Szybka odpowiedź: Ustawa o prywatności konsumentów w Kalifornii (CCPA) przyznaje mieszkańcom Kalifornii prawo do rezygnacji ze sprzedaży lub udostępniania ich danych osobowych. Od 1 stycznia 2026 roku znowelizowane przepisy wymagają, aby firmy honorowały sygnały preferencji rezygnacji (takie jak Global Privacy Control), widocznie potwierdzały, że te sygnały zostały przetworzone, oraz zapewniały, że procesy rezygnacji nie są bardziej skomplikowane niż procesy zgody. Niedostosowanie się może skutkować karami cywilnymi do 7 500 USD za każde celowe naruszenie.
Kluczowe informacje
- CCPA dotyczy firm nastawionych na zysk, które spełniają określone progi przychodów, objętości danych lub sprzedaży danych, a nie każdej firmy działającej w Kalifornii.
- Od 1 stycznia 2026 roku firmy muszą wyświetlać widoczne potwierdzenie, gdy sygnał preferencji rezygnacji (taki jak Global Privacy Control) został rozpoznany i uwzględniony. [3]
- Mechanizmy rezygnacji muszą być tak łatwe w użyciu jak procesy zgody; ciemne wzorce, które zniechęcają do rezygnacji, są wyraźnie zabronione na mocy nowelizacji z 2026 roku. [7]
- Firmy mają 15 dni roboczych na uwzględnienie prośby konsumenta o rezygnację po jej otrzymaniu. [2]
- "Dane osobowe" w rozumieniu CCPA są szeroko definiowane: obejmują adresy IP, historię przeglądania, dane geolokalizacyjne, wnioski wyciągnięte z zachowań konsumentów i inne.
- CCPA i GDPR działają na zasadzie fundamentalnie różnych modeli zgody, rezygnacji vs. zgody, a wiele firm musi jednocześnie dostosować się do obu.
- Nieaktualizowanie polityki prywatności, aby odzwierciedlała prawa CCPA, jest samo w sobie luką w zgodności, oddzieloną od technicznych niepowodzeń w zakresie rezygnacji.
- Platforma zarządzania zgodami, taka jak Biscotti CMP, może zautomatyzować wykrywanie sygnałów, wyświetlanie potwierdzenia rezygnacji i prowadzenie rejestru preferencji.
Czym jest CCPA i dlaczego ma znaczenie dla Twojej firmy
Ustawa o prywatności konsumentów w Kalifornii to prawo dotyczące prywatności na poziomie stanowym, które przyznaje mieszkańcom Kalifornii określone prawa dotyczące tego, jak firmy zbierają, wykorzystują i sprzedają ich dane osobowe. Ma to znaczenie, ponieważ Kalifornia jest piątą co do wielkości gospodarką na świecie, a każda firma, która ma kontakt z konsumentami z Kalifornii, niezależnie od miejsca, w którym ma siedzibę, może być zobowiązana do przestrzegania przepisów.
CCPA została pierwotnie uchwalona w 2018 roku, wzmocniona przez Ustawę o prawach prywatności w Kalifornii (CPRA) w 2020 roku, a następnie znacznie zaktualizowana w regulacjach zatwierdzonych przez Kalifornijskie Biuro Prawa Administracyjnego 22 września 2025 roku, obowiązujących od 1 stycznia 2026 roku. [1][5] Te nowelizacje z 2026 roku dodały nowe obowiązki dotyczące technologii podejmowania decyzji automatycznych (ADMT), ocen ryzyka oraz, co jest kluczowe dla większości firm, wymagań dotyczących projektowania mechanizmów rezygnacji i potwierdzenia. [1][7]
Zrozumienie CCPA wyjaśnione: jak zarządzać rezygnacjami dla konsumentów z Kalifornii nie jest już opcjonalne dla objętych firm. Regulacyjne minimum wzrosło, a egzekwowanie przepisów nastąpiło.
Jak mogę sprawdzić, czy CCPA dotyczy mojej firmy
CCPA dotyczy firm nastawionych na zysk, które prowadzą działalność w Kalifornii i spełniają przynajmniej jeden z następujących progów:
- Roczne przychody brutto przekraczające 25 milionów USD
- Roczne kupowanie, sprzedawanie, otrzymywanie lub udostępnianie danych osobowych 100 000 lub więcej konsumentów lub gospodarstw domowych z Kalifornii
- Uzyskiwanie 50% lub więcej rocznych przychodów ze sprzedaży lub udostępniania danych osobowych konsumentów z Kalifornii [4][6]
Czy CCPA dotyczy małych firm poniżej określonego przychodu? Zazwyczaj nie. Jeśli firma nie spełnia wszystkich trzech progów, nie jest objętą firmą w rozumieniu CCPA. Jednak dostawcy usług i wykonawcy, którzy przetwarzają dane w imieniu objętych firm, podlegają umownym obowiązkom CCPA, nawet jeśli sami nie kwalifikują się niezależnie. [2]
Przykład graniczny: Mała firma SaaS z przychodami poniżej 25 milionów USD, ale z dużą bazą użytkowników korzystających z darmowego poziomu, może łatwo przekroczyć próg danych 100 000 konsumentów, nie zdając sobie z tego sprawy.
Co liczy się jako dane osobowe w rozumieniu CCPA
Dane osobowe w rozumieniu CCPA są szeroko definiowane jako wszelkie informacje, które identyfikują, odnoszą się do, opisują lub mogą być rozsądnie powiązane z określonym konsumentem lub gospodarstwem domowym. Obejmuje to znacznie więcej niż tylko imiona i adresy e-mail.
Objęte kategorie obejmują:
| Kategoria | Przykłady |
|---|---|
| Identyfikatory | Imię, e-mail, adres IP, identyfikator urządzenia |
| Informacje handlowe | Historia zakupów, zachowanie przeglądania |
| Dane biometryczne | Odciski palców, dane rozpoznawania twarzy |
| Aktywność w Internecie | Ciasteczka, historia wyszukiwania, interakcje z witryną |
| Geolokalizacja | Dokładna lokalizacja z urządzeń mobilnych |
| Wnioski | Profile stworzone na podstawie danych behawioralnych |
| Wrażliwe dane osobowe | Numery ubezpieczenia społecznego, dane zdrowotne, dokładna geolokalizacja |
Wnioski wyciągnięte z danych konsumentów w celu stworzenia profili dotyczących preferencji, cech lub zachowań są wyraźnie uwzględnione. [4] Ma to znaczenie dla technologii reklamowej, analityki i personalizacji.
Jaka jest różnica między rezygnacją a zgodą w CCPA
CCPA działa na zasadzie modelu rezygnacji: firmy mogą zbierać i wykorzystywać dane konsumentów domyślnie, ale konsumenci mają prawo żądać, aby ich dane nie były sprzedawane ani udostępniane. Zgoda na przetwarzanie danych jest wymagana tylko w określonych okolicznościach, takich jak przetwarzanie danych osobowych konsumentów poniżej 16. roku życia. [4][6]
To fundamentalna różnica strukturalna w porównaniu do GDPR, który działa na zasadzie modelu zgody, wymagającego pozytywnej zgody przed rozpoczęciem większości przetwarzania danych. W ramach CCPA milczenie nie jest zgodą, ale nie stanowi również przeszkody w przetwarzaniu. W ramach GDPR milczenie nie jest zgodą, a przetwarzanie nie może się rozpocząć bez niej.
Wybierz logikę zgody, jeśli: przetwarzasz dane od nieletnich (poniżej 16 lat) lub przetwarzasz kategorie wrażliwych danych osobowych, które wymagają wyraźnej zgody zgodnie z prawem Kalifornii.
Wybierz logikę rezygnacji, jeśli: przetwarzasz standardowe dane konsumenckie od dorosłych i jesteś objętą firmą w rozumieniu CCPA.
Jak ustawić link "Nie sprzedawaj ani nie udostępniaj moich danych osobowych"
Każda objęta firma, która sprzedaje lub udostępnia dane osobowe, musi umieścić wyraźny i widoczny link zatytułowany "Nie sprzedawaj ani nie udostępniaj moich danych osobowych" na swojej stronie głównej oraz w polityce prywatności. [4][6]
Kroki do wykonania:
- Przeprowadź audyt swoich przepływów danych, aby ustalić, czy Twoja firma sprzedaje lub udostępnia dane osobowe zgodnie z definicją CCPA.
- Dodaj wymagany link do stopki swojej strony internetowej i menu ustawień aplikacji mobilnej.
- Skonfiguruj swoją platformę zarządzania zgodami, aby rejestrować i oznaczać czas prośby o rezygnację.
- Upewnij się, że proces rezygnacji nie wymaga więcej kroków niż proces zgody; przepisy z 2026 roku wyraźnie zabraniają asymetrycznego tarcia. [7]
- Automatycznie honoruj sygnały Global Privacy Control (GPC), jeśli Twoja firma przetwarza dane z przeglądarek.
- Wyświetl widoczne potwierdzenie, że rezygnacja została uznana, na przykład baner lub stan przełącznika pokazujący "Sygnał preferencji rezygnacji uwzględniony". [3]
Platforma taka jak Biscotti CMP może zautomatyzować kroki od 3 do 6, w tym wykrywanie sygnałów GPC i wyświetlanie zgodnego potwierdzenia.
Jak długo mam na odpowiedź na prośbę konsumenta o rezygnację
Firmy muszą uwzględnić prośbę konsumenta o rezygnację w ciągu 15 dni roboczych od jej otrzymania. [2] To różni się od 45-dniowego okresu odpowiedzi, który dotyczy innych próśb o prawa konsumenckie (takich jak dostęp lub usunięcie).
Po uwzględnieniu prośby firma musi również powiadomić wszelkie strony trzecie, którym sprzedała lub udostępniła dane konsumenta w ciągu ostatnich 90 dni, kierując je do zaprzestania korzystania z tych danych. [6] Ten obowiązek powiadomienia jest często pomijany i stanowi powszechną lukę w zgodności.
Czy mogę nadal używać danych po rezygnacji klienta
Po rezygnacji konsumenta z sprzedaży lub udostępniania, firma nie może sprzedawać ani udostępniać danych osobowych tego konsumenta w przyszłości. Jednak firma może nadal używać danych do celów wewnętrznych, które są zgodne z relacją konsumenta z firmą. [4]
Specjalnie zabronione po rezygnacji:
- Sprzedaż lub udostępnianie danych stronom trzecim do reklamy behawioralnej w różnych kontekstach
- Używanie danych w sposób, który jest niezgodny z kontekstem, w którym zostały zebrane
Nadal dozwolone po rezygnacji:
- Realizacja transakcji lub usługi, o którą prosił konsument
- Analityka wewnętrzna i zapobieganie oszustwom
- Zgodność z obowiązkami prawnymi
Typowy błąd: Zakładanie, że rezygnacja oznacza całkowite usunięcie danych. Tak nie jest. Konsumenci muszą złożyć osobną prośbę o usunięcie, aby uruchomić to prawo.
CCPA vs. GDPR: Które z nich muszę przestrzegać
Jeśli Twoja firma obsługuje zarówno mieszkańców Kalifornii, jak i mieszkańców Unii Europejskiej, prawdopodobnie musisz dostosować się do obu. CCPA i GDPR nie wykluczają się nawzajem, a wymagania dotyczące zgodności różnią się na tyle, że jedna polityka rzadko spełnia oba.
| Czynnik | CCPA | GDPR |
|---|---|---|
| Model zgody | Rezygnacja (domyślne przetwarzanie dozwolone) | Zgoda (zgoda wymagana najpierw) |
| Zakres geograficzny | Mieszkańcy Kalifornii | Mieszkańcy UE/EEA |
| Kogo obejmuje | Firmy nastawione na zysk spełniające progi | Każdy podmiot przetwarzający dane mieszkańców UE |
| Kary | Do 7 500 USD za każde celowe naruszenie | Do 4% globalnego rocznego obrotu |
| Prawo do usunięcia | Tak | Tak (Prawo do usunięcia) |
| Przenoszenie danych | Tak | Tak |
Praktyczna implikacja: Banery zgody zgodne z GDPR nie są automatycznie zgodne z CCPA, ponieważ CCPA wymaga konkretnego mechanizmu rezygnacji, a nie bramy zgody.
Co się stanie, jeśli nie dostosuję się do wymagań CCPA
Niedostosowanie się naraża firmy na kary cywilne do 2 500 USD za każde niezamierzone naruszenie i 7 500 USD za każde celowe naruszenie, egzekwowane przez Kalifornijską Agencję Ochrony Prywatności (CPPA). [4][6] Naruszenia dotyczące danych nieletnich są domyślnie traktowane jako celowe.
Konsumenci mają również prywatne prawo do działania w przypadku naruszeń danych wynikających z braku wdrożenia przez firmę rozsądnych środków bezpieczeństwa, z ustawowymi odszkodowaniami w wysokości od 100 do 750 USD za konsumenta za incydent. [4]
Nowelizacje z 2026 roku rozszerzyły uprawnienia audytowe CPPA, co oznacza, że firmy podlegające wymaganiom oceny ryzyka mogą być poddawane proaktywnemu nadzorowi regulacyjnemu, a nie tylko reaktywnemu egzekwowaniu przepisów. [1][7]
Czy muszę zaktualizować moją politykę prywatności w związku z CCPA
Tak. Objete firmy muszą utrzymywać politykę prywatności, która ujawnia, co najmniej:
- Kategorie danych osobowych zbieranych i cele ich zbierania
- Czy dane osobowe są sprzedawane lub udostępniane oraz kategorie zaangażowanych stron trzecich
- Prawa konsumentów dostępne na mocy CCPA (rezygnacja, usunięcie, dostęp, poprawa, przenoszenie)
- Jak konsumenci mogą składać prośby o skorzystanie z tych praw
- Okres przechowywania dla każdej kategorii danych osobowych [4][6]
Polityki prywatności muszą być aktualizowane co najmniej raz na 12 miesięcy. Nieaktualizowanie polityki po istotnej zmianie w praktykach dotyczących danych, takiej jak dodanie nowego dostawcy analityki, jest samo w sobie naruszeniem zgodności.
Jak mogę zweryfikować, że prośba konsumenta o rezygnację jest uzasadniona
W przypadku próśb o rezygnację CCPA nie wymaga od firm weryfikacji tożsamości konsumenta składającego prośbę. [2] To jest zamierzone: wymaganie weryfikacji tożsamości dla rezygnacji stworzyłoby tarcie, które podważałoby to prawo.
Jednak firmy mogą używać rozsądnych środków, aby potwierdzić, że prośba nie jest oszukańcza, na przykład potwierdzając adres e-mail powiązany z kontem. Standard weryfikacji rezygnacji jest celowo niższy niż w przypadku próśb o usunięcie lub dostęp, gdzie weryfikacja tożsamości jest odpowiednia, ponieważ te prośby wiążą się z ujawnieniem lub zniszczeniem danych.
Przykład graniczny: Jeśli prośba o rezygnację przychodzi za pośrednictwem sygnału automatycznego (GPC), nie jest wymagana ani dozwolona żadna dodatkowa weryfikacja, sam sygnał stanowi ważną prośbę. [3][7]
Jak działają mechanizmy rezygnacji w aplikacjach mobilnych w porównaniu do stron internetowych
Na stronach internetowych mechanizmy rezygnacji muszą zawierać link "Nie sprzedawaj ani nie udostępniaj moich danych osobowych" w stopce i muszą honorować sygnały GPC na poziomie przeglądarki. [3][7] W aplikacjach mobilnych wymagania są funkcjonalnie równoważne, ale wdrożenie różni się:
- Aplikacje mobilne muszą zawierać opcję rezygnacji w menu ustawień aplikacji lub sekcji preferencji prywatności.
- Aplikacje dystrybuowane przez sklepy z aplikacjami muszą spełniać dodatkowe wymagania dotyczące prywatności na poziomie platformy (takie jak Przejrzystość Śledzenia Aplikacji na iOS), ale te wymagania platformy nie zastępują zgodności z CCPA.
- Automatyczne sygnały z systemów operacyjnych mobilnych muszą być honorowane w ten sam sposób, co sygnały GPC z przeglądarek, jeśli firma przetwarza te dane.
Regulacje z 2026 roku jasno wskazują, że kanał (web vs. aplikacja) nie zmienia podstawowego obowiązku, tylko techniczne wdrożenie się różni.
Jakie są powszechne błędy, które firmy popełniają w zakresie zgodności z CCPA
Nawet dobrze intencjonowane firmy często popełniają następujące błędy:
- Traktowanie rezygnacji jako zgody: Wymaganie od konsumentów potwierdzenia swojej rezygnacji poprzez wiele kroków, co narusza wymóg symetrii w nowelizacjach z 2026 roku. [7]
- Ignorowanie sygnałów GPC: Nie konfigurowanie swojego stosu technologicznego do wykrywania i honorowania sygnałów przeglądarki Global Privacy Control, które są teraz traktowane jako ważne prośby o rezygnację. [3]
- Nie wyświetlanie potwierdzenia rezygnacji: Przepisy z 2026 roku wymagają widocznego potwierdzenia, że sygnał został przetworzony, a wpis w dzienniku backendu nie jest wystarczający. [3]
- Pomijanie dostawców downstream: Nie powiadamianie stron trzecich o odbiorze danych po otrzymaniu rezygnacji.
- Statyczne polityki prywatności: Nieaktualizowanie polityki rocznie lub po istotnych zmianach w praktykach dotyczących danych.
- Mieszanie dostawców usług z stronami trzecimi: Dostawcy usług przetwarzający dane na podstawie umowy mają inne obowiązki niż strony trzecie otrzymujące dane dla własnych celów.
FAQ
Czy CCPA dotyczy organizacji non-profit? Nie. CCPA dotyczy tylko firm nastawionych na zysk. Organizacje non-profit nie są objętymi firmami, chociaż mogą podlegać innym kalifornijskim przepisom o prywatności.
Czym jest Global Privacy Control (GPC) i czy muszę go honorować? GPC to sygnał na poziomie przeglądarki, który automatycznie komunikuje preferencje rezygnacji konsumenta. Od 1 stycznia 2026 roku objęte firmy, które przetwarzają dane z przeglądarek, muszą honorować sygnały GPC jako ważne prośby o rezygnację i wyświetlać potwierdzenie, że sygnał został przetworzony. [3][7]
Czy firma może pobierać inną cenę od konsumentów, którzy rezygnują? Zazwyczaj nie. CCPA zabrania firmom dyskryminowania konsumentów, którzy korzystają ze swoich praw do prywatności, w tym poprzez pobieranie różnych cen, chyba że różnica jest rozsądnie związana z wartością danych konsumenta. [4]
Jak długo muszą być przechowywane zapisy rezygnacji? CCPA nie określa uniwersalnego okresu przechowywania dla zapisów rezygnacji, ale firmy powinny przechowywać zapisy wystarczająco długo, aby wykazać zgodność w przypadku audytu lub działań egzekwujących, zazwyczaj co najmniej 24 miesiące uznaje się za rozsądne minimum. [6]
Czy baner cookie spełnia wymagania CCPA dotyczące rezygnacji? Sam baner cookie nie jest wystarczający. CCPA wymaga dedykowanego linku "Nie sprzedawaj ani nie udostępniaj moich danych osobowych", a nowelizacje z 2026 roku wymagają, aby firmy honorowały i potwierdzały sygnały GPC niezależnie od jakiejkolwiek interakcji dotyczącej zgody na cookies. [3][7]
Jaka jest różnica między "sprzedażą" a "udostępnianiem" w rozumieniu CCPA? "Sprzedaż" polega na wymianie danych osobowych za wynagrodzeniem. "Udostępnianie" obejmuje ujawnianie danych osobowych do reklamy behawioralnej w różnych kontekstach, nawet bez płatności. Oba wyzwalają prawa do rezygnacji. [4]
Czy potrzebuję oddzielnych mechanizmów rezygnacji dla każdej kategorii danych? Nie. Jeden mechanizm rezygnacji obejmujący sprzedaż i udostępnianie jest wystarczający, chociaż firmy muszą wyraźnie opisać w swojej polityce prywatności, jakie kategorie danych są objęte.
Czym jest ocena ryzyka w ramach nowelizacji CCPA z 2026 roku? Firmy, które przetwarzają dane osobowe w sposób, który stwarza znaczne ryzyko prywatności, w tym korzystając z technologii podejmowania decyzji automatycznych, muszą przeprowadzać i dokumentować oceny ryzyka przed rozpoczęciem tego przetwarzania. [1][7]
Podsumowanie
CCPA wyjaśnione: jak zarządzać rezygnacjami dla konsumentów z Kalifornii to zmieniający się cel, a nowelizacje z 2026 roku znacznie podniosły poprzeczkę. Podstawowe obowiązki, takie jak zapewnienie wyraźnego mechanizmu rezygnacji, honorowanie próśb konsumentów w ciągu 15 dni roboczych oraz aktualizowanie polityki prywatności, pozostają fundamentem. Jednak nowe wymagania dotyczące potwierdzenia sygnałów GPC, zakazu ciemnych wzorców oraz ocen ryzyka ADMT wymagają bardziej systematycznego podejścia niż statyczny link w stopce może zapewnić.
Wykonalne następne kroki dla objętych firm:
- Przeprowadź audyt swojego obecnego procesu rezygnacji w odniesieniu do wymogu symetrii z 2026 roku: policz kroki do rezygnacji i porównaj je z krokami do zgody.
- Zweryfikuj, że Twoja strona internetowa i aplikacja mobilna wykrywają i honorują sygnały Global Privacy Control oraz że wyświetlane jest widoczne potwierdzenie, gdy sygnał zostanie odebrany.
- Przejrzyj swoją listę dostawców stron trzecich i potwierdź, że procedury powiadamiania downstream są wdrożone dla przepływów danych po rezygnacji.
- Zaktualizuj swoją politykę prywatności, aby odzwierciedlała aktualne praktyki dotyczące danych, okresy przechowywania i pełną listę praw konsumentów.
- Oceń platformę zarządzania zgodami, taką jak Biscotti CMP, aby zautomatyzować wykrywanie sygnałów, potwierdzenie rezygnacji i prowadzenie rejestru preferencji w kanałach internetowych i mobilnych.
Zgodność to nie jednorazowy projekt. CPPA wykazała gotowość do wydawania wskazówek i podejmowania działań egzekwujących, a środowisko regulacyjne będzie się nadal rozwijać. Budowanie powtarzalnych, audytowalnych procesów teraz to najbardziej obronna pozycja, jaką może zająć objęta firma.
Źródła
[1] Navigating New Obligations Under The CCPA Updated Regulations - https://www.lw.com/en/insights/navigating-new-obligations-under-the-ccpa-updated-regulations
[2] Navigating California Consumer Privacy Act 30 Essential FAQs Covered Businesses Including Clarifying Regulations Effective 1/1/26 - https://www.jacksonlewis.com/insights/navigating-california-consumer-privacy-act-30-essential-faqs-covered-businesses-including-clarifying-regulations-effective-1126
[3] Show Me That You've Opted Me Out: New CCPA Rules Require Businesses To Prove Compliance - https://www.nelsonmullins.com/insights/alerts/fcc-download/all/show-me-that-you-ve-opted-me-out-new-ccpa-rules-require-businesses-to-prove-compliance
[4] CCPA Statute Effective 2026-01-01 - https://cppa.ca.gov/regulations/pdf/ccpa_statute_eff_20260101.pdf
[5] CCPA Updates - https://cppa.ca.gov/regulations/ccpa_updates.html
[6] CCPA Requirements 2026: Complete Compliance Guide - https://secureprivacy.ai/blog/ccpa-requirements-2026-complete-compliance-guide
[7] CCPA 2026: Navigating The Expanded Consumer Privacy Compliance Requirements For Businesses - https://www.lathropgpm.com/insights/ccpa-2026-navigating-the-expanded-consumer-privacy-compliance-requirements-for-businesses/
[8] CCPA in 2026: What's Changing in Consent, Consumer Rights, and AI Governance - https://www.onetrust.com/blog/ccpa-in-2026-whats-changing-in-consent-consumer-rights-and-ai-governance/
[9] New CCPA 2026 Regulations: Your Complete Compliance Action Guide - https://captaincompliance.com/education/new-ccpa-2026-regulations-your-complete-compliance-action-guide/
[10] CPPA Regulations - https://cppa.ca.gov/regulations/