त्वरित उत्तर: कॅलिफोर्निया प्रायव्हसी राइट्स ॲक्ट (CPRA) ने मूळ कॅलिफोर्निया कंज्युमर प्रायव्हसी ॲक्ट (CCPA) मध्ये महत्त्वपूर्ण सुधारणा केल्या, नवीन ग्राहक अधिकार, एक समर्पित अंमलबजावणी एजन्सी, कठोर शिक्षा, आणि संवेदनशील वैयक्तिक माहितीची एक नवीन श्रेणी सादर केली. वेबसाइट ऑपरेटरसाठी, CCPA विरुद्ध CPRA: कॅलिफोर्नियामध्ये वेबसाइट ऑपरेटरसाठी काय बदलले? हे एक सिद्धांतात्मक प्रश्न नाही, तर हे थेट अद्ययावत प्रायव्हसी धोरणे, नवीन सहमती यंत्रणा, आणि तिसऱ्या पक्ष विक्रेत्यांसोबत विस्तारित करारात्मक जबाबदाऱ्या यामध्ये रूपांतरित होते.
मुख्य मुद्दे
- CPRA ने 1 जुलै 2023 रोजी पूर्ण अंमलबजावणी प्रभावात आली, CCPA च्या चौकटीला बदलून आणि विस्तारित केले.
- "संवेदनशील वैयक्तिक माहिती" (SPI) ची एक नवीन श्रेणी वेबसाइटवर त्या डेटाचे संकलन करणाऱ्या साइटवर समर्पित ऑप्ट-आउट लिंक आवश्यक करते.
- ग्राहकांना त्यांच्या चुकीच्या वैयक्तिक डेटाचे सुधारण करण्याचा अधिकार मिळाला, जो मूळ CCPA अंतर्गत अस्तित्वात नव्हता.
- लागू होण्याची थ्रेशोल्ड 50,000 वरून 100,000 ग्राहक किंवा कुटुंबांपर्यंत वाढली, ज्यामुळे काही लहान ऑपरेटरांना सूट मिळाली.
- क्रॉस-कॉन्टेक्स्ट वर्तनात्मक जाहिरातीसाठी वैयक्तिक डेटा "शेअरिंग" आता "विक्री" म्हणून गणला जातो, ज्यासाठी ऑप्ट-आउट यंत्रणा आवश्यक आहे.
- वेबसाइट ऑपरेटरांनी ग्लोबल प्रायव्हसी कंट्रोल (GPC) सिग्नल्सना वैध ऑप्ट-आउट विनंत्या म्हणून मान्यता द्यावी लागेल.
- प्रशासकीय दंड 1 जानेवारी 2025 पासून अनियोजित उल्लंघनासाठी $2,663 आणि उद्देशाने उल्लंघनासाठी $7,988 पर्यंत वाढले.
- कॅलिफोर्निया प्रायव्हसी प्रोटेक्शन एजन्सी (CPPA) आता अटॉर्नी जनरलपासून स्वतंत्र अंमलबजावणी अधिकार आहे.
- स्वयंचलित निर्णय-निर्मिती पारदर्शकता आवश्यकता 1 जानेवारी 2027 पासून लागू होणार आहेत.
- उच्च-जोखमीच्या डेटा प्रक्रिया क्रियाकलापांसाठी जोखमीचे मूल्यांकन आणि सायबरसुरक्षा ऑडिट आता अनिवार्य आहेत.
CCPA आणि CPRA यामध्ये काय फरक आहे?
CCPA, 1 जानेवारी 2020 पासून प्रभावी, कॅलिफोर्नियाच्या ग्राहकांना त्यांच्या वैयक्तिक डेटावर मूलभूत अधिकार दिले: माहिती जाणून घेण्याचा, हटविण्याचा, आणि त्यांच्या माहितीच्या विक्रीतून बाहेर पडण्याचा अधिकार. CPRA, नोव्हेंबर 2020 मध्ये कॅलिफोर्नियाच्या मतदारांनी मंजूर केले आणि 1 जुलै 2023 पासून पूर्णपणे अंमलात आले, हे CCPA ला थेट बदलत नाही, तर ते सुधारित आणि महत्त्वपूर्णपणे विस्तारित करते [1].
महत्त्वाचे संरचनात्मक फरक समाविष्ट आहेत:
| वैशिष्ट्य | CCPA (मूळ) | CPRA (सुधारित) |
|---|---|---|
| अंमलबजावणी संस्था | कॅलिफोर्निया अटॉर्नी जनरल | CPPA + अटॉर्नी जनरल |
| संवेदनशील डेटा श्रेणी | परिभाषित केलेले नाही | औपचारिकपणे परिभाषित (SPI) |
| सुधारण्याचा अधिकार | समाविष्ट नाही | समाविष्ट |
| "विक्री" व्याख्या | मूल्यासाठी डेटा विनिमय | जाहिरातीसाठी "शेअरिंग" समाविष्ट करते |
| लागू होण्याची थ्रेशोल्ड | 50,000 ग्राहक/कुटुंबे | 100,000 ग्राहक/कुटुंबे |
| जोखमीचे मूल्यांकन | आवश्यक नाही | उच्च-जोखमीच्या प्रक्रियेसाठी आवश्यक |
| GPC सिग्नल अनुपालन | अनिवार्य नाही | अनिवार्य |
वेबसाइट ऑपरेटरसाठी व्यावहारिक परिणाम म्हणजे CPRA विरुद्ध CCPA अनुपालन केवळ कागदपत्र अद्यतन नाही, तर यामुळे सहमती प्रवाह, प्रायव्हसी धोरणे, आणि विक्रेता करारांमध्ये आर्किटेक्चरल बदल आवश्यक आहेत [2].
CPRA कधी प्रभावात आली आणि CCPA ला बदलले?
CPRA च्या मौलिक अधिकार आणि जबाबदाऱ्या 1 जानेवारी 2022 नंतर संकलित केलेल्या डेटावर लागू झाल्या, अंमलबजावणी 1 जुलै 2023 पासून सुरू झाली. एक वर्षाची अंमलबजावणी ग्रेस पीरियड त्या तारखेला संपली, म्हणजे कॅलिफोर्निया प्रायव्हसी प्रोटेक्शन एजन्सी पूर्वसूचना न देता दंड जारी करण्यास सुरुवात करू शकते [4].
2026 मध्ये CCPA युगाच्या धोरणांवर कार्यरत असलेल्या वेबसाइट ऑपरेटरसाठी, जोखमी वास्तविक आणि तात्काळ आहे.
CPRA अंतर्गत ग्राहकांना कोणते नवीन अधिकार आहेत जे CCPA मध्ये नव्हते?
CPRA ने दोन ग्राहक अधिकार जोडले जे मूळ CCPA चौकटीत अनुपस्थित होते:
सुधारणेचा अधिकार: ग्राहक आता व्यवसायाला त्यांच्या बाबतीत असलेल्या चुकीच्या वैयक्तिक माहितीचे सुधारण करण्याची विनंती करू शकतात. वेबसाइट ऑपरेटरांनी एक सत्यापित विनंती प्रक्रिया स्थापित करावी लागेल आणि सुधारणा विनंत्यांवर 45 दिवसांच्या आत कार्य करावे लागेल [2].
संवेदनशील वैयक्तिक माहितीच्या वापरावर मर्यादा ठेवण्याचा अधिकार: ग्राहक व्यवसायांना त्यांच्या SPI चा वापर त्या उद्देशापेक्षा अधिक मर्यादित करण्यास सांगू शकतात ज्यासाठी ती मूळतः संकलित केली गेली होती. या अधिकारासाठी वेबसाइटवर एक स्वतंत्र, स्पष्टपणे लेबल केलेली ऑप्ट-आउट यंत्रणा आवश्यक आहे [1].
हे जोडलेले अधिकार माहिती जाणून घेणे, हटविणे, विक्रीतून बाहेर पडणे, आणि भेदभाव न करण्याच्या विद्यमान अधिकारांसोबत बसतात, ज्यामुळे कोणत्याही साइटसाठी अधिक स्तरित अनुपालन आवश्यकता निर्माण होते जी वापरकर्ता डेटा संकलित करते.
CPRA अंतर्गत सुधारण्याचा अधिकार काय आहे?
सुधारणेचा अधिकार CPRA मधील सर्वात कार्यात्मकदृष्ट्या मागणी करणारा जोड आहे. जेव्हा ग्राहक एक सत्यापित सुधारणा विनंती सादर करतो, तेव्हा व्यवसायाने चुकीच्या वैयक्तिक माहितीचे सुधारण करण्यासाठी व्यावसायिकदृष्ट्या यथार्थ प्रयत्न करणे आवश्यक आहे आणि त्या डेटाचे प्राप्त करणाऱ्या कोणत्याही सेवा प्रदात्यांना किंवा ठेकेदारांना समान सुधारणा करण्यास निर्देशित करणे आवश्यक आहे [2].
वेबसाइट ऑपरेटरसाठी, याचा अर्थ आहे:
- सुधारणा विनंती स्वीकारण्याची यंत्रणा तयार करणे (वेब फॉर्म, ईमेल प्रक्रिया, किंवा खाते पोर्टल).
- सुधारणा दस्तऐवजीकरण करणे आणि खालील डेटा प्रोसेसरना सूचित करणे.
- 45 दिवसांच्या आत प्रतिसाद देणे, आवश्यक असल्यास एक 45-दिवसांचा विस्तार परवानगी आहे.
सामान्य चूक: अनेक ऑपरेटर assume करतात की सुधारण्याचा अधिकार फक्त खाते प्रोफाइल डेटावर लागू होतो. प्रत्यक्षात, हे व्यवसायाच्या कडे असलेल्या कोणत्याही वैयक्तिक माहितीवर लागू होते, ज्यामध्ये वर्तनात्मक डेटा, अनुमानित प्राधान्ये, आणि खरेदी इतिहास समाविष्ट आहे.
CPRA अंतर्गत कोणत्या नवीन डेटा श्रेण्या समाविष्ट आहेत ज्या CCPA मध्ये नव्हत्या?
CPRA ने "संवेदनशील वैयक्तिक माहिती" (SPI) ला एक स्वतंत्र, उच्च-संरक्षण डेटा श्रेणी म्हणून औपचारिकपणे परिभाषित केले. CCPA मध्ये यासाठी समकक्ष वर्गीकरण नव्हते [1].
CPRA अंतर्गत SPI मध्ये समाविष्ट आहे:
- सामाजिक सुरक्षा क्रमांक आणि सरकारी जारी केलेले आयडी
- वित्तीय खाते प्रमाणपत्र (लॉगिन आणि सुरक्षा कोड)
- अचूक भूस्थान डेटा
- जातीय किंवा सांस्कृतिक उत्पत्ती, धार्मिक विश्वास, आणि युनियन सदस्यता
- खाजगी संवादांचे सामग्री (मेल, ईमेल, टेक्स्ट)
- ओळखीसाठी प्रक्रिया केलेले आनुवंशिक आणि बायोमेट्रिक डेटा
- आरोग्य माहिती आणि लैंगिक जीवन किंवा लैंगिक ओळख
या श्रेणींपैकी कोणतीही माहिती संकलित करणाऱ्या वेबसाइट ऑपरेटरांनी "माझ्या संवेदनशील वैयक्तिक माहितीचा वापर मर्यादित करा" लिंक प्रदान करणे आवश्यक आहे, जी CCPA अंतर्गत आधीच आवश्यक असलेल्या "माझी वैयक्तिक माहिती विकू नका" लिंकसारखी कार्यात्मक आहे [1].
CPRA विरुद्ध CCPA: कोणता माझ्या व्यवसायावर लागू आहे?
2026 पासून, CPRA चौकट नफा कमवणाऱ्या व्यवसायांवर लागू आहे जे कॅलिफोर्नियामध्ये व्यवसाय करतात आणि या थ्रेशोल्डपैकी किमान एक पूर्ण करतात [7]:
- वार्षिक एकूण उत्पन्न $25 दशलक्षाहून अधिक.
- वर्षाला 100,000 किंवा अधिक कॅलिफोर्निया ग्राहकांची किंवा कुटुंबांची वैयक्तिक माहिती खरेदी, विक्री, प्राप्त, किंवा शेअर करते (CCPA अंतर्गत 50,000 वरून वाढले).
- ग्राहकांच्या वैयक्तिक माहितीच्या विक्रीतून किंवा शेअरिंगमधून 50% किंवा अधिक वार्षिक उत्पन्न मिळवते.
CPRA अनुपालन निवडा जर: तुमची वेबसाइट कॅलिफोर्निया रहिवाशांना सेवा देते आणि तुम्ही वरीलपैकी कोणत्याही निकषांची पूर्तता करता. जर तुम्ही पूर्वी CCPA च्या 50,000 ग्राहकांच्या थ्रेशोल्ड अंतर्गत पात्र असाल पण वार्षिक 100,000 रेकॉर्ड्सपेक्षा कमी प्रक्रिया करता, तर तुम्ही थेट लागू होणार नाही, तरीही मोठ्या भागीदारांसोबत करारात्मक जबाबदाऱ्या अद्याप पालन करण्याची आवश्यकता असू शकते.
कडवट प्रकरण: नफा न कमवणाऱ्या संस्थांना आणि शुद्ध B2B ऑपरेटरांना सामान्यतः सूट आहे, पण कव्हर केलेल्या व्यवसायांना सेवा प्रदाते आणि ठेकेदारांना त्यांच्या स्वतःच्या CPRA जबाबदाऱ्या आहेत [3].
CPRA माझ्या वेबसाइटच्या प्रायव्हसी धोरणावर कसा परिणाम करतो?
CCPA अनुपालन प्रायव्हसी धोरण आता पुरेसे नाही. CPRA वेबसाइट ऑपरेटरांना त्यांच्या प्रायव्हसी धोरणांचे अद्यतन करण्याची आवश्यकता आहे जेणेकरून [2][3]:
- नवीन SPI श्रेणी आणि त्याच्या वापरावर मर्यादा ठेवण्याचा अधिकार.
- चुकीच्या वैयक्तिक माहितीचे सुधारण्याचा अधिकार.
- "विक्री" ची विस्तारित व्याख्या ज्यामध्ये क्रॉस-कॉन्टेक्स्ट वर्तनात्मक जाहिरातीसाठी "शेअरिंग" समाविष्ट आहे.
- व्यवसाय GPC सिग्नल्सना कसे प्रतिसाद देतो.
- संकलित केलेल्या प्रत्येक वैयक्तिक माहितीच्या श्रेणीसाठी डेटा राखण्याच्या कालावधी.
- स्वयंचलित निर्णय-निर्मितीचा वापर केला जातो का आणि ग्राहक कसे बाहेर पडू शकतात.
प्रायव्हसी धोरणांचे पुनरावलोकन किमान 12 महिन्यांतून एकदा केले पाहिजे आणि वर्तमान डेटा प्रथांचे प्रतिबिंबित करण्यासाठी अद्यतनित केले पाहिजे. CCPA युगातील अधिकारांचे वर्णन करणारी जुनी धोरणे CPRA जोडण्या शिवाय एक सामान्य अंमलबजावणी ट्रिगर आहेत.
CPRA अनुपालनासाठी माझ्या सहमतीच्या फॉर्ममध्ये अद्यतनाची आवश्यकता आहे का?
होय. CCPA अंतर्गत पुरेशी असलेली सहमती यंत्रणा CPRA साठी महत्त्वपूर्ण अद्यतने आवश्यक आहे. विशेषतः, वेबसाइट ऑपरेटरांनी [3][5]:
- जर साइट SPI संकलित करत असेल तर "माझ्या संवेदनशील वैयक्तिक माहितीचा वापर मर्यादित करा" ऑप्ट-आउट लिंक जोडावी.
- GPC ब्राउझर सिग्नल्सना वैध ऑप्ट-आउट म्हणून मान्यता द्यावी आणि यासाठी वापरकर्त्याला अतिरिक्त पायऱ्या उचलण्याची आवश्यकता नाही.
- 16 वर्षांखालील ग्राहकांच्या वैयक्तिक माहितीच्या विक्रीतून किंवा शेअरिंगमध्ये सहमती मिळवावी.
- क्रॉस-कॉन्टेक्स्ट वर्तनात्मक जाहिरातीसाठी (पुनर्प्रतिष्ठा, जाहिरात प्लॅटफॉर्मसह प्रेक्षक शेअरिंग) सहमती स्पष्टपणे इतर डेटा वापरांपासून वेगळी असावी.
एक सहमती व्यवस्थापन प्लॅटफॉर्म GPC शोधणे आणि प्राधान्य रेकॉर्डिंग स्वयंचलित करण्यात मदत करू शकतो. Biscotti CMP (www.biscotti-cmp.com) या CPRA-विशिष्ट आवश्यकतांची हाताळणी करण्यासाठी तयार केले आहे, SPI ऑप्ट-आउट प्रवाह आणि GPC सिग्नल अनुपालन यासह, वेबसाइट ऑपरेटरकडून कस्टम विकासाची आवश्यकता न करता.
CPRA अनुपालन न केल्यास शिक्षा काय आहेत?
1 जानेवारी 2025 पासून, CPRA चौकटी अंतर्गत प्रशासकीय दंड [5]:
- $2,663 अनियोजित उल्लंघनासाठी.
- $7,988 उद्देशाने उल्लंघनासाठी.
- $7,988 प्रति उल्लंघन (त्रिसुत्रित) 16 वर्षांखालील ग्राहकांच्या वैयक्तिक माहितीच्या उल्लंघनांसाठी.
या आकड्यांमध्ये कालांतराने महागाईसाठी समायोजन केले जाते. दंड प्रति उल्लंघन मूल्यांकन केले जातात, म्हणजे हजारो ग्राहकांना प्रभावित करणाऱ्या एकाच अनुपालन नसलेल्या डेटा प्रथेमुळे लाखोंमध्ये एकत्रित जबाबदारी निर्माण होऊ शकते. CPPA कडून अटॉर्नी जनरलच्या संदर्भाशिवाय अंमलबजावणी क्रिया सुरू करण्याचा स्वतंत्र अधिकार आहे [4].
महत्त्वाचे: CPRA ने CCPA अंतर्गत बहुतेक उल्लंघनांसाठी अस्तित्वात असलेल्या 30-दिवसीय उपचार कालावधीला समाप्त केले, जे अनेक ऑपरेटरांनी अवलंबून राहिलेल्या सुरक्षिततेच्या जाळ्याला काढून टाकले.
CPRA अनुपालनासह वेबसाइट्सने कोणत्या सामान्य चुका केल्या आहेत?
विस्तारित आवश्यकतांवर आधारित, सर्वात सामान्य अनुपालन अपयश समाविष्ट आहे [3][6]:
- GPC सिग्नल्सकडे दुर्लक्ष करणे: ब्राउझर-स्तरीय ऑप्ट-आउट सिग्नल्स शोधण्यात आणि मान्यता देण्यात अपयश हे CPPA च्या स्पष्ट अंमलबजावणी प्राथमिकता आहे.
- SPI ऑप्ट-आउट लिंक गहाळ करणे: SPI संकलित केल्यास फक्त "माझी माहिती विकू नका" लिंक जोडणे, "माझ्या SPI चा वापर मर्यादित करा" लिंक न जोडता.
- जुने विक्रेता करार: सेवा प्रदात्यांसोबत डेटा प्रक्रिया करार अद्यतनित न करणे जे CPRA आवश्यक अटी समाविष्ट करतात.
- डेटा राखण्याचा कार्यक्रम नाही: CPRA व्यवसायांना राखण्याच्या कालावधीचे खुलासा करण्यास आणि पालन करण्यास सांगते; अनेक प्रायव्हसी धोरणे अद्याप हे वगळतात.
- उपचार कालावधी अद्याप लागू आहे असे गृहीत धरणे: उल्लंघन दुरुस्त करण्यापूर्वी नोटीसची वाट पाहणारे ऑपरेटर तात्काळ दंडांचा सामना करू शकतात.
- सुधारणेचा अधिकार दुर्लक्षित करणे: फक्त हटविण्याच्या कार्यप्रवाहांचे निर्माण करणे, सुधारणा विनंती हाताळण्याशिवाय.
लहान व्यवसायांना CPRA साठी वेगळ्या आवश्यकता आहेत का?
50,000 वरून 100,000 ग्राहकांपर्यंत थ्रेशोल्ड वाढल्यामुळे लहान वेबसाइट ऑपरेटरांवरील अनुपालनाचा ताण थेट कमी झाला आहे [7]. 100,000 कॅलिफोर्निया ग्राहकांना वार्षिक सेवा देणारी एक लहान ई-कॉमर्स साइट किंवा SaaS उत्पादन, $25 दशलक्षांखालील उत्पन्न आणि डेटा विक्रीतून उत्पन्न न मिळवणारे, CPRA च्या थेट क्षेत्राबाहेर आहे.
तथापि, लहान व्यवसायांनी लक्षात ठेवावे:
- जर ते कव्हर केलेल्या व्यवसायासाठी सेवा प्रदाता म्हणून कार्यरत असतील, तर त्यांना आकाराच्या पर्वा न करता CPRA च्या करारात्मक जबाबदाऱ्या विरासत मिळतात.
- स्वेच्छेने अनुपालन आता एंटरप्राइज क्लायंटद्वारे वाढत्या प्रमाणात अपेक्षित आहे आणि हे एक स्पर्धात्मक भेदक ठरू शकते.
- इतर राज्यांनी समान कायदे लागू केले आहेत, आणि फेडरल प्रायव्हसी कायद्यासाठी सक्रिय चर्चा 2026 मध्ये सुरू आहे.
CPRA अनुपालन होण्यासाठी किती खर्च येतो?
अनुपालनाचा निश्चित खर्च नाही, तो वेबसाइटच्या डेटा इकोसिस्टमच्या जटिलतेवर आधारित महत्त्वपूर्णपणे भिन्न आहे. सामान्य खर्च चालकांमध्ये समाविष्ट आहे:
- प्रायव्हसी धोरणाचे अद्यतन: घरच्या घरी केले असल्यास कमी खर्च; कायदेशीर सल्लागार वापरत असल्यास $500,$3,000+.
- सहमती व्यवस्थापन प्लॅटफॉर्म: चालू SaaS सदस्यता; ट्रॅफिकच्या प्रमाणानुसार किंमत भिन्न असते.
- तांत्रिक अंमलबजावणी: ऑप्ट-आउट लिंक, GPC शोधणे, आणि सुधारणा विनंती कार्यप्रवाह जोडण्यासाठी विकासकांचा वेळ.
- विक्रेता करार पुनरावलोकन: सर्व तिसऱ्या पक्ष प्रोसेसरसह डेटा प्रक्रिया करारांचे कायदेशीर पुनरावलोकन.
- जोखमीचे मूल्यांकन: उच्च-जोखमीच्या प्रक्रियेसाठी, औपचारिक मूल्यांकनासाठी बाह्य सल्लागारांची आवश्यकता असू शकते.
अधिकांश मध्यम आकाराच्या वेबसाइट ऑपरेटरसाठी, प्रारंभिक अनुपालन दुरुस्ती अनेक हजार डॉलरच्या श्रेणीत असते, धोरण देखभाल आणि सहमती व्यवस्थापनासाठी चालू कार्यकारी खर्चासह. अनुपालन न करण्याचा खर्च, प्रति उल्लंघन दंड दिला जातो, गुंतवणुकीपेक्षा महत्त्वपूर्णपणे जास्त आहे.
मला कसे कळेल की CPRA माझ्या वेबसाइटच्या अभ्यागतांवर लागू आहे?
CPRA ग्राहकांच्या निवासावर आधारित लागू होते, व्यवसायाच्या स्थानावर नाही. जर वेबसाइटवर कॅलिफोर्निया-निवासी अभ्यागत असतील आणि ऑपरेटर कोणत्याही तीन व्यवसाय थ्रेशोल्डची पूर्तता करत असेल, तर CPRA च्या जबाबदाऱ्या त्या अभ्यागतांमधून संकलित केलेल्या डेटावर लागू होतात [7][8].
CPRA लागू होण्याची व्यावहारिक संकेत:
- वेबसाइट यू.एस. वापरकर्त्यांकडून कॅलिफोर्नियाला भू-प्रतिबंध न लावता ऑर्डर, नोंदणी, किंवा जाहिरात लक्ष्य स्वीकारते.
- व्यवसाय तिसऱ्या पक्षांच्या जाहिरात नेटवर्कचा वापर करतो जो क्रॉस-कॉन्टेक्स्ट वर्तनात्मक जाहिरातीमध्ये गुंतलेला आहे.
- वेबसाइट वापरकर्त्यांकडून कोणत्याही प्रकारची SPI संकलित करते (आरोग्य प्रश्नावली, वित्तीय डेटा, अचूक स्थान).
जर शंका असेल, तर सर्व यू.एस. वेबसाइट अभ्यागतांना CPRA अंतर्गत संभाव्यपणे कव्हर केलेले मानणे आणि तदनुसार अनुपालन सहमती प्रवाह लागू करणे हे संवेदनशील आणि कायदेशीरदृष्ट्या सुरक्षित स्थान आहे.
अनिवार्य जोखमीचे मूल्यांकन, सायबरसुरक्षा ऑडिट, आणि पुढे काय येते
CPRA उच्च-जोखमीच्या प्रक्रियेत गुंतलेल्या व्यवसायांना नियमित जोखमीचे मूल्यांकन आणि सायबरसुरक्षा ऑडिट करण्यास सांगते. या आवश्यकतांचे तपशील असलेले नियम 2025 मध्ये अंतिम झाले आणि 2026 मध्ये लागू झाले [6]. उच्च-जोखमीच्या क्रियाकलापांमध्ये SPI चा मोठ्या प्रमाणात प्रक्रिया करणे, महत्त्वपूर्ण निर्णयांसाठी ग्राहकांचे प्रोफाइल तयार करणे, आणि मोठ्या संख्येने तिसऱ्या पक्षांसोबत डेटा विकणे किंवा शेअर करणे समाविष्ट आहे.
याव्यतिरिक्त, स्वयंचलित निर्णय-निर्मिती पारदर्शकता आवश्यकता, रोजगार, क्रेडिट, गृहनिर्माण, आणि समान परिणामकारक निर्णयांसाठी प्रोफाइलिंगवर लागू होणार आहेत, 1 जानेवारी 2027 पासून लागू होणार आहेत [6]. अल्गोरिदमिक शिफारस इंजिन, क्रेडिट स्कोअरिंग साधने, किंवा वर्तनात्मक प्रोफाइलिंग वापरणाऱ्या वेबसाइट ऑपरेटरांनी आता अनुपालन नियोजन सुरू करणे आवश्यक आहे.
निष्कर्ष
CCPA विरुद्ध CPRA: कॅलिफोर्नियामध्ये वेबसाइट ऑपरेटरसाठी काय बदलले? हे कोणत्याही व्यवसायासाठी, जो कॅलिफोर्निया रहिवाशांना मोठ्या प्रमाणात सेवा देतो, हे समजून घेणे अनिवार्य आहे. CPRA ने मौलिक नवीन जबाबदाऱ्या, संवेदनशील डेटा श्रेणी, सुधारण्याचा अधिकार, GPC सिग्नल अनुपालन, विस्तारित विक्रेता आवश्यकता, आणि वास्तविक दंड अधिकार असलेली एक समर्पित अंमलबजावणी एजन्सी सादर केली आहे, ज्यामुळे ठोस कार्यात्मक प्रतिसादांची आवश्यकता आहे, फक्त धोरण अद्यतने नाहीत.
2026 मध्ये वेबसाइट ऑपरेटरसाठी कार्यवाही करण्यायोग्य पुढील पायऱ्या:
- SPI श्रेणी यादीच्या विरोधात तुमच्या वर्तमान डेटा संकलन प्रथांचे ऑडिट करा आणि लागू असल्यास आवश्यक ऑप्ट-आउट लिंक जोडा.
- CPRA अधिकार, डेटा राखण्याच्या वेळापत्रकांचे प्रतिबिंबित करण्यासाठी तुमचे प्रायव्हसी धोरण अद्यतनित करा, आणि "विक्री" ची विस्तारित व्याख्या.
- GPC सिग्नल शोधणे लागू करा, हे एक अंमलबजावणी प्राधान्य आहे आणि याला पुढे ढकलता येणार नाही.
- सेवा प्रदाते आणि ठेकेदारांसोबत सर्व डेटा प्रक्रिया करारांचे पुनरावलोकन आणि अद्यतन करा.
- तुमच्या विद्यमान हटविण्याच्या प्रक्रियेसोबत सुधारणा विनंती कार्यप्रवाह तयार करा.
- जर तुमची साइट उच्च-जोखमीच्या प्रक्रियेत गुंतलेली असेल, तर नियामकांनी तुमच्यासाठी एक सुरू करण्यापूर्वी औपचारिक जोखमीचे मूल्यांकन कमी करा.
- Biscotti CMP (www.biscotti-cmp.com) सारख्या सहमती व्यवस्थापन उपायांचा मूल्यांकन करा जे ऑप्ट-आउट प्रवाह, GPC अनुपालन, आणि प्राधान्य रेकॉर्डिंग स्वयंचलित करण्यात मदत करू शकते.
2026 मध्ये CPRA चा अंमलबजावणीचा प्रवास प्रगत अनुपालन हा एकटा तर्कशुद्ध धोरण बनवतो.
FAQ
प्रश्न: CPRA CCPA 2.0 सारखे आहे का? CPRA ला सामान्यतः "CCPA 2.0" असे म्हणतात कारण याने CCPA ला बदलले आहे, न की बदलले आहे. यामध्ये नवीन अधिकार, एक नवीन अंमलबजावणी एजन्सी, आणि नवीन डेटा श्रेण्या समाविष्ट आहेत, तर मूळ CCPA चौकट जपली आहे.
प्रश्न: CPRA अंमलबजावणी कधी सुरू झाली? पूर्ण अंमलबजावणी 1 जुलै 2023 पासून सुरू झाली. CPPA बहुतेक उल्लंघनांसाठी पूर्वसूचना न देता दंड जारी करू शकते.
प्रश्न: CPRA कॅलिफोर्नियाबाहेरील व्यवसायांवर लागू आहे का? होय. कोणत्याही नफा कमवणाऱ्या व्यवसायाने कॅलिफोर्निया रहिवाशांकडून वैयक्तिक माहिती संकलित केली आणि लागू होणाऱ्या थ्रेशोल्डची पूर्तता केली तर त्यांना अनुपालन करणे आवश्यक आहे, व्यवसाय कुठेही मुख्यालय असले तरीही.
प्रश्न: GPC सिग्नल काय आहे आणि याला महत्त्व का आहे? ग्लोबल प्रायव्हसी कंट्रोल (GPC) हा एक ब्राउझर-स्तरीय सेटिंग आहे जो ग्राहकाच्या ऑप्ट-आउट प्राधान्याचे संकेत देतो. CPRA अंतर्गत, वेबसाइट ऑपरेटरांनी GPC सिग्नल्सना वैध ऑप्ट-आउट विनंत्या म्हणून शोधणे आणि मान्यता देणे आवश्यक आहे, त्यांना दुर्लक्ष करणे हे अनुपालन उल्लंघन आहे.
प्रश्न: CPRA कर्मचारी डेटावर लागू आहे का? होय. 1 जानेवारी 2023 पासून, कर्मचारी आणि B2B डेटासाठी असलेले तात्पुरते सूट संपले. कर्मचारी वैयक्तिक माहिती आता पूर्ण CPRA संरक्षणाच्या अधीन आहे.
प्रश्न: CPRA अंतर्गत "विक्री" आणि "शेअरिंग" यामध्ये काय फरक आहे? मूळ CCPA अंतर्गत, "विक्री" साठी आर्थिक मूल्याच्या बदलाची आवश्यकता होती. CPRA ने याला "शेअरिंग" समाविष्ट केले आहे, ज्यामध्ये तिसऱ्या पक्षांसोबत क्रॉस-कॉन्टेक्स्ट वर्तनात्मक जाहिरातीसाठी वैयक्तिक डेटा सामायिक करणे समाविष्ट आहे, थेट भरणा न करता.
प्रश्न: CPRA अंतर्गत प्रायव्हसी धोरण किती वेळा अद्यतनित करावे लागते? किमान, 12 महिन्यांतून एकदा. जेव्हा डेटा प्रथांमध्ये महत्त्वपूर्ण बदल होतात तेव्हा ते देखील अद्यतनित केले पाहिजे.
प्रश्न: नफा न कमवणाऱ्या संस्थांना CPRA पासून सूट आहे का? सामान्यतः होय, CPRA नफा कमवणाऱ्या व्यवसायांवर लागू आहे. तथापि, कव्हर केलेल्या व्यवसायांना सेवा प्रदाता म्हणून कार्यरत असलेल्या नफा न कमवणाऱ्या संस्थांना करारात्मक अनुपालन जबाबदाऱ्या असू शकतात.
प्रश्न: जर ग्राहकाने सुधारणा विनंती सादर केली आणि व्यवसाय असहमत असेल तर काय होते? व्यवसायाने माहिती अचूक असल्याचे ठरविल्यास सुधारणा नकारण्याचा अधिकार आहे, परंतु त्याने निर्णय दस्तऐवजीकरण करणे आणि ग्राहकाला नकाराच्या आधाराची माहिती देणे आवश्यक आहे.
प्रश्न: CPRA अंतर्गत खाजगी कार्यवाहीचा अधिकार आहे का? काही वैयक्तिक माहितीच्या श्रेणींमध्ये डेटा उल्लंघनांसाठी मर्यादित खाजगी कार्यवाहीचा अधिकार अस्तित्वात आहे. इतर बहुतेक उल्लंघने CPPA किंवा अटॉर्नी जनरलद्वारे अंमलात आणली जातात, खाजगी खटल्यांद्वारे नाही.
इंटरएक्टिव CPRA अनुपालन चेक
संदर्भ
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai