koja prikuplja osobne podatke od stanovnika Kalifornije i ispunjava pragove primjenjivosti mora se pridržavati, bez obzira na to gdje je sjedište tvrtke.
P: Što je GPC signal i zašto je važan? Global Privacy Control (GPC) je postavka na razini preglednika koja signalizira preferenciju potrošača za odustajanje. Prema CPRA-i, operateri web stranica moraju otkriti i poštovati GPC signale kao valjane zahtjeve za odustajanje; ignoriranje ih je kršenje usklađenosti.
P: Primjenjuje li se CPRA na podatke zaposlenika? Da. Od 1. siječnja 2023. privremena izuzeća za podatke zaposlenika i B2B podatke istekla su. Osobni podaci zaposlenika sada su podložni punoj zaštiti CPRA-e.
P: Koja je razlika između "prodaje" i "dijeljenja" prema CPRA-i? Prema izvornom CCPA-u, "prodaja" je zahtijevala razmjenu za novčanu vrijednost. CPRA je to proširila na "dijeljenje" osobnih podataka s trećim stranama za bihevioralno oglašavanje u više konteksta, čak i bez izravnog plaćanja.
P: Koliko često se mora ažurirati politika privatnosti prema CPRA-i? Najmanje jednom svakih 12 mjeseci. Također se mora ažurirati kad god se materijalno promijene prakse podataka.
P: Jesu li neprofitne organizacije izuzete od CPRA-e? Općenito da, CPRA se primjenjuje na profitne tvrtke. Međutim, neprofitne organizacije koje djeluju kao pružatelji usluga pokrivenim tvrtkama mogu imati ugovorne obveze usklađenosti.
P: Što se događa ako potrošač podnese zahtjev za ispravak, a tvrtka se ne slaže? Tvrtka može odbiti ispravak ako utvrdi da su informacije točne, ali mora dokumentirati odluku i obavijestiti potrošača o osnovi za odbijanje.
P: Postoji li privatno pravo na tužbu prema CPRA-i? Ograničeno privatno pravo na tužbu postoji za povrede podataka koje uključuju određene kategorije osobnih podataka. Većinu ostalih kršenja provodi CPPA ili državni odvjetnik, a ne putem privatnih tužbi.
Interaktivni CPRA provjerivač usklađenosti
Reference
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai