Kratak odgovor: California Consumer Privacy Act (CCPA) daje stanovnicima Kalifornije pravo da se odjave od prodaje ili dijeljenja svojih osobnih podataka. Od 1. siječnja 2026. izmijenjeni propisi sada zahtijevaju od poduzeća da poštuju signale preferencija za odjavu (kao što je Global Privacy Control), vidljivo potvrde da su ti signali obrađeni i osiguraju da tokovi odjave nisu složeniji od tokova prijave. Nepoštivanje može rezultirati građanskim kaznama do 7.500 USD po namjernom kršenju.
Ključne spoznaje
- CCPA se primjenjuje na profitna poduzeća koja ispunjavaju određene pragove prihoda, količine podataka ili prodaje podataka, a ne na svaku tvrtku koja posluje u Kaliforniji.
- Od 1. siječnja 2026. poduzeća moraju prikazati vidljivu potvrdu kada je signal preferencije za odjavu (kao što je Global Privacy Control) prepoznat i poštovan. [3]
- Mehanizmi za odjavu moraju biti jednako jednostavni za korištenje kao i tokovi prijave; tamni obrasci koji obeshrabruju odjave izričito su zabranjeni prema izmjenama iz 2026. [7]
- Poduzeća imaju 15 radnih dana da udovolje zahtjevu potrošača za odjavu nakon primitka. [2]
- "Osobni podaci" prema CCPA-u su široki: uključuju IP adrese, povijest pregledavanja, geolokacijske podatke, zaključke izvedene iz ponašanja potrošača i još mnogo toga.
- CCPA i GDPR djeluju na temeljno različitim modelima pristanka, odjava naspram prijave, a mnoga poduzeća moraju se istovremeno pridržavati oba.
- Neažuriranje vaše politike privatnosti kako bi odražavalo prava CCPA-a samo po sebi je nedostatak usklađenosti, odvojen od tehničkih propusta odjave.
- Platforma za upravljanje pristankom kao što je Biscotti CMP može automatizirati detekciju signala, prikaz potvrde odjave i vođenje evidencije preferencija.
Što je CCPA i zašto je važan za vaše poslovanje
California Consumer Privacy Act je državni zakon o privatnosti koji stanovnicima Kalifornije daje specifična prava o tome kako poduzeća prikupljaju, koriste i prodaju njihove osobne podatke. Važan je jer je Kalifornija peto najveće gospodarstvo na svijetu, a svako poduzeće koje posluje s potrošačima u Kaliforniji, bez obzira na to gdje je sjedište poduzeća, može biti zakonski obvezno pridržavati se.
CCPA je izvorno donesen 2018. godine, ojačan California Privacy Rights Act (CPRA) 2020. godine, i ponovno značajno ažuriran propisima koje je odobrio California Office of Administrative Law 22. rujna 2025., s učinkom od 1. siječnja 2026. [1][5] Ove izmjene iz 2026. dodale su nove dužnosti u vezi s tehnologijom automatiziranog donošenja odluka (ADMT), procjenama rizika i, kritično za većinu poduzeća, dizajnom mehanizma za odjavu i zahtjevima za potvrdu. [1][7]
Razumijevanje CCPA-a objašnjeno: kako upravljati odjavama za potrošače u Kaliforniji više nije opcionalno za obuhvaćena poduzeća. Regulatorni prag je porastao, a provedba je uslijedila.
Kako znati primjenjuje li se CCPA na moju tvrtku
CCPA se primjenjuje na profitna poduzeća koja posluju u Kaliforniji i ispunjavaju barem jedan od sljedećih pragova:
- Godišnji bruto prihodi veći od 25 milijuna USD
- Godišnje kupuju, prodaju, primaju ili dijele osobne podatke 100.000 ili više potrošača ili kućanstava u Kaliforniji
- Ostvaruju 50% ili više godišnjih prihoda od prodaje ili dijeljenja osobnih podataka potrošača u Kaliforniji [4][6]
Primjenjuje li se CCPA na mala poduzeća ispod određenog prihoda? Općenito, ne. Ako poduzeće padne ispod sva tri praga, ono nije obuhvaćeno poduzeće prema CCPA-u. Međutim, pružatelji usluga i ugovaratelji koji obrađuju podatke u ime obuhvaćenih poduzeća podliježu ugovornim obvezama CCPA-a čak i ako se inače ne bi samostalno kvalificirali. [2]
Rubni slučaj: Mala SaaS tvrtka s prihodom manjim od 25 milijuna USD, ali s velikom bazom korisnika besplatnog sloja, lako bi mogla prijeći prag od 100.000 potrošača bez da to shvati.
Što se smatra osobnim podacima prema CCPA-u
Osobni podaci prema CCPA-u široko su definirani kao bilo koja informacija koja identificira, odnosi se na, opisuje ili se razumno može povezati s određenim potrošačem ili kućanstvom. To daleko nadilazi imena i adrese e-pošte.
Obuhvaćene kategorije uključuju:
| Kategorija | Primjeri |
|---|---|
| Identifikatori | Ime, e-pošta, IP adresa, ID uređaja |
| Komercijalne informacije | Povijest kupnje, ponašanje pregledavanja |
| Biometrijski podaci | Otisak prsta, podaci za prepoznavanje lica |
| Internetska aktivnost | Kolačići, povijest pretraživanja, interakcije na web mjestu |
| Geolokacija | Precizna lokacija s mobilnih uređaja |
| Zaključci | Profili izgrađeni na temelju podataka o ponašanju |
| Osjetljivi osobni podaci | Brojevi socijalnog osiguranja, zdravstveni podaci, precizna geolokacija |
Zaključci izvedeni iz podataka o potrošačima za stvaranje profila o preferencijama, karakteristikama ili ponašanju izričito su uključeni. [4] To je važno za ad-tech, analitiku i personalizacijske cjevovode.
Koja je razlika između CCPA odjave i prijave
CCPA djeluje na modelu odjave: poduzeća mogu prikupljati i koristiti podatke potrošača prema zadanim postavkama, ali potrošači imaju pravo zahtijevati da se njihovi podaci ne prodaju ili dijele. Pristanak za prijavu potreban je samo u specifičnim okolnostima, kao što je rukovanje osobnim podacima potrošača mlađih od 16 godina. [4][6]
Ovo je temeljna strukturna razlika od GDPR-a, koji djeluje na modelu prijave koji zahtijeva izričit pristanak prije početka većine obrade podataka. Prema CCPA-u, šutnja nije pristanak, ali nije ni prepreka obradi. Prema GDPR-u, šutnja nije pristanak i obrada ne može započeti bez njega.
Odaberite logiku prijave ako: rukujete podacima maloljetnika (mlađih od 16 godina) ili obrađujete osjetljive kategorije osobnih podataka koje zahtijevaju izričit pristanak prema kalifornijskom zakonu.
Odaberite logiku odjave ako: rukujete standardnim podacima potrošača od odraslih i obuhvaćeno ste poduzeće prema CCPA-u.
Kako postaviti vezu "Ne prodaj i ne dijeli moje osobne podatke"
Svako obuhvaćeno poduzeće koje prodaje ili dijeli osobne podatke mora pružiti jasnu i vidljivu vezu pod nazivom "Ne prodaj i ne dijeli moje osobne podatke" na svojoj početnoj stranici i u svojoj politici privatnosti. [4][6]
Postavljanje korak po korak:
- Provjerite svoje tokove podataka kako biste utvrdili prodaje li ili dijeli li vaše poduzeće osobne podatke kako je definirano CCPA-om.
- Dodajte potrebnu vezu u podnožje svoje web stranice i izbornik postavki mobilne aplikacije.
- Konfigurirajte svoju platformu za upravljanje pristankom za bilježenje i vremensko označavanje zahtjeva za odjavu.
- Osigurajte da tok odjave ne zahtijeva više koraka od toka prijave, propisi iz 2026. izričito zabranjuju asimetrično trenje. [7]
- Automatski poštujte signale Global Privacy Control (GPC) ako vaše poduzeće obrađuje podatke temeljene na pregledniku.
- Prikažite vidljivu potvrdu da je odjava prepoznata, na primjer, natpis ili stanje preklopnika koji prikazuje "Signal preferencije za odjavu poštovan." [3]
Platforma poput Biscotti CMP može automatizirati korake od 3 do 6, uključujući detekciju GPC signala i usklađen prikaz potvrde.
Koliko dugo moram odgovoriti na zahtjev potrošača za odjavu
Poduzeća moraju udovoljiti zahtjevu potrošača za odjavu unutar 15 radnih dana od primitka. [2] To se razlikuje od roka od 45 dana za odgovor koji se primjenjuje na druge zahtjeve za prava potrošača (kao što su pristup ili brisanje).
Nakon što je udovoljeno, poduzeće mora obavijestiti i sve treće strane kojima je prodalo ili podijelilo podatke potrošača u prethodnih 90 dana, nalažući im da prestanu koristiti te podatke. [6] Ova obveza obavještavanja nizvodno često se zanemaruje i predstavlja uobičajeni nedostatak usklađenosti.
Mogu li i dalje koristiti podatke nakon što se korisnik odjavi
Nakon što se potrošač odjavi od prodaje ili dijeljenja, poduzeće ne smije prodavati ili dijeliti osobne podatke tog potrošača u budućnosti. Međutim, poduzeće i dalje može koristiti podatke za interne svrhe koje su u skladu s odnosom potrošača s poduzećem. [4]
Izričito zabranjeno nakon odjave:
- Prodaja ili dijeljenje podataka s trećim stranama za kontekstualno bihevioralno oglašavanje
- Korištenje podataka na načine koji su nekompatibilni s kontekstom u kojem su prikupljeni
I dalje dopušteno nakon odjave:
- Ispunjenje transakcije ili usluge koju je potrošač zatražio
- Interna analitika i prevencija prijevara
- Usklađenost s pravnim obvezama
Uobičajena pogreška: Pretpostavka da odjava znači potpuno brisanje podataka. Ne znači. Potrošači moraju podnijeti zaseban zahtjev za brisanje kako bi ostvarili to pravo.
CCPA vs. GDPR: Koji moram slijediti
Ako vaše poslovanje opslužuje i stanovnike Kalifornije i stanovnike Europske unije, vjerojatno se morate pridržavati oba. CCPA i GDPR nisu međusobno isključivi, a zahtjevi za usklađenost dovoljno se razlikuju da jedna politika rijetko zadovoljava oba.
| Faktor | CCPA | GDPR |
|---|---|---|
| Model pristanka | Odjava (dopuštena zadana obrada) | Prijava (prvo potreban pristanak) |
| Geografski opseg | Stanovnici Kalifornije | Stanovnici EU/EEA |
| Tko je obuhvaćen | Profitna poduzeća koja ispunjavaju pragove | Bilo koji entitet koji obrađuje podatke stanovnika EU |
| Kazne | Do 7.500 USD po namjernom kršenju | Do 4% globalnog godišnjeg prometa |
| Pravo na brisanje | Da | Da (Pravo na zaborav) |
| Prenosivost podataka | Da | Da |
Praktična implikacija: GDPR-usklađeni banneri za pristanak nisu automatski CCPA-usklađeni, jer CCPA zahtijeva specifičan mehanizam za odjavu, a ne pristupnik za pristanak.
Što se događa ako se ne pridržavam CCPA zahtjeva
Nepoštivanje izlaže poduzeća građanskim kaznama do 2.500 USD po nenamjernom kršenju i 7.500 USD po namjernom kršenju, koje provodi California Privacy Protection Agency (CPPA). [4][6] Kršenja koja uključuju podatke maloljetnika tretiraju se kao namjerna prema zadanim postavkama.
Potrošači također imaju privatno pravo na tužbu za povrede podataka koje proizlaze iz propusta poduzeća da primijeni razumne sigurnosne mjere, sa zakonskim odštetama u rasponu od 100 do 750 USD po potrošaču po incidentu. [4]
Izmjene iz 2026. proširile su ovlasti CPPA-a za reviziju, što znači da se poduzeća koja podliježu zahtjevima za procjenu rizika mogu suočiti s proaktivnim regulatornim nadzorom, a ne samo reaktivnom provedbom. [1][7]
Trebam li ažurirati svoju politiku privatnosti za CCPA
Da. Obuhvaćena poduzeća moraju održavati politiku privatnosti koja otkriva, barem:
- Kategorije prikupljenih osobnih podataka i svrhe prikupljanja
- Prodaju li se ili dijele osobni podaci i kategorije uključenih trećih strana
- Prava potrošača dostupna prema CCPA-u (odjava, brisanje, pristup, ispravak, prenosivost)
- Kako potrošači mogu podnijeti zahtjeve za ostvarivanje tih prava
- Razdoblje zadržavanja za svaku kategoriju osobnih podataka [4][6]
Politike privatnosti moraju se ažurirati najmanje jednom svakih 12 mjeseci. Neažuriranje politike nakon značajne promjene u praksama podataka, kao što je dodavanje novog dobavljača analitike, samo po sebi je kršenje usklađenosti.
Kako provjeriti je li zahtjev potrošača za odjavu legitiman
Za zahtjeve za odjavu posebno, CCPA ne zahtijeva od poduzeća da provjere identitet potrošača koji podnosi zahtjev. [2] To je namjerno: zahtijevanje provjere identiteta za odjave stvorilo bi trenje koje potkopava pravo.
Međutim, poduzeća mogu koristiti razumne načine za potvrdu da zahtjev nije lažan, kao što je potvrda adrese e-pošte povezane s računom. Standard za provjeru odjave namjerno je niži nego za zahtjeve za brisanje ili pristup, gdje je provjera identiteta prikladna jer ti zahtjevi uključuju otkrivanje ili uništavanje podataka.
Rubni slučaj: Ako zahtjev za odjavu stigne putem automatiziranog signala (GPC), nije potreban niti dopušten dodatni korak provjere, sam signal predstavlja valjan zahtjev. [3][7]
Kako funkcioniraju mehanizmi za odjavu na mobilnim aplikacijama u usporedbi s web stranicama
Na web stranicama, mehanizmi za odjavu moraju uključivati vezu "Ne prodaj i ne dijeli moje osobne podatke" u podnožju i moraju poštovati GPC signale na razini preglednika. [3][7] Na mobilnim aplikacijama, zahtjevi su funkcionalno ekvivalentni, ali se implementacija razlikuje:
- Mobilne aplikacije moraju uključivati opciju odjave u izborniku postavki aplikacije ili odjeljku postavki privatnosti.
- Aplikacije distribuirane putem trgovina aplikacijama moraju se pridržavati svih dodatnih zahtjeva za privatnost na razini platforme (kao što je App Tracking Transparency na iOS-u), ali ti zahtjevi platforme ne zamjenjuju usklađenost s CCPA-om.
- Automatizirani signali s mobilnih operativnih sustava moraju se poštovati na isti način kao i GPC signali temeljeni na pregledniku ako poduzeće obrađuje te podatke.
Propisi iz 2026. jasno navode da kanal (web naspram aplikacije) ne mijenja temeljnu obvezu, samo se tehnička implementacija razlikuje.
Koje su uobičajene pogreške koje poduzeća čine u vezi s usklađenošću s CCPA-om
Čak i dobronamjerna poduzeća često čine sljedeće pogreške:
- Tretiranje odjave kao prijave: Zahtijevanje od potrošača da potvrdno potvrde svoju odjavu kroz više koraka, što krši zahtjev simetrije u izmjenama iz 2026. [7]
- Ignoriranje GPC signala: Nekonfiguriranje njihovog tehnološkog stoga za otkrivanje i poštivanje signala preglednika Global Privacy Control, koji se sada tretiraju kao valjani zahtjevi za odjavu. [3]
- Neprikazivanje potvrde odjave: Pravila iz 2026. zahtijevaju vidljivu potvrdu da je signal obrađen, unos u pozadinsku evidenciju nije dovoljan. [3]
- Zanemarivanje nizvodnih dobavljača: Neobavještavanje primatelja podataka trećih strana nakon primitka odjave.
- Statične politike privatnosti: Neažuriranje politike godišnje ili nakon značajnih promjena u praksama podataka.
- Miješanje pružatelja usluga s trećim stranama: Pružatelji usluga koji obrađuju podatke prema ugovoru imaju različite obveze od trećih strana koje primaju podatke za vlastite svrhe.
Često postavljana pitanja
Primjenjuje li se CCPA na neprofitne organizacije? Ne. CCPA se primjenjuje samo na profitna poduzeća. Neprofitne organizacije nisu obuhvaćena poduzeća, iako mogu podlijegati drugim kalifornijskim zakonima o privatnosti.
Što je Global Privacy Control (GPC) i moram li ga poštovati? GPC je signal na razini preglednika koji automatski komunicira preferenciju potrošača za odjavu. Od 1. siječnja 2026. obuhvaćena poduzeća koja obrađuju podatke preglednika moraju poštovati GPC signale kao valjane zahtjeve za odjavu i prikazati potvrdu da je signal obrađen. [3][7]
Može li poduzeće naplatiti različitu cijenu potrošačima koji se odjave? Općenito ne. CCPA zabranjuje poduzećima diskriminaciju potrošača koji ostvaruju svoja prava na privatnost, uključujući naplatu različitih cijena, osim ako je razlika razumno povezana s vrijednošću podataka potrošača. [4]
Koliko dugo se moraju čuvati evidencije odjave? CCPA ne određuje univerzalno razdoblje zadržavanja za evidencije odjave, ali poduzeća bi trebala čuvati evidencije dovoljno dugo da dokažu usklađenost u slučaju revizije ili provedbene radnje, obično se najmanje 24 mjeseca smatra razumnom osnovom. [6]
Zadovoljava li banner za kolačiće CCPA zahtjeve za odjavu? Sam banner za kolačiće nije dovoljan. CCPA zahtijeva namjensku vezu "Ne prodaj i ne dijeli moje osobne podatke", a izmjene iz 2026. zahtijevaju od poduzeća da poštuju i potvrde GPC signale neovisno o bilo kojoj interakciji s pristankom za kolačiće. [3][7]
Koja je razlika između "prodaje" i "dijeljenja" prema CCPA-u? "Prodaja" uključuje razmjenu osobnih podataka za novčanu naknadu. "Dijeljenje" pokriva otkrivanje osobnih podataka za kontekstualno bihevioralno oglašavanje, čak i bez plaćanja. Oba pokreću prava na odjavu. [4]
Trebam li zasebne mehanizme za odjavu za svaku kategoriju podataka? Ne. Dovoljan je jedan mehanizam za odjavu koji pokriva prodaju i dijeljenje, iako poduzeća moraju jasno opisati u svojoj politici privatnosti koje su kategorije podataka obuhvaćene.
Što je procjena rizika prema izmjenama CCPA-a iz 2026.? Poduzeća koja obrađuju osobne podatke na načine koji predstavljaju značajne rizike za privatnost, uključujući korištenje tehnologije automatiziranog donošenja odluka, moraju provesti i dokumentirati procjene rizika prije početka te obrade. [1][7]
Zaključak
CCPA objašnjen: kako upravljati odjavama za potrošače u Kaliforniji je pokretna meta, a izmjene iz 2026. znatno su podigle ljestvicu. Temeljne obveze, pružanje jasnog mehanizma za odjavu, poštivanje zahtjeva potrošača unutar 15 radnih dana i ažuriranje vaše politike privatnosti, ostaju temeljne. Ali novi zahtjevi oko potvrde GPC signala, zabrane tamnih obrazaca i procjena rizika ADMT-a zahtijevaju sustavniji pristup nego što ga može pružiti statična veza u podnožju.
Akcijski sljedeći koraci za obuhvaćena poduzeća:
- Provjerite svoj trenutni tok odjave u odnosu na zahtjev simetrije iz 2026.: prebrojite korake za odjavu i usporedite ih s koracima za prijavu.
- Provjerite otkrivaju li i poštuju li vaša web stranica i mobilna aplikacija signale Global Privacy Control, te prikazuje li se vidljiva poruka potvrde kada se signal primi.
- Pregledajte svoj popis dobavljača trećih strana i potvrdite da su uspostavljeni postupci obavještavanja nizvodno za tokove podataka nakon odjave.
- Ažurirajte svoju politiku privatnosti kako bi odražavala trenutne prakse podataka, razdoblja zadržavanja i potpuni popis prava potrošača.
- Procijenite platformu za upravljanje pristankom kao što je Biscotti CMP za automatizaciju detekcije signala, potvrde odjave i vođenja evidencije preferencija na web i mobilnim kanalima.
Usklađenost nije jednokratni projekt. CPPA je pokazao spremnost za izdavanje smjernica i provođenje, a regulatorno okruženje će se nastaviti razvijati. Izgradnja ponovljivih, provjerljivih procesa sada je najobranjiviji položaj koji obuhvaćeno poduzeće može zauzeti.
Reference
[1] Navigating New Obligations Under The CCPA Updated Regulations - https://www.lw.com/en/insights/navigating-new-obligations-under-the-ccpa-updated-regulations
[2] Navigating California Consumer Privacy Act 30 Essential FAQs Covered Businesses Including Clarifying Regulations Effective 1/1/26 - https://www.jacksonlewis.com/insights/navigating-california-consumer-privacy-act-30-essential-faqs-covered-businesses-including-clarifying-regulations-effective-1126
[3] Show Me That You've Opted Me Out: New CCPA Rules Require Businesses To Prove Compliance - https://www.nelsonmullins.com/insights/alerts/fcc-download/all/show-me-that-you-ve-opted-me-out-new-ccpa-rules-require-businesses-to-prove-compliance
[4] CCPA Statute Effective 2026-01-01 - https://cppa.ca.gov/regulations/pdf/ccpa_statute_eff_20260101.pdf
[5] CCPA Updates - https://cppa.ca.gov/regulations/ccpa_updates.html
[6] CCPA Requirements 2026: Complete Compliance Guide - https://secureprivacy.ai/blog/ccpa-requirements-2026-complete-compliance-guide
[7] CCPA 2026: Navigating The Expanded Consumer Privacy Compliance Requirements For Businesses - https://www.lathropgpm.com/insights/ccpa-2026-navigating-the-expanded-consumer-privacy-compliance-requirements-for-businesses/
[8] CCPA in 2026: What's Changing in Consent, Consumer Rights, and AI Governance - https://www.onetrust.com/blog/ccpa-in-2026-whats-changing-in-consent-consumer-rights-and-ai-governance/
[9] New CCPA 2026 Regulations: Your Complete Compliance Action Guide - https://captaincompliance.com/education/new-ccpa-2026-regulations-your-complete-compliance-action-guide/
[10] CPPA Regulations - https://cppa.ca.gov/regulations/