Právo USA a CCPA

CCPA vysvetlené: Ako spravovať opt-out pre kalifornských spotrebiteľov

7. júla 2026 · 16 min čítania

Rýchla odpoveď: Zákon o ochrane osobných údajov spotrebiteľov v Kalifornii (CCPA) poskytuje obyvateľom Kalifornie právo odmietnuť predaj alebo zdieľanie svojich osobných údajov. Od 1. januára 2026, novelizované predpisy teraz vyžadujú, aby podniky rešpektovali signály preferencií opt-out (ako je Global Privacy Control), viditeľne potvrdili, že tieto signály boli spracované, a zabezpečili, aby procesy opt-out neboli zložitejšie ako procesy opt-in. Nedodržanie môže viesť k civilným pokutám až do výšky 7 500 dolárov za úmyselné porušenie.

Kľúčové poznatky

CCPA sa vzťahuje na ziskové podniky, ktoré spĺňajú konkrétne prahové hodnoty príjmu, objemu údajov alebo predaja údajov, nie na každú spoločnosť pôsobiacu v Kalifornii.
Od 1. januára 2026 musia podniky zobraziť viditeľné potvrdenie, keď bol rozpoznaný a rešpektovaný signál preferencie opt-out (ako je Global Privacy Control). [3]
Mechanizmy opt-out musia byť rovnako jednoduché na použitie ako procesy opt-in; tmavé vzory, ktoré odrádzajú od opt-out, sú výslovne zakázané podľa zmien v roku 2026. [7]
Podniky majú 15 pracovných dní na to, aby rešpektovali žiadosť spotrebiteľa o opt-out po jej prijatí. [2]
"Osobné údaje" podľa CCPA sú široké: zahŕňajú IP adresy, históriu prehliadania, údaje o geolokácii, inferencie vyplývajúce z správania spotrebiteľa a ďalšie.
CCPA a GDPR fungujú na zásadne odlišných modeloch súhlasu, opt-out vs. opt-in, a mnohé podniky musia súčasne dodržiavať obidva.
Neaktualizovanie vašich zásad ochrany osobných údajov tak, aby odrážali práva CCPA, je samo o sebe medzerou v súlade, oddelenou od technických zlyhaní opt-out.
Platforma na správu súhlasu, ako je Biscotti CMP, môže automatizovať detekciu signálov, zobrazenie potvrdenia o opt-out a uchovávanie preferencií.

Čo je CCPA a prečo je dôležitý pre vaše podnikanie

Zákon o ochrane osobných údajov spotrebiteľov v Kalifornii je zákon o ochrane osobných údajov na štátnej úrovni, ktorý poskytuje obyvateľom Kalifornie konkrétne práva týkajúce sa toho, ako podniky zbierajú, používajú a predávajú ich osobné údaje. Je dôležitý, pretože Kalifornia je piatou najväčšou ekonomikou na svete a akékoľvek podnikanie, ktoré sa dotýka kalifornských spotrebiteľov, bez ohľadu na to, kde má sídlo, môže byť právne povinné dodržiavať.

CCPA bol pôvodne prijatý v roku 2018, posilnený Zákonom o právach na ochranu súkromia v Kalifornii (CPRA) v roku 2020 a materiálne aktualizovaný opäť s predpismi schválenými Kalifornským úradom pre správne právo 22. septembra 2025, účinné od 1. januára 2026. [1][5] Tieto zmeny v roku 2026 pridali nové povinnosti týkajúce sa technológie automatizovaného rozhodovania (ADMT), hodnotení rizík a, kriticky pre väčšinu podnikov, návrhu mechanizmov opt-out a požiadaviek na potvrdenie. [1][7]

Pochopenie CCPA vysvetleného: ako spravovať opt-out pre kalifornských spotrebiteľov už nie je voliteľné pre pokryté podniky. Regulačná úroveň sa zvýšila a vynucovanie nasledovalo.

Ako zistím, či sa CCPA vzťahuje na moju spoločnosť

CCPA sa vzťahuje na ziskové podniky, ktoré podnikajú v Kalifornii a spĺňajú aspoň jeden z nasledujúcich prahov:

Ročné hrubé príjmy presahujúce 25 miliónov dolárov
Ročne nakupujúce, predávajúce, prijímajúce alebo zdieľajúce osobné údaje 100 000 alebo viac kalifornských spotrebiteľov alebo domácností
Získavajúce 50 % alebo viac ročných príjmov z predaja alebo zdieľania osobných údajov kalifornských spotrebiteľov [4][6]

Vzťahuje sa CCPA na malé podniky pod určitým príjmom? Všeobecne nie. Ak podnik spadá pod všetky tri prahy, nie je pokrytým podnikaním podľa CCPA. Avšak poskytovatelia služieb a dodávatelia, ktorí spracovávajú údaje v mene pokrytých podnikov, podliehajú zmluvným povinnostiam CCPA, aj keď by inak samostatne nespĺňali podmienky. [2]

Okrajový prípad: Malá SaaS spoločnosť s príjmom pod 25 miliónov dolárov, ale s veľkým počtom používateľov v bezplatnej verzii, by mohla ľahko prekročiť prah 100 000 spotrebiteľských údajov bez toho, aby si to uvedomila.

Čo sa považuje za osobné údaje podľa CCPA

Osobné údaje podľa CCPA sú široko definované ako akékoľvek informácie, ktoré identifikujú, súvisia s, opisujú alebo by mohli byť rozumne prepojené s konkrétnym spotrebiteľom alebo domácnosťou. To presahuje len mená a e-mailové adresy.

Pokryté kategórie zahŕňajú:

Kategória	Príklady
Identifikátory	Meno, e-mail, IP adresa, ID zariadenia
Obchodné informácie	História nákupov, správanie pri prehliadaní
Biometrické údaje	Odtlačky prstov, údaje o rozpoznávaní tváre
Internetová aktivita	Cookies, história vyhľadávania, interakcie so stránkami
Geolokácia	Presná poloha z mobilných zariadení
Inferencie	Profily vytvorené z behaviorálnych údajov
Citlivé osobné údaje	Čísla sociálneho zabezpečenia, zdravotné údaje, presná geolokácia

Inferencie vyplývajúce z údajov spotrebiteľov na vytvorenie profilov o preferenciách, charakteristikách alebo správaní sú výslovne zahrnuté. [4] To je dôležité pre ad-tech, analytiku a personalizačné procesy.

Aký je rozdiel medzi opt-out a opt-in CCPA

CCPA funguje na modeli opt-out: podniky môžu zbierať a používať údaje spotrebiteľov ako predvolené, ale spotrebitelia majú právo požadovať, aby ich údaje neboli predávané alebo zdieľané. Súhlas opt-in je potrebný iba v špecifických okolnostiach, ako je spracovanie osobných údajov spotrebiteľov mladších ako 16 rokov. [4][6]

Toto je základný štrukturálny rozdiel od GDPR, ktorý funguje na modeli opt-in, ktorý vyžaduje afirmatívny súhlas pred začiatkom väčšiny spracovania údajov. Podľa CCPA ticho nie je súhlas, ale nie je to ani prekážka spracovaniu. Podľa GDPR ticho nie je súhlas a spracovanie nemôže začať bez neho.

Vyberte logiku opt-in, ak: spracovávate údaje od maloletých (do 16 rokov) alebo spracovávate kategórie citlivých osobných údajov, ktoré vyžadujú explicitný súhlas podľa kalifornského práva.

Vyberte logiku opt-out, ak: spracovávate štandardné údaje spotrebiteľov od dospelých a ste pokrytým podnikaním podľa CCPA.

Ako nastaviť odkaz "Do Not Sell or Share My Personal Information"

Každé pokryté podnikanie, ktoré predáva alebo zdieľa osobné údaje, musí na svojej domovskej stránke a v svojich zásadách ochrany osobných údajov poskytnúť jasný a nápadný odkaz s názvom "Do Not Sell or Share My Personal Information". [4][6]

Kroky na nastavenie:

Skontrolujte svoje toky údajov, aby ste zistili, či vaše podnikanie predáva alebo zdieľa osobné údaje, ako je definované CCPA.
Pridajte požadovaný odkaz do päty vašej webovej stránky a do nastavení mobilnej aplikácie.
Nakonfigurujte svoju platformu na správu súhlasu tak, aby zachytávala a časovo označovala žiadosti o opt-out.
Zabezpečte, aby proces opt-out nevyžadoval viac krokov ako proces opt-in, predpisy z roku 2026 výslovne zakazujú asymetrickú frustráciu. [7]
Automaticky rešpektujte signály Global Privacy Control (GPC), ak vaše podnikanie spracováva údaje založené na prehliadači.
Zobrazte viditeľné potvrdenie, že opt-out bol rozpoznaný, napríklad banner alebo stav prepínača, ktorý zobrazuje "Opt-Out Preference Signal Honored." [3]

Platforma ako Biscotti CMP môže automatizovať kroky 3 až 6, vrátane detekcie signálov GPC a zobrazenia súhlasného potvrdenia.

Ako dlho mám na odpoveď na žiadosť spotrebiteľa o opt-out

Podniky musia rešpektovať žiadosť spotrebiteľa o opt-out do 15 pracovných dní od jej prijatia. [2] To je odlišné od 45-dňového časového rámca odpovede, ktorý sa vzťahuje na iné žiadosti o práva spotrebiteľov (ako je prístup alebo vymazanie).

Po rešpektovaní musí podnik tiež informovať všetky tretie strany, ktorým predal alebo zdieľal údaje spotrebiteľa v predchádzajúcich 90 dňoch, aby prestali používať tieto údaje. [6] Táto povinnosť notifikácie je často prehliadaná a predstavuje bežnú medzeru v súlade.

Môžem stále používať údaje po tom, čo zákazník odmietne

Po tom, čo spotrebiteľ odmietne predaj alebo zdieľanie, podnik nesmie predávať ani zdieľať osobné údaje tohto spotrebiteľa v budúcnosti. Avšak podnik môže stále používať údaje na interné účely, ktoré sú v súlade so vzťahom spotrebiteľa s podnikom. [4]

Výslovne zakázané po opt-out:

Predaj alebo zdieľanie údajov s tretími stranami na krížové kontextové behaviorálne reklamy
Používanie údajov spôsobmi, ktoré sú nekompatibilné s kontextom, v ktorom boli zhromaždené

Stále povolené po opt-out:

Splnenie transakcie alebo služby, o ktorú spotrebiteľ požiadal
Interná analytika a prevencia podvodov
Dodržiavanie právnych povinností

Bežná chyba: Predpokladanie, že opt-out znamená úplné vymazanie údajov. Neznamená to. Spotrebitelia musia predložiť samostatnú žiadosť o vymazanie, aby aktivovali toto právo.

CCPA vs. GDPR: Ktorý z nich musím dodržiavať

Ak vaše podnikanie obsluhuje kalifornských obyvateľov aj obyvateľov Európskej únie, pravdepodobne musíte dodržiavať obidva. CCPA a GDPR nie sú navzájom vylučujúce a požiadavky na súlad sa líšia natolik, že jediná politika zriedka uspokojí obidve.

Faktor	CCPA	GDPR
Model súhlasu	Opt-out (predvolené spracovanie povolené)	Opt-in (súhlas vyžaduje najprv)
Geografický rozsah	Obyvatelia Kalifornie	Obyvatelia EÚ/EEA
Kto je pokrytý	Ziskové podniky spĺňajúce prahy	Akákoľvek entita spracovávajúca údaje obyvateľov EÚ
Pokuty	Až 7 500 dolárov za úmyselné porušenie	Až 4 % z celkového ročného obratu
Právo na vymazanie	Áno	Áno (Právo na vymazanie)
Prenosnosť údajov	Áno	Áno

Praktická implikácia: Banners na súhlas s GDPR nie sú automaticky v súlade s CCPA, pretože CCPA vyžaduje špecifický mechanizmus opt-out namiesto brány súhlasu.

Čo sa stane, ak nedodržím požiadavky CCPA

Nedodržanie vystavuje podniky civilným pokutám až do výšky 2 500 dolárov za neúmyselné porušenie a 7 500 dolárov za úmyselné porušenie, ktoré vynucuje Kalifornská agentúra na ochranu súkromia (CPPA). [4][6] Porušenia týkajúce sa údajov maloletých sú predvolene považované za úmyselné.

Spotrebitelia majú tiež súkromné právo na žalobu za porušenia údajov vyplývajúce z nedostatočného zavedenia primeraných bezpečnostných opatrení podniku, pričom zákonné náhrady sa pohybujú od 100 do 750 dolárov na spotrebiteľa za incident. [4]

Zmeny v roku 2026 rozšírili audítorské právomoci CPPA, čo znamená, že podniky podliehajúce požiadavkám na hodnotenie rizík môžu čeliť proaktívnemu regulačnému dohľadu, nie len reaktívnemu vynucovaniu. [1][7]

Musím aktualizovať svoje zásady ochrany osobných údajov pre CCPA

Áno. Pokryté podniky musia udržiavať zásady ochrany osobných údajov, ktoré minimálne zverejňujú:

Kategórie osobných údajov, ktoré sú zhromaždené, a účely ich zhromaždenia
Či sú osobné údaje predávané alebo zdieľané, a kategórie zapojených tretích strán
Práva spotrebiteľov dostupné podľa CCPA (opt-out, vymazanie, prístup, oprava, prenosnosť)
Ako môžu spotrebitelia predkladať žiadosti na uplatnenie týchto práv
Obdobie uchovávania pre každú kategóriu osobných údajov [4][6]

Zásady ochrany osobných údajov musia byť aktualizované aspoň raz za 12 mesiacov. Nedodržanie aktualizácie politiky po materiálnej zmene v praktikách spracovania údajov, ako je pridanie nového dodávateľa analytiky, je samo o sebe porušením súladu.

Ako overím, že žiadosť spotrebiteľa o opt-out je legitímna

Pre žiadosti o opt-out konkrétne CCPA nevyžaduje, aby podniky overovali identitu spotrebiteľa, ktorý žiadosť podáva. [2] To je zámerné: vyžadovanie overenia identity pre opt-out by vytvorilo prekážku, ktorá podkopáva toto právo.

Avšak podniky môžu použiť primerané prostriedky na potvrdenie, že žiadosť nie je podvodná, ako napríklad potvrdenie e-mailovej adresy spojené s účtom. Štandard pre overenie opt-out je zámerne nižší ako pre žiadosti o vymazanie alebo prístup, kde je overenie identity vhodné, pretože tieto žiadosti sa týkajú zverejnenia alebo zničenia údajov.

Okrajový prípad: Ak žiadosť o opt-out príde prostredníctvom automatizovaného signálu (GPC), nie je potrebný ani povolený žiadny ďalší krok overenia, signál sám o sebe predstavuje platnú žiadosť. [3][7]

Ako fungujú mechanizmy opt-out na mobilných aplikáciách vs. webových stránkach

Na webových stránkach musia mechanizmy opt-out obsahovať odkaz "Do Not Sell or Share My Personal Information" v päte a musia rešpektovať signály GPC na úrovni prehliadača. [3][7] Na mobilných aplikáciách sú požiadavky funkčne ekvivalentné, ale implementácia sa líši:

Mobilné aplikácie musia zahrnúť možnosť opt-out v nastaveniach aplikácie alebo v sekcii preferencií ochrany osobných údajov.
Aplikácie distribuované prostredníctvom obchodov s aplikáciami musia dodržiavať akékoľvek ďalšie požiadavky na ochranu súkromia na úrovni platformy (ako je Transparentnosť sledovania aplikácií na iOS), ale tieto požiadavky platformy nenahrádzajú súlad s CCPA.
Automatizované signály z mobilných operačných systémov musia byť rešpektované rovnakým spôsobom ako signály GPC založené na prehliadači, ak podnik spracováva tieto údaje.

Predpisy z roku 2026 jasne uvádzajú, že kanál (web vs. aplikácia) nemení základnú povinnosť, iba technická implementácia sa líši.

Aké sú bežné chyby, ktoré podniky robia pri dodržiavaní CCPA

Aj dobre mienené podniky často robia nasledujúce chyby:

Považovanie opt-out za opt-in: Vyžadovanie od spotrebiteľov, aby potvrdili svoj opt-out prostredníctvom viacerých krokov, čo porušuje požiadavku na symetriu v zmenách z roku 2026. [7]
Ignorovanie signálov GPC: Nepretrhnutie technológie na detekciu a rešpektovanie signálov Global Privacy Control z prehliadača, ktoré sú teraz považované za platné žiadosti o opt-out. [3]
Nedostatočné zobrazenie potvrdenia o opt-out: Pravidlá z roku 2026 vyžadujú viditeľné potvrdenie, že signál bol spracovaný, záznam v backendovom logu nie je dostatočný. [3]
Prehliadanie downstream dodávateľov: Neinformovanie tretích strán, ktoré prijali údaje po prijatí opt-out.
Statické zásady ochrany osobných údajov: Nedodržanie aktualizácie politiky ročne alebo po materiálnych zmenách v praktikách spracovania údajov.
Zamieňanie poskytovateľov služieb s tretími stranami: Poskytovatelia služieb spracovávajúci údaje na základe zmluvy majú iné povinnosti ako tretie strany, ktoré prijímajú údaje na vlastné účely.

FAQ

Vzťahuje sa CCPA na neziskové organizácie? Nie. CCPA sa vzťahuje iba na ziskové podniky. Neziskové organizácie nie sú pokrytými podnikmi, aj keď môžu podliehať iným kalifornským zákonom o ochrane súkromia.

Čo je Global Privacy Control (GPC) a musím ho rešpektovať? GPC je signál na úrovni prehliadača, ktorý automaticky komunikuje preferenciu spotrebiteľa na opt-out. Od 1. januára 2026 musia pokryté podniky, ktoré spracovávajú údaje z prehliadača, rešpektovať signály GPC ako platné žiadosti o opt-out a zobraziť potvrdenie, že signál bol spracovaný. [3][7]

Môže podnik účtovať spotrebiteľom, ktorí odmietnu, inú cenu? Všeobecne nie. CCPA zakazuje podnikaniu diskriminovať spotrebiteľov, ktorí uplatňujú svoje práva na ochranu súkromia, vrátane účtovania rôznych cien, pokiaľ nie je rozdiel primerane spojený s hodnotou údajov spotrebiteľa. [4]

Ako dlho musia byť uchovávané záznamy o opt-out? CCPA nešpecifikuje univerzálne obdobie uchovávania pre záznamy o opt-out, ale podniky by mali uchovávať záznamy dostatočne dlho na to, aby preukázali súlad v prípade auditu alebo vynucovania, zvyčajne sa považuje za primeraný základ aspoň 24 mesiacov. [6]

Spĺňa banner cookies požiadavky na opt-out CCPA? Banner cookies sám o sebe nie je dostatočný. CCPA vyžaduje samostatný odkaz "Do Not Sell or Share My Personal Information" a zmeny v roku 2026 vyžadujú, aby podniky rešpektovali a potvrdzovali signály GPC nezávisle od akýchkoľvek interakcií so súhlasom cookies. [3][7]

Aký je rozdiel medzi "predajom" a "zdieľaním" podľa CCPA? "Predaj" zahŕňa výmenu osobných údajov za peňažnú protihodnotu. "Zdieľanie" pokrýva zverejnenie osobných údajov na krížové kontextové behaviorálne reklamy, aj bez platby. Obe spúšťajú práva na opt-out. [4]

Potrebujem samostatné mechanizmy opt-out pre každú kategóriu údajov? Nie. Jeden mechanizmus opt-out pokrývajúci predaj a zdieľanie je dostatočný, aj keď podniky musia jasne opísať vo svojich zásadách ochrany osobných údajov, aké kategórie údajov sú pokryté.

Čo je hodnotenie rizika podľa zmien CCPA v roku 2026? Podniky, ktoré spracovávajú osobné údaje spôsobmi, ktoré predstavujú významné riziká pre súkromie, vrátane používania technológie automatizovaného rozhodovania, musia vykonávať a dokumentovať hodnotenia rizík pred začatím takéhoto spracovania. [1][7]

Záver

CCPA vysvetlené: ako spravovať opt-out pre kalifornských spotrebiteľov je pohyblivý cieľ, a zmeny v roku 2026 výrazne zvýšili latku. Základné povinnosti, poskytnúť jasný mechanizmus opt-out, rešpektovať žiadosti spotrebiteľov do 15 pracovných dní a aktualizovať svoje zásady ochrany osobných údajov, zostávajú základné. Ale nové požiadavky týkajúce sa potvrdenia signálov GPC, zákazu tmavých vzorov a hodnotení rizík ADMT si vyžadujú systematickejší prístup, než aký môže poskytnúť statický odkaz v päte.

Akčné kroky pre pokryté podniky:

Skontrolujte svoj aktuálny proces opt-out v súlade s požiadavkou na symetriu z roku 2026: spočítajte kroky na opt-out a porovnajte ich so krokmi na opt-in.
Overte, že vaša webová stránka a mobilná aplikácia detegujú a rešpektujú signály Global Privacy Control, a že je zobrazená viditeľná potvrdzujúca správa, keď je signál prijatý.
Skontrolujte svoj zoznam dodávateľov tretích strán a potvrďte, že sú zavedené postupy notifikácie downstream pre prenos údajov po opt-out.
Aktualizujte svoje zásady ochrany osobných údajov, aby odrážali aktuálne praktiky spracovania údajov, obdobia uchovávania a úplný zoznam práv spotrebiteľov.
Zvážte platformu na správu súhlasu, ako je Biscotti CMP, na automatizáciu detekcie signálov, potvrdenia opt-out a uchovávania preferencií naprieč webovými a mobilnými kanálmi.

Súlad nie je jednorazový projekt. CPPA preukázala ochotu poskytovať usmernenia a usilovať sa o vynucovanie, a regulačné prostredie sa bude naďalej vyvíjať. Vytvorenie opakovateľných, audítorských procesov teraz je najobranejšia pozícia, ktorú môže pokryté podnikanie zaujať.