Hukum AS & CCPA

CCPA Dijelaskan: Cara Mengelola Opt-Out untuk Konsumen California

7 Juli 2026 · 16 min baca

Jawaban Singkat: California Consumer Privacy Act (CCPA) memberikan hak kepada penduduk California untuk menolak penjualan atau berbagi informasi pribadi mereka. Mulai 1 Januari 2026, peraturan yang diamandemen sekarang mengharuskan bisnis untuk menghormati sinyal preferensi opt-out (seperti Global Privacy Control), secara terlihat mengonfirmasi bahwa sinyal tersebut telah diproses, dan memastikan alur opt-out tidak lebih kompleks daripada alur opt-in. Ketidakpatuhan dapat mengakibatkan penalti sipil hingga $7,500 per pelanggaran yang disengaja.

Poin Penting

CCPA berlaku untuk bisnis yang berorientasi keuntungan yang memenuhi ambang batas tertentu terkait pendapatan, volume data, atau penjualan data, bukan setiap perusahaan yang beroperasi di California.
Mulai 1 Januari 2026, bisnis harus menampilkan konfirmasi yang terlihat ketika sinyal preferensi opt-out (seperti Global Privacy Control) telah dikenali dan dihormati. [3]
Mekanisme opt-out harus semudah menggunakan alur opt-in; pola gelap yang menghalangi opt-out secara eksplisit dilarang di bawah amandemen 2026. [7]
Bisnis memiliki waktu 15 hari kerja untuk menghormati permintaan opt-out konsumen setelah penerimaan. [2]
"Informasi pribadi" di bawah CCPA didefinisikan secara luas: mencakup alamat IP, riwayat penelusuran, data geolokasi, inferensi yang diambil dari perilaku konsumen, dan lainnya.
CCPA dan GDPR beroperasi pada model persetujuan yang secara fundamental berbeda, opt-out vs. opt-in, dan banyak bisnis harus mematuhi keduanya secara bersamaan.
Gagal memperbarui kebijakan privasi Anda untuk mencerminkan hak CCPA adalah celah kepatuhan itu sendiri, terpisah dari kegagalan teknis opt-out.
Platform manajemen persetujuan seperti Biscotti CMP dapat mengotomatiskan deteksi sinyal, tampilan konfirmasi opt-out, dan pencatatan preferensi.

Apa Itu CCPA dan Mengapa Ini Penting untuk Bisnis Anda

California Consumer Privacy Act adalah undang-undang privasi tingkat negara bagian yang memberikan hak tertentu kepada penduduk California atas bagaimana bisnis mengumpulkan, menggunakan, dan menjual data pribadi mereka. Ini penting karena California adalah ekonomi terbesar kelima di dunia, dan setiap bisnis yang berhubungan dengan konsumen California, terlepas dari lokasi kantor pusatnya, mungkin secara hukum diwajibkan untuk mematuhi.

CCPA awalnya disahkan pada tahun 2018, diperkuat oleh California Privacy Rights Act (CPRA) pada tahun 2020, dan diperbarui secara material lagi dengan peraturan yang disetujui oleh California Office of Administrative Law pada 22 September 2025, yang berlaku mulai 1 Januari 2026. [1][5] Amandemen 2026 ini menambahkan kewajiban baru terkait teknologi pengambilan keputusan otomatis (ADMT), penilaian risiko, dan, yang sangat penting bagi sebagian besar bisnis, desain mekanisme opt-out dan persyaratan konfirmasi. [1][7]

Memahami CCPA dijelaskan: cara mengelola opt-out untuk konsumen California tidak lagi opsional bagi bisnis yang tercover. Dasar regulasi telah meningkat, dan penegakan telah mengikuti.

Bagaimana Saya Tahu Jika CCPA Berlaku untuk Perusahaan Saya

CCPA berlaku untuk bisnis yang berorientasi keuntungan yang melakukan bisnis di California dan memenuhi setidaknya satu dari ambang batas berikut:

Pendapatan bruto tahunan melebihi $25 juta
Setiap tahun membeli, menjual, menerima, atau berbagi informasi pribadi dari 100,000 atau lebih konsumen atau rumah tangga California
Menghasilkan 50% atau lebih dari pendapatan tahunan dari penjualan atau berbagi informasi pribadi konsumen California [4][6]

Apakah CCPA berlaku untuk bisnis kecil di bawah pendapatan tertentu? Umumnya, tidak. Jika sebuah bisnis berada di bawah ketiga ambang batas tersebut, itu bukan bisnis yang tercover di bawah CCPA. Namun, penyedia layanan dan kontraktor yang memproses data atas nama bisnis yang tercover tunduk pada kewajiban CCPA kontraktual meskipun mereka tidak memenuhi syarat secara independen. [2]

Kasus tepi: Sebuah perusahaan SaaS kecil dengan pendapatan di bawah $25 juta tetapi memiliki basis pengguna tier gratis yang besar dapat dengan mudah melewati ambang data 100,000 konsumen tanpa menyadarinya.

Apa yang Dihitung sebagai Informasi Pribadi di Bawah CCPA

Informasi pribadi di bawah CCPA didefinisikan secara luas sebagai informasi apa pun yang mengidentifikasi, berkaitan dengan, menggambarkan, atau dapat secara wajar dihubungkan dengan konsumen atau rumah tangga tertentu. Ini jauh melampaui nama dan alamat email.

Kategori yang tercover meliputi:

Kategori	Contoh
Identifiers	Nama, email, alamat IP, ID perangkat
Informasi komersial	Riwayat pembelian, perilaku penelusuran
Data biometrik	Sidik jari, data pengenalan wajah
Aktivitas internet	Cookie, riwayat pencarian, interaksi situs
Geolokasi	Lokasi tepat dari perangkat seluler
Inferensi	Profil yang dibangun dari data perilaku
Informasi pribadi sensitif	Nomor Jaminan Sosial, data kesehatan, geolokasi yang tepat

Inferensi yang diambil dari data konsumen untuk membuat profil tentang preferensi, karakteristik, atau perilaku secara eksplisit termasuk. [4] Ini penting untuk ad-tech, analitik, dan jalur personalisasi.

Apa Perbedaan Antara CCPA Opt-Out dan Opt-In

CCPA beroperasi pada model opt-out: bisnis dapat mengumpulkan dan menggunakan data konsumen secara default, tetapi konsumen memiliki hak untuk meminta agar data mereka tidak dijual atau dibagikan. Persetujuan opt-in hanya diperlukan dalam keadaan tertentu, seperti saat menangani informasi pribadi konsumen di bawah usia 16 tahun. [4][6]

Ini adalah perbedaan struktural mendasar dari GDPR, yang beroperasi pada model opt-in yang memerlukan persetujuan afirmatif sebelum sebagian besar pemrosesan data dimulai. Di bawah CCPA, diam bukanlah persetujuan, tetapi juga bukan penghalang untuk pemrosesan. Di bawah GDPR, diam bukanlah persetujuan dan pemrosesan tidak dapat dimulai tanpa itu.

Pilih logika opt-in jika: Anda menangani data dari anak di bawah umur (di bawah 16 tahun) atau memproses kategori informasi pribadi sensitif yang memerlukan persetujuan eksplisit di bawah hukum California.

Pilih logika opt-out jika: Anda menangani data konsumen standar dari orang dewasa dan merupakan bisnis yang tercover di bawah CCPA.

Bagaimana Cara Mengatur Tautan "Do Not Sell or Share My Personal Information"

Setiap bisnis yang tercover yang menjual atau berbagi informasi pribadi harus menyediakan tautan yang jelas dan mencolok berjudul "Do Not Sell or Share My Personal Information" di beranda dan dalam kebijakan privasinya. [4][6]

Langkah-langkah pengaturan:

Audit alur data Anda untuk menentukan apakah bisnis Anda menjual atau berbagi informasi pribadi sebagaimana didefinisikan oleh CCPA.
Tambahkan tautan yang diperlukan ke footer situs web Anda dan menu pengaturan aplikasi seluler.
Konfigurasikan platform manajemen persetujuan Anda untuk menangkap dan memberi cap waktu pada permintaan opt-out.
Pastikan alur opt-out tidak memerlukan lebih banyak langkah daripada alur opt-in, peraturan 2026 secara eksplisit melarang gesekan asimetris. [7]
Hormati sinyal Global Privacy Control (GPC) secara otomatis jika bisnis Anda memproses data berbasis browser.
Tampilkan konfirmasi yang terlihat bahwa opt-out telah dikenali, misalnya, spanduk atau status toggle yang menunjukkan "Sinyal Preferensi Opt-Out Dihormati." [3]

Platform seperti Biscotti CMP dapat mengotomatiskan langkah 3 hingga 6, termasuk deteksi sinyal GPC dan tampilan konfirmasi yang sesuai.

Berapa Lama Saya Harus Menanggapi Permintaan Opt-Out Konsumen

Bisnis harus menghormati permintaan opt-out konsumen dalam waktu 15 hari kerja setelah menerimanya. [2] Ini berbeda dari jendela respons 45 hari yang berlaku untuk permintaan hak konsumen lainnya (seperti akses atau penghapusan).

Setelah dihormati, bisnis juga harus memberi tahu pihak ketiga yang telah menjual atau berbagi data konsumen dalam 90 hari sebelumnya, mengarahkan mereka untuk berhenti menggunakan data tersebut. [6] Kewajiban pemberitahuan hilir ini sering diabaikan dan merupakan celah kepatuhan yang umum.

Bisakah Saya Masih Menggunakan Data Setelah Pelanggan Opt-Out

Setelah seorang konsumen menolak penjualan atau berbagi, bisnis tidak boleh menjual atau berbagi informasi pribadi konsumen tersebut ke depan. Namun, bisnis masih dapat menggunakan data untuk tujuan internal yang konsisten dengan hubungan konsumen dengan bisnis tersebut. [4]

Secara khusus dilarang setelah opt-out:

Menjual atau berbagi data dengan pihak ketiga untuk iklan perilaku lintas konteks
Menggunakan data dengan cara yang tidak sesuai dengan konteks di mana data tersebut dikumpulkan

Masih diizinkan setelah opt-out:

Memenuhi transaksi atau layanan yang diminta konsumen
Analitik internal dan pencegahan penipuan
Mematuhi kewajiban hukum

Kesalahan umum: Menganggap opt-out berarti penghapusan data secara penuh. Itu tidak benar. Konsumen harus mengajukan permintaan penghapusan terpisah untuk memicu hak tersebut.

CCPA vs. GDPR: Mana yang Harus Saya Ikuti

Jika bisnis Anda melayani baik penduduk California maupun penduduk Uni Eropa, Anda kemungkinan perlu mematuhi keduanya. CCPA dan GDPR tidak saling eksklusif, dan persyaratan kepatuhan berbeda cukup sehingga satu kebijakan jarang memenuhi keduanya.

Faktor	CCPA	GDPR
Model persetujuan	Opt-out (pemrosesan default diizinkan)	Opt-in (persetujuan diperlukan terlebih dahulu)
Lingkup geografis	Penduduk California	Penduduk UE/EEA
Siapa yang dicakup	Bisnis berorientasi keuntungan yang memenuhi ambang batas	Entitas mana pun yang memproses data penduduk UE
Penalti	Hingga $7,500 per pelanggaran yang disengaja	Hingga 4% dari omset tahunan global
Hak untuk penghapusan	Ya	Ya (Hak untuk Penghapusan)
Portabilitas data	Ya	Ya

Implikasi praktis: Spanduk persetujuan yang sesuai dengan GDPR tidak otomatis sesuai dengan CCPA, karena CCPA memerlukan mekanisme opt-out tertentu daripada gerbang persetujuan.

Apa yang Terjadi Jika Saya Tidak Mematuhi Persyaratan CCPA

Ketidakpatuhan mengekspos bisnis pada penalti sipil hingga $2,500 per pelanggaran yang tidak disengaja dan $7,500 per pelanggaran yang disengaja, ditegakkan oleh California Privacy Protection Agency (CPPA). [4][6] Pelanggaran yang melibatkan data anak-anak dianggap sebagai pelanggaran yang disengaja secara default.

Konsumen juga memiliki hak tindakan pribadi untuk pelanggaran data yang diakibatkan oleh kegagalan bisnis dalam menerapkan langkah-langkah keamanan yang wajar, dengan ganti rugi hukum berkisar antara $100 hingga $750 per konsumen per insiden. [4]

Amandemen 2026 memperluas kewenangan audit CPPA, yang berarti bisnis yang tunduk pada persyaratan penilaian risiko mungkin menghadapi pengawasan regulasi proaktif, bukan hanya penegakan reaktif. [1][7]

Apakah Saya Perlu Memperbarui Kebijakan Privasi Saya untuk CCPA

Ya. Bisnis yang tercover harus mempertahankan kebijakan privasi yang mengungkapkan, setidaknya:

Kategori informasi pribadi yang dikumpulkan dan tujuan pengumpulannya
Apakah informasi pribadi dijual atau dibagikan, dan kategori pihak ketiga yang terlibat
Hak konsumen yang tersedia di bawah CCPA (opt-out, penghapusan, akses, koreksi, portabilitas)
Bagaimana konsumen dapat mengajukan permintaan untuk menggunakan hak tersebut
Periode retensi untuk setiap kategori informasi pribadi [4][6]

Kebijakan privasi harus diperbarui setidaknya sekali setiap 12 bulan. Gagal memperbarui kebijakan setelah perubahan material dalam praktik data, seperti menambahkan vendor analitik baru, adalah pelanggaran kepatuhan itu sendiri.

Bagaimana Saya Memverifikasi Permintaan Opt-Out Konsumen Adalah Sah

Untuk permintaan opt-out secara khusus, CCPA tidak mengharuskan bisnis untuk memverifikasi identitas konsumen yang membuat permintaan. [2] Ini disengaja: mengharuskan verifikasi identitas untuk opt-out akan menciptakan gesekan yang merusak hak tersebut.

Namun, bisnis dapat menggunakan cara yang wajar untuk mengonfirmasi bahwa permintaan tersebut tidak bersifat penipuan, seperti mengonfirmasi alamat email yang terkait dengan akun. Standar untuk verifikasi opt-out secara sengaja lebih rendah daripada untuk permintaan penghapusan atau akses, di mana verifikasi identitas adalah tepat karena permintaan tersebut melibatkan pengungkapan atau penghancuran data.

Kasus tepi: Jika permintaan opt-out tiba melalui sinyal otomatis (GPC), tidak ada langkah verifikasi tambahan yang diperlukan atau diizinkan, sinyal itu sendiri merupakan permintaan yang valid. [3][7]

Bagaimana Mekanisme Opt-Out Bekerja di Aplikasi Seluler vs. Situs Web

Di situs web, mekanisme opt-out harus menyertakan tautan "Do Not Sell or Share My Personal Information" di footer dan harus menghormati sinyal GPC tingkat browser. [3][7] Di aplikasi seluler, persyaratannya secara fungsional setara tetapi implementasinya berbeda:

Aplikasi seluler harus menyertakan opsi opt-out di menu pengaturan aplikasi atau bagian preferensi privasi.
Aplikasi yang didistribusikan melalui toko aplikasi harus mematuhi persyaratan privasi tingkat platform tambahan (seperti App Tracking Transparency di iOS), tetapi persyaratan platform tersebut tidak menggantikan kepatuhan CCPA.
Sinyal otomatis dari sistem operasi seluler harus dihormati dengan cara yang sama seperti sinyal GPC berbasis browser jika bisnis memproses data tersebut.

Peraturan 2026 menjelaskan bahwa saluran (web vs. aplikasi) tidak mengubah kewajiban mendasar, hanya implementasi teknis yang berbeda.

Apa Kesalahan Umum yang Dilakukan Bisnis dengan Kepatuhan CCPA

Bahkan bisnis yang berniat baik sering melakukan kesalahan berikut:

Menganggap opt-out sebagai opt-in: Mengharuskan konsumen untuk secara afirmatif mengonfirmasi opt-out mereka melalui beberapa langkah, yang melanggar persyaratan simetri dalam amandemen 2026. [7]
Mengabaikan sinyal GPC: Tidak mengonfigurasi tumpukan teknologi mereka untuk mendeteksi dan menghormati sinyal browser Global Privacy Control, yang sekarang dianggap sebagai permintaan opt-out yang valid. [3]
Gagal menampilkan konfirmasi opt-out: Aturan 2026 mengharuskan konfirmasi yang terlihat bahwa sinyal telah diproses, entri log backend tidak cukup. [3]
Mengabaikan vendor hilir: Tidak memberi tahu penerima data pihak ketiga setelah opt-out diterima.
Kebijakan privasi statis: Gagal memperbarui kebijakan setiap tahun atau setelah perubahan material dalam praktik data.
Menggabungkan penyedia layanan dengan pihak ketiga: Penyedia layanan yang memproses data berdasarkan kontrak memiliki kewajiban yang berbeda dari pihak ketiga yang menerima data untuk tujuan mereka sendiri.

FAQ

Apakah CCPA berlaku untuk organisasi nirlaba? Tidak. CCPA hanya berlaku untuk bisnis yang berorientasi keuntungan. Organisasi nirlaba bukanlah bisnis yang tercover, meskipun mereka mungkin tunduk pada undang-undang privasi California lainnya.

Apa itu Global Privacy Control (GPC) dan apakah saya harus menghormatinya? GPC adalah sinyal tingkat browser yang secara otomatis mengkomunikasikan preferensi opt-out konsumen. Mulai 1 Januari 2026, bisnis yang tercover yang memproses data browser harus menghormati sinyal GPC sebagai permintaan opt-out yang valid dan menampilkan konfirmasi bahwa sinyal tersebut telah diproses. [3][7]

Bisakah bisnis mengenakan harga berbeda kepada konsumen yang opt-out? Umumnya tidak. CCPA melarang bisnis mendiskriminasikan konsumen yang menggunakan hak privasi mereka, termasuk dengan mengenakan harga berbeda, kecuali perbedaan tersebut secara wajar terkait dengan nilai data konsumen. [4]

Berapa lama catatan opt-out harus disimpan? CCPA tidak menentukan periode retensi universal untuk catatan opt-out, tetapi bisnis harus menyimpan catatan cukup lama untuk menunjukkan kepatuhan dalam hal audit atau tindakan penegakan, biasanya setidaknya 24 bulan dianggap sebagai dasar yang wajar. [6]

Apakah spanduk cookie memenuhi persyaratan opt-out CCPA? Spanduk cookie saja tidak cukup. CCPA mengharuskan tautan khusus "Do Not Sell or Share My Personal Information", dan amandemen 2026 mengharuskan bisnis untuk menghormati dan mengonfirmasi sinyal GPC secara independen dari interaksi persetujuan cookie mana pun. [3][7]

Apa perbedaan antara "penjualan" dan "berbagi" di bawah CCPA? "Penjualan" melibatkan pertukaran informasi pribadi untuk imbalan moneter. "Berbagi" mencakup pengungkapan informasi pribadi untuk iklan perilaku lintas konteks, bahkan tanpa pembayaran. Keduanya memicu hak opt-out. [4]

Apakah saya perlu mekanisme opt-out terpisah untuk setiap kategori data? Tidak. Satu mekanisme opt-out yang mencakup penjualan dan berbagi sudah cukup, meskipun bisnis harus menjelaskan dengan jelas dalam kebijakan privasi mereka kategori data apa yang tercover.

Apa itu penilaian risiko di bawah amandemen CCPA 2026? Bisnis yang memproses informasi pribadi dengan cara yang menghadirkan risiko privasi yang signifikan, termasuk penggunaan teknologi pengambilan keputusan otomatis, harus melakukan dan mendokumentasikan penilaian risiko sebelum memulai pemrosesan tersebut. [1][7]

Kesimpulan

CCPA dijelaskan: cara mengelola opt-out untuk konsumen California adalah target yang terus bergerak, dan amandemen 2026 telah meningkatkan standar secara signifikan. Kewajiban inti, menyediakan mekanisme opt-out yang jelas, menghormati permintaan konsumen dalam waktu 15 hari kerja, dan memperbarui kebijakan privasi Anda, tetap menjadi dasar. Namun, persyaratan baru terkait konfirmasi sinyal GPC, larangan pola gelap, dan penilaian risiko ADMT menuntut pendekatan yang lebih sistematis daripada tautan footer statis yang dapat disediakan.

Langkah-langkah yang dapat diambil untuk bisnis yang tercover:

Audit alur opt-out Anda saat ini terhadap persyaratan simetri 2026: hitung langkah-langkah untuk opt-out dan bandingkan dengan langkah-langkah untuk opt-in.
Verifikasi bahwa situs web dan aplikasi seluler Anda mendeteksi dan menghormati sinyal Global Privacy Control, dan bahwa pesan konfirmasi yang terlihat ditampilkan saat sinyal diterima.
Tinjau daftar vendor pihak ketiga Anda dan pastikan bahwa prosedur pemberitahuan hilir telah diterapkan untuk alur data pasca-opt-out.
Perbarui kebijakan privasi Anda untuk mencerminkan praktik data saat ini, periode retensi, dan daftar lengkap hak konsumen.
Evaluasi platform manajemen persetujuan seperti Biscotti CMP untuk mengotomatiskan deteksi sinyal, konfirmasi opt-out, dan pencatatan preferensi di seluruh saluran web dan seluler.

Kepatuhan bukanlah proyek sekali saja. CPPA telah menunjukkan kesediaan untuk memberikan panduan dan mengejar penegakan, dan lingkungan regulasi akan terus berkembang. Membangun proses yang dapat diulang dan diaudit sekarang adalah posisi yang paling defensif yang dapat diambil oleh bisnis yang tercover.