JAV teisė ir CCPA

CCPA paaiškinta: kaip valdyti atsisakymus Kalifornijos vartotojams

2026 m. liepos 7 d. · 16 min. skaitymas

Greitas atsakymas: Kalifornijos vartotojų privatumo įstatymas (CCPA) suteikia Kalifornijos gyventojams teisę atsisakyti savo asmeninės informacijos pardavimo ar dalijimosi. Nuo 2026 m. sausio 1 d. pakeistos taisyklės reikalauja, kad verslai gerbtų atsisakymo pageidavimų signalus (tokius kaip Global Privacy Control), aiškiai patvirtintų, kad šie signalai buvo apdoroti, ir užtikrintų, kad atsisakymo procesai nebūtų sudėtingesni nei sutikimo procesai. Nesilaikymas gali lemti civilines baudas iki 7 500 USD už tyčinį pažeidimą.

Pagrindinės išvados

CCPA taikomas pelno siekiantiems verslams, kurie atitinka tam tikrus pajamas, duomenų apimtis ar duomenų pardavimo ribas, o ne kiekvienai įmonei, veikiančiai Kalifornijoje.
Nuo 2026 m. sausio 1 d. verslai privalo rodyti aiškų patvirtinimą, kai atsisakymo pageidavimų signalas (tokie kaip Global Privacy Control) buvo atpažintas ir gerbiamas. [3]
Atsisakymo mechanizmai turi būti tokie pat lengvi naudoti kaip sutikimo procesai; tamsūs modeliai, kurie atgraso nuo atsisakymo, yra aiškiai draudžiami pagal 2026 m. pataisas. [7]
Verslai turi 15 darbo dienų, kad gerbtų vartotojo atsisakymo prašymą po jo gavimo. [2]
"Asmeninė informacija" pagal CCPA yra plati: ji apima IP adresus, naršymo istoriją, geolokacijos duomenis, išvadas, gautas iš vartotojų elgesio, ir kt.
CCPA ir GDPR veikia pagal fundamentaliai skirtingus sutikimo modelius, atsisakymo prieš sutikimą, ir daugelis verslų turi laikytis abiejų vienu metu.
Nepakankamas privatumo politikos atnaujinimas, kad atspindėtų CCPA teises, yra pats laikymosi trūkumas, atskiras nuo techninių atsisakymo nesėkmių.
Sutikimo valdymo platforma, tokia kaip Biscotti CMP, gali automatizuoti signalų aptikimą, atsisakymo patvirtinimo rodymą ir pageidavimų registravimą.

Kas yra CCPA ir kodėl tai svarbu jūsų verslui

Kalifornijos vartotojų privatumo įstatymas yra valstybės lygio privatumo įstatymas, kuris suteikia Kalifornijos gyventojams konkrečias teises dėl to, kaip verslai renka, naudoja ir parduoda jų asmeninius duomenis. Tai svarbu, nes Kalifornija yra penkta didžiausia pasaulio ekonomika, o bet kuris verslas, kuris liečia Kalifornijos vartotojus, nepriklausomai nuo to, kur yra įsikūręs, gali būti teisiškai įpareigotas laikytis.

CCPA pirmą kartą buvo priimta 2018 m., sustiprinta Kalifornijos privatumo teisių įstatymo (CPRA) 2020 m. ir esmingai atnaujinta dar kartą su taisyklėmis, kurias patvirtino Kalifornijos administracinės teisės biuras 2025 m. rugsėjo 22 d., įsigaliojusios 2026 m. sausio 1 d. [1][5] Šios 2026 m. pataisos pridėjo naujas pareigas dėl automatizuoto sprendimų priėmimo technologijų (ADMT), rizikos vertinimų ir, kritiškai daugeliui verslų, atsisakymo mechanizmo dizaino ir patvirtinimo reikalavimų. [1][7]

Suprasti CCPA paaiškinta: kaip valdyti atsisakymus Kalifornijos vartotojams nebėra pasirinkimas apimtoms įmonėms. Reguliavimo riba pakilo, ir vykdymas pasekė.

Kaip sužinoti, ar CCPA taikomas mano įmonei

CCPA taikomas pelno siekiantiems verslams, kurie vykdo veiklą Kalifornijoje ir atitinka bent vieną iš šių ribų:

Metinės bruto pajamos viršijančios 25 milijonus USD
Kasmet perkant, parduodant, gaunant ar dalijantis asmenine informacija apie 100 000 ar daugiau Kalifornijos vartotojų ar namų ūkių
Iš asmeninės informacijos pardavimo ar dalijimosi Kalifornijos vartotojų asmenine informacija gaunama 50% ar daugiau metinių pajamų [4][6]

Ar CCPA taikomas mažoms įmonėms, turinčioms tam tikras pajamas? Paprastai ne. Jei įmonė nepatenka į visas tris ribas, ji nėra apimta CCPA. Tačiau paslaugų teikėjai ir rangovai, kurie tvarko duomenis apimtų įmonių vardu, yra veikiami sutartinių CCPA įsipareigojimų, net jei jie patys nepriklauso. [2]

Ribinė situacija: Maža SaaS įmonė, turinti mažiau nei 25 milijonus USD pajamų, tačiau turinti didelį nemokamų vartotojų skaičių, gali lengvai viršyti 100 000 vartotojų duomenų ribą, nesuvokdama to.

Kas laikoma asmenine informacija pagal CCPA

Asmeninė informacija pagal CCPA apibrėžiama plačiai kaip bet kokia informacija, kuri identifikuoja, susijusi su, apibūdina ar gali būti protingai susijusi su konkrečiu vartotoju ar namų ūkiu. Tai apima ne tik vardus ir el. pašto adresus.

Apimamos kategorijos:

Kategorija	Pavyzdžiai
Identifikatoriai	Vardas, el. paštas, IP adresas, įrenginio ID
Komercinė informacija	Pirkimų istorija, naršymo elgesys
Biometriniai duomenys	Pirštų atspaudai, veido atpažinimo duomenys
Interneto veikla	Slapukai, paieškos istorija, svetainių sąveikos
Geolokacija	Tiksli vieta iš mobiliųjų įrenginių
Išvados	Profiliai, sukurti iš elgesio duomenų
Jautri asmeninė informacija	Socialinio draudimo numeriai, sveikatos duomenys, tiksli geolokacija

Išvados, gautos iš vartotojų duomenų, siekiant sukurti profilius apie pageidavimus, savybes ar elgesį, yra aiškiai įtrauktos. [4] Tai svarbu reklamos technologijoms, analitikai ir personalizavimo procesams.

Koks skirtumas tarp CCPA atsisakymo ir sutikimo

CCPA veikia pagal atsisakymo modelį: verslai gali rinkti ir naudoti vartotojų duomenis pagal numatytuosius nustatymus, tačiau vartotojai turi teisę reikalauti, kad jų duomenys nebūtų parduodami ar dalijamasi. Sutikimo sutikimas reikalaujamas tik tam tikromis aplinkybėmis, pavyzdžiui, kai tvarkoma asmeninė informacija apie vartotojus, jaunesnius nei 16 metų. [4][6]

Tai yra esminis struktūrinis skirtumas nuo GDPR, kuris veikia pagal sutikimo modelį, reikalaujantį teigiamo sutikimo prieš pradedant daugumą duomenų tvarkymo. Pagal CCPA tylėjimas nėra sutikimas, tačiau jis taip pat nėra kliūtis tvarkymui. Pagal GDPR tylėjimas nėra sutikimas, ir tvarkymas negali prasidėti be jo.

Pasirinkite sutikimo logiką, jei: tvarkote nepilnamečių (iki 16 metų) duomenis arba tvarkote jautrius asmeninės informacijos kategorijas, kurioms pagal Kalifornijos įstatymus reikalingas aiškus sutikimas.

Pasirinkite atsisakymo logiką, jei: tvarkote standartinius suaugusių vartotojų duomenis ir esate apimta CCPA.

Kaip nustatyti "Nepraleisti" nuorodą

Kiekviena apimta įmonė, kuri parduoda ar dalijasi asmenine informacija, privalo pateikti aiškią ir matomą nuorodą pavadinimu "Nepraleisti" savo pagrindiniame puslapyje ir privatumo politikoje. [4][6]

Žingsnis po žingsnio nustatymas:

Patikrinkite savo duomenų srautus, kad nustatytumėte, ar jūsų verslas parduoda ar dalijasi asmenine informacija, kaip apibrėžta CCPA.
Pridėkite reikalaujamą nuorodą į savo svetainės poraštę ir mobiliosios programos nustatymų meniu.
Konfigūruokite savo sutikimo valdymo platformą, kad užfiksuotumėte ir pažymėtumėte atsisakymo prašymus.
Užtikrinkite, kad atsisakymo procesas reikalautų ne daugiau žingsnių nei sutikimo procesas, 2026 m. taisyklės aiškiai draudžia asimetrinį trukdymą. [7]
Automatiškai gerbkite Global Privacy Control (GPC) signalus, jei jūsų verslas tvarko naršyklės duomenis.
Rodykite aiškų patvirtinimą, kad atsisakymas buvo atpažintas, pavyzdžiui, juostą ar perjungimo būseną, rodančią "Atsisakymo pageidavimų signalas gerbtas." [3]

Platforma, tokia kaip Biscotti CMP, gali automatizuoti 3–6 žingsnius, įskaitant GPC signalo aptikimą ir atitinkamą patvirtinimo rodymą.

Kiek laiko turiu reaguoti į vartotojo atsisakymo prašymą

Verslai privalo gerbti vartotojo atsisakymo prašymą per 15 darbo dienų po jo gavimo. [2] Tai skiriasi nuo 45 dienų atsakymo laikotarpio, kuris taikomas kitoms vartotojų teisių prašymams (pavyzdžiui, prieigai ar ištrynimui).

Kai atsisakymas gerbiamas, verslas taip pat turi pranešti bet kurioms trečiosioms šalims, kurioms jis pardavė ar dalijosi vartotojo duomenimis per pastarąsias 90 dienų, nurodydamas jiems nustoti naudoti tuos duomenis. [6] Ši žemyninė pranešimo pareiga dažnai pamirštama ir yra dažnas laikymosi trūkumas.

Ar galiu vis dar naudoti duomenis po to, kai klientas atsisako

Po to, kai vartotojas atsisako parduoti ar dalytis, verslas negali parduoti ar dalytis to vartotojo asmenine informacija ateityje. Tačiau verslas vis dar gali naudoti duomenis vidiniams tikslams, kurie atitinka vartotojo santykį su verslu. [4]

Po atsisakymo aiškiai draudžiama:

Pardavinėti ar dalytis duomenimis su trečiosiomis šalimis kryžminiam elgesio reklamos tikslams
Naudoti duomenis būdais, kurie nesuderinami su kontekstu, kuriame jie buvo surinkti

Po atsisakymo vis dar leidžiama:

Įvykdyti transakciją ar paslaugą, kurią vartotojas paprašė
Vidinė analizė ir sukčiavimo prevencija
Laikymasis teisinių įsipareigojimų

Dažna klaida: Manoma, kad atsisakymas reiškia visišką duomenų ištrynimą. Tai nėra tiesa. Vartotojai turi pateikti atskirą ištrynimo prašymą, kad aktyvuotų tą teisę.

CCPA vs. GDPR: Kurį iš jų turiu laikytis

Jei jūsų verslas aptarnauja tiek Kalifornijos gyventojus, tiek Europos Sąjungos gyventojus, greičiausiai turite laikytis abiejų. CCPA ir GDPR nėra tarpusavyje išimtiniai, o laikymosi reikalavimai skiriasi pakankamai, kad vienas politinis dokumentas retai tenkina abu.

Faktorius	CCPA	GDPR
Sutikimo modelis	Atsisakymas (numatytasis tvarkymas leidžiamas)	Sutikimas (sutikimas reikalaujamas pirmiausia)
Geografinė apimtis	Kalifornijos gyventojai	ES/EEE gyventojai
Kam tai taikoma	Pelno siekiantys verslai, atitinkantys ribas	Bet kuri įmonė, tvarkanti ES gyventojų duomenis
Baudos	Iki 7 500 USD už tyčinį pažeidimą	Iki 4% pasaulinių metinių pajamų
Teisė į ištrynimą	Taip	Taip (teisė į ištrynimą)
Duomenų perkėlimas	Taip	Taip

Praktinė pasekmė: GDPR atitinkantys sutikimo skydeliai automatiškai nėra CCPA atitinkantys, nes CCPA reikalauja konkretaus atsisakymo mechanizmo, o ne sutikimo vartų.

Kas nutinka, jei nesilaikau CCPA reikalavimų

Nesilaikymas atveria verslus civilinėms baudoms iki 2 500 USD už netyčinį pažeidimą ir 7 500 USD už tyčinį pažeidimą, kurias vykdo Kalifornijos privatumo apsaugos agentūra (CPPA). [4][6] Pažeidimai, susiję su nepilnamečių duomenimis, automatiškai laikomi tyčiniais.

Vartotojai taip pat turi privatų veiksmų teisę dėl duomenų pažeidimų, atsiradusių dėl verslo nesugebėjimo įgyvendinti protingų saugumo priemonių, su įstatyminėmis žalos sumomis, svyruojančiomis nuo 100 iki 750 USD už vartotoją už incidentą. [4]

2026 m. pataisos išplėtė CPPA audito įgaliojimus, tai reiškia, kad verslai, kuriems taikomi rizikos vertinimo reikalavimai, gali susidurti su proaktyviu reguliavimo stebėjimu, o ne tik reaguojančiu vykdymu. [1][7]

Ar turiu atnaujinti savo privatumo politiką dėl CCPA

Taip. Apimtos įmonės privalo palaikyti privatumo politiką, kuri atskleidžia, bent jau:

Asmeninės informacijos kategorijas, kurios renkami, ir jų rinkimo tikslus
Ar asmeninė informacija yra parduodama ar dalijamasi, ir trečiųjų šalių kategorijas, dalyvaujančias
Vartotojų teises, prieinamas pagal CCPA (atsisakymas, ištrynimas, prieiga, pataisymas, perkėlimas)
Kaip vartotojai gali pateikti prašymus pasinaudoti šiomis teisėmis
Kiekvienos asmeninės informacijos kategorijos išlaikymo laikotarpį [4][6]

Privatumo politikos turi būti atnaujinamos bent kartą per 12 mėnesių. Nepakankamas politikos atnaujinimas po esminio pokyčio duomenų praktikose, pavyzdžiui, pridėjus naują analitikos tiekėją, yra laikomas laikymosi pažeidimu.

Kaip patikrinti, ar vartotojo atsisakymo prašymas yra teisėtas

Atsisakymo prašymams CCPA nereikalauja, kad verslai patvirtintų vartotojo, pateikusio prašymą, tapatybę. [2] Tai yra tyčia: reikalavimas patvirtinti tapatybę atsisakymams sukurtų trukdžių, kurie pakenktų teisei.

Tačiau verslai gali naudoti protingus būdus, kad patvirtintų, jog prašymas nėra apgaulingas, pavyzdžiui, patvirtindami el. pašto adresą, susijusį su paskyra. Standartas atsisakymo patvirtinimui yra tyčia žemesnis nei ištrynimo ar prieigos prašymams, kur tapatybės patvirtinimas yra tinkamas, nes šie prašymai apima duomenų atskleidimą ar naikinimą.

Ribinė situacija: Jei atsisakymo prašymas atkeliauja per automatizuotą signalą (GPC), jokių papildomų patvirtinimo žingsnių nereikia ar nėra leidžiama, signalas pats savaime sudaro galiojantį prašymą. [3][7]

Kaip veikia atsisakymo mechanizmai mobiliosiose programose ir svetainėse

Svetainėse atsisakymo mechanizmai turi apimti "Nepraleisti" nuorodą poraštėje ir privalo gerbti naršyklės lygio GPC signalus. [3][7] Mobiliosiose programose reikalavimai yra funkciškai ekvivalentūs, tačiau įgyvendinimas skiriasi:

Mobiliosios programos privalo įtraukti atsisakymo parinktį programos nustatymų meniu arba privatumo pageidavimų skyriuje.
Programos, platinamos per programų parduotuves, privalo laikytis bet kokių papildomų platformos lygio privatumo reikalavimų (pavyzdžiui, programų sekimo skaidrumo iOS), tačiau šie platformos reikalavimai nepakeičia CCPA laikymosi.
Automatizuoti signalai iš mobiliųjų operacinių sistemų turi būti gerbiami tokiu pačiu būdu kaip naršyklės pagrindu veikiantys GPC signalai, jei verslas tvarko tuos duomenis.

2026 m. taisyklės aiškiai nurodo, kad kanalas (svetainė prieš programą) nekeičia pagrindinės pareigos, tik techninis įgyvendinimas skiriasi.

Kokios dažnos klaidos, kurias verslai daro laikydamiesi CCPA

Net gerai intencijos turintys verslai dažnai daro šias klaidas:

Atsisakymą laikyti sutikimu: Reikalauti, kad vartotojai teigiamai patvirtintų savo atsisakymą per kelis žingsnius, kas pažeidžia simetrijos reikalavimą 2026 m. pataisose. [7]
Ignoruoti GPC signalus: Nepritaikyti savo technologijų, kad aptiktų ir gerbtų Global Privacy Control naršyklės signalus, kurie dabar laikomi galiojančiais atsisakymo prašymais. [3]
Nepateikti atsisakymo patvirtinimo: 2026 m. taisyklės reikalauja matomo patvirtinimo, kad signalas buvo apdorotas, užpakalinio žurnalo įrašas nėra pakankamas. [3]
Pamesti žemyninius tiekėjus: Nepranešti trečiųjų šalių duomenų gavėjams po atsisakymo gavimo.
Statinės privatumo politikos: Nepakankamai atnaujinti politikos kasmet ar po esminių pokyčių duomenų praktikose.
Suteikti paslaugų teikėjams ir trečiosioms šalims vienodą statusą: Paslaugų teikėjai, tvarkantys duomenis pagal sutartį, turi skirtingus įsipareigojimus nei trečiosios šalys, gaunančios duomenis savo tikslais.

DUK

Ar CCPA taikomas ne pelno siekiantiems?
Ne. CCPA taikomas tik pelno siekiantiems verslams. Ne pelno siekiančios organizacijos nėra apimtos įmonės, nors jos gali būti veikiamos kitų Kalifornijos privatumo įstatymų.

Kas yra Global Privacy Control (GPC) ir ar turiu jį gerbti?
GPC yra naršyklės lygio signalas, kuris automatiškai perduoda vartotojo atsisakymo pageidavimą. Nuo 2026 m. sausio 1 d. apimtos įmonės, kurios tvarko naršyklės duomenis, privalo gerbti GPC signalus kaip galiojančius atsisakymo prašymus ir rodyti patvirtinimą, kad signalas buvo apdorotas. [3][7]

Ar verslas gali taikyti kitokią kainą vartotojams, kurie atsisako?
Paprastai ne. CCPA draudžia verslams diskriminuoti vartotojus, kurie naudojasi savo privatumo teisėmis, įskaitant skirtingų kainų taikymą, nebent skirtumas yra protingai susijęs su vartotojo duomenų verte. [4]

Kiek laiko turi būti saugomi atsisakymo įrašai?
CCPA nenurodo universalaus atsisakymo įrašų saugojimo laikotarpio, tačiau verslai turėtų saugoti įrašus pakankamai ilgai, kad įrodytų laikymąsi audito ar vykdymo atveju, paprastai laikoma, kad bent 24 mėnesiai yra protingas pagrindas. [6]

Ar slapukų skydelis atitinka CCPA atsisakymo reikalavimus?
Vien slapukų skydelis nėra pakankamas. CCPA reikalauja specialios "Nepraleisti" nuorodos, o 2026 m. pataisos reikalauja, kad verslai gerbtų ir patvirtintų GPC signalus nepriklausomai nuo bet kokio slapukų sutikimo sąveikos. [3][7]

Koks skirtumas tarp "pardavimo" ir "dalijimosi" pagal CCPA?
"Pardavimas" apima asmeninės informacijos keitimą už piniginę kompensaciją. "Dalijimasis" apima asmeninės informacijos atskleidimą kryžminiam elgesio reklamos tikslams, net ir be mokėjimo. Abu sukelia atsisakymo teises. [4]

Ar man reikia atskirų atsisakymo mechanizmų kiekvienai duomenų kategorijai?
Ne. Vienas atsisakymo mechanizmas, apimantis pardavimą ir dalijimąsi, yra pakankamas, nors verslai turi aiškiai aprašyti savo privatumo politikoje, kokios duomenų kategorijos yra apimtos.

Kas yra rizikos vertinimas pagal 2026 m. CCPA pataisas?
Verslai, kurie tvarko asmeninę informaciją būdais, kurie kelia reikšmingus privatumo rizikos, įskaitant automatizuoto sprendimų priėmimo technologijų naudojimą, privalo atlikti ir dokumentuoti rizikos vertinimus prieš pradedant tą tvarkymą. [1][7]

Išvada

CCPA paaiškinta: kaip valdyti atsisakymus Kalifornijos vartotojams yra kintantis tikslas, o 2026 m. pataisos žymiai pakėlė kartelę. Pagrindinės pareigos, teikiant aiškų atsisakymo mechanizmą, gerbiant vartotojų prašymus per 15 darbo dienų ir atnaujinant savo privatumo politiką, išlieka pagrindinės. Tačiau nauji reikalavimai dėl GPC signalo patvirtinimo, tamsių modelių draudimo ir ADMT rizikos vertinimų reikalauja sistemingesnio požiūrio nei statinė poraštės nuoroda gali suteikti.

Veiksmingi kiti žingsniai apimtoms įmonėms:

Patikrinkite savo dabartinį atsisakymo srautą pagal 2026 m. simetrijos reikalavimą: suskaičiuokite žingsnius atsisakyti ir palyginkite juos su žingsniais sutikti.
Patikrinkite, ar jūsų svetainė ir mobilioji programa aptinka ir gerbia Global Privacy Control signalus, ir kad matomas patvirtinimo pranešimas rodomas, kai signalas gautas.
Peržiūrėkite savo trečiųjų šalių tiekėjų sąrašą ir patvirtinkite, kad žemyninės pranešimo procedūros yra įdiegtos po atsisakymo duomenų srautų.
Atnaujinkite savo privatumo politiką, kad atspindėtų dabartines duomenų praktikas, išlaikymo laikotarpius ir visą vartotojų teisių sąrašą.
Įvertinkite sutikimo valdymo platformą, tokią kaip Biscotti CMP, kad automatizuotumėte signalų aptikimą, atsisakymo patvirtinimą ir pageidavimų registravimą per interneto ir mobiliuosius kanalus.

Laikymasis nėra vienkartinis projektas. CPPA parodė norą teikti gaires ir vykdyti, o reguliavimo aplinka toliau vystysis. Dabar kuriant pakartotinai taikomas, audituojamas procesus yra labiausiai gynybinė pozicija, kurią gali užimti apimta įmonė.