Jawaban Singkat: California Privacy Rights Act (CPRA) secara substansial mengubah California Consumer Privacy Act (CCPA) yang asli, memperkenalkan hak konsumen baru, lembaga penegakan yang didedikasikan, sanksi yang lebih ketat, dan kategori informasi pribadi sensitif yang sepenuhnya baru. Bagi operator situs web, CCPA vs. CPRA: Apa yang Berubah untuk Operator Situs Web di California? bukanlah pertanyaan teoretis, tetapi langsung diterjemahkan menjadi pembaruan kebijakan privasi, mekanisme persetujuan baru, dan kewajiban kontraktual yang diperluas dengan vendor pihak ketiga.
Poin Penting
- CPRA mulai berlaku penuh pada 1 Juli 2023, menggantikan dan memperluas kerangka kerja CCPA.
- Kategori baru "informasi pribadi sensitif" (SPI) memerlukan tautan opt-out yang didedikasikan di situs web yang mengumpulkan data tersebut.
- Konsumen memperoleh hak untuk memperbaiki data pribadi yang tidak akurat, hak yang tidak ada di bawah CCPA yang asli.
- Ambang penerapan meningkat dari 50.000 menjadi 100.000 konsumen atau rumah tangga, mengecualikan beberapa operator yang lebih kecil.
- "Berbagi" data pribadi untuk iklan perilaku lintas konteks kini dihitung sebagai "penjualan," yang memerlukan mekanisme opt-out.
- Operator situs web harus menghormati sinyal Global Privacy Control (GPC) sebagai permintaan opt-out yang sah.
- Denda administratif meningkat menjadi $2.663 per pelanggaran yang tidak disengaja dan $7.988 per pelanggaran yang disengaja mulai 1 Januari 2025.
- California Privacy Protection Agency (CPPA) kini memiliki wewenang penegakan independen terpisah dari Jaksa Agung.
- Persyaratan transparansi pengambilan keputusan otomatis akan mulai berlaku pada 1 Januari 2027.
- Penilaian risiko dan audit keamanan siber kini wajib untuk aktivitas pemrosesan data berisiko tinggi.
Apa Perbedaan Antara CCPA dan CPRA?
CCPA, yang berlaku mulai 1 Januari 2020, memberikan hak dasar kepada konsumen California atas data pribadi mereka: hak untuk mengetahui, menghapus, dan menolak penjualan informasi mereka. CPRA, yang disahkan oleh pemilih California pada November 2020 dan sepenuhnya dapat diterapkan mulai 1 Juli 2023, tidak menggantikan CCPA secara langsung, tetapi mengubah dan memperluasnya secara signifikan [1].
Perbedaan struktural kunci meliputi:
| Fitur | CCPA (Asli) | CPRA (Diubah) |
|---|---|---|
| Badan penegak | Jaksa Agung California | CPPA + Jaksa Agung |
| Kategori data sensitif | Tidak didefinisikan | Didefinisikan secara formal (SPI) |
| Hak untuk memperbaiki | Tidak termasuk | Termasuk |
| Definisi "penjualan" | Pertukaran data untuk nilai | Termasuk "berbagi" untuk iklan |
| Ambang penerapan | 50.000 konsumen/rumah tangga | 100.000 konsumen/rumah tangga |
| Penilaian risiko | Tidak diwajibkan | Diperlukan untuk pemrosesan berisiko tinggi |
| Kepatuhan sinyal GPC | Tidak diwajibkan | Wajib |
Konsekuensi praktis bagi operator situs web adalah bahwa kepatuhan CPRA vs. CCPA bukan sekadar pembaruan dokumen, tetapi memerlukan perubahan arsitektur pada alur persetujuan, kebijakan privasi, dan kontrak vendor [2].
Kapan CPRA Mulai Berlaku dan Menggantikan CCPA?
Hak dan kewajiban substansial CPRA berlaku untuk data yang dikumpulkan pada atau setelah 1 Januari 2022, dengan penegakan dimulai pada 1 Juli 2023. Periode tenggang penegakan satu tahun berakhir pada tanggal tersebut, yang berarti California Privacy Protection Agency dapat mulai mengeluarkan denda tanpa peringatan sebelumnya [4].
Bagi operator situs web yang masih beroperasi di bawah kebijakan era CCPA pada tahun 2026, risiko tersebut nyata dan segera.
Hak Baru Apa yang Dimiliki Konsumen di Bawah CPRA yang Tidak Ada di CCPA?
CPRA menambahkan dua hak konsumen yang tidak ada dalam kerangka CCPA yang asli:
Hak untuk Memperbaiki: Konsumen kini dapat meminta agar bisnis memperbaiki informasi pribadi yang tidak akurat yang dimiliki tentang mereka. Operator situs web harus menetapkan proses permintaan yang dapat diverifikasi dan bertindak atas permintaan perbaikan dalam waktu 45 hari [2].
Hak untuk Membatasi Penggunaan Informasi Pribadi Sensitif: Konsumen dapat membatasi bagaimana bisnis menggunakan SPI mereka di luar tujuan untuk mana informasi tersebut awalnya dikumpulkan. Hak ini memerlukan mekanisme opt-out terpisah yang diberi label jelas di situs web [1].
Penambahan ini berdampingan dengan hak yang ada untuk mengetahui, menghapus, menolak penjualan, dan non-diskriminasi, menciptakan persyaratan kepatuhan yang lebih berlapis untuk situs mana pun yang mengumpulkan data pengguna di luar analitik dasar.
Apa Itu Hak untuk Memperbaiki di Bawah CPRA?
Hak untuk memperbaiki adalah salah satu tambahan yang paling menuntut secara operasional dalam CPRA. Ketika seorang konsumen mengajukan permintaan perbaikan yang diverifikasi, bisnis harus menggunakan upaya yang wajar secara komersial untuk memperbaiki informasi pribadi yang tidak akurat dan mengarahkan penyedia layanan atau kontraktor yang menerima data tersebut untuk melakukan perbaikan yang sama [2].
Bagi operator situs web, ini berarti:
- Membangun mekanisme penerimaan permintaan perbaikan (formulir web, proses email, atau portal akun).
- Mendokumentasikan perbaikan dan memberi tahu pemroses data hilir.
- Menanggapi dalam waktu 45 hari, dengan satu perpanjangan 45 hari diperbolehkan jika diperlukan.
Kesalahan umum: Banyak operator menganggap hak untuk memperbaiki hanya berlaku untuk data profil akun. Dalam praktiknya, ini meluas ke semua informasi pribadi yang dimiliki bisnis, termasuk data perilaku, preferensi yang disimpulkan, dan riwayat pembelian.
Kategori Data Baru Apa yang Dicakup CPRA yang Tidak Ada di CCPA?
CPRA secara resmi mendefinisikan "informasi pribadi sensitif" (SPI) sebagai kategori data yang terpisah dengan perlindungan lebih tinggi. CCPA tidak memiliki klasifikasi setara [1].
SPI di bawah CPRA mencakup:
- Nomor Jaminan Sosial dan ID yang dikeluarkan pemerintah
- Kredensial akun keuangan (login ditambah kode keamanan)
- Data lokasi geografi yang tepat
- Asal ras atau etnis, keyakinan agama, dan keanggotaan serikat
- Isi komunikasi pribadi (surat, email, teks)
- Data genetik dan biometrik yang diproses untuk identifikasi
- Informasi kesehatan dan kehidupan seksual atau orientasi seksual
Operator situs web yang mengumpulkan kategori ini harus menyediakan tautan "Batasi Penggunaan Informasi Pribadi Sensitif Saya," yang secara fungsional mirip dengan tautan "Jangan Jual Informasi Pribadi Saya" yang sudah diwajibkan di bawah CCPA [1].
CPRA vs. CCPA: Mana yang Berlaku untuk Bisnis Saya?
Mulai tahun 2026, kerangka CPRA berlaku untuk bisnis yang berorientasi keuntungan yang beroperasi di California DAN memenuhi setidaknya satu dari ambang ini [7]:
- Pendapatan kotor tahunan melebihi $25 juta.
- Membeli, menjual, menerima, atau berbagi informasi pribadi dari 100.000 atau lebih konsumen atau rumah tangga California per tahun (naik dari 50.000 di bawah CCPA).
- Menghasilkan 50% atau lebih dari pendapatan tahunan dari penjualan atau berbagi informasi pribadi konsumen.
Pilih kepatuhan CPRA jika: Situs web Anda melayani penduduk California dan Anda memenuhi salah satu dari kriteria di atas. Jika Anda sebelumnya memenuhi ambang 50.000 konsumen CCPA tetapi memproses kurang dari 100.000 catatan setiap tahun, Anda mungkin tidak lagi secara langsung terikat, meskipun kewajiban kontraktual dengan mitra yang lebih besar mungkin masih memerlukan kepatuhan.
Kasus pinggiran: Organisasi nirlaba dan operator B2B murni umumnya dikecualikan, tetapi penyedia layanan dan kontraktor untuk bisnis yang tercakup memiliki kewajiban CPRA mereka sendiri [3].
Bagaimana CPRA Mempengaruhi Kebijakan Privasi Situs Web Saya?
Kebijakan privasi yang mematuhi CCPA tidak lagi cukup. CPRA mengharuskan operator situs web untuk memperbarui kebijakan privasi mereka untuk mencerminkan [2][3]:
- Kategori SPI baru dan hak untuk membatasi penggunaannya.
- Hak untuk memperbaiki informasi pribadi yang tidak akurat.
- Definisi "penjualan" yang diperluas untuk mencakup "berbagi" untuk iklan perilaku lintas konteks.
- Bagaimana bisnis menanggapi sinyal GPC.
- Periode retensi data untuk setiap kategori informasi pribadi yang dikumpulkan.
- Apakah pengambilan keputusan otomatis digunakan dan bagaimana konsumen dapat menolak.
Kebijakan privasi harus ditinjau setidaknya sekali setiap 12 bulan dan diperbarui untuk mencerminkan praktik data saat ini. Kebijakan yang sudah usang yang menggambarkan hak-hak era CCPA tanpa tambahan CPRA adalah pemicu penegakan yang umum.
Apakah Saya Perlu Memperbarui Formulir Persetujuan Saya untuk Kepatuhan CPRA?
Ya. Mekanisme persetujuan yang cukup di bawah CCPA memerlukan pembaruan yang berarti untuk CPRA. Secara khusus, operator situs web harus [3][5]:
- Menambahkan tautan opt-out "Batasi Penggunaan Informasi Pribadi Sensitif Saya" jika situs mengumpulkan SPI.
- Menghormati sinyal browser GPC sebagai opt-out yang sah dari penjualan dan berbagi, ini tidak boleh memerlukan pengguna untuk mengambil langkah tambahan.
- Mendapatkan persetujuan opt-in yang afirmatif sebelum menjual atau berbagi informasi pribadi konsumen di bawah 16 tahun.
- Memastikan bahwa persetujuan untuk iklan perilaku lintas konteks (retargeting, berbagi audiens dengan platform iklan) dibedakan dengan jelas dari penggunaan data lainnya.
Platform manajemen persetujuan dapat membantu mengotomatiskan deteksi GPC dan pencatatan preferensi. Biscotti CMP (www.biscotti-cmp.com) dirancang untuk menangani persyaratan spesifik CPRA ini, termasuk alur opt-out SPI dan kepatuhan sinyal GPC, tanpa memerlukan pengembangan khusus dari operator situs web.
Apa Sanksi untuk Tidak Mematuhi CPRA?
Mulai 1 Januari 2025, denda administratif di bawah kerangka CPRA adalah [5]:
- $2.663 per pelanggaran yang tidak disengaja.
- $7.988 per pelanggaran yang disengaja.
- $7.988 per pelanggaran (dikalikan tiga) untuk pelanggaran yang melibatkan informasi pribadi konsumen di bawah 16 tahun.
Angka-angka ini disesuaikan secara berkala untuk inflasi. Denda dinilai per pelanggaran, yang berarti praktik data yang tidak mematuhi yang mempengaruhi ribuan konsumen dapat menghasilkan kewajiban agregat dalam jutaan. CPPA memiliki wewenang independen untuk memulai tindakan penegakan tanpa rujukan dari Jaksa Agung [4].
Penting: CPRA menghapus periode perbaikan 30 hari yang ada di bawah CCPA untuk sebagian besar pelanggaran, menghilangkan jaring pengaman yang banyak diandalkan oleh operator.
Kesalahan Umum Apa yang Dilakukan Situs Web dengan Kepatuhan CPRA?
Berdasarkan persyaratan yang diperluas, kegagalan kepatuhan yang paling sering termasuk [3][6]:
- Mengabaikan sinyal GPC: Gagal mendeteksi dan menghormati sinyal opt-out tingkat browser adalah salah satu prioritas penegakan yang dinyatakan oleh CPPA.
- Kehilangan tautan opt-out SPI: Menambahkan hanya tautan "Jangan Jual" tanpa tautan terpisah "Batasi Penggunaan SPI" ketika SPI dikumpulkan.
- Kontrak vendor yang sudah usang: Tidak memperbarui perjanjian pemrosesan data dengan penyedia layanan untuk menyertakan ketentuan yang diwajibkan oleh CPRA.
- Tidak ada jadwal retensi data: CPRA mengharuskan bisnis untuk mengungkapkan dan mematuhi periode retensi; banyak kebijakan privasi masih mengabaikan ini.
- Menganggap periode perbaikan masih berlaku: Operator yang menunggu pemberitahuan sebelum memperbaiki pelanggaran mungkin menghadapi denda segera.
- Mengabaikan hak untuk memperbaiki: Membangun hanya alur penghapusan tanpa penanganan permintaan perbaikan.
Apakah Bisnis Kecil Memiliki Persyaratan CPRA yang Berbeda?
Peningkatan ambang dari 50.000 menjadi 100.000 konsumen secara langsung mengurangi beban kepatuhan pada operator situs web yang lebih kecil [7]. Situs e-commerce kecil atau produk SaaS yang melayani kurang dari 100.000 konsumen California setiap tahun, dengan pendapatan di bawah $25 juta dan tanpa pendapatan dari penjualan data, berada di luar cakupan langsung CPRA.
Namun, bisnis kecil harus memperhatikan:
- Jika mereka bertindak sebagai penyedia layanan untuk bisnis yang tercakup, mereka mewarisi kewajiban kontraktual CPRA terlepas dari ukuran.
- Kepatuhan sukarela semakin diharapkan oleh klien perusahaan dan dapat menjadi pembeda kompetitif.
- Negara bagian lain telah memberlakukan undang-undang serupa, dan legislasi privasi federal tetap dalam diskusi aktif pada tahun 2026.
Berapa Biaya untuk Menjadi Mematuhi CPRA?
Tidak ada biaya kepatuhan tetap, biayanya bervariasi secara signifikan berdasarkan kompleksitas ekosistem data situs web. Penggerak biaya umum meliputi:
- Pembaruan kebijakan privasi: Biaya rendah jika dilakukan secara internal; $500, $3.000+ jika menggunakan penasihat hukum.
- Platform manajemen persetujuan: Langganan SaaS berkelanjutan; harga bervariasi berdasarkan volume lalu lintas dan set fitur.
- Implementasi teknis: Waktu pengembang untuk menambahkan tautan opt-out, deteksi GPC, dan alur permintaan perbaikan.
- Tinjauan kontrak vendor: Tinjauan hukum terhadap perjanjian pemrosesan data dengan semua pemroses pihak ketiga.
- Penilaian risiko: Untuk pemrosesan berisiko tinggi, penilaian formal mungkin memerlukan konsultan eksternal.
Bagi sebagian besar operator situs web menengah, remediasi kepatuhan awal berkisar pada beberapa ribu dolar, dengan biaya operasional berkelanjutan untuk pemeliharaan kebijakan dan manajemen persetujuan. Biaya ketidakpatuhan, mengingat denda per pelanggaran, jauh lebih besar daripada investasi.
Bagaimana Saya Tahu Jika CPRA Berlaku untuk Pengunjung Situs Web Saya?
CPRA berlaku berdasarkan tempat tinggal konsumen, bukan lokasi bisnis. Jika situs web memiliki pengunjung yang merupakan penduduk California dan operator memenuhi salah satu dari tiga ambang bisnis, kewajiban CPRA berlaku untuk data yang dikumpulkan dari pengunjung tersebut [7][8].
Indikator praktis bahwa CPRA kemungkinan berlaku:
- Situs web menerima pesanan, pendaftaran, atau penargetan iklan dari pengguna AS tanpa memblokir geografi California.
- Bisnis menggunakan jaringan iklan pihak ketiga yang terlibat dalam iklan perilaku lintas konteks.
- Situs web mengumpulkan bentuk SPI dari pengguna (kuesioner kesehatan, data keuangan, lokasi yang tepat).
Ketika ragu, posisi yang konservatif dan dapat dipertahankan secara hukum adalah memperlakukan semua pengunjung situs web AS sebagai mungkin tercakup di bawah CPRA dan menerapkan alur persetujuan yang sesuai.
Penilaian Risiko Wajib, Audit Keamanan Siber, dan Apa yang Akan Datang Selanjutnya
CPRA mengharuskan bisnis yang terlibat dalam pemrosesan berisiko tinggi untuk melakukan penilaian risiko dan audit keamanan siber secara teratur. Regulasi yang merinci persyaratan ini diselesaikan pada tahun 2025 dan mulai berlaku pada tahun 2026 [6]. Aktivitas berisiko tinggi mencakup pemrosesan SPI dalam skala besar, memprofil konsumen untuk keputusan signifikan, dan menjual atau berbagi data dengan sejumlah besar pihak ketiga.
Selain itu, persyaratan transparansi pengambilan keputusan otomatis, yang mencakup pemprofilan untuk pekerjaan, kredit, perumahan, dan keputusan penting serupa, dijadwalkan mulai berlaku pada 1 Januari 2027 [6]. Operator situs web yang menggunakan mesin rekomendasi algoritmik, alat penilaian kredit, atau pemprofilan perilaku harus mulai merencanakan kepatuhan sekarang.
Kesimpulan
Memahami CCPA vs. CPRA: Apa yang Berubah untuk Operator Situs Web di California? bukanlah pilihan bagi bisnis mana pun yang melayani penduduk California dalam skala besar. CPRA memperkenalkan kewajiban baru yang substansial, kategori data sensitif, hak untuk memperbaiki, kepatuhan sinyal GPC, persyaratan vendor yang diperluas, dan lembaga penegakan yang didedikasikan dengan wewenang denda yang nyata, yang menuntut respons operasional konkret, bukan hanya pembaruan kebijakan.
Langkah-langkah yang dapat diambil untuk operator situs web pada tahun 2026:
- Audit praktik pengumpulan data Anda saat ini terhadap daftar kategori SPI dan tambahkan tautan opt-out yang diperlukan jika berlaku.
- Perbarui kebijakan privasi Anda untuk mencerminkan hak CPRA, jadwal retensi data, dan definisi "penjualan" yang diperluas.
- Implementasikan deteksi sinyal GPC, ini adalah prioritas penegakan dan tidak dapat ditunda.
- Tinjau dan perbarui semua perjanjian pemrosesan data dengan penyedia layanan dan kontraktor.
- Bangun alur permintaan perbaikan di samping proses penghapusan yang ada.
- Jika situs Anda terlibat dalam pemrosesan berisiko tinggi, lakukan penilaian risiko formal sebelum regulator memulai satu untuk Anda.
- Evaluasi solusi manajemen persetujuan seperti Biscotti CMP (www.biscotti-cmp.com) untuk mengotomatiskan alur opt-out, kepatuhan GPC, dan pencatatan preferensi.
Jalur penegakan CPRA pada tahun 2026 menjadikan kepatuhan proaktif sebagai satu-satunya strategi yang rasional.
FAQ
Q: Apakah CPRA sama dengan CCPA 2.0?
CPRA sering disebut "CCPA 2.0" karena mengubah daripada menggantikan CCPA. Ini menambahkan hak baru, lembaga penegakan baru, dan kategori data baru sambil mempertahankan kerangka kerja CCPA yang asli.
Q: Kapan penegakan CPRA dimulai?
Penegakan penuh dimulai pada 1 Juli 2023. CPPA dapat mengeluarkan denda untuk pelanggaran yang terjadi setelah tanggal tersebut tanpa periode perbaikan sebelumnya untuk sebagian besar pelanggaran.
Q: Apakah CPRA berlaku untuk bisnis di luar California?
Ya. Setiap bisnis yang berorientasi keuntungan yang mengumpulkan informasi pribadi dari penduduk California dan memenuhi ambang penerapan harus mematuhi, terlepas dari tempat bisnis berkantor pusat.
Q: Apa itu sinyal GPC dan mengapa itu penting?
Global Privacy Control (GPC) adalah pengaturan tingkat browser yang menandakan preferensi opt-out konsumen. Di bawah CPRA, operator situs web harus mendeteksi dan menghormati sinyal GPC sebagai permintaan opt-out yang sah, mengabaikannya adalah pelanggaran kepatuhan.
Q: Apakah CPRA berlaku untuk data karyawan?
Ya. Mulai 1 Januari 2023, pengecualian sementara untuk data karyawan dan B2B telah berakhir. Informasi pribadi karyawan kini tunduk pada perlindungan penuh CPRA.
Q: Apa perbedaan antara "penjualan" dan "berbagi" di bawah CPRA?
Di bawah CCPA yang asli, "penjualan" memerlukan pertukaran untuk nilai moneter. CPRA memperluas ini untuk mencakup "berbagi" data pribadi dengan pihak ketiga untuk iklan perilaku lintas konteks, bahkan tanpa pembayaran langsung.
Q: Seberapa sering kebijakan privasi harus diperbarui di bawah CPRA?
Minimal, sekali setiap 12 bulan. Kebijakan juga harus diperbarui setiap kali praktik data berubah secara material.
Q: Apakah organisasi nirlaba dikecualikan dari CPRA?
Umumnya ya, CPRA berlaku untuk bisnis yang berorientasi keuntungan. Namun, organisasi nirlaba yang bertindak sebagai penyedia layanan untuk bisnis yang tercakup mungkin memiliki kewajiban kepatuhan kontraktual.
Q: Apa yang terjadi jika seorang konsumen mengajukan permintaan perbaikan dan bisnis tidak setuju?
Bisnis dapat menolak perbaikan jika menentukan informasi tersebut akurat, tetapi harus mendokumentasikan keputusan tersebut dan memberi tahu konsumen tentang dasar penolakan.
Q: Apakah ada hak tindakan pribadi di bawah CPRA?
Hak tindakan pribadi terbatas ada untuk pelanggaran data yang melibatkan kategori tertentu dari informasi pribadi. Sebagian besar pelanggaran lainnya ditegakkan oleh CPPA atau Jaksa Agung, bukan melalui gugatan pribadi.
Alat Pemeriksa Kepatuhan CPRA Interaktif
Referensi
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai