USA-rätt & CCPA

CCPA Förklarat: Hur Man Hanterar Opt-Outs för Kaliforniska Konsumenter

7 juli 2026 · 16 min läsning

Snabbt svar: California Consumer Privacy Act (CCPA) ger kaliforniska invånare rätten att välja bort försäljning eller delning av sin personliga information. Från och med den 1 januari 2026 kräver de ändrade reglerna nu att företag hedrar opt-out-preferenssignaler (såsom Global Privacy Control), synligt bekräftar att dessa signaler har behandlats och säkerställer att opt-out-flöden inte är mer komplexa än opt-in-flöden. Bristande efterlevnad kan resultera i civila böter på upp till 7 500 dollar per avsiktlig överträdelse.

Viktiga punkter

CCPA gäller för vinstdrivande företag som uppfyller specifika intäkts-, datavolym- eller dat försäljningsgränser, inte varje företag som verkar i Kalifornien.
Från och med den 1 januari 2026 måste företag visa synlig bekräftelse när en opt-out-preferenssignal (såsom Global Privacy Control) har erkänts och hedrats. [3]
Opt-out-mekanismer måste vara lika lätta att använda som opt-in-flöden; mörka mönster som avskräcker från opt-out är uttryckligen förbjudna enligt 2026 års ändringar. [7]
Företag har 15 arbetsdagar på sig att hedrar en konsuments opt-out-begäran efter mottagandet. [2]
"Personlig information" enligt CCPA är bred: den inkluderar IP-adresser, webbläsarhistorik, geolokationsdata, slutsatser dragna från konsumentbeteende och mer.
CCPA och GDPR fungerar på fundamentalt olika samtyckesmodeller, opt-out vs. opt-in, och många företag måste följa båda samtidigt.
Att inte uppdatera din integritetspolicy för att återspegla CCPA-rättigheter är i sig en efterlevnadsgap, separat från tekniska opt-out-fel.
En samtyckeshanteringsplattform som Biscotti CMP kan automatisera signaldetektering, opt-out-bekräftelsevisning och preferensregistrering.

Vad är CCPA och varför är det viktigt för ditt företag

California Consumer Privacy Act är en delstatlig integritetslag som ger kaliforniska invånare specifika rättigheter över hur företag samlar in, använder och säljer deras personliga data. Det är viktigt eftersom Kalifornien är världens femte största ekonomi, och alla företag som berör kaliforniska konsumenter, oavsett var företaget har sitt huvudkontor, kan vara juridiskt skyldiga att följa.

CCPA antogs ursprungligen 2018, förstärktes av California Privacy Rights Act (CPRA) 2020, och uppdaterades väsentligt igen med regler godkända av California Office of Administrative Law den 22 september 2025, med verkan från den 1 januari 2026. [1][5] Dessa 2026 års ändringar lade till nya skyldigheter kring automatiserad beslutsfattande teknik (ADMT), riskbedömningar och, kritiskt för de flesta företag, design och bekräftelsekrav för opt-out-mekanismer. [1][7]

Att förstå CCPA förklarat: hur man hanterar opt-outs för kaliforniska konsumenter är inte längre valfritt för täckta företag. Den regulatoriska nivån har höjts, och efterlevnaden har följt.

Hur vet jag om CCPA gäller för mitt företag

CCPA gäller för vinstdrivande företag som bedriver verksamhet i Kalifornien och uppfyller minst en av följande gränser:

Årliga bruttointäkter som överstiger 25 miljoner dollar
Årligen köper, säljer, tar emot eller delar den personliga informationen av 100 000 eller fler kaliforniska konsumenter eller hushåll
Härleder 50 % eller mer av årliga intäkter från försäljning eller delning av kaliforniska konsumenters personliga information [4][6]

Gäller CCPA för små företag under en viss intäkt? Generellt sett nej. Om ett företag ligger under alla tre gränser, är det inte ett täckt företag enligt CCPA. Men tjänsteleverantörer och entreprenörer som behandlar data på uppdrag av täckta företag är föremål för avtalsenliga CCPA-skyldigheter även om de annars inte skulle kvalificera sig oberoende. [2]

Gränsfall: Ett litet SaaS-företag med under 25 miljoner dollar i intäkter men en stor användarbas med gratisnivå kan lätt överskrida gränsen för 100 000 konsumentdata utan att inse det.

Vad räknas som personlig information enligt CCPA

Personlig information enligt CCPA definieras brett som all information som identifierar, relaterar till, beskriver eller rimligen kan kopplas till en viss konsument eller hushåll. Detta går långt bortom namn och e-postadresser.

Täckta kategorier inkluderar:

Kategori	Exempel
Identifierare	Namn, e-post, IP-adress, enhets-ID
Kommersiell information	Köphistorik, webbläsarbeteende
Biometriska data	Fingeravtryck, ansiktsigenkänning
Internetaktivitet	Cookies, sökhistorik, webbplatsinteraktioner
Geolokalisering	Exakt plats från mobila enheter
Slutsatser	Profiler byggda från beteendedata
Känslig personlig information	Personnummer, hälsodata, exakt geolokalisering

Slutsatser dragna från konsumentdata för att skapa profiler om preferenser, egenskaper eller beteende är uttryckligen inkluderade. [4] Detta är viktigt för annons-teknik, analys och personalisering.

Vad är skillnaden mellan CCPA Opt-Out och Opt-In

CCPA fungerar på en opt-out-modell: företag får samla in och använda konsumentdata som standard, men konsumenter har rätt att kräva att deras data inte säljs eller delas. Opt-in-samtycke krävs endast under specifika omständigheter, såsom när man hanterar personlig information om konsumenter under 16 år. [4][6]

Detta är den grundläggande strukturella skillnaden från GDPR, som fungerar på en opt-in-modell som kräver bekräftande samtycke innan de flesta databehandlingar påbörjas. Under CCPA är tystnad inte samtycke, men det är inte heller ett hinder för behandling. Under GDPR är tystnad inte samtycke och behandling kan inte påbörjas utan det.

Välj opt-in-logik om: du hanterar data från minderåriga (under 16 år) eller behandlar känsliga personuppgiftskategorier som kräver uttryckligt samtycke enligt kalifornisk lag.

Välj opt-out-logik om: du hanterar standardkonsumentdata från vuxna och är ett täckt företag enligt CCPA.

Hur sätter jag upp en "Do Not Sell or Share My Personal Information"-länk

Varje täckt företag som säljer eller delar personlig information måste tillhandahålla en tydlig och synlig länk med titeln "Do Not Sell or Share My Personal Information" på sin hemsida och i sin integritetspolicy. [4][6]

Steg-för-steg-installation:

Granska dina dataflöden för att avgöra om ditt företag säljer eller delar personlig information enligt CCPA.
Lägg till den nödvändiga länken i sidfoten på din webbplats och i inställningsmenyn för mobilappen.
Konfigurera din samtyckeshanteringsplattform för att fånga och tidsstämpla opt-out-begärningar.
Se till att opt-out-flödet inte kräver fler steg än opt-in-flödet, de 2026 reglerna förbjuder uttryckligen asymmetrisk friktion. [7]
Hedra Global Privacy Control (GPC) signaler automatiskt om ditt företag behandlar webbläsardata.
Visa synlig bekräftelse på att opt-out har erkänts, till exempel en banner eller växelläge som visar "Opt-Out Preference Signal Honored." [3]

En plattform som Biscotti CMP kan automatisera steg 3 till 6, inklusive GPC-signal detektering och efterlevnadsbekräftelsevisning.

Hur länge har jag på mig att svara på en konsuments opt-out-begäran

Företag måste hedra en konsuments opt-out-begäran inom 15 arbetsdagar efter mottagandet. [2] Detta skiljer sig från den 45-dagars svarstiden som gäller för andra konsumenträttighetsbegärningar (såsom åtkomst eller radering).

När begäran har hedrats måste företaget också meddela eventuella tredje parter till vilka det sålt eller delat konsumentens data under de föregående 90 dagarna, och be dem att sluta använda den datan. [6] Denna nedströms meddelandeskyldighet förbises ofta och representerar en vanlig efterlevnadsgap.

Kan jag fortfarande använda data efter att en kund valt bort

Efter att en konsument valt bort försäljning eller delning, får företaget inte sälja eller dela den konsumentens personliga information framöver. Men företaget kan fortfarande använda datan för interna ändamål som är förenliga med konsumentens relation till företaget. [4]

Specifikt förbjudet efter opt-out:

Att sälja eller dela datan med tredje parter för beteendeannonsering över olika kontexter
Att använda datan på sätt som är oförenliga med den kontext i vilken den samlades in

Fortfarande tillåtet efter opt-out:

Att fullfölja transaktionen eller tjänsten som konsumenten begärde
Intern analys och bedrägeriförebyggande
Efterlevnad av juridiska skyldigheter

Vanligt misstag: Att anta att opt-out innebär fullständig dataradering. Det gör det inte. Konsumenter måste skicka en separat raderingsbegäran för att utlösa den rätten.

CCPA vs. GDPR: Vilken måste jag följa

Om ditt företag betjänar både kaliforniska invånare och invånare i Europeiska unionen, måste du sannolikt följa båda. CCPA och GDPR är inte ömsesidigt uteslutande, och efterlevnadskrav skiljer sig tillräckligt mycket så att en enda policy sällan uppfyller båda.

Faktor	CCPA	GDPR
Samtyckesmodell	Opt-out (standardbehandling tillåten)	Opt-in (samtycke krävs först)
Geografisk omfattning	Kaliforniska invånare	EU/EEA-invånare
Vem den täcker	Vinstdrivande företag som uppfyller gränser	Alla enheter som behandlar EU-invånares data
Böter	Upp till 7 500 dollar per avsiktlig överträdelse	Upp till 4 % av global årlig omsättning
Rätt till radering	Ja	Ja (Rätt till radering)
Dataportabilitet	Ja	Ja

Den praktiska implikationen: GDPR-kompatibla samtyckesbanner är inte automatiskt CCPA-kompatibla, eftersom CCPA kräver en specifik opt-out-mekanism snarare än en samtyckesport.

Vad händer om jag inte följer CCPA-kraven

Bristande efterlevnad utsätter företag för civila böter på upp till 2 500 dollar per oavsiktlig överträdelse och 7 500 dollar per avsiktlig överträdelse, som verkställs av California Privacy Protection Agency (CPPA). [4][6] Överträdelser som involverar minderårigas data behandlas som avsiktliga som standard.

Konsumenter har också en privat rätt att stämma för dataintrång som orsakas av ett företags underlåtenhet att implementera rimliga säkerhetsåtgärder, med lagstadgade skador som sträcker sig från 100 till 750 dollar per konsument per incident. [4]

2026 års ändringar utvidgade CPPA:s revisionsmyndighet, vilket innebär att företag som omfattas av riskbedömningskrav kan stå inför proaktiv regulatorisk granskning, inte bara reaktiv verkställighet. [1][7]

Måste jag uppdatera min integritetspolicy för CCPA

Ja. Täckta företag måste upprätthålla en integritetspolicy som avslöjar, som minimum:

Kategorier av personlig information som samlas in och syftena med insamlingen
Om personlig information säljs eller delas, och kategorier av involverade tredje parter
De konsumenträttigheter som finns enligt CCPA (opt-out, radering, åtkomst, korrigering, portabilitet)
Hur konsumenter kan skicka in begärningar för att utöva dessa rättigheter
Bevarandeperioden för varje kategori av personlig information [4][6]

Integritetspolicyn måste uppdateras minst en gång varje 12 månader. Att inte uppdatera policyn efter en väsentlig förändring i datapraktiker, såsom att lägga till en ny analysleverantör, är i sig en efterlevnadsöverträdelse.

Hur verifierar jag att en konsuments opt-out-begäran är legitim

För opt-out-begärningar kräver CCPA inte att företag verifierar identiteten på konsumenten som gör begäran. [2] Detta är avsiktligt: att kräva identitetsverifiering för opt-outs skulle skapa friktion som underminerar rätten.

Företag kan dock använda rimliga metoder för att bekräfta att en begäran inte är bedräglig, såsom att bekräfta e-postadressen kopplad till kontot. Standarden för opt-out-verifiering är avsiktligt lägre än för raderings- eller åtkomstbegärningar, där identitetsverifiering är lämplig eftersom dessa begärningar involverar att avslöja eller förstöra data.

Gränsfall: Om en opt-out-begäran kommer via en automatisk signal (GPC), krävs ingen ytterligare verifieringssteg eller tillåts, signalen i sig utgör en giltig begäran. [3][7]

Hur fungerar opt-out-mekanismer på mobilappar jämfört med webbplatser

På webbplatser måste opt-out-mekanismer inkludera länken "Do Not Sell or Share My Personal Information" i sidfoten och måste hedra webbläsarnivå GPC-signaler. [3][7] På mobilappar är kraven funktionellt ekvivalenta men implementeringen skiljer sig:

Mobilappar måste inkludera opt-out-alternativet i appens inställningsmeny eller avsnitt för integritetspreferenser.
Appar som distribueras genom appbutiker måste följa eventuella ytterligare plattformsnivåkrav för integritet (såsom App Tracking Transparency på iOS), men dessa plattforms krav ersätter inte CCPA-efterlevnad.
Automatiska signaler från mobila operativsystem måste hedras på samma sätt som webbläsarbasierade GPC-signaler om företaget behandlar den datan.

2026 års regler klargör att kanalen (webb vs. app) inte förändrar den underliggande skyldigheten, endast den tekniska implementeringen skiljer sig.

Vilka är vanliga misstag företag gör med CCPA-efterlevnad

Även välmenande företag gör ofta följande misstag:

Behandlar opt-out som opt-in: Kräver att konsumenter bekräftar sin opt-out genom flera steg, vilket bryter mot symmetrikravet i 2026 års ändringar. [7]
Ignorerar GPC-signaler: Inte konfigurerar sin teknikstack för att upptäcka och hedra Global Privacy Control webbläsarsignaler, som nu behandlas som giltiga opt-out-begärningar. [3]
Misslyckas med att visa opt-out-bekräftelse: De 2026 reglerna kräver synlig bekräftelse på att en signal har behandlats, en backend-loggpost är inte tillräcklig. [3]
Överse nedströmsleverantörer: Inte meddela tredje parter som tar emot data efter att en opt-out har mottagits.
Statiska integritetspolicys: Misslyckas med att uppdatera policyn årligen eller efter väsentliga förändringar i datapraktiker.
Förväxlar tjänsteleverantörer med tredje parter: Tjänsteleverantörer som behandlar data under kontrakt har andra skyldigheter än tredje parter som tar emot data för sina egna syften.

FAQ

Gäller CCPA för ideella organisationer? Nej. CCPA gäller endast för vinstdrivande företag. Ideella organisationer är inte täckta företag, även om de kan omfattas av andra kaliforniska integritetslagar.

Vad är Global Privacy Control (GPC) och måste jag hedra det? GPC är en webbläsarnivåsignal som automatiskt kommunicerar en konsuments opt-out-preferens. Från och med den 1 januari 2026 måste täckta företag som behandlar webbläsardata hedra GPC-signaler som giltiga opt-out-begärningar och visa bekräftelse på att signalen har behandlats. [3][7]

Kan ett företag ta ut ett annat pris för konsumenter som väljer att avstå? Generellt nej. CCPA förbjuder företag från att diskriminera mot konsumenter som utövar sina integritetsrättigheter, inklusive genom att ta ut olika priser, såvida inte skillnaden är rimligt relaterad till värdet av konsumentens data. [4]

Hur länge måste opt-out-poster bevaras? CCPA specificerar inte en universell bevarandeperiod för opt-out-poster, men företag bör behålla poster tillräckligt länge för att visa efterlevnad vid en revision eller verkställighetsåtgärd, vanligtvis anses minst 24 månader vara en rimlig baslinje. [6]

Uppfyller en cookie-banner CCPA:s opt-out-krav? En cookie-banner ensam är inte tillräcklig. CCPA kräver en dedikerad länk "Do Not Sell or Share My Personal Information", och 2026 års ändringar kräver att företag hedrar och bekräftar GPC-signaler oberoende av någon cookie-samtyckesinteraktion. [3][7]

Vad är skillnaden mellan en "försäljning" och "delning" enligt CCPA? "Försäljning" innebär att byta personlig information mot monetär ersättning. "Delning" omfattar att avslöja personlig information för beteendeannonsering över olika kontexter, även utan betalning. Båda utlöser opt-out-rättigheter. [4]

Behöver jag separata opt-out-mekanismer för varje datakategori? Nej. En enda opt-out-mekanism som täcker försäljning och delning är tillräcklig, även om företag måste beskriva tydligt i sin integritetspolicy vilka datakategorier som omfattas.

Vad är en riskbedömning enligt 2026 års CCPA-ändringar? Företag som behandlar personlig information på sätt som medför betydande integritetsrisker, inklusive användning av automatiserad beslutsfattande teknik, måste genomföra och dokumentera riskbedömningar innan de påbörjar den behandlingen. [1][7]

Slutsats

CCPA förklarat: hur man hanterar opt-outs för kaliforniska konsumenter är ett rörligt mål, och 2026 års ändringar har höjt ribban avsevärt. De grundläggande skyldigheterna, att tillhandahålla en tydlig opt-out-mekanism, hedra konsumentbegärningar inom 15 arbetsdagar och uppdatera din integritetspolicy, förblir grundläggande. Men de nya kraven kring GPC-signalbekräftelse, förbud mot mörka mönster och riskbedömningar för ADMT kräver en mer systematisk strategi än en statisk sidfotlänk kan erbjuda.

Handlingsbara nästa steg för täckta företag:

Granska ditt nuvarande opt-out-flöde mot 2026 års symmetrikrav: räkna stegen för att välja bort och jämför dem med stegen för att välja in.
Verifiera att din webbplats och mobilapp upptäcker och hedrar Global Privacy Control-signaler, och att ett synligt bekräftelsemeddelande visas när en signal tas emot.
Granska din lista över tredje parts leverantörer och bekräfta att nedströms meddelandeprocedurer finns på plats för dataflöden efter opt-out.
Uppdatera din integritetspolicy för att återspegla aktuella datapraktiker, bevarandeperioder och hela listan över konsumenträttigheter.
Utvärdera en samtyckeshanteringsplattform som Biscotti CMP för att automatisera signaldetektering, opt-out-bekräftelse och preferensregistrering över webb- och mobilkanaler.

Efterlevnad är inte ett engångsprojekt. CPPA har visat vilja att utfärda vägledning och driva verkställighet, och den regulatoriska miljön kommer att fortsätta att utvecklas. Att bygga upprepningsbara, reviderbara processer nu är den mest försvarbara position ett täckt företag kan ta.