ASV tiesības un CCPA

CCPA skaidrojums: kā pārvaldīt atteikšanās iespējas Kalifornijas patērētājiem

2026. gada 7. jūlijs · 16 min lasīšana

Ātrā atbilde: Kalifornijas patērētāju privātuma akts (CCPA) piešķir Kalifornijas iedzīvotājiem tiesības atteikties no savu personisko datu pārdošanas vai koplietošanas. No 2026. gada 1. janvāra grozītie noteikumi tagad prasa uzņēmumiem ievērot atteikšanās preferences signālus (piemēram, Global Privacy Control), redzami apstiprināt, ka šie signāli ir apstrādāti, un nodrošināt, ka atteikšanās plūsmas nav sarežģītākas par piekrišanas plūsmām. Neievērošana var novest pie civiltiesiskām sankcijām līdz pat 7,500 ASV dolāriem par apzinātu pārkāpumu.

Galvenie secinājumi

CCPA attiecas uz peļņas gūšanas uzņēmumiem, kas atbilst konkrētiem ieņēmumu, datu apjoma vai datu pārdošanas sliekšņiem, nevis uz katru uzņēmumu, kas darbojas Kalifornijā.
No 2026. gada 1. janvāra uzņēmumiem jāparāda redzams apstiprinājums, kad ir atpazīts un ievērots atteikšanās preferences signāls (piemēram, Global Privacy Control). [3]
Atteikšanās mehānismiem jābūt tikpat viegli lietojamiem kā piekrišanas plūsmām; tumšie modeļi, kas attur no atteikšanās, ir skaidri aizliegti saskaņā ar 2026. gada grozījumiem. [7]
Uzņēmumiem ir 15 darba dienas, lai ievērotu patērētāja atteikšanās pieprasījumu pēc tā saņemšanas. [2]
"Personiskā informācija" saskaņā ar CCPA ir plaša: tā ietver IP adreses, pārlūkošanas vēsturi, ģeolokācijas datus, secinājumus, kas izdarīti no patērētāju uzvedības, un vēl daudz ko citu.
CCPA un GDPR darbojas uz fundamentāli atšķirīgiem piekrišanas modeļiem, atteikšanās pret piekrišanu, un daudziem uzņēmumiem jāievēro abi vienlaikus.
Neatjauninot savu privātuma politiku, lai atspoguļotu CCPA tiesības, tas pats par sevi ir atbilstības trūkums, atsevišķi no tehniskām atteikšanās neveiksmēm.
Piekrišanas pārvaldības platforma, piemēram, Biscotti CMP, var automatizēt signālu noteikšanu, atteikšanās apstiprinājuma parādīšanu un preferences uzskaiti.

Kas ir CCPA un kāpēc tas ir svarīgi jūsu uzņēmumam

Kalifornijas patērētāju privātuma akts ir valsts līmeņa privātuma likums, kas piešķir Kalifornijas iedzīvotājiem konkrētas tiesības attiecībā uz to, kā uzņēmumi vāc, izmanto un pārdod viņu personiskos datus. Tas ir svarīgi, jo Kalifornija ir piektā lielākā ekonomika pasaulē, un jebkuram uzņēmumam, kas apkalpo Kalifornijas patērētājus, neatkarīgi no tā, kur atrodas uzņēmuma galvenā mītne, var būt juridiskas prasības ievērot.

CCPA sākotnēji tika pieņemts 2018. gadā, to nostiprināja Kalifornijas privātuma tiesību akts (CPRA) 2020. gadā, un būtiski atjaunināts ar noteikumiem, ko apstiprināja Kalifornijas Administratīvās tiesas birojs 2025. gada 22. septembrī, spēkā no 2026. gada 1. janvāra. [1][5] Šie 2026. gada grozījumi pievienoja jaunas pienākumus attiecībā uz automatizēto lēmumu pieņemšanas tehnoloģiju (ADMT), risku novērtējumiem un, kritiski, atteikšanās mehānismu dizainu un apstiprinājuma prasībām. [1][7]

Izpratne par CCPA skaidrojumu: kā pārvaldīt atteikšanās iespējas Kalifornijas patērētājiem vairs nav opcija segtiem uzņēmumiem. Regulējošais minimums ir paaugstināts, un izpilde ir sekojusi.

Kā es varu uzzināt, vai CCPA attiecas uz manu uzņēmumu

CCPA attiecas uz peļņas gūšanas uzņēmumiem, kas veic darbību Kalifornijā un atbilst vismaz vienam no šiem sliekšņiem:

Gada bruto ieņēmumi, kas pārsniedz 25 miljonus ASV dolāru
Gada laikā pērkot, pārdodot, saņemot vai kopīgojot personisko informāciju par 100,000 vai vairāk Kalifornijas patērētājiem vai mājsaimniecībām
Iegūstot 50% vai vairāk no gada ieņēmumiem no Kalifornijas patērētāju personiskās informācijas pārdošanas vai koplietošanas [4][6]

Vai CCPA attiecas uz mazajiem uzņēmumiem ar noteiktu ieņēmumu? Parasti nē. Ja uzņēmums neizpilda visus trīs sliekšņus, tas nav segts uzņēmums saskaņā ar CCPA. Tomēr pakalpojumu sniedzējiem un līgumslēdzējiem, kas apstrādā datus segtu uzņēmumu vārdā, ir jāievēro līgumiskās CCPA saistības, pat ja tie citādi neatbilst neatkarīgi. [2]

Robu gadījums: Mazs SaaS uzņēmums ar ieņēmumiem zem 25 miljoniem ASV dolāru, bet ar lielu bezmaksas lietotāju bāzi var viegli pārsniegt 100,000 patērētāju datu slieksni, to neapzinoties.

Kas tiek uzskatīts par personisko informāciju saskaņā ar CCPA

Personiskā informācija saskaņā ar CCPA tiek plaši definēta kā jebkura informācija, kas identificē, attiecas uz, apraksta vai varētu saprātīgi tikt saistīta ar konkrētu patērētāju vai mājsaimniecību. Tas ietver daudz vairāk nekā tikai vārdus un e-pasta adreses.

Segtās kategorijas ietver:

Kategorija	Piemēri
Identifikatori	Vārds, e-pasts, IP adrese, ierīces ID
Komerciālā informācija	Pirkumu vēsture, pārlūkošanas uzvedība
Biometriskie dati	Pirkstu nospiedumi, sejas atpazīšanas dati
Interneta aktivitāte	Sīkdatnes, meklēšanas vēsture, vietņu mijiedarbība
Ģeolokācija	Precīza atrašanās vieta no mobilajām ierīcēm
Secinājumi	Profili, kas izveidoti no uzvedības datiem
Jutīga personiskā informācija	Sociālā nodrošinājuma numuri, veselības dati, precīza ģeolokācija

Secinājumi, kas izdarīti no patērētāju datiem, lai izveidotu profilus par vēlmēm, raksturojumu vai uzvedību, ir skaidri iekļauti. [4] Tas ir svarīgi reklāmas tehnoloģijām, analītikai un personalizācijas cauruļvadiem.

Kāda ir atšķirība starp CCPA atteikšanos un piekrišanu

CCPA darbojas uz atteikšanās modeļa: uzņēmumi var vākt un izmantot patērētāju datus pēc noklusējuma, bet patērētājiem ir tiesības pieprasīt, lai viņu dati netiktu pārdoti vai kopīgoti. Piekrišanas pieprasījums ir nepieciešams tikai specifiskos apstākļos, piemēram, apstrādājot patērētāju personisko informāciju, kas ir jaunāki par 16 gadiem. [4][6]

Šī ir fundamentāla strukturāla atšķirība no GDPR, kas darbojas uz piekrišanas modeļa, kas prasa apstiprinošu piekrišanu pirms lielākās daļas datu apstrādes uzsākšanas. Saskaņā ar CCPA klusēšana nav piekrišana, bet tā arī nav šķērslis apstrādei. Saskaņā ar GDPR klusēšana nav piekrišana un apstrāde nevar uzsākties bez tās.

Izvēlieties piekrišanas loģiku, ja: jūs apstrādājat datus no nepilngadīgajiem (zem 16 gadiem) vai apstrādājat jutīgas personiskās informācijas kategorijas, kas prasa skaidru piekrišanu saskaņā ar Kalifornijas likumu.

Izvēlieties atteikšanās loģiku, ja: jūs apstrādājat standarta patērētāju datus no pieaugušajiem un esat segts uzņēmums saskaņā ar CCPA.

Kā es varu izveidot "Nepārdot vai koplietot manu personisko informāciju" saiti

Katram segtam uzņēmumam, kas pārdod vai koplieto personisko informāciju, jānodrošina skaidra un pamanāma saite ar nosaukumu "Nepārdot vai koplietot manu personisko informāciju" savā mājaslapā un privātuma politikā. [4][6]

Soli pa solim uzstādīšana:

Veiciet datu plūsmu auditu, lai noteiktu, vai jūsu uzņēmums pārdod vai koplieto personisko informāciju, kā to definē CCPA.
Pievienojiet nepieciešamo saiti savas vietnes kājenē un mobilās lietotnes iestatījumu izvēlnē.
Konfigurējiet savu piekrišanas pārvaldības platformu, lai fiksētu un laika zīmētu atteikšanās pieprasījumus.
Nodrošiniet, ka atteikšanās plūsma neprasa vairāk soļu nekā piekrišanas plūsma, 2026. gada noteikumi skaidri aizliedz asimetrisku berzi. [7]
Automātiski ievērojiet Global Privacy Control (GPC) signālus, ja jūsu uzņēmums apstrādā pārlūkprogrammas datus.
Parādiet redzamu apstiprinājumu, ka atteikšanās ir atpazīta, piemēram, baneris vai slēdzis, kas rāda "Atteikšanās preferences signāls ievērots." [3]

Platforma, piemēram, Biscotti CMP, var automatizēt 3. līdz 6. soli, tostarp GPC signālu noteikšanu un atbilstošu apstiprinājuma parādīšanu.

Cik ilgi man ir jāatbild uz patērētāja atteikšanās pieprasījumu

Uzņēmumiem jāievēro patērētāja atteikšanās pieprasījums 15 darba dienu laikā pēc tā saņemšanas. [2] Tas atšķiras no 45 dienu atbildes loga, kas attiecas uz citiem patērētāju tiesību pieprasījumiem (piemēram, piekļuvei vai dzēšanai).

Kad pieprasījums ir izpildīts, uzņēmumam arī jāinformē jebkuras trešās puses, kurām tas pārdeva vai kopīgoja patērētāja datus pēdējo 90 dienu laikā, norādot tām pārtraukt šo datu izmantošanu. [6] Šī lejupvērstā paziņošanas pienākums bieži tiek ignorēts un pārstāv kopīgu atbilstības trūkumu.

Vai es varu joprojām izmantot datus pēc tam, kad klients ir atteicies

Pēc tam, kad patērētājs ir atteicies no pārdošanas vai koplietošanas, uzņēmums vairs nedrīkst pārdot vai koplietot šī patērētāja personisko informāciju. Tomēr uzņēmums var joprojām izmantot datus iekšējiem mērķiem, kas ir saskaņā ar patērētāja attiecībām ar uzņēmumu. [4]

Pēc atteikšanās ir skaidri aizliegts:

Pārdot vai koplietot datus ar trešajām pusēm krusts konteksta uzvedības reklāmai
Izmantot datus veidos, kas nav saderīgi ar kontekstu, kurā tie tika vākti

Pēc atteikšanās joprojām ir atļauts:

Izpildīt darījumu vai pakalpojumu, ko patērētājs pieprasījis
Iekšējā analītika un krāpšanas novēršana
Atbilstība juridiskajām saistībām

Bieži pieļauta kļūda: Pieņemt, ka atteikšanās nozīmē pilnīgu datu dzēšanu. Tā nav. Patērētājiem jāiesniedz atsevišķs dzēšanas pieprasījums, lai aktivizētu šo tiesību.

CCPA pret GDPR: kuru esmu jāievēro

Ja jūsu uzņēmums apkalpo gan Kalifornijas iedzīvotājus, gan Eiropas Savienības iedzīvotājus, jums, visticamāk, jāievēro abi. CCPA un GDPR nav savstarpēji izslēdzoši, un atbilstības prasības ir pietiekami atšķirīgas, ka viena politika reti apmierina abas.

Faktors	CCPA	GDPR
Piekrišanas modelis	Atteikšanās (noklusējuma apstrāde atļauta)	Piekrišana (piekrišana nepieciešama vispirms)
Ģeogrāfiskais apmērs	Kalifornijas iedzīvotāji	ES/EEA iedzīvotāji
Kam tas attiecas	Peļņas gūšanas uzņēmumi, kas atbilst sliekšņiem	Jebkura vienība, kas apstrādā ES iedzīvotāju datus
Sodi	Līdz 7,500 ASV dolāriem par apzinātu pārkāpumu	Līdz 4% no globālajiem gada ieņēmumiem
Tiesības uz dzēšanu	Jā	Jā (Tiesības uz dzēšanu)
Datu pārnesamība	Jā	Jā

Praktiskā nozīme: GDPR atbilstoši piekrišanas baneri nav automātiski CCPA atbilstoši, jo CCPA prasa specifisku atteikšanās mehānismu, nevis piekrišanas vārtus.

Kas notiek, ja es neievēroju CCPA prasības

Neatbilstība pakļauj uzņēmumus civiltiesiskām sankcijām līdz 2,500 ASV dolāriem par neapzinātu pārkāpumu un 7,500 ASV dolāriem par apzinātu pārkāpumu, ko uzrauga Kalifornijas privātuma aizsardzības aģentūra (CPPA). [4][6] Pārkāpumi, kas saistīti ar nepilngadīgo datiem, tiek uzskatīti par apzinātiem pēc noklusējuma.

Patērētājiem ir arī privāta rīcības tiesība par datu pārkāpumiem, kas radušies uzņēmuma nespējas dēļ ieviest saprātīgus drošības pasākumus, ar likumā noteiktiem zaudējumiem, kas svārstās no 100 līdz 750 ASV dolāriem par patērētāju par katru incidentu. [4]

gada grozījumi paplašināja CPPA audita pilnvaras, kas nozīmē, ka uzņēmumi, kuriem ir jāveic risku novērtējumi, var saskarties ar proaktīvu regulatīvo uzraudzību, nevis tikai reaktīvu izpildi. [1][7]

Vai man ir jāatjaunina mana privātuma politika CCPA dēļ

Jā. Segtiem uzņēmumiem jānodrošina privātuma politika, kas atklāj vismaz:

Kategorijas personiskās informācijas, kas tiek vāktas, un to vākšanas mērķi
Vai personiskā informācija tiek pārdota vai koplietošana, un iesaistīto trešo pušu kategorijas
Patērētāju tiesības, kas pieejamas saskaņā ar CCPA (atteikšanās, dzēšana, piekļuve, labojums, pārnesamība)
Kā patērētāji var iesniegt pieprasījumus, lai izmantotu šīs tiesības
Katras kategorijas personiskās informācijas glabāšanas periods [4][6]

Privātuma politikas jāatjaunina vismaz reizi 12 mēnešos. Neatjauninot politiku pēc būtiskām izmaiņām datu praksē, piemēram, pievienojot jaunu analītikas piegādātāju, tas pats par sevi ir atbilstības pārkāpums.

Kā es varu pārbaudīt, vai patērētāja atteikšanās pieprasījums ir likumīgs

Attiecībā uz atteikšanās pieprasījumiem CCPA neprasa uzņēmumiem pārbaudīt patērētāja identitāti, kas veic pieprasījumu. [2] Tas ir apzināti: prasība pārbaudīt identitāti atteikšanās gadījumā radītu berzi, kas apdraudētu šo tiesību.

Tomēr uzņēmumi var izmantot saprātīgus līdzekļus, lai apstiprinātu, ka pieprasījums nav krāpniecisks, piemēram, apstiprinot e-pasta adresi, kas saistīta ar kontu. Standarts atteikšanās pārbaudei ir apzināti zemāks nekā dzēšanas vai piekļuves pieprasījumiem, kur identitātes pārbaude ir piemērota, jo šie pieprasījumi ietver datu atklāšanu vai iznīcināšanu.

Robu gadījums: Ja atteikšanās pieprasījums ierodas, izmantojot automatizētu signālu (GPC), nav nepieciešams vai atļauts papildu pārbaudes solis, pats signāls ir derīgs pieprasījums. [3][7]

Kā darbojas atteikšanās mehānismi mobilajās lietotnēs un tīmekļa vietnēs

Tīmekļa vietnēs atteikšanās mehānismiem jāietver "Nepārdot vai koplietot manu personisko informāciju" saite kājē un jāievēro pārlūkprogrammas līmeņa GPC signāli. [3][7] Mobilajās lietotnēs prasības ir funkcionāli ekvivalentas, bet īstenošana atšķiras:

Mobilajām lietotnēm jāiekļauj atteikšanās opcija lietotnes iestatījumu izvēlnē vai privātuma preferences sadaļā.
Lietotnes, kas izplatītas caur lietotņu veikaliem, jāievēro jebkuras papildu platformas līmeņa privātuma prasības (piemēram, App Tracking Transparency iOS), bet šīs platformas prasības neaizvieto CCPA atbilstību.
Automatizētie signāli no mobilajām operētājsistēmām jāievēro tāpat kā pārlūkprogrammas GPC signāli, ja uzņēmums apstrādā šos datus.

gada noteikumi skaidri norāda, ka kanāls (tīmeklis pret lietotni) nemaina pamatpienākumu, tikai tehniskā īstenošana atšķiras.

Kādas ir bieži pieļautas kļūdas, ko uzņēmumi pieļauj, ievērojot CCPA

Pat labi nodomāti uzņēmumi bieži pieļauj šādas kļūdas:

Attiecību uz atteikšanos kā uz piekrišanu: Prasīt patērētājiem apstiprināt savu atteikšanos, veicot vairākus soļus, kas pārkāpj simetrijas prasību 2026. gada grozījumos. [7]
Ignorējot GPC signālus: Neizveidojot savu tehnoloģiju, lai noteiktu un ievērotu Global Privacy Control pārlūkprogrammas signālus, kas tagad tiek uzskatīti par derīgiem atteikšanās pieprasījumiem. [3]
Neizpildot atteikšanās apstiprinājumu: 2026. gada noteikumi prasa redzamu apstiprinājumu, ka signāls ir apstrādāts, aizmugures žurnāla ieraksts nav pietiekams. [3]
Nelaikā paziņojot lejupvērstajiem piegādātājiem: Neinformējot trešās puses datu saņēmējus pēc atteikšanās saņemšanas.
Statiskas privātuma politikas: Neatjauninot politiku katru gadu vai pēc būtiskām izmaiņām datu praksē.
Sajaucot pakalpojumu sniedzējus ar trešajām pusēm: Pakalpojumu sniedzēji, kas apstrādā datus saskaņā ar līgumu, ir pakļauti citām saistībām nekā trešās puses, kas saņem datus saviem mērķiem.

FAQ

Vai CCPA attiecas uz bezpeļņas organizācijām? Nē. CCPA attiecas tikai uz peļņas gūšanas uzņēmumiem. Bezpeļņas organizācijas nav segti uzņēmumi, lai gan tās var būt pakļautas citiem Kalifornijas privātuma likumiem.

Kas ir Global Privacy Control (GPC) un vai man tas jāievēro? GPC ir pārlūkprogrammas līmeņa signāls, kas automātiski paziņo par patērētāja atteikšanās preferenci. No 2026. gada 1. janvāra segtiem uzņēmumiem, kas apstrādā pārlūkprogrammas datus, jāievēro GPC signāli kā derīgi atteikšanās pieprasījumi un jāparāda apstiprinājums, ka signāls ir apstrādāts. [3][7]

Vai uzņēmums var iekasēt atšķirīgu cenu patērētājiem, kas ir atteikušies? Parasti nē. CCPA aizliedz uzņēmumiem diskriminēt pret patērētājiem, kuri izmanto savas privātuma tiesības, tostarp iekasējot atšķirīgas cenas, ja vien atšķirība nav saprātīgi saistīta ar patērētāja datu vērtību. [4]

Cik ilgi jāglabā atteikšanās ieraksti? CCPA nenosaka vispārēju glabāšanas periodu atteikšanās ierakstiem, bet uzņēmumiem jāglabā ieraksti pietiekami ilgi, lai pierādītu atbilstību audita vai izpildes gadījumā, parasti vismaz 24 mēneši tiek uzskatīti par saprātīgu pamatu. [6]

Vai sīkdatņu baneris apmierina CCPA atteikšanās prasības? Sīkdatņu baneris pats par sevi nav pietiekams. CCPA prasa veltītu "Nepārdot vai koplietot manu personisko informāciju" saiti, un 2026. gada grozījumi prasa uzņēmumiem ievērot un apstiprināt GPC signālus neatkarīgi no jebkādas sīkdatņu piekrišanas mijiedarbības. [3][7]

Kāda ir atšķirība starp "pārdošanu" un "koplietošanu" saskaņā ar CCPA? "Pārdošana" ietver personiskās informācijas apmaiņu par naudas atlīdzību. "Koplietošana" aptver personiskās informācijas atklāšanu krusts konteksta uzvedības reklāmai, pat bez maksājuma. Abi izraisa atteikšanās tiesības. [4]

Vai man ir nepieciešami atsevišķi atteikšanās mehānismi katrai datu kategorijai? Nē. Viena atteikšanās mehānismam, kas aptver pārdošanu un koplietošanu, ir pietiekama, lai gan uzņēmumiem skaidri jāapraksta savā privātuma politikā, kādas datu kategorijas ir segtas.

Kas ir riska novērtējums saskaņā ar 2026. gada CCPA grozījumiem? Uzņēmumiem, kas apstrādā personisko informāciju veidos, kas rada būtiskus privātuma riskus, tostarp automatizētas lēmumu pieņemšanas tehnoloģijas izmantošanu, jāveic un jādocumentē riska novērtējumi pirms šīs apstrādes uzsākšanas. [1][7]

Secinājums

CCPA skaidrojums: kā pārvaldīt atteikšanās iespējas Kalifornijas patērētājiem ir mainīgs mērķis, un 2026. gada grozījumi ir ievērojami paaugstinājuši latiņu. Pamatpienākumi, nodrošinot skaidru atteikšanās mehānismu, ievērojot patērētāju pieprasījumus 15 darba dienu laikā un atjauninot savu privātuma politiku, paliek pamata. Bet jaunās prasības attiecībā uz GPC signālu apstiprināšanu, tumšo modeļu aizliegumu un ADMT riska novērtējumiem prasa sistemātiskāku pieeju nekā statiska kājene.

Rīcības soļi segtiem uzņēmumiem:

Veiciet savu pašreizējo atteikšanās plūsmu auditu pret 2026. gada simetrijas prasību: saskaitiet soļus, lai atteiktos, un salīdziniet tos ar soļiem, lai piekristu.
Pārliecinieties, ka jūsu vietne un mobilā lietotne nosaka un ievēro Global Privacy Control signālus, un ka redzams apstiprinājuma ziņojums tiek parādīts, kad signāls tiek saņemts.
Pārskatiet savu trešo pušu piegādātāju sarakstu un pārliecinieties, ka ir izveidotas lejupvērstā paziņošanas procedūras pēc atteikšanās datu plūsmām.
Atjauniniet savu privātuma politiku, lai atspoguļotu pašreizējās datu prakses, glabāšanas periodus un pilnu patērētāju tiesību sarakstu.
Novērtējiet piekrišanas pārvaldības platformu, piemēram, Biscotti CMP, lai automatizētu signālu noteikšanu, atteikšanās apstiprināšanu un preferences uzskaiti visos tīmekļa un mobilajos kanālos.

Atbilstība nav vienreizējs projekts. CPPA ir parādījusi gatavību sniegt norādījumus un veikt izpildi, un regulatīvā vide turpinās attīstīties. Tagad izveidojot atkārtojamas, auditable procesus, ir visdefensīvākā pozīcija, ko segts uzņēmums var ieņemt.