Hiter odgovor: Zakon o varstvu zasebnosti potrošnikov v Kaliforniji (CCPA) daje prebivalcem Kalifornije pravico, da se odjavijo od prodaje ali deljenja svojih osebnih podatkov. Od 1. januarja 2026 spremenjena pravila zdaj zahtevajo, da podjetja upoštevajo signale o preferencah za odjavo (kot je Global Privacy Control), vidno potrdijo, da so ti signali obdelani, in zagotovijo, da so postopki za odjavo enostavnejši od postopkov za prijavo. Neupoštevanje lahko privede do civilnih kazni do 7.500 USD za namerno kršitev.
Ključne točke
- CCPA se uporablja za podjetja, ki delujejo za dobiček in izpolnjujejo določene praga prihodkov, količine podatkov ali prodaje podatkov, ne pa za vsako podjetje, ki deluje v Kaliforniji.
- Od 1. januarja 2026 morajo podjetja vidno potrditi, ko je bil prepoznan in upoštevan signal o preferencah za odjavo (kot je Global Privacy Control). [3]
- Mehanizmi za odjavo morajo biti enostavni za uporabo, kot postopki za prijavo; temni vzorci, ki odvračajo od odjav, so izrecno prepovedani po spremembah iz leta 2026. [7]
- Podjetja imajo 15 delovnih dni, da upoštevajo zahtevo potrošnika za odjavo po prejemu. [2]
- "Osebni podatki" po CCPA so široko opredeljeni: vključujejo IP naslove, zgodovino brskanja, podatke o geolokaciji, sklepe, pridobljene iz vedenja potrošnikov, in še več.
- CCPA in GDPR delujeta na temeljno različnih modelih soglasja, odjava proti prijavi, in mnoga podjetja se morajo uskladiti z obema hkrati.
- Neuspeh pri posodobitvi vaše politike zasebnosti, da odraža pravice CCPA, je sam po sebi vrzel v skladnosti, ločeno od tehničnih neuspehov pri odjavi.
- Platforma za upravljanje soglasij, kot je Biscotti CMP, lahko avtomatizira zaznavanje signalov, prikaz potrditev odjave in vodenje evidenc preferenc.
Kaj je CCPA in zakaj je pomemben za vaše podjetje
Zakon o varstvu zasebnosti potrošnikov v Kaliforniji je zakon o zasebnosti na ravni države, ki daje prebivalcem Kalifornije specifične pravice glede tega, kako podjetja zbirajo, uporabljajo in prodajajo njihove osebne podatke. Pomemben je, ker je Kalifornija peta največja ekonomija na svetu, in vsako podjetje, ki se ukvarja s potrošniki v Kaliforniji, ne glede na to, kje ima sedež, je morda pravno zavezano, da se uskladi.
CCPA je bil prvotno sprejet leta 2018, okrepil ga je Zakon o pravicah na področju zasebnosti v Kaliforniji (CPRA) leta 2020, in znatno posodobljen z regulativami, ki jih je odobrila Kalifornijska pisarna za upravno pravo 22. septembra 2025, z učinkom od 1. januarja 2026. [1][5] Te spremembe iz leta 2026 so dodale nove dolžnosti glede tehnologij avtomatiziranega odločanja (ADMT), ocenjevanja tveganj in, kar je kritično za večino podjetij, oblikovanja mehanizmov za odjavo in zahtev po potrditvi. [1][7]
Razumevanje CCPA pojasnjeno: kako upravljati odjavami za potrošnike v Kaliforniji ni več opcijsko za pokrita podjetja. Regulativna tla so se dvignila, in izvrševanje je sledilo.
Kako vem, ali se CCPA uporablja za moje podjetje
CCPA se uporablja za podjetja, ki delujejo za dobiček in poslujejo v Kaliforniji ter izpolnjujejo vsaj en od naslednjih pragov:
- Letni bruto prihodki, ki presegajo 25 milijonov USD
- Letno nakupovanje, prodaja, prejemanje ali deljenje osebnih podatkov 100.000 ali več potrošnikov ali gospodinjstev v Kaliforniji
- Pridobivanje 50 % ali več letnih prihodkov iz prodaje ali deljenja osebnih podatkov potrošnikov v Kaliforniji [4][6]
Ali se CCPA uporablja za mala podjetja pod določenimi prihodki? Na splošno ne. Če podjetje ne doseže vseh treh pragov, ni pokrito podjetje po CCPA. Vendar pa so ponudniki storitev in izvajalci, ki obdelujejo podatke v imenu pokritih podjetij, zavezani k pogodbenim obveznostim CCPA, tudi če sicer ne bi izpolnjevali pogojev. [2]
Robni primer: Malo podjetje SaaS z manj kot 25 milijoni USD prihodkov, a z veliko bazo uporabnikov brezplačnega nivoja, bi lahko enostavno preseglo prag podatkov o 100.000 potrošnikih, ne da bi se tega zavedalo.
Kaj šteje kot osebni podatki po CCPA
Osebni podatki po CCPA so široko opredeljeni kot katerikoli podatki, ki identificirajo, se nanašajo, opisujejo ali bi jih bilo mogoče razumno povezati s posebnim potrošnikom ali gospodinjstvom. To presega le imena in e-poštne naslove.
Pokrite kategorije vključujejo:
| Kategorija | Primeri |
|---|---|
| Identifikatorji | Ime, e-pošta, IP naslov, ID naprave |
| Komercialni podatki | Zgodovina nakupov, vedenje pri brskanju |
| Biometrični podatki | Odtisi prstov, podatki o prepoznavanju obraza |
| Internetna aktivnost | Piškotki, zgodovina iskanja, interakcije s spletnimi stranmi |
| Geolokacija | Natančna lokacija iz mobilnih naprav |
| Sklepi | Profili, zgrajeni na podlagi vedenjskih podatkov |
| Občutljivi osebni podatki | Številke socialne varnosti, zdravstveni podatki, natančna geolokacija |
Sklepi, pridobljeni iz podatkov potrošnikov za ustvarjanje profilov o preferencah, značilnostih ali vedenju, so izrecno vključeni. [4] To je pomembno za oglaševalsko tehnologijo, analitiko in personalizacijske tokove.
Kakšna je razlika med odjavo in prijavo po CCPA
CCPA deluje na modelu odjave: podjetja lahko zbirajo in uporabljajo podatke potrošnikov privzeto, vendar imajo potrošniki pravico zahtevati, da se njihovi podatki ne prodajajo ali delijo. Soglasje za prijavo je potrebno le v specifičnih okoliščinah, kot je obravnava osebnih podatkov potrošnikov, mlajših od 16 let. [4][6]
To je temeljna strukturna razlika od GDPR, ki deluje na modelu prijave, ki zahteva afirmativno soglasje, preden se začne večina obdelave podatkov. Po CCPA tišina ni soglasje, vendar tudi ni ovira za obdelavo. Po GDPR tišina ni soglasje in obdelava se ne more začeti brez njega.
Izberite logiko prijave, če: obravnavate podatke mladoletnikov (mlajših od 16 let) ali obdelujete kategorije občutljivih osebnih podatkov, ki zahtevajo izrecno soglasje po kalifornijskem zakonu.
Izberite logiko odjave, če: obravnavate standardne potrošniške podatke odraslih in ste pokrito podjetje po CCPA.
Kako nastaviti povezavo "Ne prodajajte ali delite mojih osebnih podatkov"
Vsako pokrito podjetje, ki prodaja ali deli osebne podatke, mora na svoji domači strani in v svoji politiki zasebnosti zagotoviti jasno in opazno povezavo z naslovom "Ne prodajajte ali delite mojih osebnih podatkov". [4][6]
Postopek nastavitve po korakih:
- Opravite revizijo svojih podatkovnih tokov, da ugotovite, ali vaše podjetje prodaja ali deli osebne podatke, kot jih opredeljuje CCPA.
- Dodajte zahtevano povezavo v nogo vaše spletne strani in v meni nastavitev mobilne aplikacije.
- Konfigurirajte svojo platformo za upravljanje soglasij, da zajame in označi čas odjavne zahteve.
- Poskrbite, da postopek odjave ne zahteva več korakov kot postopek prijave; predpisi iz leta 2026 izrecno prepovedujejo asimetrično trenje. [7]
- Samodejno upoštevajte signale Global Privacy Control (GPC), če vaše podjetje obdeluje podatke, pridobljene iz brskalnika.
- Prikazujte vidno potrditev, da je bila odjava prepoznana, na primer pasica ali stanje preklopa, ki prikazuje "Signal o preferencah za odjavo upoštevan." [3]
Platforma, kot je Biscotti CMP, lahko avtomatizira korake od 3 do 6, vključno z zaznavanjem signalov GPC in skladnim prikazom potrditev.
Koliko časa imam, da odgovorim na zahtevo potrošnika za odjavo
Podjetja morajo upoštevati zahtevo potrošnika za odjavo v 15 delovnih dneh po prejemu. [2] To je ločeno od 45-dnevnega odzivnega okna, ki velja za druge zahteve pravic potrošnikov (kot so dostop ali izbris).
Ko je odjava upoštevana, mora podjetje tudi obvestiti vse tretje osebe, katerim je prodalo ali delilo podatke potrošnika v prejšnjih 90 dneh, in jih usmeriti, naj prenehajo uporabljati te podatke. [6] Ta obveznost obveščanja po odjavi je pogosto spregledana in predstavlja pogosto vrzel v skladnosti.
Ali lahko še vedno uporabljam podatke po tem, ko se stranka odjavi
Po tem, ko se potrošnik odjavi od prodaje ali deljenja, podjetje ne sme prodati ali deliti osebnih podatkov tega potrošnika naprej. Vendar pa lahko podjetje še vedno uporablja podatke za notranje namene, ki so skladni z odnosom potrošnika s podjetjem. [4]
Specifično prepovedano po odjavi:
- Prodaja ali deljenje podatkov s tretjimi osebami za oglaševanje na podlagi vedenja v različnih kontekstih
- Uporaba podatkov na načine, ki niso skladni s kontekstom, v katerem so bili zbrani
Še vedno dovoljeno po odjavi:
- Izpolnitev transakcije ali storitve, ki jo je potrošnik zahteval
- Notranja analitika in preprečevanje goljufij
- Usklajevanje z zakonskimi obveznostmi
Pogosta napaka: Predpostavka, da odjava pomeni popolno izbris podatkov. Ne pomeni. Potrošniki morajo predložiti ločeno zahtevo za izbris, da aktivirajo to pravico.
CCPA proti GDPR: Katero moram upoštevati
Če vaše podjetje služi tako prebivalcem Kalifornije kot prebivalcem Evropske unije, se verjetno morate uskladiti z obema. CCPA in GDPR nista medsebojno izključujoča, in zahteve za skladnost se dovolj razlikujejo, da redko ena politika zadostuje obema.
| Faktor | CCPA | GDPR |
|---|---|---|
| Model soglasja | Odjava (privzeta obdelava dovoljena) | Prijava (soglasje najprej potrebno) |
| Geografsko področje | Prebivalci Kalifornije | Prebivalci EU/EEA |
| Koga pokriva | Podjetja za dobiček, ki izpolnjujejo pragove | Vsaka entiteta, ki obdeluje podatke prebivalcev EU |
| Kazni | Do 7.500 USD za namerno kršitev | Do 4 % svetovnega letnega prometa |
| Pravica do izbrisa | Da | Da (Pravica do izbrisa) |
| Prenosljivost podatkov | Da | Da |
Praktična posledica: Banners za soglasje, skladni z GDPR, niso samodejno skladni s CCPA, ker CCPA zahteva specifičen mehanizem za odjavo, namesto prehoda za soglasje.
Kaj se zgodi, če se ne uskladim z zahtevami CCPA
Neusklajenost izpostavlja podjetja civilnim kaznim do 2.500 USD za nenamerno kršitev in 7.500 USD za namerno kršitev, ki jih izvršuje Kalifornijska agencija za zaščito zasebnosti (CPPA). [4][6] Kršitve, ki vključujejo podatke mladoletnikov, se privzeto obravnavajo kot namerne.
Potrošniki imajo tudi pravico do zasebne tožbe zaradi kršitev podatkov, ki izhajajo iz neuspeha podjetja pri izvajanju razumnih varnostnih ukrepov, s statutarnimi škodami v razponu od 100 do 750 USD na potrošnika na incident. [4]
Spremembe iz leta 2026 so razširile pooblastila CPPA za revizijo, kar pomeni, da se lahko podjetja, ki so predmet zahtev po oceni tveganja, soočajo z aktivnim regulativnim nadzorom, ne le reaktivnim izvrševanjem. [1][7]
Ali moram posodobiti svojo politiko zasebnosti za CCPA
Da. Pokrita podjetja morajo vzdrževati politiko zasebnosti, ki razkriva, vsaj:
- Kategorije osebnih podatkov, ki se zbirajo, in namene zbiranja
- Ali se osebni podatki prodajajo ali delijo, ter kategorije vpletenih tretjih oseb
- Pravice potrošnikov, ki so na voljo po CCPA (odjava, izbris, dostop, popravek, prenosljivost)
- Kako lahko potrošniki predložijo zahteve za uveljavitev teh pravic
- Obdobje hrambe za vsako kategorijo osebnih podatkov [4][6]
Politike zasebnosti je treba posodobiti vsaj enkrat na 12 mesecev. Neuspeh pri posodobitvi politike po materialni spremembi v praksah obdelave podatkov, kot je dodajanje novega ponudnika analitike, je sam po sebi kršitev skladnosti.
Kako lahko preverim, ali je zahteva potrošnika za odjavo legitimna
Za zahteve za odjavo CCPA ne zahteva, da podjetja preverijo identiteto potrošnika, ki predloži zahtevo. [2] To je namerno: zahteva po preverjanju identitete za odjave bi ustvarila trenje, ki bi podkrepilo pravico.
Vendar pa lahko podjetja uporabijo razumne načine za potrditev, da zahteva ni goljufiva, na primer potrditev e-poštnega naslova, povezanega z računom. Standard za preverjanje odjave je namerno nižji kot za zahteve po izbrisu ali dostopu, kjer je preverjanje identitete primerno, ker te zahteve vključujejo razkrivanje ali uničenje podatkov.
Robni primer: Če zahteva za odjavo prispe preko avtomatiziranega signala (GPC), ni potrebna ali dovoljena dodatna preveritvena stopnja, signal sam po sebi predstavlja veljavno zahtevo. [3][7]
Kako delujejo mehanizmi za odjavo na mobilnih aplikacijah v primerjavi s spletnimi stranmi
Na spletnih straneh morajo mehanizmi za odjavo vključevati povezavo "Ne prodajajte ali delite mojih osebnih podatkov" v nogi in morajo upoštevati signale GPC na ravni brskalnika. [3][7] Na mobilnih aplikacijah so zahteve funkcionalno enake, vendar se izvajanje razlikuje:
- Mobilne aplikacije morajo vključevati možnost odjave v meniju nastavitev aplikacije ali v razdelku o preferencah zasebnosti.
- Aplikacije, distribuirane preko trgovin z aplikacijami, morajo izpolnjevati dodatne zahteve glede zasebnosti na ravni platforme (kot je App Tracking Transparency na iOS), vendar te zahteve platforme ne nadomestijo skladnosti s CCPA.
- Avtomatizirani signali iz mobilnih operacijskih sistemov morajo biti upoštevani na enak način kot signali GPC, pridobljeni iz brskalnika, če podjetje obdeluje te podatke.
Predpisi iz leta 2026 jasno navajajo, da kanal (splet proti aplikaciji) ne spremeni temeljne obveznosti, le tehnično izvajanje se razlikuje.
Katere so pogoste napake, ki jih podjetja delajo pri skladnosti s CCPA
Tudi dobro namenjena podjetja pogosto delajo naslednje napake:
- Obravnavanje odjave kot prijave: Zahtevati od potrošnikov, da afirmativno potrdijo svojo odjavo skozi več korakov, kar krši zahtevo po simetriji v spremembah iz leta 2026. [7]
- Ignoriranje signalov GPC: Ne konfigurirati svoje tehnološke infrastrukture za zaznavanje in upoštevanje signalov Global Privacy Control iz brskalnika, ki se zdaj obravnavajo kot veljavne zahteve za odjavo. [3]
- Neprikazovanje potrditve odjave: Pravila iz leta 2026 zahtevajo vidno potrditev, da je bil signal obdelan, vnos v dnevnik na zadnjem delu ni dovolj. [3]
- Spregledovanje downstream ponudnikov: Ne obvestiti prejemnikov podatkov tretjih oseb po prejemu odjave.
- Statistične politike zasebnosti: Ne posodobiti politike letno ali po materialnih spremembah v praksah obdelave podatkov.
- Zmeda med ponudniki storitev in tretjimi osebami: Ponudniki storitev, ki obdelujejo podatke na podlagi pogodbe, imajo drugačne obveznosti kot tretje osebe, ki prejemajo podatke za svoje namene.
Pogosta vprašanja
Ali se CCPA uporablja za neprofitne organizacije? Ne. CCPA se uporablja samo za podjetja, ki delujejo za dobiček. Neprofitne organizacije niso pokrita podjetja, čeprav so lahko predmet drugih kalifornijskih zakonov o zasebnosti.
Kaj je Global Privacy Control (GPC) in ali ga moram upoštevati? GPC je signal na ravni brskalnika, ki samodejno sporoča preferenco potrošnika za odjavo. Od 1. januarja 2026 morajo pokrita podjetja, ki obdelujejo podatke iz brskalnika, upoštevati signale GPC kot veljavne zahteve za odjavo in prikazati potrditev, da je bil signal obdelan. [3][7]
Ali lahko podjetje zaračuna drugačno ceno potrošnikom, ki se odjavijo? Na splošno ne. CCPA prepoveduje podjetjem, da diskriminirajo potrošnike, ki uveljavljajo svoje pravice do zasebnosti, vključno z zaračunavanjem različnih cen, razen če je razlika razumno povezana z vrednostjo podatkov potrošnika. [4]
Kako dolgo morajo biti shranjeni zapisi o odjavi? CCPA ne določa univerzalnega obdobja hrambe za zapise o odjavi, vendar bi morali podjetja hraniti zapise dovolj dolgo, da dokažejo skladnost v primeru revizije ali izvrševanja, običajno se šteje, da je vsaj 24 mesecev razumno osnovno obdobje. [6]
Ali piškotkov pasica zadostuje zahtevam CCPA za odjavo? Pasica za piškotke sama po sebi ni dovolj. CCPA zahteva namensko povezavo "Ne prodajajte ali delite mojih osebnih podatkov", spremembe iz leta 2026 pa zahtevajo, da podjetja upoštevajo in potrdijo signale GPC neodvisno od kakršne koli interakcije s soglasjem za piškotke. [3][7]
Kakšna je razlika med "prodajo" in "deljenjem" po CCPA? "Prodaja" vključuje izmenjavo osebnih podatkov za denarno nadomestilo. "Deljenje" pokriva razkrivanje osebnih podatkov za oglaševanje na podlagi vedenja v različnih kontekstih, tudi brez plačila. Obe sprožita pravice do odjave. [4]
Ali potrebujem ločene mehanizme za odjavo za vsako kategorijo podatkov? Ne. En sam mehanizem za odjavo, ki pokriva prodajo in deljenje, je dovolj, čeprav morajo podjetja jasno opisati v svoji politiki zasebnosti, katere kategorije podatkov so pokrite.
Kaj je ocena tveganja po spremembah CCPA iz leta 2026? Podjetja, ki obdelujejo osebne podatke na načine, ki predstavljajo pomembna tveganja za zasebnost, vključno z uporabo tehnologij avtomatiziranega odločanja, morajo izvesti in dokumentirati ocene tveganja, preden začnejo to obdelavo. [1][7]
Zaključek
CCPA pojasnjeno: kako upravljati odjavami za potrošnike v Kaliforniji je gibljiv cilj, in spremembe iz leta 2026 so znatno dvignile standarde. Temeljne obveznosti, kot so zagotavljanje jasnega mehanizma za odjavo, upoštevanje zahtev potrošnikov v 15 delovnih dneh in posodabljanje vaše politike zasebnosti, ostajajo temeljne. Vendar pa nove zahteve glede potrditve signalov GPC, prepovedi temnih vzorcev in ocen tveganja ADMT zahtevajo bolj sistematičen pristop, kot ga lahko zagotovi statična povezava v nogi.
Izvedljivi naslednji koraki za pokrita podjetja:
- Opravite revizijo trenutnega postopka odjave v skladu z zahtevami simetrije iz leta 2026: preštejte korake za odjavo in jih primerjajte s koraki za prijavo.
- Preverite, ali vaša spletna stran in mobilna aplikacija zaznavajo in upoštevajo signale Global Privacy Control ter da se prikaže vidno sporočilo o potrditvi, ko je signal prejet.
- Preglejte seznam svojih tretjih ponudnikov in potrdite, da so vzpostavljeni postopki obveščanja downstream za podatkovne tokove po odjavi.
- Posodobite svojo politiko zasebnosti, da odraža trenutne prakse obdelave podatkov, obdobja hrambe in celoten seznam pravic potrošnikov.
- Ocenite platformo za upravljanje soglasij, kot je Biscotti CMP, za avtomatizacijo zaznavanja signalov, potrjevanja odjav in vodenja evidenc preferenc preko spletnih in mobilnih kanalov.
Skladnost ni enkratni projekt. CPPA je pokazala pripravljenost, da izda smernice in sledi izvrševanju, regulativno okolje pa se bo še naprej razvijalo. Zgradnja ponovljivih, revizijskih procesov zdaj je najbolj obramba, ki jo lahko pokrito podjetje sprejme.
Reference
[1] Navigating New Obligations Under The CCPA Updated Regulations - https://www.lw.com/en/insights/navigating-new-obligations-under-the-ccpa-updated-regulations
[2] Navigating California Consumer Privacy Act 30 Essential FAQs Covered Businesses Including Clarifying Regulations Effective 1/1/26 - https://www.jacksonlewis.com/insights/navigating-california-consumer-privacy-act-30-essential-faqs-covered-businesses-including-clarifying-regulations-effective-1126
[3] Show Me That You've Opted Me Out: New CCPA Rules Require Businesses To Prove Compliance - https://www.nelsonmullins.com/insights/alerts/fcc-download/all/show-me-that-you-ve-opted-me-out-new-ccpa-rules-require-businesses-to-prove-compliance
[4] CCPA Statute Effective 2026-01-01 - https://cppa.ca.gov/regulations/pdf/ccpa_statute_eff_20260101.pdf
[5] CCPA Updates - https://cppa.ca.gov/regulations/ccpa_updates.html
[6] CCPA Requirements 2026: Complete Compliance Guide - https://secureprivacy.ai/blog/ccpa-requirements-2026-complete-compliance-guide
[7] CCPA 2026: Navigating The Expanded Consumer Privacy Compliance Requirements For Businesses - https://www.lathropgpm.com/insights/ccpa-2026-navigating-the-expanded-consumer-privacy-compliance-requirements-for-businesses/
[8] CCPA in 2026: What's Changing in Consent, Consumer Rights, and AI Governance - https://www.onetrust.com/blog/ccpa-in-2026-whats-changing-in-consent-consumer-rights-and-ai-governance/
[9] New CCPA 2026 Regulations: Your Complete Compliance Action Guide - https://captaincompliance.com/education/new-ccpa-2026-regulations-your-complete-compliance-action-guide/
[10] CPPA Regulations - https://cppa.ca.gov/regulations/