Rýchla odpoveď: Zákon o ochrane súkromia v Kalifornii (CPRA) podstatne zmenil pôvodný Zákon o ochrane súkromia spotrebiteľov v Kalifornii (CCPA), pričom zaviedol nové práva spotrebiteľov, špecializovanú vykonávaciu agentúru, prísnejšie pokuty a úplne novú kategóriu citlivých osobných údajov. Pre prevádzkovateľov webových stránok nie je otázka CCPA vs. CPRA: Čo sa zmenilo pre prevádzkovateľov webových stránok v Kalifornii? teoretická, priamo sa premieta do aktualizovaných zásad ochrany súkromia, nových mechanizmov súhlasu a rozšírených zmluvných povinností voči dodávateľom tretích strán.
Kľúčové body
- CPRA nadobudla plnú účinnosť 1. júla 2023, čím nahradila a rozšírila rámec CCPA.
- Nová kategória "citlivé osobné údaje" (SPI) vyžaduje špecializovaný odkaz na odhlásenie na webových stránkach, ktoré tieto údaje zbierajú.
- Spotrebitelia získali právo opraviť nepresné osobné údaje, právo, ktoré neexistovalo podľa pôvodného CCPA.
- Prahová hodnota aplikovateľnosti sa zvýšila z 50 000 na 100 000 spotrebiteľov alebo domácností, čo oslobodzuje niektorých menších prevádzkovateľov.
- "Zdieľanie" osobných údajov na účely reklamy naprieč kontextmi sa teraz považuje za "predaj", čo vyžaduje mechanizmy na odhlásenie.
- Prevádzkovatelia webových stránok musia rešpektovať signály Globálnej kontroly súkromia (GPC) ako platné žiadosti o odhlásenie.
- Administratívne pokuty sa zvýšili na 2 663 dolárov za neúmyselné porušenie a 7 988 dolárov za úmyselné porušenie od 1. januára 2025.
- Kalifornská agentúra na ochranu súkromia (CPPA) má teraz nezávislú vykonávaciu právomoc oddelenú od generálneho prokurátora.
- Požiadavky na transparentnosť automatizovaného rozhodovania nadobudnú účinnosť 1. januára 2027.
- Posúdenia rizík a audity kybernetickej bezpečnosti sú teraz povinné pre činnosti spracovania údajov s vysokým rizikom.
Aký je rozdiel medzi CCPA a CPRA?
CCPA, účinný od 1. januára 2020, poskytol kalifornským spotrebiteľom základné práva nad ich osobnými údajmi: právo vedieť, mazať a odhlásiť sa z predaja svojich informácií. CPRA, schválená kalifornskými voličmi v novembri 2020 a plne vykonateľná od 1. júla 2023, úplne nenahradila CCPA, ale ju novelizovala a významne rozšírila [1].
Kľúčové štrukturálne rozdiely zahŕňajú:
| Funkcia | CCPA (pôvodný) | CPRA (novelizovaný) |
|---|---|---|
| Vykonávací orgán | Generálny prokurátor Kalifornie | CPPA + Generálny prokurátor |
| Kategória citlivých údajov | Nedefinovaná | Formálne definovaná (SPI) |
| Právo na opravu | Nie je zahrnuté | Zahrnuté |
| Definícia "predaja" | Výmena údajov za hodnotu | Zahrňuje "zdieľanie" na účely reklamy |
| Prahová hodnota aplikovateľnosti | 50 000 spotrebiteľov/domácností | 100 000 spotrebiteľov/domácností |
| Posúdenia rizík | Nie sú povinné | Povinné pre spracovanie s vysokým rizikom |
| Dodržiavanie signálov GPC | Nie je povinné | Povinné |
Praktickým dôsledkom pre prevádzkovateľov webových stránok je, že dodržiavanie CPRA vs. CCPA nie je len aktualizácia dokumentov, vyžaduje architektonické zmeny v mechanizmoch súhlasu, zásadách ochrany súkromia a zmluvách s dodávateľmi [2].
Kedy CPRA nadobudla účinnosť a nahradila CCPA?
Podstatné práva a povinnosti CPRA sa vzťahovali na údaje zhromaždené 1. januára 2022 alebo neskôr, pričom vykonávanie sa začalo 1. júla 2023. Jednoročné obdobie milosti na vykonávanie sa skončilo v tento deň, čo znamená, že Kalifornská agentúra na ochranu súkromia mohla začať ukladať pokuty bez predchádzajúceho varovania [4].
Pre prevádzkovateľov webových stránok, ktorí stále fungujú podľa politík z obdobia CCPA k roku 2026, je riziko reálne a okamžité.
Aké nové práva majú spotrebitelia podľa CPRA, ktoré neexistovali v CCPA?
CPRA pridala dve práva spotrebiteľov, ktoré chýbali v pôvodnom rámci CCPA:
Právo na opravu: Spotrebitelia môžu teraz požiadať, aby podnik opravil nepresné osobné informácie, ktoré o nich má. Prevádzkovatelia webových stránok musia vytvoriť overiteľný proces žiadosti a konať na žiadostiach o opravu do 45 dní [2].
Právo obmedziť použitie citlivých osobných údajov: Spotrebitelia môžu obmedziť, ako podniky používajú ich SPI nad rámec účelu, na ktorý boli pôvodne zhromaždené. Toto právo vyžaduje samostatný, jasne označený mechanizmus na odhlásenie na webovej stránke [1].
Tieto dodatky sa nachádzajú vedľa existujúcich práv na vedieť, mazať, odhlásiť sa z predaja a na nediskrimináciu, čím vytvárajú zložitější požiadavku na dodržiavanie pre akúkoľvek stránku, ktorá zbiera údaje o používateľoch nad rámec základnej analytiky.
Aké je právo na opravu podľa CPRA?
Právo na opravu je jedným z najoperačne náročnejších dodatkov v CPRA. Keď spotrebiteľ predloží overenú žiadosť o opravu, podnik musí vynaložiť komerčne rozumné úsilie na opravu nepresných osobných údajov a nasmerovať akýchkoľvek poskytovateľov služieb alebo dodávateľov, ktorí tieto údaje dostali, aby vykonali rovnakú opravu [2].
Pre prevádzkovateľov webových stránok to znamená:
- Vytvorenie mechanizmu na prijímanie žiadostí o opravu (webový formulár, e-mailový proces alebo portál účtu).
- Dokumentovanie opravy a informovanie downstream spracovateľov údajov.
- Odpovedanie do 45 dní, pričom je povolené jedno 45-dňové predĺženie, ak je to potrebné.
Bežná chyba: Mnohí prevádzkovatelia predpokladajú, že právo na opravu sa vzťahuje len na údaje profilu účtu. V praxi sa vzťahuje na akékoľvek osobné informácie, ktoré podnik má, vrátane behaviorálnych údajov, odhadovaných preferencií a histórie nákupov.
Aké nové kategórie údajov pokrýva CPRA, ktoré CCPA nezahŕňala?
CPRA formálne definovala "citlivé osobné údaje" (SPI) ako samostatnú, vyššiu kategóriu ochrany údajov. CCPA nemala ekvivalentnú klasifikáciu [1].
SPI podľa CPRA zahŕňa:
- Čísla sociálneho zabezpečenia a vládou vydané identifikačné doklady
- Údaje o finančných účtoch (prihlasovacie údaje plus bezpečnostné kódy)
- Presné údaje o geografickej polohe
- Rasový alebo etnický pôvod, náboženské presvedčenia a členstvo v odboroch
- Obsah súkromných komunikácií (pošta, e-mail, text)
- Genetické a biometrické údaje spracovávané na identifikáciu
- Zdravotné informácie a sexuálny život alebo sexuálna orientácia
Prevádzkovatelia webových stránok, ktorí zbierajú ktorúkoľvek z týchto kategórií, musia poskytnúť odkaz "Obmedziť použitie mojich citlivých osobných údajov", funkčne podobný odkazu "Nepredávať moje osobné údaje", ktorý je už vyžadovaný podľa CCPA [1].
CPRA vs. CCPA: Ktorý sa vzťahuje na moje podnikanie?
Od roku 2026 sa rámec CPRA vzťahuje na ziskové podniky, ktoré podnikajú v Kalifornii A spĺňajú aspoň jednu z týchto prahových hodnôt [7]:
- Ročné hrubé príjmy presahujúce 25 miliónov dolárov.
- Kúpa, predaj, prijímanie alebo zdieľanie osobných údajov 100 000 alebo viac kalifornských spotrebiteľov alebo domácností ročne (zvýšené z 50 000 podľa CCPA).
- Získavanie 50 % alebo viac ročných príjmov z predaja alebo zdieľania osobných údajov spotrebiteľov.
Vyberte dodržiavanie CPRA, ak: Vaša webová stránka slúži kalifornským obyvateľom a spĺňate akúkoľvek z vyššie uvedených kritérií. Ak ste predtým spĺňali prahovú hodnotu 50 000 spotrebiteľov podľa CCPA, ale spracovávate menej ako 100 000 záznamov ročne, nemusíte byť priamo podrobení, hoci zmluvné povinnosti s väčšími partnermi môžu stále vyžadovať dodržiavanie.
Okrajový prípad: Neziskové organizácie a čisto B2B prevádzkovatelia sú zvyčajne oslobodení, ale poskytovatelia služieb a dodávatelia pre pokryté podniky nesú svoje vlastné povinnosti podľa CPRA [3].
Ako CPRA ovplyvňuje zásady ochrany súkromia mojej webovej stránky?
Zásady ochrany súkromia v súlade s CCPA už nie sú dostatočné. CPRA vyžaduje, aby prevádzkovatelia webových stránok aktualizovali svoje zásady ochrany súkromia, aby odrážali [2][3]:
- Novú kategóriu SPI a právo obmedziť jej použitie.
- Právo opraviť nepresné osobné údaje.
- Rozšírenú definíciu "predaja", ktorá zahŕňa "zdieľanie" na účely reklamy naprieč kontextmi.
- Ako podnik reaguje na signály GPC.
- Doba uchovávania údajov pre každú kategóriu osobných údajov, ktoré sa zbierajú.
- Či sa používajú automatizované rozhodovacie procesy a ako sa spotrebitelia môžu odhlásiť.
Zásady ochrany súkromia musia byť preskúmané aspoň raz za 12 mesiacov a aktualizované, aby odrážali aktuálne praktiky spracovania údajov. Zastarané politiky, ktoré popisujú práva z obdobia CCPA bez dodatkov CPRA, sú bežným spúšťačom presadzovania.
Musím aktualizovať svoje formuláre súhlasu na dodržiavanie CPRA?
Áno. Mechanizmy súhlasu, ktoré boli dostatočné podľa CCPA, vyžadujú významné aktualizácie pre CPRA. Konkrétne, prevádzkovatelia webových stránok musia [3][5]:
- Pridať odkaz na odhlásenie "Obmedziť použitie mojich citlivých osobných údajov", ak stránka zbiera SPI.
- Rešpektovať signály prehliadača GPC ako platné odhlásenie z predaja a zdieľania, to nemôže vyžadovať, aby používateľ vykonal ďalšie kroky.
- Získať afirmatívny súhlas pred predajom alebo zdieľaním osobných údajov spotrebiteľov mladších ako 16 rokov.
- Zabezpečiť, aby bol súhlas na reklamu naprieč kontextmi (retargeting, zdieľanie publika s reklamnými platformami) jasne odlíšený od iných použití údajov.
Platforma na správu súhlasu môže pomôcť automatizovať detekciu GPC a zaznamenávanie preferencií. Biscotti CMP (www.biscotti-cmp.com) je navrhnutá tak, aby zvládla tieto špecifické požiadavky CPRA, vrátane tokov odhlásenia SPI a dodržiavania signálov GPC, bez potreby vlastného vývoja od prevádzkovateľa webových stránok.
Aké sú pokuty za nedodržiavanie CPRA?
Od 1. januára 2025 sú administratívne pokuty podľa rámca CPRA [5]:
- 2 663 dolárov za neúmyselné porušenie.
- 7 988 dolárov za úmyselné porušenie.
- 7 988 dolárov za porušenie (trojnásobne) za porušenia týkajúce sa osobných údajov spotrebiteľov mladších ako 16 rokov.
Tieto sumy sa pravidelne upravujú na základe inflácie. Pokuty sa posudzujú za každé porušenie, čo znamená, že jedno nekompatibilné spracovanie údajov ovplyvňujúce tisíce spotrebiteľov môže generovať agregovanú zodpovednosť v miliónoch. CPPA má nezávislú právomoc iniciovať vykonávacie akcie bez odporúčania generálneho prokurátora [4].
Dôležité: CPRA zrušila 30-dňové obdobie na nápravu, ktoré existovalo podľa CCPA pre väčšinu porušení, čím odstránila bezpečnostnú sieť, na ktorú sa mnohí prevádzkovatelia spoliehali.
Aké bežné chyby robia webové stránky pri dodržiavaní CPRA?
Na základe rozšírených požiadaviek sú najčastejšie porušenia dodržiavania [3][6]:
- Ignorovanie signálov GPC: Zlyhanie pri detekcii a rešpektovaní signálov na úrovni prehliadača je jednou z vyhlásených priorít presadzovania CPPA.
- Chýbajúci odkaz na odhlásenie SPI: Pridanie len odkazu "Nepredávať" bez samostatného odkazu "Obmedziť použitie SPI", keď sa zbiera SPI.
- Zastarané zmluvy s dodávateľmi: Neaktualizovanie zmlúv o spracovaní údajov s poskytovateľmi služieb, aby zahŕňali podmienky požadované CPRA.
- Žiadny plán uchovávania údajov: CPRA vyžaduje, aby podniky zverejnili a dodržiavali doby uchovávania; mnohé zásady ochrany súkromia to stále vynechávajú.
- Predpokladanie, že obdobie na nápravu sa stále vzťahuje: Prevádzkovatelia, ktorí čakajú na oznámenie pred opravou porušení, môžu čeliť okamžitým pokutám.
- Prehliadanie práva na opravu: Vytváranie len pracovných tokov na vymazanie bez spracovania žiadostí o opravu.
Majú malé podniky iné požiadavky na CPRA?
Zvýšenie prahu z 50 000 na 100 000 spotrebiteľov priamo znižuje záťaž dodržiavania pre menších prevádzkovateľov webových stránok [7]. Malá e-commerce stránka alebo produkt SaaS, ktorý slúži menej ako 100 000 kalifornským spotrebiteľom ročne, s príjmami pod 25 miliónov dolárov a bez príjmov z predaja údajov, spadá mimo priamy rámec CPRA.
Avšak malé podniky by mali poznamenať:
- Ak pôsobia ako poskytovateľ služieb pre pokryté podniky, zdedia zmluvné povinnosti CPRA bez ohľadu na veľkosť.
- Dobrovoľné dodržiavanie sa čoraz viac očakáva od podnikových klientov a môže byť konkurenčnou výhodou.
- Iné štáty prijali podobné zákony a federálna legislatíva o ochrane súkromia zostáva aktívne diskutovaná k roku 2026.
Koľko stojí dodržiavanie CPRA?
Neexistuje pevná cena za dodržiavanie, výrazne sa líši v závislosti od zložitosti dátového ekosystému webovej stránky. Hlavné faktory nákladov zahŕňajú:
- Aktualizácia zásad ochrany súkromia: Nízke náklady, ak sa robí interne; 500, 3 000+ dolárov, ak sa používa právny poradca.
- Platforma na správu súhlasu: Priebežné predplatné SaaS; ceny sa líšia podľa objemu návštevnosti a súboru funkcií.
- Technická implementácia: Čas vývojára na pridanie odkazov na odhlásenie, detekciu GPC a pracovné toky žiadostí o opravu.
- Preskúmanie zmlúv s dodávateľmi: Právne preskúmanie zmlúv o spracovaní údajov so všetkými tretími spracovateľmi.
- Posúdenia rizík: Pre spracovanie s vysokým rizikom môžu formálne posúdenia vyžadovať externých konzultantov.
Pre väčšinu stredne veľkých prevádzkovateľov webových stránok sa počiatočné náklady na dodržiavanie pohybujú v rozmedzí niekoľkých tisíc dolárov, pričom prebiehajúce prevádzkové náklady na údržbu politiky a správu súhlasu. Náklady na nedodržiavanie, vzhľadom na pokuty za porušenie, podstatne prevyšujú investíciu.
Ako zistím, či sa CPRA vzťahuje na návštevníkov mojej webovej stránky?
CPRA sa vzťahuje na základe bydliska spotrebiteľa, nie na základe umiestnenia podniku. Ak má webová stránka návštevníkov z Kalifornie a prevádzkovateľ spĺňa akúkoľvek z troch prahových hodnôt, povinnosti CPRA sa vzťahujú na údaje zhromaždené od týchto návštevníkov [7][8].
Praktické ukazovatele, že sa CPRA pravdepodobne vzťahuje:
- Webová stránka prijíma objednávky, registrácie alebo cielenie reklamy od používateľov v USA bez geografického blokovania Kalifornie.
- Podnik používa tretie strany reklamné siete, ktoré sa zaoberajú reklamou naprieč kontextmi.
- Webová stránka zbiera akúkoľvek formu SPI od používateľov (zdravotné dotazníky, finančné údaje, presná poloha).
Keď je pochybnosť, konzervatívna a právne obhájiteľná pozícia je zaobchádzať so všetkými návštevníkmi webových stránok v USA ako potenciálne pokrytými podľa CPRA a implementovať súladné toky súhlasu.
Povinné posúdenia rizík, audity kybernetickej bezpečnosti a čo príde ďalej
CPRA vyžaduje, aby podniky zapojené do spracovania s vysokým rizikom vykonávali pravidelné posúdenia rizík a audity kybernetickej bezpečnosti. Predpisy podrobne popisujúce tieto požiadavky boli finalizované v roku 2025 a nadobudli účinnosť v roku 2026 [6]. Aktivity s vysokým rizikom zahŕňajú spracovanie SPI vo veľkom rozsahu, profilovanie spotrebiteľov pre významné rozhodnutia a predaj alebo zdieľanie údajov s veľkým počtom tretích strán.
Okrem toho sa požiadavky na transparentnosť automatizovaného rozhodovania, ktoré pokrývajú profilovanie pre zamestnanie, úver, bývanie a podobné rozhodnutia s následkami, plánujú nadobudnúť účinnosť 1. januára 2027 [6]. Prevádzkovatelia webových stránok, ktorí používajú algoritmické odporúčacie systémy, nástroje na hodnotenie úveru alebo behaviorálne profilovanie, by mali začať plánovanie dodržiavania už teraz.
Záver
Pochopenie CCPA vs. CPRA: Čo sa zmenilo pre prevádzkovateľov webových stránok v Kalifornii? nie je voliteľné pre žiadny podnik, ktorý obsluhuje kalifornských obyvateľov vo veľkom. CPRA zaviedla podstatné nové povinnosti, kategórie citlivých údajov, právo na opravu, dodržiavanie signálov GPC, rozšírené požiadavky na dodávateľov a špecializovanú vykonávaciu agentúru s reálnou právomocou ukladať pokuty, ktoré vyžadujú konkrétne operačné reakcie, nie len aktualizácie politík.
Akčné kroky pre prevádzkovateľov webových stránok v roku 2026:
- Skontrolujte svoje aktuálne praktiky zbierania údajov v porovnaní so zoznamom kategórií SPI a pridajte požadovaný odkaz na odhlásenie, ak je to relevantné.
- Aktualizujte svoje zásady ochrany súkromia, aby odrážali práva CPRA, plány uchovávania údajov a rozšírenú definíciu "predaja".
- Implementujte detekciu signálov GPC, toto je priorita presadzovania a nemôže byť odložená.
- Preskúmajte a aktualizujte všetky zmluvy o spracovaní údajov s poskytovateľmi služieb a dodávateľmi.
- Vytvorte pracovný tok žiadostí o opravu spolu s existujúcim procesom vymazania.
- Ak vaša stránka vykonáva spracovanie s vysokým rizikom, objednajte si formálne posúdenie rizík predtým, než regulátori iniciujú jedno za vás.
- Zvážte riešenie na správu súhlasu, ako je Biscotti CMP (www.biscotti-cmp.com), na automatizáciu tokov odhlásenia, dodržiavanie GPC a zaznamenávanie preferencií.
Trajektória presadzovania CPRA v roku 2026 robí proaktívne dodržiavanie jedinou rozumnou stratégiou.
FAQ
Otázka: Je CPRA to isté ako CCPA 2.0? CPRA sa bežne nazýva "CCPA 2.0", pretože novelizovala, a nie nahradila CCPA. Pridala nové práva, novú vykonávaciu agentúru a nové kategórie údajov, pričom zachovala pôvodný rámec CCPA.
Otázka: Kedy začalo vykonávanie CPRA? Plné vykonávanie začalo 1. júla 2023. CPPA môže ukladať pokuty za porušenia, ktoré sa vyskytli po tomto dátume, bez predchádzajúceho obdobia na nápravu pre väčšinu porušení.
Otázka: Vzťahuje sa CPRA na podniky mimo Kalifornie? Áno. Akýkoľvek ziskový podnik, ktorý zbiera osobné údaje od kalifornských obyvateľov a spĺňa prahové hodnoty aplikovateľnosti, musí dodržiavať, bez ohľadu na to, kde má podnik sídlo.
Otázka: Čo je signál GPC a prečo je dôležitý? Globálna kontrola súkromia (GPC) je nastavenie na úrovni prehliadača, ktoré signalizuje preferenciu spotrebiteľa na odhlásenie. Podľa CPRA musia prevádzkovatelia webových stránok detekovať a rešpektovať signály GPC ako platné žiadosti o odhlásenie, ignorovanie je porušením dodržiavania.
Otázka: Vzťahuje sa CPRA na údaje zamestnancov? Áno. Od 1. januára 2023 vypršali dočasné výnimky pre údaje zamestnancov a B2B. Osobné údaje zamestnancov sú teraz predmetom plnej ochrany CPRA.
Otázka: Aký je rozdiel medzi "predajom" a "zdieľaním" podľa CPRA? Podľa pôvodného CCPA sa "predaj" vyžadoval výmenou za peňažnú hodnotu. CPRA toto rozšírila na "zdieľanie" osobných údajov s tretími stranami na účely reklamy naprieč kontextmi, aj bez priamej platby.
Otázka: Ako často musia byť zásady ochrany súkromia aktualizované podľa CPRA? Minimálne raz za 12 mesiacov. Musia byť tiež aktualizované, keď sa praktiky spracovania údajov podstatne zmenia.
Otázka: Sú neziskové organizácie oslobodené od CPRA? Vo všeobecnosti áno, CPRA sa vzťahuje na ziskové podniky. Avšak neziskové organizácie, ktoré pôsobia ako poskytovatelia služieb pre pokryté podniky, môžu mať zmluvné povinnosti na dodržiavanie.
Otázka: Čo sa stane, ak spotrebiteľ predloží žiadosť o opravu a podnik nesúhlasí? Podnik môže odmietnuť opravu, ak zistí, že informácie sú presné, ale musí zdokumentovať rozhodnutie a informovať spotrebiteľa o dôvode odmietnutia.
Otázka: Existuje súkromné právo na žalobu podľa CPRA? Existuje obmedzené súkromné právo na žalobu za porušenia údajov týkajúce sa určitých kategórií osobných údajov. Väčšina ostatných porušení je vymáhaná CPPA alebo generálnym prokurátorom, nie prostredníctvom súkromných žalôb.
Interaktívny kontrolór dodržiavania CPRA
Odkazy
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai