Brzi odgovor: Zakon o pravima na privatnost u Kaliforniji (CPRA) značajno je izmenio originalni Zakon o privatnosti potrošača u Kaliforniji (CCPA), uvodeći nova prava potrošača, posvećenu agenciju za sprovođenje, strože kazne i potpuno novu kategoriju osetljivih ličnih informacija. Za operatore veb sajtova, CCPA vs. CPRA: Šta se promenilo za operatore veb sajtova u Kaliforniji? nije teorijsko pitanje, već se direktno prevodi u ažurirane politike privatnosti, nove mehanizme pristanka i proširene ugovorne obaveze prema dobavljačima trećih strana.
Ključne tačke
- CPRA je stupila na snagu 1. jula 2023. godine, zamenjujući i proširujući okvir CCPA.
- Nova kategorija "osetljivih ličnih informacija" (SPI) zahteva posvećen link za odustajanje na veb sajtovima koji prikupljaju te podatke.
- Potrošači su dobili pravo da isprave netačne lične podatke, pravo koje nije postojalo prema originalnom CCPA.
- Prag primenljivosti je porastao sa 50.000 na 100.000 potrošača ili domaćinstava, izuzimajući neke manje operatore.
- "Deljenje" ličnih podataka za oglašavanje u različitim kontekstima sada se smatra "prodajom", što zahteva mehanizme za odustajanje.
- Operatori veb sajtova moraju poštovati signale Global Privacy Control (GPC) kao validne zahteve za odustajanje.
- Administrativne kazne su povećane na 2.663 dolara po nenamernom kršenju i 7.988 dolara po namernom kršenju od 1. januara 2025. godine.
- Agencija za zaštitu privatnosti u Kaliforniji (CPPA) sada ima nezavisnu vlast za sprovođenje, odvojenu od državnog tužioca.
- Zahtevi za transparentnost automatizovanog donošenja odluka stupiće na snagu 1. januara 2027. godine.
- Procene rizika i revizije sajber bezbednosti su sada obavezne za aktivnosti obrade podataka visokog rizika.
Koja je razlika između CCPA i CPRA?
CCPA, koji je stupio na snagu 1. januara 2020. godine, dao je potrošačima u Kaliforniji osnovna prava nad njihovim ličnim podacima: pravo da znaju, obrišu i odustanu od prodaje svojih informacija. CPRA, koju su usvojili birači u Kaliforniji u novembru 2020. godine i koja je potpuno primenljiva od 1. jula 2023. godine, nije potpuno zamenila CCPA, već ga je izmenila i značajno proširila [1].
Ključne strukturne razlike uključuju:
| Karakteristika | CCPA (Original) | CPRA (Izmenjena) |
|---|---|---|
| Organ za sprovođenje | Državni tužilac Kalifornije | CPPA + Državni tužilac |
| Kategorija osetljivih podataka | Nije definisana | Formalno definisana (SPI) |
| Pravo na ispravku | Nije uključeno | Uključeno |
| Definicija "prodaje" | Razmena podataka za vrednost | Uključuje "deljenje" za oglašavanje |
| Prag primenljivosti | 50.000 potrošača/domaćinstava | 100.000 potrošača/domaćinstava |
| Procene rizika | Nisu obavezne | Obavezne za obradu visokog rizika |
| Usklađenost sa GPC signalima | Nije obavezna | Obavezna |
Praktična posledica za operatore veb sajtova je da usklađenost sa CPRA i CCPA nije samo ažuriranje papira, već zahteva arhitektonske promene u tokovima pristanka, politikama privatnosti i ugovorima sa dobavljačima [2].
Kada je CPRA stupila na snagu i zamenila CCPA?
Suštinska prava i obaveze CPRA primenjuju se na podatke prikupljene 1. januara 2022. godine ili kasnije, a sprovođenje je počelo 1. jula 2023. godine. Godina grace perioda za sprovođenje završila se na taj datum, što znači da je Agencija za zaštitu privatnosti u Kaliforniji mogla početi da izriče kazne bez prethodnog upozorenja [4].
Za operatore veb sajtova koji i dalje posluju prema politikama iz doba CCPA-a 2026. godine, izloženost je stvarna i trenutna.
Koja nova prava imaju potrošači prema CPRA koja nisu postojala u CCPA?
CPRA je dodala dva prava potrošača koja su bila odsutna iz originalnog CCPA okvira:
Pravo na ispravku: Potrošači sada mogu zatražiti da preduzeće ispravi netačne lične informacije koje poseduje o njima. Operatori veb sajtova moraju uspostaviti proces verifikacije zahteva i postupiti po zahtevima za ispravku u roku od 45 dana [2].
Pravo na ograničenje korišćenja osetljivih ličnih informacija: Potrošači mogu ograničiti kako preduzeća koriste njihove SPI izvan svrhe za koju su prvobitno prikupljene. Ovo pravo zahteva poseban, jasno označen mehanizam za odustajanje na veb sajtu [1].
Ove dodatke prate postojeća prava na znanje, brisanje, odustajanje od prodaje i nediskriminaciju, stvarajući složenije zahteve za usklađivanje za svaki sajt koji prikuplja podatke o korisnicima izvan osnovne analitike.
Šta je pravo na ispravku prema CPRA?
Pravo na ispravku je jedno od najoperativnije zahtevnih dodataka u CPRA. Kada potrošač podnese verifikovani zahtev za ispravku, preduzeće mora uložiti komercijalno razumnu trud da ispravi netačne lične informacije i uputiti sve pružaoce usluga ili izvođače koji su primili te podatke da izvrše istu ispravku [2].
Za operatore veb sajtova, to znači:
- Izgraditi mehanizam za prijem zahteva za ispravku (vob form, proces e-pošte ili portal za naloge).
- Dokumentovati ispravku i obavestiti daljnje obraditelje podataka.
- Odgovoriti u roku od 45 dana, uz jedan 45-dnevni produžetak ako je potrebno.
Uobičajena greška: Mnogi operateri pretpostavljaju da se pravo na ispravku odnosi samo na podatke o profilu naloga. U praksi, ono se proteže na sve lične informacije koje preduzeće poseduje, uključujući podatke o ponašanju, inferirane preferencije i istoriju kupovine.
Koje nove kategorije podataka pokriva CPRA koje CCPA nije?
CPRA je formalno definisala "osetljive lične informacije" (SPI) kao posebnu, visoko zaštićenu kategoriju podataka. CCPA nije imala ekvivalentnu klasifikaciju [1].
SPI prema CPRA uključuje:
- Brojeve socijalnog osiguranja i identifikacione dokumente koje izdaju vlade
- Akreditivne podatke finansijskih računa (prijava plus sigurnosni kodovi)
- Precizne geolokacione podatke
- Rasu ili etničko poreklo, verska uverenja i članstvo u sindikatu
- Sadržaj privatnih komunikacija (pošta, e-pošta, tekst)
- Genetske i biometrijske podatke obrađene za identifikaciju
- Zdravstvene informacije i seksualni život ili seksualnu orijentaciju
Operateri veb sajtova koji prikupljaju bilo koju od ovih kategorija moraju obezbediti link "Ograničite korišćenje mojih osetljivih ličnih informacija", funkcionalno sličan linku "Ne prodajte moje lične informacije" koji je već zahtevan prema CCPA [1].
CPRA vs. CCPA: Koji se odnosi na moje preduzeće?
Od 2026. godine, okvir CPRA se primenjuje na profitna preduzeća koja posluju u Kaliforniji I ispunjavaju bar jedan od ovih pragova [7]:
- Godišnji bruto prihodi veći od 25 miliona dolara.
- Kupuje, prodaje, prima ili deli lične informacije 100.000 ili više potrošača ili domaćinstava u Kaliforniji godišnje (povećano sa 50.000 prema CCPA).
- Proizvodi 50% ili više godišnjih prihoda od prodaje ili deljenja ličnih informacija potrošača.
Izaberite usklađenost sa CPRA ako: Vaš veb sajt služi stanovnicima Kalifornije i ispunjavate bilo koji od gornjih kriterijuma. Ako ste prethodno ispunjavali CCPA prag od 50.000 potrošača, ali obrađujete manje od 100.000 zapisa godišnje, možda više nećete biti direktno podložni, iako ugovorne obaveze sa većim partnerima mogu i dalje zahtevati pridržavanje.
Iznimni slučaj: Neprofitne organizacije i isključivo B2B operateri su generalno izuzeti, ali pružaoci usluga i izvođači za pokrivene poslove imaju svoje obaveze prema CPRA [3].
Kako CPRA utiče na politiku privatnosti mog veb sajta?
Politika privatnosti koja je u skladu sa CCPA više nije dovoljna. CPRA zahteva od operatora veb sajtova da ažuriraju svoje politike privatnosti kako bi odražavale [2][3]:
- Novu SPI kategoriju i pravo na ograničenje njenog korišćenja.
- Pravo na ispravku netačnih ličnih informacija.
- Proširenu definiciju "prodaje" da uključuje "deljenje" za oglašavanje u različitim kontekstima.
- Kako preduzeće odgovara na GPC signale.
- Period zadržavanja podataka za svaku kategoriju ličnih informacija koje se prikupljaju.
- Da li se koristi automatizovano donošenje odluka i kako potrošači mogu odustati.
Politike privatnosti moraju se pregledati najmanje jednom svake 12 meseci i ažurirati kako bi odražavale trenutne prakse obrade podataka. Zastarjele politike koje opisuju prava iz doba CCPA bez dodataka CPRA su čest okidač za sprovođenje.
Da li treba da ažuriram svoje obrasce za pristanak za usklađenost sa CPRA?
Da. Mehanizmi pristanka koji su bili dovoljni prema CCPA zahtevaju značajne izmene za CPRA. Konkretno, operatori veb sajtova moraju [3][5]:
- Dodati link za odustajanje "Ograničite korišćenje mojih osetljivih ličnih informacija" ako sajt prikuplja SPI.
- Poštovati GPC signale pretraživača kao validne zahteve za odustajanje od prodaje i deljenja, ovo ne može zahtevati od korisnika da preduzme dodatne korake.
- Dobiti afirmativni pristanak pre nego što prodaju ili dele lične informacije potrošača mlađih od 16 godina.
- Osigurati da je pristanak za oglašavanje u različitim kontekstima (ponovno ciljanje, deljenje publike sa oglasnim platformama) jasno odvojen od drugih korišćenja podataka.
Platforma za upravljanje pristankom može pomoći u automatizaciji detekcije GPC i evidentiranju preferencija. Biscotti CMP (www.biscotti-cmp.com) je dizajniran da ispuni ove CPRA-specifične zahteve, uključujući tokove odustajanja od SPI i usklađenost sa GPC signalima, bez potrebe za prilagođenim razvojem od strane operatora veb sajtova.
Koje su kazne za neusklađenost sa CPRA?
Od 1. januara 2025. godine, administrativne kazne prema okviru CPRA su [5]:
- 2.663 dolara po nenamernom kršenju.
- 7.988 dolara po namernom kršenju.
- 7.988 dolara po kršenju (utrostručeno) za kršenja koja uključuju lične informacije potrošača mlađih od 16 godina.
Ove cifre se periodično prilagođavaju inflaciji. Kazne se procenjuju po kršenju, što znači da jedna neusklađena praksa obrade podataka koja utiče na hiljade potrošača može generisati agregatnu odgovornost u milionima. CPPA ima nezavisnu vlast da pokrene akcije za sprovođenje bez upućivanja od strane državnog tužioca [4].
Važno: CPRA je ukinula 30-dnevni period za ispravku koji je postojao prema CCPA za većinu kršenja, uklanjajući sigurnosnu mrežu na koju su se mnogi operateri oslanjali.
Koje su uobičajene greške koje veb sajtovi prave u vezi sa usklađenošću sa CPRA?
Na osnovu proširenih zahteva, najčešći propusti u usklađivanju uključuju [3][6]:
- Ignorisanje GPC signala: Neuspeh u detekciji i poštovanju signala za odustajanje na nivou pretraživača je jedan od izričitih prioriteta sprovođenja CPPA.
- Nedostatak linka za odustajanje od SPI: Dodavanje samo linka "Ne prodajte" bez odvojenog linka "Ograničite korišćenje SPI" kada se SPI prikuplja.
- Zastarjeli ugovori sa dobavljačima: Ne ažuriranje ugovora o obradi podataka sa pružaocima usluga kako bi uključili CPRA-zahtjevane uslove.
- Nema rasporeda zadržavanja podataka: CPRA zahteva od preduzeća da otkriju i pridržavaju se perioda zadržavanja; mnoge politike privatnosti još uvek to izostavljaju.
- Pretpostavljanje da se period za ispravku još uvek primenjuje: Operateri koji čekaju obaveštenje pre nego što isprave kršenja mogu se suočiti sa trenutnim kaznama.
- Zanemarivanje prava na ispravku: Izgradnja samo tokova brisanja bez obrade zahteva za ispravku.
Da li mala preduzeća imaju različite zahteve prema CPRA?
Povećanje praga sa 50.000 na 100.000 potrošača direktno smanjuje teret usklađivanja za manje operatore veb sajtova [7]. Mali e-trgovinski sajt ili SaaS proizvod koji opslužuje manje od 100.000 potrošača u Kaliforniji godišnje, sa prihodima ispod 25 miliona dolara i bez prihoda od prodaje podataka, pada van direktnog okvira CPRA.
Međutim, mala preduzeća treba da imaju na umu:
- Ako deluju kao pružaoci usluga pokrivenom preduzeću, nasleđuju ugovorne obaveze prema CPRA bez obzira na veličinu.
- Voljna usklađenost se sve više očekuje od klijenata velikih preduzeća i može biti konkurentska prednost.
- Druge države su usvojile slične zakone, a savezni zakon o privatnosti ostaje pod aktivnom raspravom do 2026. godine.
Koliko košta usklađivanje sa CPRA?
Ne postoji fiksni trošak usklađivanja, on se značajno razlikuje u zavisnosti od složenosti ekosistema podataka veb sajta. Opšti faktori troškova uključuju:
- Ažuriranje politike privatnosti: Nizak trošak ako se radi interno; 500, 3.000+ dolara ako se koristi pravna pomoć.
- Platforma za upravljanje pristankom: Kontinuirana SaaS pretplata; cene variraju prema obimu saobraćaja i setu funkcija.
- Tehnička implementacija: Vreme programera za dodavanje linkova za odustajanje, detekciju GPC i tokove zahteva za ispravku.
- Pregled ugovora sa dobavljačima: Pravni pregled ugovora o obradi podataka sa svim trećim stranama.
- Procene rizika: Za obradu visokog rizika, formalne procene mogu zahtevati spoljne konsultante.
Za većinu srednjih operatera veb sajtova, početno usklađivanje može koštati nekoliko hiljada dolara, uz kontinuirane operativne troškove za održavanje politika i upravljanje pristankom. Trošak neusklađenosti, s obzirom na kazne po kršenju, značajno nadmašuje investiciju.
Kako mogu znati da li se CPRA odnosi na posetioce mog veb sajta?
CPRA se primenjuje na osnovu prebivališta potrošača, a ne na osnovu lokacije preduzeća. Ako veb sajt ima posetioce koji su stanovnici Kalifornije i operator ispunjava bilo koji od tri poslovna praga, obaveze CPRA se primenjuju na podatke prikupljene od tih posetilaca [7][8].
Praktični indikatori da se CPRA verovatno primenjuje:
- Veb sajt prihvata narudžbine, registracije ili ciljanje oglasa od korisnika iz SAD-a bez geo-blokiranja Kalifornije.
- Preduzeće koristi mreže trećih strana za oglašavanje koje se bave oglašavanjem u različitim kontekstima.
- Veb sajt prikuplja bilo koji oblik SPI od korisnika (upitnici o zdravlju, finansijski podaci, precizna lokacija).
Kada ste u nedoumici, konzervativna i pravno odbranjiva pozicija je tretirati sve posetioce veb sajta iz SAD-a kao potencijalno pokrivene prema CPRA i implementirati usklađene tokove pristanka u skladu s tim.
Obavezne procene rizika, revizije sajber bezbednosti i šta dolazi sledeće
CPRA zahteva od preduzeća koja se bave obradom visokog rizika da sprovode redovne procene rizika i revizije sajber bezbednosti. Propisi koji detaljno definišu ove zahteve finalizovani su 2025. godine i stupili su na snagu 2026. godine [6]. Aktivnosti visokog rizika uključuju obradu SPI na velikoj skali, profilisanje potrošača za značajne odluke i prodaju ili deljenje podataka sa velikim brojem trećih strana.
Pored toga, zahtevi za transparentnost automatizovanog donošenja odluka, koji pokrivaju profilisanje za zapošljavanje, kredit, stanovanje i slične značajne odluke, zakazani su da stupe na snagu 1. januara 2027. godine [6]. Operatori veb sajtova koji koriste algoritamske preporučivače, alate za ocenjivanje kredita ili profilisanje ponašanja trebali bi početi sa planiranjem usklađivanja sada.
Zaključak
Razumevanje CCPA vs. CPRA: Šta se promenilo za operatore veb sajtova u Kaliforniji? nije opcionalno za bilo koje preduzeće koje opslužuje stanovnike Kalifornije u velikoj meri. CPRA je uvela suštinske nove obaveze, kategorije osetljivih podataka, pravo na ispravku, usklađenost sa GPC signalima, proširene zahteve prema dobavljačima i posvećenu agenciju za sprovođenje sa stvarnom ovlašćenjem za kažnjavanje, što zahteva konkretne operativne odgovore, a ne samo ažuriranja politika.
Akcioni sledeći koraci za operatore veb sajtova u 2026. godini:
- Proverite svoje trenutne prakse prikupljanja podataka u odnosu na listu kategorija SPI i dodajte potrebni link za odustajanje ako je primenljivo.
- Ažurirajte svoju politiku privatnosti kako biste odražavali prava CPRA, rasporede zadržavanja podataka i proširenu definiciju "prodaje."
- Implementirajte detekciju GPC signala, ovo je prioritet za sprovođenje i ne može se odlagati.
- Pregledajte i ažurirajte sve ugovore o obradi podataka sa pružaocima usluga i izvođačima.
- Izgradite tok zahteva za ispravku pored vašeg postojećeg procesa brisanja.
- Ako vaš sajt obavlja obradu visokog rizika, naručite formalnu procenu rizika pre nego što regulatori pokrenu jednu za vas.
- Razmotrite rešenje za upravljanje pristankom kao što je Biscotti CMP (www.biscotti-cmp.com) za automatizaciju tokova odustajanja, usklađenost sa GPC i evidentiranje preferencija.
Putanja sprovođenja CPRA u 2026. godini čini proaktivno usklađivanje jedinom razumnom strategijom.
Često postavljana pitanja
P: Da li je CPRA isto što i CCPA 2.0?
CPRA se često naziva "CCPA 2.0" jer je izmenila, a ne zamenila CCPA. Dodala je nova prava, novu agenciju za sprovođenje i nove kategorije podataka, dok je zadržala originalni okvir CCPA.
P: Kada je počelo sprovođenje CPRA?
Puno sprovođenje počelo je 1. jula 2023. godine. CPPA može izricati kazne za kršenja koja se javljaju nakon tog datuma bez prethodnog perioda za ispravku za većinu kršenja.
P: Da li se CPRA odnosi na preduzeća van Kalifornije?
Da. Svako profitno preduzeće koje prikuplja lične informacije od stanovnika Kalifornije i ispunjava pragove primenljivosti mora se uskladiti, bez obzira na to gde je preduzeće registrovano.
P: Šta je GPC signal i zašto je važan?
Global Privacy Control (GPC) je postavka na nivou pretraživača koja signalizira preferencu potrošača za odustajanje. Prema CPRA, operatori veb sajtova moraju detektovati i poštovati GPC signale kao validne zahteve za odustajanje, a njihovo ignorisanje je kršenje usklađenosti.
P: Da li se CPRA odnosi na podatke zaposlenih?
Da. Od 1. januara 2023. godine, privremena izuzeća za podatke zaposlenih i B2B su istekla. Lične informacije zaposlenih sada su podložne punoj zaštiti CPRA.
P: Koja je razlika između "prodaje" i "deljenja" prema CPRA?
Prema originalnom CCPA, "prodaja" je zahtevala razmenu za novčanu vrednost. CPRA je ovo proširila da uključuje "deljenje" ličnih podataka sa trećim stranama za oglašavanje u različitim kontekstima, čak i bez direktne isplate.
P: Koliko često treba ažurirati politiku privatnosti prema CPRA?
Minimalno, jednom svake 12 meseci. Takođe, mora se ažurirati kada se prakse obrade podataka materijalno promene.
P: Da li su neprofitne organizacije izuzete od CPRA?
Generalno da, CPRA se primenjuje na profitna preduzeća. Međutim, neprofitne organizacije koje deluju kao pružaoci usluga pokrivenim preduzećima mogu imati ugovorne obaveze za usklađivanje.
P: Šta se dešava ako potrošač podnese zahtev za ispravku i preduzeće se ne slaže?
Preduzeće može odbiti ispravku ako utvrdi da su informacije tačne, ali mora dokumentovati odluku i obavestiti potrošača o osnovu odbijanja.
P: Da li postoji privatno pravo na tužbu prema CPRA?
Postoji ograničeno privatno pravo na tužbu za povrede podataka koje uključuju određene kategorije ličnih informacija. Većina drugih kršenja sprovodi se od strane CPPA ili državnog tužioca, a ne putem privatnih tužbi.
Interaktivni CPRA Proveravač usklađenosti
Reference
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai