Szybka odpowiedź: Ustawa o prawach prywatności w Kalifornii (CPRA) w znacznym stopniu zmieniła oryginalną Ustawę o prywatności konsumentów w Kalifornii (CCPA), wprowadzając nowe prawa konsumentów, dedykowaną agencję egzekwującą, surowsze kary oraz zupełnie nową kategorię wrażliwych informacji osobistych. Dla operatorów stron internetowych, CCPA vs. CPRA: Co się zmieniło dla operatorów stron internetowych w Kalifornii? to nie jest pytanie teoretyczne, lecz bezpośrednio przekłada się na zaktualizowane polityki prywatności, nowe mechanizmy zgody oraz rozszerzone zobowiązania umowne wobec dostawców zewnętrznych.
Kluczowe informacje
- CPRA weszła w pełną moc egzekucyjną 1 lipca 2023 roku, zastępując i rozszerzając ramy CCPA.
- Nowa kategoria "wrażliwych informacji osobistych" (SPI) wymaga dedykowanego linku do rezygnacji na stronach internetowych zbierających te dane.
- Konsumenci zyskali prawo do poprawy nieprawidłowych danych osobowych, prawa, które nie istniało w oryginalnej CCPA.
- Próg stosowalności wzrósł z 50 000 do 100 000 konsumentów lub gospodarstw domowych, co zwalnia niektórych mniejszych operatorów.
- "Udostępnianie" danych osobowych do reklamy behawioralnej w różnych kontekstach teraz liczy się jako "sprzedaż", co wymaga mechanizmów rezygnacji.
- Operatorzy stron internetowych muszą honorować sygnały Global Privacy Control (GPC) jako ważne prośby o rezygnację.
- Kary administracyjne wzrosły do 2 663 USD za niezamierzone naruszenie i 7 988 USD za zamierzone naruszenie od 1 stycznia 2025 roku.
- Kalifornijska Agencja Ochrony Prywatności (CPPA) ma teraz niezależną władzę egzekucyjną, oddzieloną od Prokuratora Generalnego.
- Wymogi dotyczące przejrzystości w podejmowaniu decyzji automatycznych mają wejść w życie 1 stycznia 2027 roku.
- Oceny ryzyka i audyty bezpieczeństwa cybernetycznego są teraz obowiązkowe dla działań przetwarzania danych o wysokim ryzyku.
Jaka jest różnica między CCPA a CPRA?
CCPA, obowiązująca od 1 stycznia 2020 roku, przyznała konsumentom w Kalifornii podstawowe prawa dotyczące ich danych osobowych: prawo do wiedzy, usunięcia i rezygnacji z sprzedaży swoich informacji. CPRA, uchwalona przez wyborców w Kalifornii w listopadzie 2020 roku i w pełni egzekwowalna od 1 lipca 2023 roku, nie zastąpiła CCPA w całości, lecz ją zmieniła i znacznie rozszerzyła [1].
Kluczowe różnice strukturalne obejmują:
| Cecha | CCPA (Oryginalna) | CPRA (Zmieniona) |
|---|---|---|
| Organ egzekwujący | Prokurator Generalny Kalifornii | CPPA + Prokurator Generalny |
| Kategoria danych wrażliwych | Nie zdefiniowana | Formalnie zdefiniowana (SPI) |
| Prawo do poprawy | Nie zawarte | Zawarte |
| Definicja "sprzedaży" | Wymiana danych za wartość | Obejmuje "udostępnianie" do reklamy |
| Próg stosowalności | 50 000 konsumentów/gospodarstw domowych | 100 000 konsumentów/gospodarstw domowych |
| Oceny ryzyka | Nie wymagane | Wymagane dla przetwarzania o wysokim ryzyku |
| Zgodność z sygnałem GPC | Nie wymagana | Obowiązkowa |
Praktyczną konsekwencją dla operatorów stron internetowych jest to, że zgodność z CPRA w porównaniu do CCPA to nie tylko aktualizacja dokumentów, lecz wymaga zmian architektonicznych w przepływach zgody, politykach prywatności i umowach z dostawcami [2].
Kiedy CPRA weszła w życie i zastąpiła CCPA?
Substancjalne prawa i obowiązki CPRA miały zastosowanie do danych zebranych od 1 stycznia 2022 roku, a egzekwowanie rozpoczęło się 1 lipca 2023 roku. Roczny okres łaski egzekucyjnej zakończył się w tym dniu, co oznacza, że Kalifornijska Agencja Ochrony Prywatności mogła rozpocząć nakładanie kar bez wcześniejszego ostrzeżenia [4].
Dla operatorów stron internetowych, którzy nadal działają zgodnie z politykami z czasów CCPA w 2026 roku, ryzyko jest realne i natychmiastowe.
Jakie nowe prawa mają konsumenci w ramach CPRA, których nie było w CCPA?
CPRA dodała dwa prawa konsumentów, które były nieobecne w oryginalnej ramie CCPA:
Prawo do poprawy: Konsumenci mogą teraz żądać, aby firma poprawiła nieprawidłowe informacje osobowe, które posiada na ich temat. Operatorzy stron internetowych muszą ustanowić proces weryfikacji próśb o poprawę i działać na prośby o poprawę w ciągu 45 dni [2].
Prawo do ograniczenia użycia wrażliwych informacji osobistych: Konsumenci mogą ograniczyć sposób, w jaki firmy wykorzystują ich SPI poza cel, dla którego zostały pierwotnie zebrane. To prawo wymaga oddzielnego, wyraźnie oznaczonego mechanizmu rezygnacji na stronie internetowej [1].
Te dodatki współistnieją z istniejącymi prawami do wiedzy, usunięcia, rezygnacji ze sprzedaży i braku dyskryminacji, tworząc bardziej złożone wymagania dotyczące zgodności dla każdej strony, która zbiera dane użytkowników wykraczające poza podstawową analitykę.
Czym jest prawo do poprawy w ramach CPRA?
Prawo do poprawy jest jednym z najbardziej operacyjnie wymagających dodatków w CPRA. Gdy konsument składa zweryfikowaną prośbę o poprawę, firma musi podjąć rozsądne działania, aby poprawić nieprawidłowe informacje osobowe i skierować wszelkich dostawców usług lub kontrahentów, którzy otrzymali te dane, do dokonania tej samej poprawy [2].
Dla operatorów stron internetowych oznacza to:
- Zbudowanie mechanizmu przyjmowania próśb o poprawę (formularz internetowy, proces e-mailowy lub portal konta).
- Dokumentowanie poprawy i powiadamianie dalszych przetwarzających dane.
- Odpowiadanie w ciągu 45 dni, z jedną dozwoloną 45-dniową rozszerzeniem, jeśli to konieczne.
Typowy błąd: Wiele firm zakłada, że prawo do poprawy dotyczy tylko danych profilu konta. W praktyce obejmuje to wszelkie informacje osobowe, które firma posiada, w tym dane behawioralne, domniemane preferencje i historię zakupów.
Jakie nowe kategorie danych obejmuje CPRA, których nie było w CCPA?
CPRA formalnie zdefiniowała "wrażliwe informacje osobiste" (SPI) jako odrębną kategorię danych o wyższym poziomie ochrony. CCPA nie miała odpowiedniej klasyfikacji [1].
SPI w ramach CPRA obejmuje:
- Numery ubezpieczenia społecznego i identyfikatory wydane przez rząd
- Dane dotyczące kont finansowych (loginy oraz kody zabezpieczające)
- Dokładne dane geolokalizacyjne
- Pochodzenie rasowe lub etniczne, przekonania religijne oraz członkostwo w związkach zawodowych
- Treści prywatnych komunikacji (poczta, e-mail, SMS)
- Dane genetyczne i biometryczne przetwarzane w celu identyfikacji
- Informacje zdrowotne oraz życie seksualne lub orientację seksualną
Operatorzy stron internetowych zbierający jakiekolwiek z tych kategorii muszą zapewnić link "Ogranicz użycie moich wrażliwych informacji osobistych", funkcjonalnie podobny do linku "Nie sprzedawaj moich informacji osobistych", który już jest wymagany w ramach CCPA [1].
CPRA vs. CCPA: Która z nich dotyczy mojej firmy?
Od 2026 roku ramy CPRA mają zastosowanie do zyskownych firm, które prowadzą działalność w Kalifornii ORAZ spełniają przynajmniej jeden z tych progów [7]:
- Roczne przychody brutto przekraczające 25 milionów USD.
- Kupuje, sprzedaje, otrzymuje lub udostępnia dane osobowe 100 000 lub więcej konsumentów lub gospodarstw domowych w Kalifornii rocznie (wzrosło z 50 000 w ramach CCPA).
- Uzyskuje 50% lub więcej rocznych przychodów ze sprzedaży lub udostępniania danych osobowych konsumentów.
Wybierz zgodność z CPRA, jeśli: Twoja strona obsługuje mieszkańców Kalifornii i spełnia którykolwiek z powyższych kryteriów. Jeśli wcześniej kwalifikowałeś się według progu 50 000 konsumentów w CCPA, ale przetwarzasz mniej niż 100 000 rekordów rocznie, możesz już nie być bezpośrednio objęty, chociaż zobowiązania umowne z większymi partnerami mogą nadal wymagać przestrzegania.
Przypadek graniczny: Organizacje non-profit i czysto B2B są generalnie zwolnione, ale dostawcy usług i kontrahenci dla objętych firm mają własne zobowiązania w ramach CPRA [3].
Jak CPRA wpływa na politykę prywatności mojej strony internetowej?
Polityka prywatności zgodna z CCPA nie jest już wystarczająca. CPRA wymaga od operatorów stron internetowych zaktualizowania swoich polityk prywatności, aby odzwierciedlały [2][3]:
- Nową kategorię SPI i prawo do ograniczenia jej użycia.
- Prawo do poprawy nieprawidłowych informacji osobowych.
- Rozszerzoną definicję "sprzedaży", aby obejmowała "udostępnianie" do reklamy behawioralnej w różnych kontekstach.
- Jak firma reaguje na sygnały GPC.
- Okresy przechowywania danych dla każdej kategorii zebranych informacji osobowych.
- Czy stosowane jest podejmowanie decyzji automatycznych i jak konsumenci mogą zrezygnować.
Polityki prywatności muszą być przeglądane co najmniej raz na 12 miesięcy i aktualizowane, aby odzwierciedlały aktualne praktyki dotyczące danych. Nieaktualne polityki, które opisują prawa z czasów CCPA bez dodatków CPRA, są częstym powodem egzekwowania.
Czy muszę zaktualizować moje formularze zgody w celu zgodności z CPRA?
Tak. Mechanizmy zgody, które były wystarczające w ramach CCPA, wymagają znaczących aktualizacji w ramach CPRA. W szczególności operatorzy stron internetowych muszą [3][5]:
- Dodać link do rezygnacji "Ogranicz użycie moich wrażliwych informacji osobistych", jeśli strona zbiera SPI.
- Honorować sygnały przeglądarki GPC jako ważną rezygnację ze sprzedaży i udostępniania, nie może to wymagać od użytkownika podejmowania dodatkowych kroków.
- Uzyskać afirmatywną zgodę przed sprzedażą lub udostępnieniem danych osobowych konsumentów poniżej 16 roku życia.
- Upewnić się, że zgoda na reklamy behawioralne w różnych kontekstach (retargeting, udostępnianie publiczności platformom reklamowym) jest wyraźnie odróżniona od innych zastosowań danych.
Platforma zarządzania zgodami może pomóc w automatyzacji wykrywania GPC i rejestrowania preferencji. Biscotti CMP (www.biscotti-cmp.com) jest zaprojektowana do obsługi tych specyficznych wymagań CPRA, w tym przepływów rezygnacji SPI i zgodności z sygnałami GPC, bez potrzeby dostosowywania przez operatora strony internetowej.
Jakie są kary za brak zgodności z CPRA?
Od 1 stycznia 2025 roku kary administracyjne w ramach CPRA wynoszą [5]:
- 2 663 USD za niezamierzone naruszenie.
- 7 988 USD za zamierzone naruszenie.
- 7 988 USD za naruszenie (potrojone) za naruszenia dotyczące danych osobowych konsumentów poniżej 16 roku życia.
Te kwoty są okresowo dostosowywane do inflacji. Kary są nakładane za każde naruszenie, co oznacza, że pojedyncza praktyka przetwarzania danych, która nie jest zgodna i dotyczy tysięcy konsumentów, może generować łączną odpowiedzialność w milionach. CPPA ma niezależną władzę do wszczynania działań egzekucyjnych bez skierowania od Prokuratora Generalnego [4].
Ważne: CPRA wyeliminowała 30-dniowy okres naprawczy, który istniał w ramach CCPA dla większości naruszeń, usuwając sieć bezpieczeństwa, na której wielu operatorów polegało.
Jakie typowe błędy popełniają strony internetowe w zakresie zgodności z CPRA?
Na podstawie rozszerzonych wymagań, najczęstsze błędy w zakresie zgodności obejmują [3][6]:
- Ignorowanie sygnałów GPC: Nie wykrywanie i nie honorowanie sygnałów rezygnacji na poziomie przeglądarki jest jednym z priorytetów egzekucyjnych CPPA.
- Brak linku do rezygnacji z SPI: Dodawanie tylko linku "Nie sprzedawaj" bez oddzielnego linku "Ogranicz użycie SPI", gdy SPI jest zbierane.
- Nieaktualne umowy z dostawcami: Nieaktualizowanie umów o przetwarzanie danych z dostawcami usług, aby uwzględnić wymagane przez CPRA warunki.
- Brak harmonogramu przechowywania danych: CPRA wymaga, aby firmy ujawniały i przestrzegały okresów przechowywania; wiele polityk prywatności nadal to pomija.
- Zakładanie, że okres naprawczy nadal obowiązuje: Operatorzy, którzy czekają na powiadomienie przed naprawieniem naruszeń, mogą napotkać natychmiastowe kary.
- Przeoczenie prawa do poprawy: Tworzenie tylko procesów usuwania bez obsługi próśb o poprawę.
Czy małe firmy mają inne wymagania w zakresie CPRA?
Wzrost progu z 50 000 do 100 000 konsumentów bezpośrednio zmniejsza obciążenie zgodności dla mniejszych operatorów stron internetowych [7]. Mała strona e-commerce lub produkt SaaS obsługujący mniej niż 100 000 konsumentów w Kalifornii rocznie, z przychodami poniżej 25 milionów USD i bez przychodów z sprzedaży danych, znajduje się poza bezpośrednim zakresem CPRA.
Jednak małe firmy powinny zauważyć:
- Jeśli działają jako dostawca usług dla objętej firmy, dziedziczą umowne zobowiązania CPRA niezależnie od rozmiaru.
- Dobrowolna zgodność jest coraz częściej oczekiwana przez klientów korporacyjnych i może być czynnikiem różnicującym na rynku.
- Inne stany uchwaliły podobne przepisy, a federalne ustawodawstwo dotyczące prywatności pozostaje aktywnie dyskutowane do 2026 roku.
Ile kosztuje uzyskanie zgodności z CPRA?
Nie ma ustalonego kosztu zgodności, znacznie się różni w zależności od złożoności ekosystemu danych strony internetowej. Ogólne czynniki kosztowe obejmują:
- Aktualizacja polityki prywatności: Niski koszt, jeśli wykonane wewnętrznie; 500-3 000 USD+ przy użyciu doradcy prawnego.
- Platforma zarządzania zgodami: Ciągła subskrypcja SaaS; ceny różnią się w zależności od wolumenu ruchu i zestawu funkcji.
- Wdrożenie techniczne: Czas dewelopera na dodanie linków do rezygnacji, wykrywanie GPC i przepływy próśb o poprawę.
- Przegląd umów z dostawcami: Przegląd prawny umów o przetwarzanie danych z wszystkimi zewnętrznymi przetwarzającymi.
- Oceny ryzyka: Dla przetwarzania o wysokim ryzyku, formalne oceny mogą wymagać zewnętrznych konsultantów.
Dla większości średniej wielkości operatorów stron internetowych początkowe koszty zgodności wahają się w granicach kilku tysięcy dolarów, z bieżącymi kosztami operacyjnymi związanymi z utrzymywaniem polityki i zarządzaniem zgodami. Koszt braku zgodności, biorąc pod uwagę kary za naruszenia, znacznie przewyższa inwestycję.
Jak mogę wiedzieć, czy CPRA dotyczy moich odwiedzających stronę internetową?
CPRA ma zastosowanie na podstawie miejsca zamieszkania konsumenta, a nie lokalizacji firmy. Jeśli strona internetowa ma odwiedzających z Kalifornii, a operator spełnia którykolwiek z trzech progów biznesowych, obowiązki CPRA mają zastosowanie do danych zebranych od tych odwiedzających [7][8].
Praktyczne wskaźniki, że CPRA prawdopodobnie ma zastosowanie:
- Strona internetowa przyjmuje zamówienia, rejestracje lub targetowanie reklam od użytkowników z USA bez blokowania geograficznego Kalifornii.
- Firma korzysta z zewnętrznych sieci reklamowych, które angażują się w reklamy behawioralne w różnych kontekstach.
- Strona internetowa zbiera jakiekolwiek formy SPI od użytkowników (kwestionariusze zdrowotne, dane finansowe, dokładna lokalizacja).
W razie wątpliwości, konserwatywna i prawnie obronna pozycja to traktowanie wszystkich odwiedzających strony internetowe z USA jako potencjalnie objętych CPRA i wdrażanie zgodnych przepływów zgody odpowiednio.
Obowiązkowe oceny ryzyka, audyty bezpieczeństwa cybernetycznego i co dalej
CPRA wymaga od firm zajmujących się przetwarzaniem o wysokim ryzyku przeprowadzania regularnych ocen ryzyka i audytów bezpieczeństwa cybernetycznego. Przepisy szczegółowo określające te wymagania zostały sfinalizowane w 2025 roku i weszły w życie w 2026 roku [6]. Działania o wysokim ryzyku obejmują przetwarzanie SPI na dużą skalę, profilowanie konsumentów do istotnych decyzji oraz sprzedaż lub udostępnianie danych dużej liczbie stron trzecich.
Dodatkowo, wymagania dotyczące przejrzystości w podejmowaniu decyzji automatycznych, obejmujące profilowanie do zatrudnienia, kredytu, mieszkania i podobnych istotnych decyzji, mają wejść w życie 1 stycznia 2027 roku [6]. Operatorzy stron internetowych korzystający z algorytmicznych silników rekomendacji, narzędzi oceny kredytowej lub profilowania behawioralnego powinni rozpocząć planowanie zgodności już teraz.
Podsumowanie
Zrozumienie CCPA vs. CPRA: Co się zmieniło dla operatorów stron internetowych w Kalifornii? nie jest opcjonalne dla żadnej firmy obsługującej mieszkańców Kalifornii na dużą skalę. CPRA wprowadziła istotne nowe zobowiązania, kategorie danych wrażliwych, prawo do poprawy, zgodność z sygnałami GPC, rozszerzone wymagania wobec dostawców oraz dedykowaną agencję egzekwującą z rzeczywistą władzą nakładania kar, które wymagają konkretnych reakcji operacyjnych, a nie tylko aktualizacji polityki.
Wykonalne kroki dla operatorów stron internetowych w 2026 roku:
- Audytuj swoje obecne praktyki zbierania danych w odniesieniu do listy kategorii SPI i dodaj wymagany link do rezygnacji, jeśli to konieczne.
- Zaktualizuj swoją politykę prywatności, aby odzwierciedlała prawa CPRA, harmonogramy przechowywania danych i rozszerzoną definicję "sprzedaży".
- Wdrażaj wykrywanie sygnałów GPC, to jest priorytet egzekucyjny i nie może być odkładane.
- Przejrzyj i zaktualizuj wszystkie umowy o przetwarzanie danych z dostawcami usług i kontrahentami.
- Zbuduj przepływ próśb o poprawę obok istniejącego procesu usuwania.
- Jeśli Twoja strona zajmuje się przetwarzaniem o wysokim ryzyku, zleć formalną ocenę ryzyka, zanim regulatorzy zainicjują ją za Ciebie.
- Oceń rozwiązanie do zarządzania zgodami, takie jak Biscotti CMP (www.biscotti-cmp.com), aby zautomatyzować przepływy rezygnacji, zgodność z GPC i rejestrowanie preferencji.
Trajektoria egzekwowania CPRA w 2026 roku sprawia, że proaktywna zgodność jest jedyną racjonalną strategią.
FAQ
Q: Czy CPRA jest tym samym co CCPA 2.0?
CPRA jest powszechnie nazywana "CCPA 2.0", ponieważ zmieniła, a nie zastąpiła CCPA. Dodała nowe prawa, nową agencję egzekwującą i nowe kategorie danych, zachowując jednocześnie oryginalną strukturę CCPA.
Q: Kiedy rozpoczęło się egzekwowanie CPRA?
Pełne egzekwowanie rozpoczęło się 1 lipca 2023 roku. CPPA może nakładać kary za naruszenia, które miały miejsce po tej dacie, bez wcześniejszego okresu naprawczego dla większości naruszeń.
Q: Czy CPRA dotyczy firm spoza Kalifornii?
Tak. Każda zyskowna firma, która zbiera dane osobowe od mieszkańców Kalifornii i spełnia progi stosowalności, musi przestrzegać przepisów, niezależnie od miejsca, w którym ma siedzibę.
Q: Czym jest sygnał GPC i dlaczego jest ważny?
Global Privacy Control (GPC) to ustawienie na poziomie przeglądarki, które sygnalizuje preferencje rezygnacji konsumenta. Zgodnie z CPRA, operatorzy stron internetowych muszą wykrywać i honorować sygnały GPC jako ważne prośby o rezygnację, ignorowanie ich jest naruszeniem zgodności.
Q: Czy CPRA dotyczy danych pracowników?
Tak. Od 1 stycznia 2023 roku tymczasowe zwolnienia dla danych pracowników i B2B wygasły. Osobowe informacje pracowników są teraz objęte pełną ochroną CPRA.
Q: Jaka jest różnica między "sprzedażą" a "udostępnianiem" w ramach CPRA?
Zgodnie z oryginalną CCPA, "sprzedaż" wymagała wymiany za wartość pieniężną. CPRA rozszerzyła to, aby obejmowało "udostępnianie" danych osobowych stronom trzecim do reklamy behawioralnej w różnych kontekstach, nawet bez bezpośredniej płatności.
Q: Jak często polityka prywatności musi być aktualizowana w ramach CPRA?
Co najmniej raz na 12 miesięcy. Musi być również aktualizowana, gdy praktyki dotyczące danych ulegną istotnym zmianom.
Q: Czy organizacje non-profit są zwolnione z CPRA?
Generalnie tak, CPRA dotyczy firm zyskownych. Jednak organizacje non-profit działające jako dostawcy usług dla objętych firm mogą mieć umowne zobowiązania do zgodności.
Q: Co się stanie, jeśli konsument złoży prośbę o poprawę, a firma się nie zgodzi?
Firma może odmówić poprawy, jeśli uzna, że informacje są dokładne, ale musi udokumentować decyzję i poinformować konsumenta o podstawie odmowy.
Q: Czy istnieje prywatne prawo do działania w ramach CPRA?
Ograniczone prywatne prawo do działania istnieje w przypadku naruszeń danych dotyczących niektórych kategorii informacji osobowych. Większość innych naruszeń jest egzekwowana przez CPPA lub Prokuratora Generalnego, a nie poprzez pozwy prywatne.
Interaktywny kontroler zgodności z CPRA
Źródła
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai