USA-jog és CCPA

CCPA magyarázat: Hogyan kezeljük a kaliforniai fogyasztók leiratkozásait

2026. július 7. · 16 min olvasás

Gyors válasz: A California Consumer Privacy Act (CCPA) jogot biztosít a kaliforniai lakosoknak arra, hogy leiratkozzanak személyes adataik értékesítéséről vagy megosztásáról. 2026. január 1-jétől a módosított szabályozások értelmében a vállalkozásoknak tiszteletben kell tartaniuk a leiratkozási preferenciális jeleket (például a Global Privacy Controlt), láthatóan meg kell erősíteniük, hogy ezeket a jeleket feldolgozták, és biztosítaniuk kell, hogy a leiratkozási folyamatok ne legyenek bonyolultabbak, mint a feliratkozási folyamatok. A szabályok be nem tartása szándékos jogsértésenként akár 7500 dolláros polgári jogi büntetést is vonhat maga után.

Főbb tudnivalók

A CCPA azokra a nyereségorientált vállalkozásokra vonatkozik, amelyek megfelelnek bizonyos bevételi, adatmennyiségi vagy adateladási küszöböknek, nem pedig minden Kaliforniában működő cégre.
1. január 1-jétől a vállalkozásoknak látható megerősítést kell megjeleníteniük, ha egy leiratkozási preferenciális jelet (például a Global Privacy Controlt) felismerték és tiszteletben tartották. [3]
A leiratkozási mechanizmusoknak ugyanolyan könnyen használhatónak kell lenniük, mint a feliratkozási folyamatoknak; a leiratkozást gátló sötét minták kifejezetten tilosak a 2026-os módosítások értelmében. [7]
A vállalkozásoknak 15 munkanapjuk van arra, hogy a fogyasztói leiratkozási kérelmet a beérkezést követően teljesítsék. [2]
A CCPA szerinti "személyes adat" tág fogalom: magában foglalja az IP-címeket, a böngészési előzményeket, a földrajzi helymeghatározási adatokat, a fogyasztói magatartásból levont következtetéseket és még sok mást.
A CCPA és a GDPR alapvetően eltérő hozzájárulási modelleken működik, a leiratkozás vs. feliratkozás, és sok vállalkozásnak mindkettőnek egyszerre kell megfelelnie.
A CCPA jogait tükröző adatvédelmi szabályzat frissítésének elmulasztása önmagában is megfelelőségi hiányosság, függetlenül a technikai leiratkozási hibáktól.
Egy hozzájárulás-kezelő platform, mint például a Biscotti CMP, automatizálhatja a jelérzékelést, a leiratkozás megerősítésének megjelenítését és a preferenciák nyilvántartását.

Mi a CCPA, és miért fontos az Ön vállalkozása számára?

A California Consumer Privacy Act egy állami szintű adatvédelmi törvény, amely a kaliforniai lakosoknak különleges jogokat biztosít arra vonatkozóan, hogy a vállalkozások hogyan gyűjtik, használják és értékesítik személyes adataikat. Fontos, mert Kalifornia a világ ötödik legnagyobb gazdasága, és minden olyan vállalkozás, amely kaliforniai fogyasztókkal érintkezik, függetlenül attól, hogy hol van a székhelye, jogilag köteles lehet megfelelni a törvénynek.

A CCPA-t eredetileg 2018-ban vezették be, a California Privacy Rights Act (CPRA) 2020-ban megerősítette, és 2025. szeptember 22-én a California Office of Administrative Law által jóváhagyott szabályozásokkal ismét jelentősen frissítették, 2026. január 1-jei hatállyal. [1][5] Ezek a 2026-os módosítások új kötelezettségeket vezettek be az automatizált döntéshozatali technológiák (ADMT), a kockázatértékelések, és ami a legtöbb vállalkozás számára kritikus, a leiratkozási mechanizmusok tervezése és megerősítési követelményei terén. [1][7]

A CCPA megértése: a kaliforniai fogyasztók leiratkozásainak kezelése már nem opcionális a hatálya alá tartozó vállalkozások számára. A szabályozási szint emelkedett, és a végrehajtás is követte.

Honnan tudom, hogy a CCPA vonatkozik-e a cégemre?

A CCPA azokra a nyereségorientált vállalkozásokra vonatkozik, amelyek Kaliforniában üzletelnek, és megfelelnek az alábbi küszöbértékek legalább egyikének:

Éves bruttó bevétel meghaladja a 25 millió dollárt
Évente 100 000 vagy több kaliforniai fogyasztó vagy háztartás személyes adatainak vásárlása, értékesítése, fogadása vagy megosztása
Éves bevétel 50%-a vagy több kaliforniai fogyasztók személyes adatainak értékesítéséből vagy megosztásából származik [4][6]

A CCPA vonatkozik-e bizonyos bevételi szint alatti kisvállalkozásokra? Általában nem. Ha egy vállalkozás mindhárom küszöbérték alatt marad, akkor nem minősül a CCPA hatálya alá tartozó vállalkozásnak. Azonban a szolgáltatók és alvállalkozók, akik a hatálya alá tartozó vállalkozások nevében dolgoznak fel adatokat, szerződéses CCPA kötelezettségek hatálya alá tartoznak, még akkor is, ha egyébként önállóan nem minősülnének annak. [2]

Éles eset: Egy kis SaaS cég, amelynek bevétele kevesebb mint 25 millió dollár, de nagy ingyenes felhasználói bázissal rendelkezik, könnyen átlépheti a 100 000 fogyasztói adatküszöböt anélkül, hogy észrevenné.

Mi számít személyes adatnak a CCPA szerint?

A CCPA szerint a személyes adat tág értelemben minden olyan információ, amely azonosít, vonatkozik, leír vagy ésszerűen összekapcsolható egy adott fogyasztóval vagy háztartással. Ez messze túlmutat a neveken és e-mail címeken.

A lefedett kategóriák a következők:

Kategória	Példák
Azonosítók	Név, e-mail, IP-cím, eszközazonosító
Kereskedelmi információk	Vásárlási előzmények, böngészési viselkedés
Biometrikus adatok	Ujjlenyomatok, arcfelismerési adatok
Internetes tevékenység	Sütik, keresési előzmények, webhely interakciók
Helymeghatározás	Pontos helymeghatározás mobil eszközökről
Következtetések	Viselkedési adatokból épített profilok
Érzékeny személyes adatok	Társadalombiztosítási számok, egészségügyi adatok, pontos földrajzi helymeghatározás

A fogyasztói adatokból levont következtetések, amelyek preferenciákról, jellemzőkről vagy viselkedésről szóló profilokat hoznak létre, kifejezetten szerepelnek. [4] Ez fontos az adtech, az analitika és a személyre szabási folyamatok szempontjából.

Mi a különbség a CCPA opt-out és opt-in között?

A CCPA egy opt-out modellen működik: a vállalkozások alapértelmezés szerint gyűjthetik és használhatják a fogyasztói adatokat, de a fogyasztóknak joguk van követelni, hogy adataikat ne értékesítsék vagy osszák meg. Az opt-in hozzájárulás csak speciális körülmények között szükséges, például 16 év alatti fogyasztók személyes adatainak kezelésekor. [4][6]

Ez az alapvető szerkezeti különbség a GDPR-tól, amely egy opt-in modellen működik, és a legtöbb adatfeldolgozás megkezdése előtt kifejezett hozzájárulást igényel. A CCPA szerint a hallgatás nem hozzájárulás, de nem is akadálya a feldolgozásnak. A GDPR szerint a hallgatás nem hozzájárulás, és a feldolgozás nem kezdődhet meg nélküle.

Válassza az opt-in logikát, ha: kiskorúak (16 év alattiak) adatait kezeli, vagy olyan érzékeny személyes adatkategóriákat dolgoz fel, amelyekhez a kaliforniai törvények szerint kifejezett hozzájárulás szükséges.

Válassza az opt-out logikát, ha: felnőttek standard fogyasztói adatait kezeli, és a CCPA hatálya alá tartozó vállalkozás.

Hogyan állítsak be "Do Not Sell or Share My Personal Information" linket?

Minden olyan vállalkozás, amely személyes adatokat értékesít vagy oszt meg, köteles egyértelmű és jól látható "Do Not Sell or Share My Personal Information" (Ne adja el vagy ossza meg személyes adataimat) linket elhelyezni a honlapján és az adatvédelmi szabályzatában. [4][6]

Lépésről lépésre történő beállítás:

Ellenőrizze adatfolyamait, hogy megállapítsa, vállalkozása értékesít-e vagy oszt-e meg személyes adatokat a CCPA definíciója szerint.
Adja hozzá a szükséges linket weboldala láblécéhez és mobilalkalmazása beállítási menüjéhez.
Konfigurálja hozzájárulás-kezelő platformját a leiratkozási kérelmek rögzítésére és időbélyegzésére.
Győződjön meg arról, hogy a leiratkozási folyamat nem igényel több lépést, mint a feliratkozási folyamat; a 2026-os szabályozások kifejezetten tiltják az aszimmetrikus súrlódást. [7]
Automatikusan tartsa tiszteletben a Global Privacy Control (GPC) jeleket, ha vállalkozása böngészőalapú adatokat dolgoz fel.
Jelenítsen meg látható megerősítést arról, hogy a leiratkozást felismerték, például egy bannert vagy egy kapcsoló állapotát, amely a "Leiratkozási preferencia jel tiszteletben tartva" feliratot mutatja. [3]

Egy platform, mint például a Biscotti CMP, automatizálhatja a 3-6. lépéseket, beleértve a GPC jelérzékelést és a megfelelő megerősítés megjelenítését.

Mennyi időm van válaszolni egy fogyasztói leiratkozási kérelemre?

A vállalkozásoknak a fogyasztó leiratkozási kérelmét a beérkezéstől számított 15 munkanapon belül teljesíteniük kell. [2] Ez eltér a többi fogyasztói jogi kérelemre (például hozzáférés vagy törlés) vonatkozó 45 napos válaszadási időtől.

A teljesítést követően a vállalkozásnak értesítenie kell azokat a harmadik feleket is, akiknek az előző 90 napban eladta vagy megosztotta a fogyasztó adatait, és utasítania kell őket az adatok további felhasználásának beszüntetésére. [6] Ez az alsóbb szintű értesítési kötelezettség gyakran figyelmen kívül marad, és gyakori megfelelőségi hiányosságot jelent.

Használhatom-e még az adatokat, miután egy ügyfél leiratkozott?

Miután egy fogyasztó leiratkozott az értékesítésről vagy megosztásról, a vállalkozás a továbbiakban nem értékesítheti vagy oszthatja meg az adott fogyasztó személyes adatait. Azonban a vállalkozás továbbra is használhatja az adatokat belső célokra, amelyek összhangban vannak a fogyasztó és a vállalkozás közötti kapcsolattal. [4]

Kifejezetten tilos a leiratkozás után:

Az adatok értékesítése vagy megosztása harmadik felekkel keresztkontextusú viselkedésalapú hirdetések céljából
Az adatok felhasználása a gyűjtés kontextusával összeegyeztethetetlen módon

Továbbra is megengedett a leiratkozás után:

A fogyasztó által kért tranzakció vagy szolgáltatás teljesítése
Belső elemzések és csalásmegelőzés
Jogi kötelezettségek teljesítése

Gyakori hiba: Feltételezni, hogy a leiratkozás teljes adattörlést jelent. Nem. A fogyasztóknak külön törlési kérelmet kell benyújtaniuk e jog gyakorlásához.

CCPA vs. GDPR: Melyiket kell követnem?

Ha vállalkozása kaliforniai lakosokat és európai uniós lakosokat is kiszolgál, valószínűleg mindkettőnek meg kell felelnie. A CCPA és a GDPR nem zárja ki egymást, és a megfelelőségi követelmények annyira eltérőek, hogy egyetlen szabályzat ritkán elégíti ki mindkettőt.

Tényező	CCPA	GDPR
Hozzájárulási modell	Opt-out (alapértelmezett feldolgozás megengedett)	Opt-in (előzetes hozzájárulás szükséges)
Földrajzi hatókör	Kaliforniai lakosok	EU/EGT lakosok
Kire vonatkozik	Küszöbértékeket teljesítő nyereségorientált vállalkozások	Bármely entitás, amely EU-s lakosok adatait dolgozza fel
Büntetések	Akár 7500 dollár szándékos jogsértésenként	Akár a globális éves forgalom 4%-a
Törléshez való jog	Igen	Igen (Elfeledtetéshez való jog)
Adathordozhatóság	Igen	Igen

A gyakorlati következmény: A GDPR-kompatibilis hozzájárulási bannerek nem automatikusan CCPA-kompatibilisek, mert a CCPA egy specifikus leiratkozási mechanizmust igényel, nem pedig egy hozzájárulási kaput.

Mi történik, ha nem tartom be a CCPA követelményeit?

A szabályok be nem tartása a vállalkozásokat polgári jogi büntetéseknek teszi ki, akár 2500 dollár nem szándékos jogsértésenként és 7500 dollár szándékos jogsértésenként, amelyet a California Privacy Protection Agency (CPPA) érvényesít. [4][6] A kiskorúak adataival kapcsolatos jogsértéseket alapértelmezés szerint szándékosnak tekintik.

A fogyasztóknak magánjogi keresetindítási joguk is van az adatvédelmi incidensek esetén, amelyek a vállalkozás ésszerű biztonsági intézkedések bevezetésének elmulasztásából erednek, törvényes kártérítéssel, amely incidensenként 100 és 750 dollár között mozog fogyasztónként. [4]

A 2026-os módosítások kiterjesztették a CPPA ellenőrzési hatáskörét, ami azt jelenti, hogy a kockázatértékelési követelmények hatálya alá tartozó vállalkozások proaktív szabályozási ellenőrzéssel szembesülhetnek, nem csak reaktív végrehajtással. [1][7]

Frissítenem kell az adatvédelmi szabályzatomat a CCPA miatt?

Igen. A hatálya alá tartozó vállalkozásoknak olyan adatvédelmi szabályzatot kell fenntartaniuk, amely legalább a következőket tartalmazza:

Az összegyűjtött személyes adatok kategóriái és a gyűjtés céljai
Hogy értékesítik-e vagy megosztják-e a személyes adatokat, és az érintett harmadik felek kategóriái
A CCPA szerinti fogyasztói jogok (leiratkozás, törlés, hozzáférés, helyesbítés, adathordozhatóság)
Hogyan nyújthatnak be a fogyasztók kérelmeket e jogok gyakorlására
Az egyes személyes adatkategóriák megőrzési ideje [4][6]

Az adatvédelmi szabályzatokat legalább 12 havonta frissíteni kell. Az adatvédelmi szabályzat frissítésének elmulasztása az adatkezelési gyakorlatok lényeges változása után, például új analitikai szolgáltató hozzáadása esetén, önmagában is megfelelőségi jogsértés.

Hogyan ellenőrizhetem, hogy egy fogyasztó leiratkozási kérelme jogos-e?

Kifejezetten a leiratkozási kérelmek esetében a CCPA nem írja elő a vállalkozásoknak, hogy ellenőrizzék a kérelmet benyújtó fogyasztó személyazonosságát. [2] Ez szándékos: a leiratkozásokhoz szükséges személyazonosság-ellenőrzés súrlódást okozna, ami aláásná a jogot.

Azonban a vállalkozások ésszerű eszközöket használhatnak annak megerősítésére, hogy a kérelem nem csalárd, például az fiókhoz társított e-mail cím megerősítésével. A leiratkozás ellenőrzésére vonatkozó szabvány szándékosan alacsonyabb, mint a törlési vagy hozzáférési kérelmek esetében, ahol a személyazonosság-ellenőrzés megfelelő, mivel ezek a kérelmek adatok nyilvánosságra hozatalát vagy megsemmisítését vonják maguk után.

Éles eset: Ha egy leiratkozási kérelem automatizált jel (GPC) útján érkezik, nincs szükség vagy megengedett további ellenőrzési lépésre, maga a jel érvényes kérelemnek minősül. [3][7]

Hogyan működnek a leiratkozási mechanizmusok mobilalkalmazásokon vs. weboldalakon?

Weboldalakon a leiratkozási mechanizmusoknak tartalmazniuk kell a "Do Not Sell or Share My Personal Information" linket a láblécben, és tiszteletben kell tartaniuk a böngésző szintű GPC jeleket. [3][7] Mobilalkalmazásokon a követelmények funkcionálisan egyenértékűek, de a megvalósítás eltér:

Mobilalkalmazásoknak tartalmazniuk kell a leiratkozási lehetőséget az alkalmazás beállítási menüjében vagy adatvédelmi beállítások részében.
Az alkalmazásboltokon keresztül terjesztett alkalmazásoknak meg kell felelniük minden további platformszintű adatvédelmi követelménynek (például az iOS-en az App Tracking Transparency), de ezek a platformkövetelmények nem helyettesítik a CCPA megfelelőséget.
A mobil operációs rendszerekből érkező automatizált jeleket ugyanúgy tiszteletben kell tartani, mint a böngészőalapú GPC jeleket, ha a vállalkozás feldolgozza ezeket az adatokat.

A 2026-os szabályozások egyértelművé teszik, hogy a csatorna (web vs. alkalmazás) nem változtatja meg az alapvető kötelezettséget, csak a technikai megvalósítás tér el.

Milyen gyakori hibákat követnek el a vállalkozások a CCPA megfelelés során?

Még a jó szándékú vállalkozások is gyakran elkövetik a következő hibákat:

A leiratkozás feliratkozásként való kezelése: A fogyasztók arra kényszerítése, hogy több lépésben is megerősítsék leiratkozásukat, ami sérti a 2026-os módosítások szimmetria követelményét. [7]
A GPC jelek figyelmen kívül hagyása: A technológiai stack konfigurálásának elmulasztása a Global Privacy Control böngészőjelek észlelésére és tiszteletben tartására, amelyeket mostantól érvényes leiratkozási kérelmeknek tekintenek. [3]
A leiratkozás megerősítésének elmulasztása: A 2026-os szabályok látható megerősítést írnak elő arról, hogy egy jelet feldolgoztak, egy háttérrendszeri naplóbejegyzés nem elegendő. [3]
Az alsóbb szintű szállítók figyelmen kívül hagyása: A harmadik fél adatfogadók értesítésének elmulasztása a leiratkozás beérkezése után.
Statikus adatvédelmi szabályzatok: A szabályzat éves frissítésének elmulasztása, vagy az adatkezelési gyakorlatok lényeges változása után.
A szolgáltatók és a harmadik felek összekeverése: A szerződés alapján adatokat feldolgozó szolgáltatóknak eltérő kötelezettségeik vannak, mint a saját céljaikra adatokat fogadó harmadik feleknek.

GYIK

A CCPA vonatkozik-e a nonprofit szervezetekre? Nem. A CCPA csak a nyereségorientált vállalkozásokra vonatkozik. A nonprofit szervezetek nem minősülnek hatálya alá tartozó vállalkozásoknak, bár más kaliforniai adatvédelmi törvények hatálya alá tartozhatnak.

Mi a Global Privacy Control (GPC), és tiszteletben kell tartanom? A GPC egy böngésző szintű jel, amely automatikusan közli a fogyasztó leiratkozási preferenciáját. 2026. január 1-jétől a böngészőadatokat feldolgozó, hatálya alá tartozó vállalkozásoknak tiszteletben kell tartaniuk a GPC jeleket érvényes leiratkozási kérelmekként, és meg kell jeleníteniük a megerősítést arról, hogy a jelet feldolgozták. [3][7]

Felszámíthat-e egy vállalkozás eltérő árat azoknak a fogyasztóknak, akik leiratkoznak? Általában nem. A CCPA tiltja a vállalkozások számára, hogy diszkriminálják azokat a fogyasztókat, akik gyakorolják adatvédelmi jogaikat, beleértve az eltérő árak felszámítását is, kivéve, ha a különbség ésszerűen összefügg a fogyasztó adatainak értékével. [4]

Mennyi ideig kell megőrizni a leiratkozási nyilvántartásokat? A CCPA nem határoz meg univerzális megőrzési időt a leiratkozási nyilvántartásokra, de a vállalkozásoknak elegendő ideig meg kell őrizniük a nyilvántartásokat ahhoz, hogy ellenőrzés vagy végrehajtási eljárás esetén igazolni tudják a megfelelőséget, jellemzően legalább 24 hónap ésszerű alapnak tekinthető. [6]

Egy süti banner kielégíti-e a CCPA leiratkozási követelményeit? Egy süti banner önmagában nem elegendő. A CCPA egy dedikált "Do Not Sell or Share My Personal Information" linket igényel, és a 2026-os módosítások megkövetelik a vállalkozásoktól, hogy a GPC jeleket a süti hozzájárulási interakciótól függetlenül tiszteletben tartsák és megerősítsék. [3][7]

Mi a különbség az "értékesítés" és a "megosztás" között a CCPA szerint? Az "értékesítés" személyes adatok pénzbeli ellenérték fejében történő cseréjét jelenti. A "megosztás" a személyes adatok keresztkontextusú viselkedésalapú hirdetések céljából történő nyilvánosságra hozatalát fedi le, még fizetés nélkül is. Mindkettő kiváltja a leiratkozási jogokat. [4]

Szükségem van-e külön leiratkozási mechanizmusokra az egyes adatkategóriákhoz? Nem. Egyetlen leiratkozási mechanizmus, amely az értékesítést és a megosztást is lefedi, elegendő, bár a vállalkozásoknak egyértelműen le kell írniuk adatvédelmi szabályzatukban, hogy mely adatkategóriákra vonatkozik.

Mi a kockázatértékelés a 2026-os CCPA módosítások szerint? Azoknak a vállalkozásoknak, amelyek jelentős adatvédelmi kockázatot jelentő módon dolgoznak fel személyes adatokat, beleértve az automatizált döntéshozatali technológiák használatát is, kockázatértékelést kell végezniük és dokumentálniuk kell azt a feldolgozás megkezdése előtt. [1][7]

Konklúzió

A CCPA magyarázata: a kaliforniai fogyasztók leiratkozásainak kezelése egy mozgó célpont, és a 2026-os módosítások jelentősen megemelték a lécet. Az alapvető kötelezettségek, azaz egyértelmű leiratkozási mechanizmus biztosítása, a fogyasztói kérelmek 15 munkanapon belüli teljesítése és az adatvédelmi szabályzat frissítése továbbra is alapvető fontosságúak. Azonban a GPC jel megerősítésére, a sötét minták tilalmára és az ADMT kockázatértékelésekre vonatkozó új követelmények szisztematikusabb megközelítést igényelnek, mint amit egy statikus lábléc link biztosítani tud.

A hatálya alá tartozó vállalkozások számára javasolt következő lépések:

Ellenőrizze jelenlegi leiratkozási folyamatát a 2026-os szimmetria követelményeivel szemben: számolja meg a leiratkozáshoz szükséges lépéseket, és hasonlítsa össze azokat a feliratkozáshoz szükséges lépésekkel.
Ellenőrizze, hogy weboldala és mobilalkalmazása észleli és tiszteletben tartja-e a Global Privacy Control jeleket, és hogy látható megerősítő üzenet jelenik-e meg, amikor egy jelet kap.
Tekintse át harmadik fél szállítói listáját, és erősítse meg, hogy a leiratkozás utáni adatfolyamokhoz rendelkezésre állnak-e az alsóbb szintű értesítési eljárások.
Frissítse adatvédelmi szabályzatát, hogy tükrözze a jelenlegi adatkezelési gyakorlatokat, megőrzési időszakokat és a fogyasztói jogok teljes listáját.
Értékeljen egy hozzájárulás-kezelő platformot, mint például a Biscotti CMP, a jelérzékelés, a leiratkozás megerősítésének és a preferenciák nyilvántartásának automatizálására a webes és mobil csatornákon.

A megfelelés nem egyszeri projekt. A CPPA bizonyította hajlandóságát iránymutatások kiadására és végrehajtási eljárások indítására, és a szabályozási környezet folyamatosan fejlődni fog. A megismételhető, ellenőrizhető folyamatok kiépítése most a legvédhetőbb pozíció, amelyet egy hatálya alá tartozó vállalkozás elfoglalhat.