Право США и CCPA

CCPA Разъяснено: Как управлять отказами для потребителей Калифорнии

7 июля 2026 г. · 16 мин. чтения

Краткий ответ: Закон о конфиденциальности потребителей Калифорнии (CCPA) предоставляет жителям Калифорнии право отказаться от продажи или передачи их личной информации. С 1 января 2026 года измененные правила теперь требуют от бизнеса учитывать сигналы предпочтений отказа (такие как Global Privacy Control), явно подтверждать, что эти сигналы были обработаны, и обеспечивать, чтобы процессы отказа не были более сложными, чем процессы согласия. Несоблюдение может привести к гражданским штрафам до 7,500 долларов за преднамеренное нарушение.

Основные выводы

CCPA применяется к коммерческим предприятиям, соответствующим определенным порогам по доходам, объему данных или продаже данных, а не ко всем компаниям, работающим в Калифорнии.
С 1 января 2026 года бизнес должен отображать явное подтверждение, когда сигнал предпочтения отказа (такой как Global Privacy Control) был распознан и учтен. [3]
Механизмы отказа должны быть так же просты в использовании, как и процессы согласия; темные паттерны, которые препятствуют отказам, явно запрещены согласно поправкам 2026 года. [7]
У бизнеса есть 15 рабочих дней, чтобы учесть запрос потребителя на отказ после его получения. [2]
"Личная информация" в соответствии с CCPA имеет широкий спектр: она включает IP-адреса, историю просмотров, данные геолокации, выводы, сделанные на основе поведения потребителей, и многое другое.
CCPA и GDPR работают на основе принципиально разных моделей согласия: отказа против согласия, и многие компании должны одновременно соблюдать оба закона.
Невыполнение обновления вашей политики конфиденциальности для отражения прав CCPA само по себе является нарушением соблюдения, отдельно от технических сбоев отказа.
Платформа управления согласиями, такая как Biscotti CMP, может автоматизировать обнаружение сигналов, отображение подтверждения отказа и ведение учета предпочтений.

Что такое CCPA и почему это важно для вашего бизнеса

Закон о конфиденциальности потребителей Калифорнии — это закон о конфиденциальности на уровне штата, который предоставляет жителям Калифорнии определенные права в отношении того, как бизнес собирает, использует и продает их личные данные. Это важно, потому что Калифорния является пятой по величине экономикой мира, и любой бизнес, который взаимодействует с потребителями Калифорнии, независимо от того, где он зарегистрирован, может быть юридически обязан соблюдать этот закон.

CCPA был первоначально принят в 2018 году, укреплен Законом о правах на конфиденциальность Калифорнии (CPRA) в 2020 году и существенно обновлен снова с правилами, одобренными Калифорнийским управлением административного права 22 сентября 2025 года, вступающими в силу 1 января 2026 года. [1][5] Эти поправки 2026 года добавили новые обязанности в отношении технологий автоматизированного принятия решений (ADMT), оценки рисков и, что критично для большинства бизнесов, требований к проектированию механизмов отказа и подтверждения. [1][7]

Понимание CCPA разъяснено: как управлять отказами для потребителей Калифорнии больше не является опциональным для охваченных бизнесов. Регуляторный минимум повысился, и за ним последовало ужесточение контроля.

Как узнать, применяется ли CCPA к моей компании

CCPA применяется к коммерческим предприятиям, которые ведут бизнес в Калифорнии и соответствуют хотя бы одному из следующих порогов:

Годовой валовой доход превышает 25 миллионов долларов
Ежегодно покупает, продает, получает или передает личную информацию 100,000 или более потребителей или домохозяйств Калифорнии
Получает 50% или более годового дохода от продажи или передачи личной информации потребителей Калифорнии [4][6]

Применяется ли CCPA к малым предприятиям с определенным уровнем дохода? Обычно нет. Если бизнес не достигает всех трех порогов, он не является охваченным бизнесом в соответствии с CCPA. Однако поставщики услуг и подрядчики, которые обрабатывают данные от имени охваченных бизнесов, подлежат контрактным обязательствам CCPA, даже если они не соответствуют критериям самостоятельно. [2]

Крайний случай: небольшая SaaS-компания с доходом менее 25 миллионов долларов, но с большой базой пользователей бесплатного уровня, может легко превысить порог данных о 100,000 потребителях, не осознавая этого.

Что считается личной информацией в соответствии с CCPA

Личная информация в соответствии с CCPA определяется широко как любая информация, которая идентифицирует, относится к, описывает или может разумно быть связана с конкретным потребителем или домохозяйством. Это выходит далеко за рамки имен и адресов электронной почты.

Охваченные категории включают:

Категория	Примеры
Идентификаторы	Имя, электронная почта, IP-адрес, ID устройства
Коммерческая информация	История покупок, поведение при просмотре
Биометрические данные	Отпечатки пальцев, данные распознавания лиц
Интернет-активность	Файлы cookie, история поиска, взаимодействие с сайтом
Геолокация	Точное местоположение с мобильных устройств
Выводы	Профили, созданные на основе поведенческих данных
Чувствительная личная информация	Номера социального страхования, данные о здоровье, точная геолокация

Выводы, сделанные на основе данных потребителей для создания профилей о предпочтениях, характеристиках или поведении, явно включены. [4] Это имеет значение для рекламных технологий, аналитики и персонализации.

В чем разница между отказом и согласием по CCPA

CCPA работает на основе модели отказа: бизнес может собирать и использовать данные потребителей по умолчанию, но потребители имеют право требовать, чтобы их данные не продавались или не передавались. Согласие на участие требуется только в определенных обстоятельствах, таких как обработка личной информации потребителей младше 16 лет. [4][6]

Это основное структурное различие от GDPR, который работает на основе модели согласия, требующей активного согласия перед началом большинства процессов обработки данных. В соответствии с CCPA молчание не является согласием, но также не является препятствием для обработки. В соответствии с GDPR молчание не является согласием, и обработка не может начаться без него.

Выберите логику согласия, если: вы обрабатываете данные несовершеннолетних (младше 16 лет) или обрабатываете категории чувствительной личной информации, которые требуют явного согласия в соответствии с законодательством Калифорнии.

Выберите логику отказа, если: вы обрабатываете стандартные данные потребителей от взрослых и являетесь охваченным бизнесом в соответствии с CCPA.

Как настроить ссылку "Не продавать или делиться моей личной информацией"

Каждый охваченный бизнес, который продает или передает личную информацию, должен предоставить четкую и заметную ссылку с заголовком "Не продавать или делиться моей личной информацией" на своей главной странице и в своей политике конфиденциальности. [4][6]

Пошаговая настройка:

Проведите аудит ваших потоков данных, чтобы определить, продает ли ваш бизнес или передает личную информацию, как это определено CCPA.
Добавьте необходимую ссылку в нижний колонтитул вашего веб-сайта и в меню настроек мобильного приложения.
Настройте вашу платформу управления согласиями для захвата и временной метки запросов на отказ.
Убедитесь, что процесс отказа не требует больше шагов, чем процесс согласия; правила 2026 года явно запрещают асимметричное трение. [7]
Автоматически учитывайте сигналы Global Privacy Control (GPC), если ваш бизнес обрабатывает данные на основе браузера.
Отображайте явное подтверждение того, что отказ был признан, например, баннер или состояние переключателя, показывающее "Сигнал предпочтения отказа учтен." [3]

Платформа, такая как Biscotti CMP, может автоматизировать шаги с 3 по 6, включая обнаружение сигналов GPC и отображение подтверждения соблюдения.

Сколько времени у меня есть, чтобы ответить на запрос потребителя на отказ

Бизнесы должны учесть запрос потребителя на отказ в течение 15 рабочих дней с момента его получения. [2] Это отличается от 45-дневного окна ответа, которое применяется к другим запросам прав потребителей (таким как доступ или удаление).

После выполнения запроса бизнес также должен уведомить любые третьи стороны, которым он продавал или передавал данные потребителя в течение предыдущих 90 дней, указав им прекратить использование этих данных. [6] Это обязательство по уведомлению часто игнорируется и представляет собой распространенный пробел в соблюдении.

Могу ли я продолжать использовать данные после того, как клиент отказался

После того как потребитель отказался от продажи или передачи, бизнес не может продавать или передавать личную информацию этого потребителя в будущем. Однако бизнес все еще может использовать данные для внутренних целей, которые соответствуют отношениям потребителя с бизнесом. [4]

Конкретно запрещено после отказа:

Продажа или передача данных третьим лицам для кросс-контекстной поведенческой рекламы
Использование данных способами, несовместимыми с контекстом, в котором они были собраны

Все еще разрешено после отказа:

Выполнение транзакции или услуги, запрашиваемой потребителем
Внутренняя аналитика и предотвращение мошенничества
Соблюдение юридических обязательств

Распространенная ошибка: Предположение, что отказ означает полное удаление данных. Это не так. Потребители должны подать отдельный запрос на удаление, чтобы активировать это право.

CCPA против GDPR: Какой из них мне нужно соблюдать

Если ваш бизнес обслуживает как жителей Калифорнии, так и жителей Европейского Союза, вам, вероятно, нужно соблюдать оба закона. CCPA и GDPR не являются взаимно исключающими, и требования к соблюдению различаются настолько, что одна политика редко удовлетворяет обоим.

Фактор	CCPA	GDPR
Модель согласия	Отказ (по умолчанию разрешена обработка)	Согласие (сначала требуется согласие)
Географический охват	Жители Калифорнии	Жители ЕС/ЕЭЗ
Кого охватывает	Коммерческие предприятия, соответствующие порогам	Любое лицо, обрабатывающее данные жителей ЕС
Штрафы	До 7,500 долларов за преднамеренное нарушение	До 4% от глобального годового оборота
Право на удаление	Да	Да (Право на удаление)
Портативность данных	Да	Да

Практическое значение: Баннеры согласия, соответствующие требованиям GDPR, не являются автоматически соответствующими требованиям CCPA, поскольку CCPA требует конкретного механизма отказа, а не ворот согласия.

Что произойдет, если я не выполню требования CCPA

Несоблюдение подвергает бизнесы гражданским штрафам до 2,500 долларов за непреднамеренное нарушение и 7,500 долларов за преднамеренное нарушение, которые применяются Калифорнийским агентством по защите конфиденциальности (CPPA). [4][6] Нарушения, касающиеся данных несовершеннолетних, по умолчанию рассматриваются как преднамеренные.

Потребители также имеют право на частный иск за утечки данных, возникающие в результате неисполнения бизнесом разумных мер безопасности, с законными убытками от 100 до 750 долларов за каждого потребителя за инцидент. [4]

Поправки 2026 года расширили полномочия CPPA по аудиту, что означает, что бизнесы, подлежащие требованиям оценки рисков, могут столкнуться с проактивным регуляторным контролем, а не только с реактивным принуждением. [1][7]

Нужно ли мне обновить свою политику конфиденциальности для CCPA

Да. Охваченные бизнесы должны поддерживать политику конфиденциальности, которая раскрывает, по крайней мере:

Категории личной информации, собираемой и цели ее сбора
Продается ли или передается личная информация и категории третьих сторон, участвующих в этом
Права потребителей, доступные в соответствии с CCPA (отказ, удаление, доступ, исправление, портативность)
Как потребители могут подавать запросы на осуществление этих прав
Период хранения для каждой категории личной информации [4][6]

Политики конфиденциальности должны обновляться как минимум раз в 12 месяцев. Невыполнение обновления политики после существенного изменения в практике обработки данных, такого как добавление нового поставщика аналитики, само по себе является нарушением соблюдения.

Как мне проверить, что запрос потребителя на отказ является законным

Для запросов на отказ CCPA не требует от бизнесов проверять личность потребителя, подающего запрос. [2] Это сделано намеренно: требование проверки личности для отказов создало бы трение, которое подрывает это право.

Тем не менее, бизнесы могут использовать разумные средства для подтверждения того, что запрос не является мошенническим, такие как подтверждение адреса электронной почты, связанного с учетной записью. Стандарт для проверки отказа намеренно ниже, чем для запросов на удаление или доступ, где проверка личности уместна, поскольку эти запросы связаны с раскрытием или уничтожением данных.

Крайний случай: Если запрос на отказ поступает через автоматический сигнал (GPC), дополнительный шаг проверки не требуется и не допускается, сам сигнал является действительным запросом. [3][7]

Как работают механизмы отказа в мобильных приложениях и на веб-сайтах

На веб-сайтах механизмы отказа должны включать ссылку "Не продавать или делиться моей личной информацией" в нижнем колонтитуле и должны учитывать сигналы GPC на уровне браузера. [3][7] В мобильных приложениях требования функционально эквивалентны, но реализация отличается:

Мобильные приложения должны включать опцию отказа в меню настроек приложения или разделе предпочтений конфиденциальности.
Приложения, распространяемые через магазины приложений, должны соблюдать любые дополнительные требования конфиденциальности на уровне платформы (такие как Прозрачность отслеживания приложений на iOS), но эти требования платформы не заменяют соблюдение CCPA.
Автоматические сигналы от мобильных операционных систем должны учитываться так же, как и сигналы GPC на уровне браузера, если бизнес обрабатывает эти данные.

Правила 2026 года ясно указывают, что канал (веб против приложения) не изменяет основное обязательство, только техническая реализация отличается.

Какие распространенные ошибки совершают бизнесы при соблюдении CCPA

Даже добросовестные бизнесы часто совершают следующие ошибки:

Смешение отказа с согласием: Требование от потребителей подтверждать свой отказ через несколько шагов, что нарушает требование симметрии в поправках 2026 года. [7]
Игнорирование сигналов GPC: Неправильная настройка своей технологической инфраструктуры для обнаружения и учета сигналов Global Privacy Control браузера, которые теперь рассматриваются как действительные запросы на отказ. [3]
Невыполнение отображения подтверждения отказа: Правила 2026 года требуют явного подтверждения того, что сигнал был обработан, запись в журнале на сервере не является достаточной. [3]
Игнорирование downstream-поставщиков: Невыполнение уведомления третьих сторон, получивших данные, после получения отказа.
Статические политики конфиденциальности: Невыполнение обновления политики ежегодно или после существенных изменений в практике обработки данных.
Смешение поставщиков услуг с третьими сторонами: Поставщики услуг, обрабатывающие данные по контракту, имеют другие обязательства, чем третьи стороны, получающие данные для своих собственных целей.

Часто задаваемые вопросы

Применяется ли CCPA к некоммерческим организациям? Нет. CCPA применяется только к коммерческим предприятиям. Некоммерческие организации не являются охваченными бизнесами, хотя они могут подлежать другим законам о конфиденциальности Калифорнии.

Что такое Global Privacy Control (GPC) и должен ли я его учитывать? GPC — это сигнал на уровне браузера, который автоматически сообщает о предпочтениях потребителя в отказе. С 1 января 2026 года охваченные бизнесы, которые обрабатывают данные браузера, должны учитывать сигналы GPC как действительные запросы на отказ и отображать подтверждение того, что сигнал был обработан. [3][7]

Может ли бизнес устанавливать другую цену для потребителей, которые отказались? Как правило, нет. CCPA запрещает бизнесам дискриминировать потребителей, которые осуществляют свои права на конфиденциальность, включая установление различных цен, если только разница не связана с ценностью данных потребителя. [4]

Как долго должны храниться записи об отказах? CCPA не указывает универсальный срок хранения для записей об отказах, но бизнесы должны хранить записи достаточно долго, чтобы продемонстрировать соблюдение в случае аудита или принудительных действий, обычно как минимум 24 месяца считается разумной базой. [6]

Удовлетворяет ли баннер cookie требованиям отказа CCPA? Один баннер cookie не является достаточным. CCPA требует отдельной ссылки "Не продавать или делиться моей личной информацией", а поправки 2026 года требуют от бизнесов учитывать и подтверждать сигналы GPC независимо от любого взаимодействия с согласиями на cookie. [3][7]

В чем разница между "продажей" и "передачей" в соответствии с CCPA? "Продажа" включает обмен личной информацией за денежное вознаграждение. "Передача" охватывает раскрытие личной информации для кросс-контекстной поведенческой рекламы, даже без оплаты. Оба случая активируют права на отказ. [4]

Нужны ли мне отдельные механизмы отказа для каждой категории данных? Нет. Один механизм отказа, охватывающий продажу и передачу, является достаточным, хотя бизнесы должны четко описывать в своей политике конфиденциальности, какие категории данных охватываются.

Что такое оценка рисков в соответствии с поправками CCPA 2026 года? Бизнесы, которые обрабатывают личную информацию способами, представляющими значительные риски для конфиденциальности, включая использование технологий автоматизированного принятия решений, должны проводить и документировать оценки рисков перед началом этой обработки. [1][7]

Заключение

CCPA разъяснено: как управлять отказами для потребителей Калифорнии — это изменяющаяся цель, и поправки 2026 года значительно повысили планку. Основные обязательства, такие как предоставление четкого механизма отказа, соблюдение запросов потребителей в течение 15 рабочих дней и обновление вашей политики конфиденциальности, остаются основополагающими. Но новые требования по подтверждению сигналов GPC, запрету темных паттернов и оценкам рисков ADMT требуют более системного подхода, чем статическая ссылка в нижнем колонтитуле может предоставить.

Практические следующие шаги для охваченных бизнесов:

Проведите аудит вашего текущего процесса отказа в соответствии с требованием симметрии 2026 года: посчитайте шаги для отказа и сравните их со шагами для согласия.
Убедитесь, что ваш веб-сайт и мобильное приложение обнаруживают и учитывают сигналы Global Privacy Control, и что отображается явное сообщение о подтверждении, когда сигнал получен.
Проверьте свой список третьих сторон и подтвердите, что процедуры уведомления downstream установлены для потоков данных после отказа.
Обновите свою политику конфиденциальности, чтобы отразить текущие практики обработки данных, сроки хранения и полный список прав потребителей.
Оцените платформу управления согласиями, такую как Biscotti CMP, для автоматизации обнаружения сигналов, подтверждения отказа и ведения учета предпочтений на веб- и мобильных каналах.

Соблюдение — это не одноразовый проект. CPPA продемонстрировало готовность выдавать рекомендации и проводить принуждение, и регуляторная среда будет продолжать развиваться. Создание повторяемых, подлежащих аудиту процессов сейчас — это самая защищенная позиция, которую может занять охваченный бизнес.