Краткий ответ: Закон Калифорнии о правах на конфиденциальность (CPRA) существенно изменил оригинальный Закон о конфиденциальности потребителей Калифорнии (CCPA), введя новые права потребителей, специализированный орган по соблюдению, более строгие штрафы и совершенно новую категорию чувствительной личной информации. Для операторов сайтов вопрос CCPA против CPRA: Что изменилось для операторов сайтов в Калифорнии? не является теоретическим, он напрямую переводится в обновленные политики конфиденциальности, новые механизмы согласия и расширенные контрактные обязательства с третьими сторонами.
Основные выводы
- CPRA вступила в полную силу 1 июля 2023 года, заменив и расширив рамки CCPA.
- Новая категория "чувствительной личной информации" (SPI) требует наличия специализированной ссылки для отказа на сайтах, собирающих эти данные.
- Потребители получили право исправлять неточную личную информацию, право, которого не существовало в оригинальном CCPA.
- Порог применения увеличился с 50,000 до 100,000 потребителей или домохозяйств, что освободило некоторых небольших операторов от обязательств.
- "Передача" личных данных для кросс-контекстной поведенческой рекламы теперь считается "продажей", что требует механизмов отказа.
- Операторы сайтов должны уважать сигналы Глобального контроля конфиденциальности (GPC) как действительные запросы на отказ.
- Административные штрафы увеличились до $2,663 за непреднамеренное нарушение и $7,988 за преднамеренное нарушение с 1 января 2025 года.
- Агентство по защите конфиденциальности Калифорнии (CPPA) теперь имеет независимые полномочия по соблюдению, отделенные от Генерального прокурора.
- Требования к прозрачности автоматизированного принятия решений вступят в силу 1 января 2027 года.
- Оценки рисков и аудиты кибербезопасности теперь обязательны для высокорисковых видов обработки данных.
В чем разница между CCPA и CPRA?
CCPA, вступивший в силу 1 января 2020 года, предоставил потребителям Калифорнии базовые права на их личные данные: право знать, удалять и отказываться от продажи своей информации. CPRA, принятый избирателями Калифорнии в ноябре 2020 года и полностью вступивший в силу с 1 июля 2023 года, не заменил CCPA полностью, а изменил и значительно расширил его [1].
Ключевые структурные различия включают:
| Особенность | CCPA (оригинал) | CPRA (измененный) |
|---|---|---|
| Орган по соблюдению | Генеральный прокурор Калифорнии | CPPA + Генеральный прокурор |
| Категория чувствительных данных | Не определена | Формально определена (SPI) |
| Право на исправление | Не включено | Включено |
| Определение "продажи" | Обмен данными за вознаграждение | Включает "передачу" для рекламы |
| Порог применения | 50,000 потребителей/домохозяйств | 100,000 потребителей/домохозяйств |
| Оценки рисков | Не требуются | Обязательны для высокорисковой обработки |
| Соблюдение сигналов GPC | Не обязательно | Обязательно |
Практическое последствие для операторов сайтов заключается в том, что соблюдение CPRA против CCPA — это не просто обновление документации, это требует архитектурных изменений в потоках согласия, политиках конфиденциальности и контрактах с поставщиками [2].
Когда CPRA вступила в силу и заменила CCPA?
Существенные права и обязательства CPRA применяются к данным, собранным 1 января 2022 года или позже, с началом соблюдения с 1 июля 2023 года. Годовой льготный период соблюдения закончился в эту дату, что означает, что Агентство по защите конфиденциальности Калифорнии могло начать налагать штрафы без предварительного предупреждения [4].
Для операторов сайтов, которые все еще работают по политикам эпохи CCPA в 2026 году, риски реальны и немедленны.
Какие новые права имеют потребители в рамках CPRA, которых не было в CCPA?
CPRA добавила два права потребителей, которых не было в оригинальной структуре CCPA:
Право на исправление: Потребители теперь могут запросить, чтобы бизнес исправил неточную личную информацию, которую он хранит о них. Операторы сайтов должны установить процесс проверки запросов и действовать по запросам на исправление в течение 45 дней [2].
Право ограничить использование чувствительной личной информации: Потребители могут ограничить, как бизнес использует их SPI за пределами цели, для которой она была изначально собрана. Это право требует отдельного, четко обозначенного механизма отказа на сайте [1].
Эти дополнения дополняют существующие права на знание, удаление, отказ от продажи и недискриминацию, создавая более сложные требования к соблюдению для любого сайта, который собирает данные пользователей за пределами базовой аналитики.
Что такое право на исправление в рамках CPRA?
Право на исправление — это одно из самых операционно требовательных дополнений в CPRA. Когда потребитель подает проверенный запрос на исправление, бизнес должен приложить коммерчески разумные усилия для исправления неточной личной информации и направить любых поставщиков услуг или подрядчиков, которые получили эти данные, сделать то же самое [2].
Для операторов сайтов это означает:
- Создание механизма приема запросов на исправление (веб-форма, процесс электронной почты или портал учетной записи).
- Документирование исправления и уведомление downstream-обработчиков данных.
- Ответ в течение 45 дней, с одной 45-дневной отсрочкой, если это необходимо.
Распространенная ошибка: Многие операторы предполагают, что право на исправление применяется только к данным профиля учетной записи. На практике оно распространяется на любую личную информацию, которую бизнес хранит, включая поведенческие данные, предполагаемые предпочтения и историю покупок.
Какие новые категории данных охватывает CPRA, которых не было в CCPA?
CPRA формально определила "чувствительную личную информацию" (SPI) как отдельную категорию данных с более высоким уровнем защиты. У CCPA не было эквивалентной классификации [1].
SPI в рамках CPRA включает:
- Номера социального страхования и удостоверения личности, выданные государственными органами
- Учетные данные финансовых счетов (логин и коды безопасности)
- Точные данные о геолокации
- Расовая или этническая принадлежность, религиозные убеждения и членство в профсоюзе
- Содержимое частных коммуникаций (почта, электронная почта, текст)
- Генетические и биометрические данные, обрабатываемые для идентификации
- Информация о здоровье и сексуальная жизнь или сексуальная ориентация
Операторы сайтов, собирающие любую из этих категорий, должны предоставить ссылку "Ограничить использование моей чувствительной личной информации", функционально аналогичную ссылке "Не продавать мою личную информацию", которая уже требуется в рамках CCPA [1].
CPRA против CCPA: какая из них применяется к моему бизнесу?
С 2026 года рамки CPRA применяются к коммерческим предприятиям, которые ведут бизнес в Калифорнии И соответствуют хотя бы одному из следующих порогов [7]:
- Годовой валовой доход превышает $25 миллионов.
- Покупает, продает, получает или делится личной информацией 100,000 или более потребителей или домохозяйств Калифорнии в год (увеличено с 50,000 по CCPA).
- Получает 50% или более годового дохода от продажи или передачи личной информации потребителей.
Выберите соблюдение CPRA, если: Ваш сайт обслуживает жителей Калифорнии и вы соответствуете хотя бы одному из вышеуказанных критериев. Если вы ранее соответствовали порогу в 50,000 потребителей по CCPA, но обрабатываете менее 100,000 записей в год, вы больше не можете быть прямо подвержены этому, хотя контрактные обязательства с более крупными партнерами могут все еще требовать соблюдения.
Крайний случай: Некоммерческие организации и чисто B2B-операторы, как правило, освобождены, но поставщики услуг и подрядчики для охваченных бизнесов несут свои собственные обязательства по CPRA [3].
Как CPRA влияет на политику конфиденциальности моего сайта?
Политика конфиденциальности, соответствующая CCPA, больше не является достаточной. CPRA требует от операторов сайтов обновить свои политики конфиденциальности, чтобы отразить [2][3]:
- Новую категорию SPI и право ограничить ее использование.
- Право исправлять неточную личную информацию.
- Расширенное определение "продажи", чтобы включить "передачу" для кросс-контекстной поведенческой рекламы.
- Как бизнес реагирует на сигналы GPC.
- Периоды хранения данных для каждой категории собранной личной информации.
- Используется ли автоматизированное принятие решений и как потребители могут отказаться.
Политики конфиденциальности должны пересматриваться как минимум раз в 12 месяцев и обновляться, чтобы отразить текущие практики обработки данных. Устаревшие политики, которые описывают права эпохи CCPA без дополнений CPRA, являются распространенной причиной для соблюдения.
Нужно ли мне обновить формы согласия для соблюдения CPRA?
Да. Механизмы согласия, которые были достаточными в рамках CCPA, требуют значительных обновлений для CPRA. В частности, операторы сайтов должны [3][5]:
- Добавить ссылку "Ограничить использование моей чувствительной личной информации", если сайт собирает SPI.
- Уважать сигналы браузера GPC как действительный отказ от продажи и передачи, это не может требовать от пользователя дополнительных действий.
- Получить положительное согласие перед продажей или передачей личной информации потребителей младше 16 лет.
- Убедиться, что согласие на кросс-контекстную поведенческую рекламу (ретаргетинг, обмен аудиторией с рекламными платформами) четко отделено от других способов использования данных.
Платформа управления согласиями может помочь автоматизировать обнаружение GPC и запись предпочтений. Biscotti CMP (www.biscotti-cmp.com) разработан для обработки этих специфических требований CPRA, включая потоки отказа от SPI и соблюдение сигналов GPC, без необходимости в индивидуальной разработке со стороны оператора сайта.
Каковы штрафы за несоблюдение CPRA?
С 1 января 2025 года административные штрафы в рамках CPRA составляют [5]:
- $2,663 за непреднамеренное нарушение.
- $7,988 за преднамеренное нарушение.
- $7,988 за нарушение (утроенное) за нарушения, касающиеся личной информации потребителей младше 16 лет.
Эти суммы периодически корректируются с учетом инфляции. Штрафы налагаются за каждое нарушение, что означает, что одно несоответствующее практическое использование данных, затрагивающее тысячи потребителей, может привести к совокупной ответственности в миллионах. CPPA имеет независимые полномочия инициировать действия по соблюдению без направления от Генерального прокурора [4].
Важно: CPRA устранила 30-дневный период исправления, который существовал в рамках CCPA для большинства нарушений, убрав сетку безопасности, на которую многие операторы полагались.
Какие распространенные ошибки допускают сайты при соблюдении CPRA?
Основываясь на расширенных требованиях, наиболее частые ошибки в соблюдении включают [3][6]:
- Игнорирование сигналов GPC: Неспособность обнаружить и уважать сигналы отказа на уровне браузера является одним из заявленных приоритетов соблюдения CPPA.
- Отсутствие ссылки на отказ от SPI: Добавление только ссылки "Не продавать" без отдельной ссылки "Ограничить использование SPI", когда SPI собирается.
- Устаревшие контракты с поставщиками: Необновление соглашений о обработке данных с поставщиками услуг, чтобы включить требования CPRA.
- Отсутствие графика хранения данных: CPRA требует от бизнеса раскрывать и соблюдать сроки хранения; многие политики конфиденциальности все еще упускают это.
- Предположение, что период исправления все еще применяется: Операторы, которые ждут уведомления перед исправлением нарушений, могут столкнуться с немедленными штрафами.
- Игнорирование права на исправление: Создание только рабочих процессов удаления без обработки запросов на исправление.
Имеют ли малые предприятия другие требования CPRA?
Увеличение порога с 50,000 до 100,000 потребителей напрямую снижает бремя соблюдения для небольших операторов сайтов [7]. Небольшой сайт электронной коммерции или продукт SaaS, обслуживающий менее 100,000 потребителей Калифорнии в год, с доходами менее $25 миллионов и без доходов от продажи данных, выходит за рамки прямого применения CPRA.
Тем не менее, малые предприятия должны учитывать:
- Если они выступают в качестве поставщика услуг для охваченного бизнеса, они наследуют контрактные обязательства CPRA независимо от размера.
- Добровольное соблюдение все чаще ожидается от корпоративных клиентов и может быть конкурентным преимуществом.
- Другие штаты приняли аналогичные законы, и федеральное законодательство о конфиденциальности остается в активном обсуждении по состоянию на 2026 год.
Сколько стоит стать соответствующим CPRA?
Нет фиксированной стоимости соблюдения, она значительно варьируется в зависимости от сложности экосистемы данных сайта. Общие факторы стоимости включают:
- Обновление политики конфиденциальности: Низкая стоимость, если сделано внутри компании; $500, $3,000+ при использовании юридического консультанта.
- Платформа управления согласиями: Постоянная подписка SaaS; цены варьируются в зависимости от объема трафика и набора функций.
- Техническая реализация: Время разработчика для добавления ссылок на отказ, обнаружения GPC и рабочих процессов запросов на исправление.
- Обзор контрактов с поставщиками: Юридический обзор соглашений о обработке данных со всеми сторонними процессорами.
- Оценки рисков: Для высокорисковой обработки формальные оценки могут потребовать привлечения внешних консультантов.
Для большинства операторов сайтов среднего размера начальные расходы на соблюдение составляют несколько тысяч долларов, с постоянными операционными расходами на поддержку политики и управление согласиями. Стоимость несоответствия, учитывая штрафы за каждое нарушение, значительно превышает инвестиции.
Как мне узнать, применима ли CPRA к моим посетителям сайта?
CPRA применяется на основе места жительства потребителя, а не местоположения бизнеса. Если сайт имеет посетителей-резидентов Калифорнии и оператор соответствует любому из трех бизнес-порогов, обязательства CPRA применяются к данным, собранным от этих посетителей [7][8].
Практические индикаторы того, что CPRA, вероятно, применяется:
- Сайт принимает заказы, регистрации или таргетинг рекламы от пользователей США без гео-блокировки для Калифорнии.
- Бизнес использует сторонние рекламные сети, которые занимаются кросс-контекстной поведенческой рекламой.
- Сайт собирает любую форму SPI от пользователей (анкеты о здоровье, финансовые данные, точное местоположение).
В случае сомнений консервативная и юридически обоснованная позиция — рассматривать всех посетителей сайта из США как потенциально охваченных CPRA и соответственно реализовать соответствующие потоки согласия.
Обязательные оценки рисков, аудиты кибербезопасности и что будет дальше
CPRA требует от бизнеса, занимающегося высокорисковой обработкой, проводить регулярные оценки рисков и аудиты кибербезопасности. Регламенты, детализирующие эти требования, были окончательно утверждены в 2025 году и вступили в силу в 2026 году [6]. Высокорисковые действия включают обработку SPI в больших объемах, профилирование потребителей для значительных решений и продажу или передачу данных большому количеству третьих сторон.
Кроме того, требования к прозрачности автоматизированного принятия решений, охватывающие профилирование для трудоустройства, кредитования, жилья и аналогичных значительных решений, должны вступить в силу 1 января 2027 года [6]. Операторы сайтов, использующие алгоритмические рекомендательные системы, инструменты кредитного скоринга или поведенческое профилирование, должны начать планирование соблюдения уже сейчас.
Заключение
Понимание CCPA против CPRA: Что изменилось для операторов сайтов в Калифорнии? не является необязательным для любого бизнеса, обслуживающего жителей Калифорнии в больших масштабах. CPRA ввела существенные новые обязательства, категории чувствительных данных, право на исправление, соблюдение сигналов GPC, расширенные требования к поставщикам и специализированный орган по соблюдению с реальными полномочиями по наложению штрафов, которые требуют конкретных операционных ответов, а не просто обновлений политики.
Действительные следующие шаги для операторов сайтов в 2026 году:
- Проведите аудит своих текущих практик сбора данных в соответствии со списком категорий SPI и добавьте требуемую ссылку на отказ, если это применимо.
- Обновите свою политику конфиденциальности, чтобы отразить права CPRA, графики хранения данных и расширенное определение "продажи".
- Реализуйте обнаружение сигналов GPC, это приоритет соблюдения и не может быть отложено.
- Проверьте и обновите все соглашения о обработке данных с поставщиками услуг и подрядчиками.
- Постройте рабочий процесс запросов на исправление наряду с вашим существующим процессом удаления.
- Если ваш сайт занимается высокорисковой обработкой, закажите формальную оценку рисков, прежде чем регуляторы инициируют ее для вас.
- Оцените решение для управления согласиями, такое как Biscotti CMP (www.biscotti-cmp.com), для автоматизации потоков отказа, соблюдения GPC и ведения учета предпочтений.
Тенденция соблюдения CPRA в 2026 году делает проактивное соблюдение единственной разумной стратегией.
Часто задаваемые вопросы
В: Является ли CPRA тем же самым, что и CCPA 2.0? CPRA обычно называется "CCPA 2.0", потому что она изменила, а не заменила CCPA. Она добавила новые права, новый орган по соблюдению и новые категории данных, сохранив при этом оригинальную структуру CCPA.
В: Когда началось соблюдение CPRA? Полное соблюдение началось 1 июля 2023 года. CPPA может налагать штрафы за нарушения, произошедшие после этой даты, без предварительного периода исправления для большинства нарушений.
В: Применяется ли CPRA к бизнесу за пределами Калифорнии? Да. Любой коммерческий бизнес, который собирает личную информацию от жителей Калифорнии и соответствует порогам применения, должен соблюдать, независимо от того, где находится бизнес.
В: Что такое сигнал GPC и почему это важно? Глобальный контроль конфиденциальности (GPC) — это настройка на уровне браузера, которая сигнализирует о предпочтении потребителя на отказ. В рамках CPRA операторы сайтов должны обнаруживать и уважать сигналы GPC как действительные запросы на отказ, игнорирование которых является нарушением соблюдения.
В: Применяется ли CPRA к данным сотрудников? Да. С 1 января 2023 года временные исключения для данных сотрудников и B2B истекли. Личная информация сотрудников теперь подлежит полным защитам CPRA.
В: В чем разница между "продажей" и "передачей" в рамках CPRA? В рамках оригинального CCPA "продажа" требовала обмена на денежное вознаграждение. CPRA расширила это определение, чтобы включить "передачу" личных данных третьим сторонам для кросс-контекстной поведенческой рекламы, даже без прямой оплаты.
В: Как часто необходимо обновлять политику конфиденциальности в рамках CPRA? Минимум раз в 12 месяцев. Она также должна обновляться всякий раз, когда практики обработки данных существенно изменяются.
В: Освобождены ли некоммерческие организации от CPRA? Как правило, да, CPRA применяется к коммерческим предприятиям. Однако некоммерческие организации, выступающие в качестве поставщиков услуг для охваченных бизнесов, могут иметь контрактные обязательства по соблюдению.
В: Что происходит, если потребитель подает запрос на исправление, и бизнес не согласен? Бизнес может отклонить исправление, если он определяет, что информация точна, но должен задокументировать решение и уведомить потребителя о причинах отказа.
В: Существует ли частное право на иск в рамках CPRA? Существует ограниченное частное право на иск в случае утечек данных, касающихся определенных категорий личной информации. Большинство других нарушений исполняются CPPA или Генеральным прокурором, а не через частные иски.
Интерактивный проверщик соблюдения CPRA
Ссылки
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai