Право САД и CCPA

CCPA Objašnjeno: Kako Upravljati Opt-Out Opcijama za Potrošače u Kaliforniji

7. јул 2026. · 16 min čitanja

Brzi odgovor: Zakon o privatnosti potrošača u Kaliforniji (CCPA) daje stanovnicima Kalifornije pravo da se isključe iz prodaje ili deljenja svojih ličnih informacija. Od 1. januara 2026. godine, izmenjeni propisi sada zahtevaju od preduzeća da poštuju signale o preferencama za isključenje (kao što je Global Privacy Control), vidljivo potvrde da su ti signali obrađeni, i osiguraju da su tokovi isključenja jednako jednostavni kao i tokovi uključivanja. Nepoštovanje može rezultirati građanskim kaznama do 7.500 dolara po namernom kršenju.

Ključne tačke

CCPA se primenjuje na profitne organizacije koje ispunjavaju određene kriterijume prihoda, obima podataka ili praga prodaje podataka, a ne na svaku kompaniju koja posluje u Kaliforniji.
Od 1. januara 2026. godine, preduzeća moraju prikazati vidljivu potvrdu kada je signal o preferencama za isključenje (kao što je Global Privacy Control) prepoznat i poštovan. [3]
Mehanizmi isključenja moraju biti jednako jednostavni za korišćenje kao i tokovi uključivanja; tamni obrasci koji obeshrabruju isključenja su izričito zabranjeni prema izmenama iz 2026. godine. [7]
Preduzeća imaju 15 radnih dana da poštuju zahtev potrošača za isključenje nakon prijema. [2]
"Lične informacije" prema CCPA su široke: uključuju IP adrese, istoriju pretraživanja, podatke o geolokaciji, inferencije iz ponašanja potrošača i još mnogo toga.
CCPA i GDPR funkcionišu na fundamentalno različitim modelima pristanka, isključenje naspram uključivanja, i mnoga preduzeća moraju da se pridržavaju oba istovremeno.
Nepoštovanje ažuriranja vaše politike privatnosti da odražava prava prema CCPA je samo po sebi propust u usklađenosti, odvojen od tehničkih neuspeha u isključenju.
Platforma za upravljanje pristankom kao što je Biscotti CMP može automatizovati detekciju signala, prikaz potvrde o isključenju i vođenje evidencije o preferencama.

Šta je CCPA i zašto je važan za vaše preduzeće

Zakon o privatnosti potrošača u Kaliforniji je zakon o privatnosti na nivou države koji daje stanovnicima Kalifornije određena prava u vezi sa tim kako preduzeća prikupljaju, koriste i prodaju njihove lične podatke. Važno je jer je Kalifornija peta najveća ekonomija na svetu, i svako preduzeće koje se bavi potrošačima u Kaliforniji, bez obzira na to gde je preduzeće registrovano, može biti zakonski obavezano da se pridržava.

CCPA je prvobitno donet 2018. godine, ojačan Zakonom o pravima na privatnost u Kaliforniji (CPRA) 2020. godine, i materijalno ažuriran ponovo sa propisima koje je odobrila Kalifornijska kancelarija za administrativno pravo 22. septembra 2025. godine, koji stupa na snagu 1. januara 2026. [1][5] Ove izmene iz 2026. godine dodale su nove obaveze u vezi sa tehnologijom automatskog donošenja odluka (ADMT), procenama rizika, i, kritično za većinu preduzeća, dizajnom mehanizama isključenja i zahtevima za potvrdu. [1][7]

Razumevanje CCPA objašnjeno: kako upravljati isključenjima za potrošače u Kaliforniji više nije opcionalno za obuhvaćena preduzeća. Regulativni minimum je porastao, a sprovođenje je usledilo.

Kako da znam da li se CCPA primenjuje na moju kompaniju

CCPA se primenjuje na profitne organizacije koje posluju u Kaliforniji i ispunjavaju barem jedan od sledećih kriterijuma:

Godišnji bruto prihodi veći od 25 miliona dolara
Godišnje kupovanje, prodaja, primanje ili deljenje ličnih informacija 100.000 ili više potrošača ili domaćinstava iz Kalifornije
Proizvodnja 50% ili više godišnjih prihoda od prodaje ili deljenja ličnih informacija potrošača iz Kalifornije [4][6]

Da li se CCPA primenjuje na mala preduzeća sa određenim prihodom? Generalno, ne. Ako preduzeće ne ispunjava sva tri kriterijuma, nije obuhvaćeno CCPA. Međutim, pružaoci usluga i izvođači koji obrađuju podatke u ime obuhvaćenih preduzeća podložni su ugovornim obavezama CCPA čak i ako inače ne bi ispunjavali uslove. [2]

Iznimka: Malo SaaS preduzeće sa manje od 25 miliona dolara prihoda, ali sa velikom bazom korisnika na besplatnom nivou, lako može preći prag od 100.000 potrošača bez da to shvati.

Šta se smatra ličnim informacijama prema CCPA

Lične informacije prema CCPA su široko definisane kao bilo koje informacije koje identifikuju, se odnose na, opisuju ili se razumno mogu povezati sa određenim potrošačem ili domaćinstvom. Ovo prevazilazi imena i email adrese.

Obuhvaćene kategorije uključuju:

Kategorija	Primeri
Identifikatori	Ime, email, IP adresa, ID uređaja
Komercijalne informacije	Istorija kupovine, ponašanje pri pretraživanju
Biometrijski podaci	Otisci prstiju, podaci o prepoznavanju lica
Internet aktivnosti	Kolačići, istorija pretrage, interakcije sa sajtovima
Geolokacija	Precizna lokacija sa mobilnih uređaja
Inferencije	Profili izgrađeni na osnovu podataka o ponašanju
Osetljive lične informacije	Brojevi socijalnog osiguranja, zdravstveni podaci, precizna geolokacija

Inferencije izvučene iz podataka potrošača za kreiranje profila o preferencama, karakteristikama ili ponašanju su izričito uključene. [4] Ovo je važno za ad-tehnologiju, analitiku i personalizaciju.

Koja je razlika između CCPA opt-out i opt-in

CCPA funkcioniše na modelu isključenja: preduzeća mogu prikupljati i koristiti podatke potrošača po defaultu, ali potrošači imaju pravo da zahtevaju da njihovi podaci ne budu prodati ili deljeni. Pristanak na uključivanje je potreban samo u specifičnim okolnostima, kao što je kada se obrađuju lične informacije potrošača mlađih od 16 godina. [4][6]

Ovo je fundamentalna strukturna razlika u odnosu na GDPR, koji funkcioniše na modelu uključivanja koji zahteva afirmativni pristanak pre nego što većina obrade podataka počne. Prema CCPA, ćutanje nije pristanak, ali takođe nije prepreka za obradu. Prema GDPR, ćutanje nije pristanak i obrada ne može početi bez njega.

Izaberite logiku uključivanja ako: obrađujete podatke od maloljetnika (mlađih od 16 godina) ili obrađujete kategorije osetljivih ličnih informacija koje zahtevaju eksplicitni pristanak prema kalifornijskom zakonu.

Izaberite logiku isključenja ako: obrađujete standardne potrošačke podatke od odraslih i obuhvaćeni ste preduzeće prema CCPA.

Kako da postavim link "Ne prodajte ili delite moje lične informacije"

Svako obuhvaćeno preduzeće koje prodaje ili deli lične informacije mora pružiti jasan i uočljiv link pod nazivom "Ne prodajte ili delite moje lične informacije" na svojoj početnoj stranici i u svojoj politici privatnosti. [4][6]

Korak po korak postavljanje:

Proverite svoje tokove podataka da utvrdite da li vaše preduzeće prodaje ili deli lične informacije kako je definisano CCPA.
Dodajte potrebni link u podnožje vaše veb stranice i u meni podešavanja mobilne aplikacije.
Konfigurišite svoju platformu za upravljanje pristankom da zabeleži i vremenski označi zahteve za isključenje.
Osigurajte da tok isključenja ne zahteva više koraka od toka uključivanja, propisi iz 2026. godine izričito zabranjuju asimetričnu frikciju. [7]
Automatski poštujte signale Global Privacy Control (GPC) ako vaše preduzeće obrađuje podatke zasnovane na pretraživaču.
Prikazujte vidljivu potvrdu da je isključenje prepoznato, na primer, baner ili stanje prekidača koje pokazuje "Signal o preferencama za isključenje poštovan." [3]

Platforma poput Biscotti CMP može automatizovati korake 3 do 6, uključujući detekciju GPC signala i prikaz potvrde u skladu sa pravilima.

Koliko vremena imam da odgovorim na zahtev potrošača za isključenje

Preduzeća moraju poštovati zahtev potrošača za isključenje u roku od 15 radnih dana od prijema. [2] Ovo je različito od 45-dnevnog roka odgovora koji se primenjuje na druge zahteve prava potrošača (kao što su pristup ili brisanje).

Jednom kada je zahtev ispoštovan, preduzeće takođe mora obavestiti sve treće strane kojima je prodalo ili delilo podatke potrošača u prethodnih 90 dana, usmeravajući ih da prestanu koristiti te podatke. [6] Ova obaveza obaveštavanja se često zanemaruje i predstavlja uobičajeni propust u usklađenosti.

Mogu li i dalje koristiti podatke nakon što se kupac isključi

Nakon što se potrošač isključi iz prodaje ili deljenja, preduzeće ne može prodavati ili deliti lične informacije tog potrošača u budućnosti. Međutim, preduzeće može i dalje koristiti podatke za interne svrhe koje su u skladu sa odnosom potrošača sa preduzećem. [4]

Specifično zabranjeno nakon isključenja:

Prodaja ili deljenje podataka sa trećim stranama za oglašavanje na osnovu ponašanja u različitim kontekstima
Korišćenje podataka na načine koji nisu u skladu sa kontekstom u kojem su prikupljeni

I dalje dozvoljeno nakon isključenja:

Ispunjavanje transakcije ili usluge koju je potrošač zatražio
Interna analitika i prevencija prevara
Usklađenost sa zakonskim obavezama

Uobičajena greška: Pretpostavljanje da isključenje znači potpuno brisanje podataka. To nije tačno. Potrošači moraju podneti poseban zahtev za brisanje da bi aktivirali to pravo.

CCPA vs. GDPR: Koji od njih treba da sledim

Ako vaše preduzeće služi i stanovnicima Kalifornije i stanovnicima Evropske unije, verovatno ćete morati da se pridržavate oba. CCPA i GDPR nisu međusobno isključivi, a zahtevi za usklađenost su dovoljno različiti da jedna politika retko zadovoljava oba.

Faktor	CCPA	GDPR
Model pristanka	Isključenje (default obrada dozvoljena)	Uključivanje (pristanak potreban prvo)
Geografski opseg	Stanovnici Kalifornije	Stanovnici EU/EEA
Koga pokriva	Profitna preduzeća koja ispunjavaju kriterijume	Svaka entitet koji obrađuje podatke stanovnika EU
Kazne	Do 7.500 dolara po namernom kršenju	Do 4% globalnog godišnjeg prometa
Pravo na brisanje	Da	Da (Pravo na brisanje)
Prenosivost podataka	Da	Da

Praktična implikacija: Banners za pristanak u skladu sa GDPR-om nisu automatski u skladu sa CCPA, jer CCPA zahteva specifičan mehanizam isključenja umesto vrata za pristanak.

Šta se dešava ako ne poštujem zahteve CCPA

Nepostupanje izlaže preduzeća građanskim kaznama do 2.500 dolara po nenamernom kršenju i 7.500 dolara po namernom kršenju, koje sprovodi Kalifornijska agencija za zaštitu privatnosti (CPPA). [4][6] Kršenja koja uključuju podatke maloljetnika se automatski tretiraju kao namerna.

Potrošači takođe imaju privatno pravo na tužbu za povrede podataka koje proizađu iz neuspeha preduzeća da implementira razumne mere bezbednosti, sa zakonskim štetama koje se kreću od 100 do 750 dolara po potrošaču po incidentu. [4]

Izmene iz 2026. godine su proširile ovlašćenja CPPA za reviziju, što znači da preduzeća koja su podložna zahtevima za procenu rizika mogu biti podložna proaktivnom regulatornom nadzoru, a ne samo reaktivnom sprovođenju. [1][7]

Da li treba da ažuriram svoju politiku privatnosti za CCPA

Da. Obuhvaćena preduzeća moraju održavati politiku privatnosti koja otkriva, kao minimum:

Kategorije ličnih informacija koje se prikupljaju i svrhe prikupljanja
Da li se lične informacije prodaju ili dele, i kategorije uključenih trećih strana
Prava potrošača dostupna prema CCPA (isključenje, brisanje, pristup, ispravka, prenosivost)
Kako potrošači mogu podneti zahteve za ostvarivanje tih prava
Period zadržavanja za svaku kategoriju ličnih informacija [4][6]

Politike privatnosti moraju se ažurirati najmanje jednom svake 12 meseci. Nepoštovanje ažuriranja politike nakon materijalne promene u praksama podataka, kao što je dodavanje novog analitičkog dobavljača, je samo po sebi kršenje usklađenosti.

Kako da proverim da li je zahtev potrošača za isključenje legitiman

Za zahteve za isključenje posebno, CCPA ne zahteva od preduzeća da verifikuju identitet potrošača koji podnosi zahtev. [2] Ovo je namerno: zahtevati verifikaciju identiteta za isključenja bi stvorilo frikciju koja underminuje pravo.

Međutim, preduzeća mogu koristiti razumne načine da potvrde da zahtev nije prevara, kao što je potvrđivanje email adrese povezane sa računom. Standard za verifikaciju isključenja je namerno niži nego za zahteve za brisanje ili pristup, gde je verifikacija identiteta prikladna jer ti zahtevi uključuju otkrivanje ili uništavanje podataka.

Iznimka: Ako zahtev za isključenje stigne putem automatskog signala (GPC), nijedan dodatni korak verifikacije nije potreban ili dozvoljen, signal sam po sebi predstavlja validan zahtev. [3][7]

Kako funkcionišu mehanizmi isključenja na mobilnim aplikacijama u poređenju sa veb sajtovima

Na veb sajtovima, mehanizmi isključenja moraju uključivati link "Ne prodajte ili delite moje lične informacije" u podnožju i moraju poštovati signale GPC na nivou pretraživača. [3][7] Na mobilnim aplikacijama, zahtevi su funkcionalno ekvivalentni, ali se implementacija razlikuje:

Mobilne aplikacije moraju uključivati opciju isključenja u meniju podešavanja aplikacije ili u odeljku o preferencama privatnosti.
Aplikacije distribuirane putem prodavnica aplikacija moraju se pridržavati dodatnih zahteva privatnosti na nivou platforme (kao što je Transparentnost praćenja aplikacija na iOS-u), ali ti zahtevi platforme ne zamenjuju usklađenost sa CCPA.
Automatski signali iz mobilnih operativnih sistema moraju se poštovati na isti način kao i signali GPC zasnovani na pretraživaču ako preduzeće obrađuje te podatke.

Propisi iz 2026. godine jasno naglašavaju da kanal (vеб vs. aplikacija) ne menja osnovnu obavezu, samo se tehnička implementacija razlikuje.

Koje su uobičajene greške koje preduzeća prave u vezi sa usklađenošću sa CCPA

Čak i preduzeća sa dobrim namerama često prave sledeće greške:

Tretiranje isključenja kao uključivanja: Zahtevajući od potrošača da afirmativno potvrde svoje isključenje kroz više koraka, što krši zahtev za simetriju u izmenama iz 2026. godine. [7]
Ignorisanje GPC signala: Ne konfigurišući svoj tehnološki sklop da detektuje i poštuje signale Global Privacy Control iz pretraživača, koji se sada tretiraju kao validni zahtevi za isključenje. [3]
Neprikazivanje potvrde o isključenju: Pravila iz 2026. godine zahtevaju vidljivu potvrdu da je signal obrađen, a unos u pozadinskom logu nije dovoljan. [3]
Zanemarivanje downstream dobavljača: Ne obaveštavanje trećih strana o prijemu podataka nakon što je zahtev za isključenje primljen.
Staticke politike privatnosti: Nepoštovanje ažuriranja politike godišnje ili nakon materijalnih promena u praksama podataka.
Pomešavanje pružalaca usluga sa trećim stranama: Pružatelji usluga koji obrađuju podatke prema ugovoru imaju različite obaveze od trećih strana koje primaju podatke za svoje svrhe.

FAQ

Da li se CCPA primenjuje na neprofitne organizacije? Ne. CCPA se primenjuje samo na profitne organizacije. Neprofitne organizacije nisu obuhvaćena preduzeća, iako mogu biti podložne drugim zakonima o privatnosti u Kaliforniji.

Šta je Global Privacy Control (GPC) i da li ga moram poštovati? GPC je signal na nivou pretraživača koji automatski komunicira preferencu potrošača za isključenje. Od 1. januara 2026. godine, obuhvaćena preduzeća koja obrađuju podatke iz pretraživača moraju poštovati GPC signale kao validne zahteve za isključenje i prikazati potvrdu da je signal obrađen. [3][7]

Može li preduzeće naplatiti drugačiju cenu potrošačima koji se isključe? Generalno ne. CCPA zabranjuje preduzećima da diskriminišu potrošače koji ostvaruju svoja prava na privatnost, uključujući naplaćivanje različitih cena, osim ako razlika nije razmjerno povezana sa vrednošću podataka potrošača. [4]

Koliko dugo moraju biti zadržani zapisi o isključenju? CCPA ne specificira univerzalni period zadržavanja za zapise o isključenju, ali preduzeća bi trebala zadržati zapise dovoljno dugo da dokažu usklađenost u slučaju revizije ili sprovođenja, obično se smatra da je najmanje 24 meseca razuman osnov. [6]

Da li banner za kolačiće zadovoljava zahteve za isključenje prema CCPA? Banner za kolačiće sam po sebi nije dovoljan. CCPA zahteva posvećen link "Ne prodajte ili delite moje lične informacije", a izmene iz 2026. godine zahtevaju od preduzeća da poštuju i potvrde GPC signale nezavisno od bilo koje interakcije o pristanku na kolačiće. [3][7]

Koja je razlika između "prodaje" i "deljenja" prema CCPA? "Prodaja" uključuje razmenu ličnih informacija za novčanu naknadu. "Deljenje" pokriva otkrivanje ličnih informacija za oglašavanje na osnovu ponašanja u različitim kontekstima, čak i bez plaćanja. Oboje pokreće prava na isključenje. [4]

Da li su mi potrebni odvojeni mehanizmi isključenja za svaku kategoriju podataka? Ne. Jedan mehanizam isključenja koji pokriva prodaju i deljenje je dovoljan, iako preduzeća moraju jasno opisati u svojoj politici privatnosti koje kategorije podataka su obuhvaćene.

Šta je procena rizika prema izmenama CCPA iz 2026. godine? Preduzeća koja obrađuju lične informacije na načine koji predstavljaju značajne rizike za privatnost, uključujući korišćenje tehnologije automatskog donošenja odluka, moraju sprovesti i dokumentovati procene rizika pre nego što započnu tu obradu. [1][7]

Zaključak

CCPA objašnjeno: kako upravljati isključenjima za potrošače u Kaliforniji je promenljiva meta, a izmene iz 2026. godine su značajno podigle standarde. Osnovne obaveze, pružanje jasnog mehanizma isključenja, poštovanje zahteva potrošača u roku od 15 radnih dana i ažuriranje vaše politike privatnosti, ostaju temeljne. Ali novi zahtevi u vezi sa potvrdom GPC signala, zabranom tamnih obrazaca i procenama rizika ADMT zahtevaju sistematičniji pristup nego što statički link u podnožju može pružiti.

Akcioni sledeći koraci za obuhvaćena preduzeća:

Proverite svoj trenutni tok isključenja u odnosu na zahtev za simetriju iz 2026. godine: prebrojte korake za isključenje i uporedite ih sa koracima za uključivanje.
Proverite da li vaša veb stranica i mobilna aplikacija detektuju i poštuju signale Global Privacy Control, i da li se prikazuje vidljiva poruka potvrde kada signal stigne.
Pregledajte svoju listu dobavljača trećih strana i potvrdite da su procedure obaveštavanja postavljene za tokove podataka nakon isključenja.
Ažurirajte svoju politiku privatnosti da odražava trenutne prakse podataka, periode zadržavanja i potpuni spisak prava potrošača.
Razmotrite platformu za upravljanje pristankom kao što je Biscotti CMP za automatizaciju detekcije signala, potvrde isključenja i vođenja evidencije o preferencama preko veb i mobilnih kanala.

Usklađenost nije jednokratni projekat. CPPA je pokazala spremnost da izda smernice i sprovodi, a regulatorno okruženje će se nastaviti razvijati. Izgradnja ponovljivih, auditable procesa sada je najodbranjivija pozicija koju obuhvaćeno preduzeće može zauzeti.