คำตอบสั้น: California Privacy Rights Act (CPRA) ได้ทำการแก้ไข California Consumer Privacy Act (CCPA) อย่างมีนัยสำคัญ โดยแนะนำสิทธิของผู้บริโภคใหม่ หน่วยงานบังคับใช้ที่เฉพาะเจาะจง โทษที่เข้มงวดขึ้น และหมวดหมู่ของข้อมูลส่วนบุคคลที่ละเอียดอ่อนใหม่ทั้งหมด สำหรับผู้ดำเนินการเว็บไซต์ CCPA กับ CPRA: มีการเปลี่ยนแปลงอะไรสำหรับผู้ดำเนินการเว็บไซต์ในแคลิฟอร์เนีย? ไม่ใช่คำถามเชิงทฤษฎี แต่แปลเป็นนโยบายความเป็นส่วนตัวที่ปรับปรุงแล้ว กลไกการยินยอมใหม่ และข้อผูกพันทางสัญญาที่ขยายออกไปกับผู้ขายภายนอก
ข้อสรุปสำคัญ
- CPRA มีผลบังคับใช้เต็มรูปแบบตั้งแต่วันที่ 1 กรกฎาคม 2023 แทนที่และขยายกรอบ CCPA
- หมวดหมู่ "ข้อมูลส่วนบุคคลที่ละเอียดอ่อน" (SPI) ใหม่ต้องการลิงก์การเลือกไม่เข้าร่วมที่เฉพาะเจาะจงบนเว็บไซต์ที่เก็บข้อมูลนั้น
- ผู้บริโภคได้รับสิทธิในการแก้ไขข้อมูลส่วนบุคคลที่ไม่ถูกต้อง ซึ่งสิทธินี้ไม่มีอยู่ภายใต้ CCPA ดั้งเดิม
- เกณฑ์การบังคับใช้เพิ่มขึ้นจาก 50,000 เป็น 100,000 ผู้บริโภคหรือครัวเรือน ซึ่งยกเว้นผู้ดำเนินการขนาดเล็กบางราย
- การ "แชร์" ข้อมูลส่วนบุคคลเพื่อการโฆษณาพฤติกรรมข้ามบริบทตอนนี้ถือเป็น "การขาย" ซึ่งต้องการกลไกการเลือกไม่เข้าร่วม
- ผู้ดำเนินการเว็บไซต์ต้องให้เกียรติสัญญาณ Global Privacy Control (GPC) เป็นคำขอการเลือกไม่เข้าร่วมที่ถูกต้อง
- โทษทางการบริหารเพิ่มขึ้นเป็น $2,663 ต่อการละเมิดที่ไม่ตั้งใจและ $7,988 ต่อการละเมิดที่ตั้งใจตั้งแต่วันที่ 1 มกราคม 2025
- California Privacy Protection Agency (CPPA) ตอนนี้มีอำนาจในการบังคับใช้ที่เป็นอิสระแยกจากอัยการสูงสุด
- ข้อกำหนดความโปร่งใสในการตัดสินใจอัตโนมัติจะมีผลบังคับใช้ตั้งแต่วันที่ 1 มกราคม 2027
- การประเมินความเสี่ยงและการตรวจสอบความปลอดภัยทางไซเบอร์ตอนนี้เป็นสิ่งที่จำเป็นสำหรับกิจกรรมการประมวลผลข้อมูลที่มีความเสี่ยงสูง
CCPA กับ CPRA แตกต่างกันอย่างไร?
CCPA ซึ่งมีผลตั้งแต่วันที่ 1 มกราคม 2020 ได้มอบสิทธิพื้นฐานให้กับผู้บริโภคในแคลิฟอร์เนียเกี่ยวกับข้อมูลส่วนบุคคลของพวกเขา: สิทธิในการรู้ ลบ และเลือกไม่เข้าร่วมการขายข้อมูลของพวกเขา CPRA ซึ่งผ่านการลงคะแนนเสียงของผู้มีสิทธิเลือกตั้งในแคลิฟอร์เนียในเดือนพฤศจิกายน 2020 และมีผลบังคับใช้เต็มที่ตั้งแต่วันที่ 1 กรกฎาคม 2023 ไม่ได้แทนที่ CCPA โดยตรง แต่ได้ทำการแก้ไขและขยายอย่างมีนัยสำคัญ [1]
ความแตกต่างโครงสร้างที่สำคัญรวมถึง:
| ฟีเจอร์ | CCPA (ดั้งเดิม) | CPRA (แก้ไข) |
|---|---|---|
| หน่วยงานบังคับใช้ | อัยการสูงสุดของแคลิฟอร์เนีย | CPPA + อัยการสูงสุด |
| หมวดหมู่ข้อมูลที่ละเอียดอ่อน | ไม่ได้กำหนด | กำหนดอย่างเป็นทางการ (SPI) |
| สิทธิในการแก้ไข | ไม่รวม | รวม |
| คำนิยาม "การขาย" | การแลกเปลี่ยนข้อมูลเพื่อมูลค่า | รวมถึง "การแชร์" เพื่อการโฆษณา |
| เกณฑ์การบังคับใช้ | 50,000 ผู้บริโภค/ครัวเรือน | 100,000 ผู้บริโภค/ครัวเรือน |
| การประเมินความเสี่ยง | ไม่จำเป็น | จำเป็นสำหรับการประมวลผลที่มีความเสี่ยงสูง |
| การปฏิบัติตามสัญญาณ GPC | ไม่บังคับ | บังคับ |
ผลกระทบในทางปฏิบัติสำหรับผู้ดำเนินการเว็บไซต์คือการปฏิบัติตาม CPRA กับ CCPA ไม่ใช่เพียงการปรับปรุงเอกสาร แต่ต้องมีการเปลี่ยนแปลงโครงสร้างในกระบวนการยินยอม นโยบายความเป็นส่วนตัว และสัญญากับผู้ขาย [2]
CPRA มีผลบังคับใช้เมื่อใดและแทนที่ CCPA?
สิทธิและข้อผูกพันที่สำคัญของ CPRA มีผลบังคับใช้กับข้อมูลที่เก็บรวบรวมในหรือหลังวันที่ 1 มกราคม 2022 โดยเริ่มการบังคับใช้ตั้งแต่วันที่ 1 กรกฎาคม 2023 ระยะเวลาผ่อนผันการบังคับใช้หนึ่งปีสิ้นสุดในวันนั้น ซึ่งหมายความว่า California Privacy Protection Agency สามารถเริ่มออกโทษโดยไม่ต้องเตือนล่วงหน้า [4]
สำหรับผู้ดำเนินการเว็บไซต์ที่ยังคงดำเนินการภายใต้นโยบายในยุค CCPA ในปี 2026 การเปิดเผยนั้นเป็นเรื่องจริงและทันที
สิทธิใหม่ที่ผู้บริโภคมีภายใต้ CPRA ที่ไม่มีใน CCPA คืออะไร?
CPRA ได้เพิ่มสิทธิของผู้บริโภคสองประการที่ไม่มีอยู่ในกรอบ CCPA ดั้งเดิม:
สิทธิในการแก้ไข: ผู้บริโภคสามารถขอให้ธุรกิจแก้ไขข้อมูลส่วนบุคคลที่ไม่ถูกต้องที่ธุรกิจถืออยู่เกี่ยวกับพวกเขา ผู้ดำเนินการเว็บไซต์ต้องจัดตั้งกระบวนการขอการตรวจสอบที่สามารถตรวจสอบได้และดำเนินการตามคำขอการแก้ไขภายใน 45 วัน [2]
สิทธิในการจำกัดการใช้ข้อมูลส่วนบุคคลที่ละเอียดอ่อน: ผู้บริโภคสามารถจำกัดวิธีการที่ธุรกิจใช้ SPI ของพวกเขานอกเหนือจากวัตถุประสงค์ที่เก็บรวบรวมในตอนแรก สิทธินี้ต้องการกลไกการเลือกไม่เข้าร่วมที่แยกออกและมีป้ายกำกับชัดเจนบนเว็บไซต์ [1]
การเพิ่มเติมเหล่านี้อยู่เคียงข้างสิทธิที่มีอยู่ในการรู้ ลบ เลือกไม่เข้าร่วมการขาย และการไม่เลือกปฏิบัติ สร้างข้อกำหนดในการปฏิบัติตามที่ซับซ้อนมากขึ้นสำหรับเว็บไซต์ใด ๆ ที่เก็บข้อมูลผู้ใช้เกินกว่าการวิเคราะห์พื้นฐาน
สิทธิในการแก้ไขภายใต้ CPRA คืออะไร?
สิทธิในการแก้ไขเป็นหนึ่งในข้อกำหนดที่มีความต้องการในการปฏิบัติการมากที่สุดใน CPRA เมื่อผู้บริโภคส่งคำขอการแก้ไขที่ตรวจสอบได้ ธุรกิจต้องใช้ความพยายามที่เหมาะสมทางการค้าในการแก้ไขข้อมูลส่วนบุคคลที่ไม่ถูกต้องและแจ้งให้ผู้ให้บริการหรือผู้รับเหมาที่ได้รับข้อมูลนั้นทำการแก้ไขเดียวกัน [2]
สำหรับผู้ดำเนินการเว็บไซต์ หมายความว่า:
- สร้างกลไกการรับคำขอการแก้ไข (แบบฟอร์มเว็บ กระบวนการอีเมล หรือพอร์ทัลบัญชี)
- บันทึกการแก้ไขและแจ้งให้ผู้ประมวลผลข้อมูลที่อยู่ด้านล่างทราบ
- ตอบกลับภายใน 45 วัน โดยอนุญาตให้ขยายเวลาได้อีก 45 วันหากจำเป็น
ข้อผิดพลาดทั่วไป: ผู้ดำเนินการหลายรายเข้าใจว่าการสิทธิในการแก้ไขใช้เฉพาะกับข้อมูลโปรไฟล์บัญชี ในทางปฏิบัติแล้ว มันขยายไปยังข้อมูลส่วนบุคคลใด ๆ ที่ธุรกิจถืออยู่ รวมถึงข้อมูลพฤติกรรม ความชอบที่อนุมาน และประวัติการซื้อ
หมวดหมู่ข้อมูลใหม่ที่ CPRA ครอบคลุมซึ่ง CCPA ไม่ได้คืออะไร?
CPRA ได้กำหนด "ข้อมูลส่วนบุคคลที่ละเอียดอ่อน" (SPI) อย่างเป็นทางการว่าเป็นหมวดหมู่ข้อมูลที่มีการป้องกันสูงกว่า CCPA ไม่มีการจำแนกประเภทที่เทียบเท่า [1]
SPI ภายใต้ CPRA รวมถึง:
- หมายเลขประกันสังคมและบัตรประจำตัวที่ออกโดยรัฐบาล
- ข้อมูลบัญชีการเงิน (ข้อมูลการเข้าสู่ระบบพร้อมรหัสความปลอดภัย)
- ข้อมูลตำแหน่งทางภูมิศาสตร์ที่แม่นยำ
- เชื้อชาติหรือเชื้อชาติ ความเชื่อทางศาสนา และการเป็นสมาชิกสหภาพ
- เนื้อหาของการสื่อสารส่วนตัว (จดหมาย อีเมล ข้อความ)
- ข้อมูลทางพันธุกรรมและชีวภาพที่ประมวลผลเพื่อการระบุ
- ข้อมูลสุขภาพและชีวิตทางเพศหรือเพศวิถี
ผู้ดำเนินการเว็บไซต์ที่เก็บข้อมูลในหมวดหมู่เหล่านี้ต้องจัดให้มีลิงก์ "จำกัดการใช้ข้อมูลส่วนบุคคลที่ละเอียดอ่อนของฉัน" ซึ่งมีฟังก์ชันคล้ายกับลิงก์ "ไม่ขายข้อมูลส่วนบุคคลของฉัน" ที่ต้องการภายใต้ CCPA [1]
CPRA กับ CCPA: อันไหนที่ใช้กับธุรกิจของฉัน?
ตั้งแต่ปี 2026 กรอบ CPRA ใช้กับธุรกิจที่มุ่งหวังผลกำไรที่ทำธุรกิจในแคลิฟอร์เนียและต้องตรงตามเกณฑ์อย่างน้อยหนึ่งข้อ [7]:
- รายได้รวมประจำปีเกิน $25 ล้าน
- ซื้อ ขาย รับ หรือแชร์ข้อมูลส่วนบุคคลของผู้บริโภคในแคลิฟอร์เนีย 100,000 คนหรือมากกว่าต่อปี (เพิ่มจาก 50,000 ภายใต้ CCPA)
- ได้รับรายได้ 50% หรือมากกว่าจากการขายหรือแชร์ข้อมูลส่วนบุคคลของผู้บริโภค
เลือกการปฏิบัติตาม CPRA หาก: เว็บไซต์ของคุณให้บริการแก่ผู้อยู่อาศัยในแคลิฟอร์เนียและคุณตรงตามเกณฑ์ใดเกณฑ์หนึ่งข้างต้น หากคุณเคยมีคุณสมบัติภายใต้เกณฑ์ 50,000 ผู้บริโภคของ CCPA แต่ประมวลผลข้อมูลน้อยกว่า 100,000 รายการต่อปี คุณอาจไม่ต้องอยู่ภายใต้ข้อกำหนดโดยตรง แต่ข้อผูกพันทางสัญญากับพันธมิตรที่ใหญ่กว่ายังคงอาจต้องการให้ปฏิบัติตาม
กรณีขอบ: องค์กรไม่แสวงหาผลกำไรและผู้ดำเนินการ B2B ล้วนมักจะได้รับการยกเว้น แต่ผู้ให้บริการและผู้รับเหมาให้กับธุรกิจที่ครอบคลุมมีข้อผูกพัน CPRA ของตนเอง [3]
CPRA ส่งผลต่อ นโยบายความเป็นส่วนตัวของเว็บไซต์ของฉันอย่างไร?
นโยบายความเป็นส่วนตัวที่ปฏิบัติตาม CCPA ไม่เพียงพออีกต่อไป CPRA ต้องการให้ผู้ดำเนินการเว็บไซต์ปรับปรุงนโยบายความเป็นส่วนตัวของตนเพื่อสะท้อน [2][3]:
- หมวดหมู่ SPI ใหม่และสิทธิในการจำกัดการใช้
- สิทธิในการแก้ไขข้อมูลส่วนบุคคลที่ไม่ถูกต้อง
- คำนิยามที่ขยายของ "การขาย" รวมถึง "การแชร์" สำหรับการโฆษณาพฤติกรรมข้ามบริบท
- วิธีที่ธุรกิจตอบสนองต่อสัญญาณ GPC
- ระยะเวลาการเก็บข้อมูลสำหรับแต่ละหมวดหมู่ของข้อมูลส่วนบุคคลที่เก็บรวบรวม
- ว่ามีการใช้การตัดสินใจอัตโนมัติหรือไม่และผู้บริโภคสามารถเลือกไม่เข้าร่วมได้อย่างไร
นโยบายความเป็นส่วนตัวต้องได้รับการตรวจสอบอย่างน้อยปีละหนึ่งครั้งและปรับปรุงให้สะท้อนถึงแนวทางปฏิบัติด้านข้อมูลในปัจจุบัน นโยบายที่ล้าสมัยซึ่งอธิบายสิทธิในยุค CCPA โดยไม่มีการเพิ่มเติมของ CPRA เป็นการกระตุ้นการบังคับใช้ที่พบบ่อย
ฉันต้องอัปเดตแบบฟอร์มการยินยอมของฉันเพื่อให้สอดคล้องกับ CPRA หรือไม่?
ใช่ กลไกการยินยอมที่เพียงพอภายใต้ CCPA ต้องการการปรับปรุงที่มีความหมายสำหรับ CPRA โดยเฉพาะ ผู้ดำเนินการเว็บไซต์ต้อง [3][5]:
- เพิ่มลิงก์การเลือกไม่เข้าร่วม "จำกัดการใช้ข้อมูลส่วนบุคคลที่ละเอียดอ่อนของฉัน" หากเว็บไซต์เก็บข้อมูล SPI
- ให้เกียรติสัญญาณเบราว์เซอร์ GPC เป็นการเลือกไม่เข้าร่วมการขายและการแชร์ที่ถูกต้อง ซึ่งไม่สามารถกำหนดให้ผู้ใช้ต้องดำเนินการเพิ่มเติม
- ขอความยินยอมที่ชัดเจนก่อนที่จะขายหรือแชร์ข้อมูลส่วนบุคคลของผู้บริโภคที่อายุต่ำกว่า 16 ปี
- รับรองว่าความยินยอมสำหรับการโฆษณาพฤติกรรมข้ามบริบท (การกำหนดเป้าหมายใหม่ การแชร์กลุ่มเป้าหมายกับแพลตฟอร์มโฆษณา) จะแยกออกจากการใช้ข้อมูลอื่น ๆ อย่างชัดเจน
แพลตฟอร์มการจัดการความยินยอมสามารถช่วยในการตรวจจับ GPC และบันทึกความชอบได้โดยอัตโนมัติ Biscotti CMP (www.biscotti-cmp.com) ถูกสร้างขึ้นเพื่อจัดการข้อกำหนดเฉพาะ CPRA เหล่านี้ รวมถึงกระบวนการเลือกไม่เข้าร่วม SPI และการปฏิบัติตามสัญญาณ GPC โดยไม่ต้องการการพัฒนาที่กำหนดเองจากผู้ดำเนินการเว็บไซต์
โทษสำหรับการไม่ปฏิบัติตาม CPRA คืออะไร?
ตั้งแต่วันที่ 1 มกราคม 2025 โทษทางการบริหารภายใต้กรอบ CPRA คือ [5]:
- $2,663 ต่อการละเมิดที่ไม่ตั้งใจ
- $7,988 ต่อการละเมิดที่ตั้งใจ
- $7,988 ต่อการละเมิด (สามเท่า) สำหรับการละเมิดที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของผู้บริโภคที่อายุต่ำกว่า 16 ปี
ตัวเลขเหล่านี้จะปรับตามอัตราเงินเฟ้อเป็นระยะ ๆ โทษจะถูกประเมินต่อการละเมิด ซึ่งหมายความว่าการปฏิบัติด้านข้อมูลที่ไม่ปฏิบัติตามเพียงครั้งเดียวที่ส่งผลกระทบต่อผู้บริโภคหลายพันคนสามารถสร้างความรับผิดรวมหลายล้าน CPPA มีอำนาจอิสระในการเริ่มดำเนินการบังคับใช้โดยไม่ต้องส่งต่อจากอัยการสูงสุด [4]
สำคัญ: CPRA ได้ยกเลิกระยะเวลาการแก้ไข 30 วันที่มีอยู่ภายใต้ CCPA สำหรับการละเมิดส่วนใหญ่ ซึ่งเป็นการลบเครือข่ายความปลอดภัยที่ผู้ดำเนินการหลายคนพึ่งพา
ข้อผิดพลาดทั่วไปที่เว็บไซต์ทำในการปฏิบัติตาม CPRA คืออะไร?
จากข้อกำหนดที่ขยายออกไป ความล้มเหลวในการปฏิบัติตามที่พบบ่อยที่สุดรวมถึง [3][6]:
- ไม่สนใจสัญญาณ GPC: การไม่ตรวจจับและให้เกียรติสัญญาณการเลือกไม่เข้าร่วมระดับเบราว์เซอร์เป็นหนึ่งในลำดับความสำคัญในการบังคับใช้ของ CPPA
- ขาดลิงก์การเลือกไม่เข้าร่วม SPI: การเพิ่มเพียงลิงก์ "ไม่ขาย" โดยไม่มีลิงก์ "จำกัดการใช้ SPI" แยกต่างหากเมื่อมีการเก็บข้อมูล SPI
- สัญญาผู้ขายที่ล้าสมัย: ไม่อัปเดตข้อตกลงการประมวลผลข้อมูลกับผู้ให้บริการเพื่อรวมข้อกำหนดที่ต้องการโดย CPRA
- ไม่มีตารางการเก็บข้อมูล: CPRA ต้องการให้ธุรกิจเปิดเผยและปฏิบัติตามระยะเวลาการเก็บข้อมูล หลาย ๆ นโยบายความเป็นส่วนตัวยังคงละเว้นเรื่องนี้
- สมมติว่าระยะเวลาการแก้ไขยังคงใช้ได้: ผู้ดำเนินการที่รอการแจ้งเตือนก่อนที่จะแก้ไขการละเมิดอาจต้องเผชิญกับโทษทันที
- มองข้ามสิทธิในการแก้ไข: การสร้างกระบวนการลบเพียงอย่างเดียวโดยไม่มีการจัดการคำขอการแก้ไข
ธุรกิจขนาดเล็กมีข้อกำหนด CPRA ที่แตกต่างกันหรือไม่?
การเพิ่มเกณฑ์จาก 50,000 เป็น 100,000 ผู้บริโภคช่วยลดภาระการปฏิบัติตามสำหรับผู้ดำเนินการเว็บไซต์ขนาดเล็กโดยตรง [7] เว็บไซต์อีคอมเมิร์ซขนาดเล็กหรือผลิตภัณฑ์ SaaS ที่ให้บริการผู้บริโภคในแคลิฟอร์เนียไม่เกิน 100,000 คนต่อปี โดยมีรายได้ต่ำกว่า $25 ล้านและไม่มีรายได้จากการขายข้อมูล จะอยู่นอกขอบเขตโดยตรงของ CPRA
อย่างไรก็ตาม ธุรกิจขนาดเล็กควรทราบว่า:
- หากพวกเขาทำหน้าที่เป็นผู้ให้บริการให้กับธุรกิจที่ครอบคลุม พวกเขาจะได้รับข้อผูกพัน CPRA ตามสัญญาไม่ว่าจะมีขนาดใด
- การปฏิบัติตามโดยสมัครใจเป็นสิ่งที่ลูกค้าระดับองค์กรคาดหวังมากขึ้นและสามารถเป็นตัวแยกความแตกต่างในการแข่งขัน
- รัฐอื่น ๆ ได้ออกกฎหมายที่คล้ายกัน และกฎหมายความเป็นส่วนตัวของรัฐบาลกลางยังคงอยู่ในการอภิปรายอย่างต่อเนื่องในปี 2026
ค่าใช้จ่ายในการปฏิบัติตาม CPRA คือเท่าไหร่?
ไม่มีค่าใช้จ่ายในการปฏิบัติตามที่แน่นอน มันแตกต่างกันไปอย่างมากตามความซับซ้อนของระบบนิเวศข้อมูลของเว็บไซต์ ตัวขับเคลื่อนค่าใช้จ่ายทั่วไป ได้แก่:
- การปรับปรุงนโยบายความเป็นส่วนตัว: ค่าใช้จ่ายต่ำหากทำในบ้าน; $500, $3,000+ หากใช้ที่ปรึกษาทางกฎหมาย
- แพลตฟอร์มการจัดการความยินยอม: การสมัครสมาชิก SaaS ต่อเนื่อง; ราคาจะแตกต่างกันไปตามปริมาณการเข้าชมและชุดฟีเจอร์
- การดำเนินการทางเทคนิค: เวลาของนักพัฒนาสำหรับการเพิ่มลิงก์การเลือกไม่เข้าร่วม การตรวจจับ GPC และกระบวนการคำขอการแก้ไข
- การตรวจสอบสัญญาผู้ขาย: การตรวจสอบทางกฎหมายของข้อตกลงการประมวลผลข้อมูลกับผู้ประมวลผลข้อมูลภายนอกทั้งหมด
- การประเมินความเสี่ยง: สำหรับการประมวลผลที่มีความเสี่ยงสูง การประเมินอย่างเป็นทางการอาจต้องการที่ปรึกษาภายนอก
สำหรับผู้ดำเนินการเว็บไซต์ขนาดกลางส่วนใหญ่ การปรับปรุงการปฏิบัติตามในเบื้องต้นจะมีค่าใช้จ่ายหลายพันดอลลาร์ โดยมีค่าใช้จ่ายในการดำเนินงานต่อเนื่องสำหรับการบำรุงรักษานโยบายและการจัดการความยินยอม ค่าใช้จ่ายของการไม่ปฏิบัติตาม โดยพิจารณาจากโทษต่อการละเมิด จะมีมากกว่าการลงทุนอย่างมาก
ฉันจะรู้ได้อย่างไรว่าข้อกำหนด CPRA ใช้กับผู้เข้าชมเว็บไซต์ของฉันหรือไม่?
CPRA ใช้ตามที่อยู่ของผู้บริโภค ไม่ใช่ที่ตั้งของธุรกิจ หากเว็บไซต์มีผู้เข้าชมที่เป็นผู้อยู่อาศัยในแคลิฟอร์เนียและผู้ดำเนินการตรงตามเกณฑ์ธุรกิจใด ๆ สามข้อ CPRA จะใช้กับข้อมูลที่เก็บรวบรวมจากผู้เข้าชมเหล่านั้น [7][8]
ตัวบ่งชี้ที่เป็นไปได้ว่าข้อกำหนด CPRA น่าจะใช้ได้:
- เว็บไซต์รับคำสั่ง การลงทะเบียน หรือการกำหนดเป้าหมายโฆษณาจากผู้ใช้ในสหรัฐอเมริกาโดยไม่บล็อกทางภูมิศาสตร์ในแคลิฟอร์เนีย
- ธุรกิจใช้เครือข่ายโฆษณาภายนอกที่มีส่วนร่วมในการโฆษณาพฤติกรรมข้ามบริบท
- เว็บไซต์เก็บข้อมูล SPI ใด ๆ จากผู้ใช้ (แบบสอบถามสุขภาพ ข้อมูลทางการเงิน ตำแหน่งที่แม่นยำ)
เมื่อมีข้อสงสัย ตำแหน่งที่ระมัดระวังและสามารถป้องกันทางกฎหมายได้คือการถือว่าผู้เข้าชมเว็บไซต์ในสหรัฐอเมริกาทั้งหมดอาจอยู่ภายใต้ CPRA และดำเนินการตามกระบวนการยินยอมที่สอดคล้องกัน
การประเมินความเสี่ยงที่จำเป็น การตรวจสอบความปลอดภัยทางไซเบอร์ และสิ่งที่จะเกิดขึ้นต่อไป
CPRA ต้องการให้ธุรกิจที่มีส่วนร่วมในการประมวลผลที่มีความเสี่ยงสูงต้องดำเนินการประเมินความเสี่ยงและการตรวจสอบความปลอดภัยทางไซเบอร์เป็นประจำ กฎระเบียบที่ละเอียดเกี่ยวกับข้อกำหนดเหล่านี้ได้รับการสรุปในปี 2025 และมีผลบังคับใช้ในปี 2026 [6] กิจกรรมที่มีความเสี่ยงสูงรวมถึงการประมวลผล SPI ในระดับใหญ่ การสร้างโปรไฟล์ผู้บริโภคสำหรับการตัดสินใจที่สำคัญ และการขายหรือแชร์ข้อมูลกับบุคคลที่สามจำนวนมาก
นอกจากนี้ ข้อกำหนดความโปร่งใสในการตัดสินใจอัตโนมัติซึ่งครอบคลุมการสร้างโปรไฟล์สำหรับการจ้างงาน เครดิต ที่อยู่อาศัย และการตัดสินใจที่สำคัญที่คล้ายกัน มีกำหนดจะมีผลบังคับใช้ตั้งแต่วันที่ 1 มกราคม 2027 [6] ผู้ดำเนินการเว็บไซต์ที่ใช้เครื่องมือแนะนำตามอัลกอริธึม เครื่องมือการให้คะแนนเครดิต หรือการสร้างโปรไฟล์พฤติกรรมควรเริ่มวางแผนการปฏิบัติตามในตอนนี้
สรุป
การเข้าใจ CCPA กับ CPRA: มีการเปลี่ยนแปลงอะไรสำหรับผู้ดำเนินการเว็บไซต์ในแคลิฟอร์เนีย? ไม่ใช่เรื่องที่เลือกได้สำหรับธุรกิจใด ๆ ที่ให้บริการแก่ผู้อยู่อาศัยในแคลิฟอร์เนียในระดับใหญ่ CPRA ได้แนะนำข้อผูกพันใหม่ที่สำคัญ หมวดหมู่ข้อมูลที่ละเอียดอ่อน สิทธิในการแก้ไข การปฏิบัติตามสัญญาณ GPC ข้อกำหนดของผู้ขายที่ขยายออกไป และหน่วยงานบังคับใช้ที่เฉพาะเจาะจงที่มีอำนาจในการลงโทษจริง ซึ่งต้องการการตอบสนองทางปฏิบัติที่ชัดเจน ไม่ใช่เพียงการปรับปรุงนโยบาย
ขั้นตอนที่สามารถดำเนินการได้สำหรับผู้ดำเนินการเว็บไซต์ในปี 2026:
- ตรวจสอบแนวทางการเก็บข้อมูลปัจจุบันของคุณกับรายการหมวดหมู่ SPI และเพิ่มลิงก์การเลือกไม่เข้าร่วมที่จำเป็นหากมี
- ปรับปรุงนโยบายความเป็นส่วนตัวของคุณเพื่อสะท้อนสิทธิ CPRA ตารางการเก็บข้อมูล และคำนิยามที่ขยายของ "การขาย"
- ดำเนินการตรวจจับสัญญาณ GPC ซึ่งเป็นลำดับความสำคัญในการบังคับใช้และไม่สามารถเลื่อนออกไปได้
- ตรวจสอบและอัปเดตข้อตกลงการประมวลผลข้อมูลทั้งหมดกับผู้ให้บริการและผู้รับเหมา
- สร้างกระบวนการคำขอการแก้ไขควบคู่ไปกับกระบวนการลบที่มีอยู่
- หากเว็บไซต์ของคุณมีส่วนร่วมในการประมวลผลที่มีความเสี่ยงสูง ให้มอบหมายการประเมินความเสี่ยงอย่างเป็นทางการก่อนที่หน่วยงานกำกับดูแลจะเริ่มดำเนินการสำหรับคุณ
- ประเมินโซลูชันการจัดการความยินยอม เช่น Biscotti CMP (www.biscotti-cmp.com) เพื่อทำให้กระบวนการเลือกไม่เข้าร่วม การปฏิบัติตาม GPC และการบันทึกความชอบเป็นไปโดยอัตโนมัติ
แนวโน้มการบังคับใช้ของ CPRA ในปี 2026 ทำให้การปฏิบัติตามเชิงรุกเป็นกลยุทธ์ที่สมเหตุสมผลเพียงอย่างเดียว
คำถามที่พบบ่อย
ถาม: CPRA เหมือนกับ CCPA 2.0 หรือไม่? CPRA มักถูกเรียกว่า "CCPA 2.0" เพราะมันได้ทำการแก้ไขแทนที่จะแทนที่ CCPA มันได้เพิ่มสิทธิใหม่ หน่วยงานบังคับใช้ใหม่ และหมวดหมู่ข้อมูลใหม่ในขณะที่ยังคงรักษากรอบ CCPA ดั้งเดิม
ถาม: การบังคับใช้ CPRA เริ่มเมื่อใด? การบังคับใช้เต็มรูปแบบเริ่มตั้งแต่วันที่ 1 กรกฎาคม 2023 CPPA สามารถออกโทษสำหรับการละเมิดที่เกิดขึ้นหลังจากวันนั้นโดยไม่ต้องมีระยะเวลาการแก้ไขล่วงหน้าสำหรับการละเมิดส่วนใหญ่
ถาม: CPRA ใช้กับธุรกิจนอกแคลิฟอร์เนียหรือไม่? ใช่ ธุรกิจที่มุ่งหวังผลกำไรใด ๆ ที่เก็บข้อมูลส่วนบุคคลจากผู้บริโภคในแคลิฟอร์เนียและตรงตามเกณฑ์การบังคับใช้ต้องปฏิบัติตาม ไม่ว่าจะตั้งอยู่ที่ใด
ถาม: สัญญาณ GPC คืออะไรและทำไมมันถึงสำคัญ? Global Privacy Control (GPC) เป็นการตั้งค่าระดับเบราว์เซอร์ที่ส่งสัญญาณความชอบการเลือกไม่เข้าร่วมของผู้บริโภค ภายใต้ CPRA ผู้ดำเนินการเว็บไซต์ต้องตรวจจับและให้เกียรติสัญญาณ GPC เป็นคำขอการเลือกไม่เข้าร่วมที่ถูกต้อง การมองข้ามสัญญาณเหล่านี้เป็นการละเมิดการปฏิบัติตาม
ถาม: CPRA ใช้กับข้อมูลพนักงานหรือไม่? ใช่ ตั้งแต่วันที่ 1 มกราคม 2023 การยกเว้นชั่วคราวสำหรับข้อมูลพนักงานและ B2B สิ้นสุดลง ข้อมูลส่วนบุคคลของพนักงานตอนนี้อยู่ภายใต้การคุ้มครอง CPRA อย่างเต็มที่
ถาม: ความแตกต่างระหว่าง "การขาย" และ "การแชร์" ภายใต้ CPRA คืออะไร? ภายใต้ CCPA ดั้งเดิม "การขาย" ต้องการการแลกเปลี่ยนเพื่อมูลค่าเงิน CPRA ได้ขยายสิ่งนี้ให้รวมถึง "การแชร์" ข้อมูลส่วนบุคคลกับบุคคลที่สามเพื่อการโฆษณาพฤติกรรมข้ามบริบท แม้จะไม่มีการชำระเงินโดยตรง
ถาม: นโยบายความเป็นส่วนตัวต้องได้รับการปรับปรุงบ่อยแค่ไหนภายใต้ CPRA? อย่างน้อยปีละหนึ่งครั้ง นอกจากนี้ยังต้องได้รับการปรับปรุงเมื่อแนวทางปฏิบัติด้านข้อมูลมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ
ถาม: องค์กรไม่แสวงหาผลกำไรได้รับการยกเว้นจาก CPRA หรือไม่? โดยทั่วไปใช่ CPRA ใช้กับธุรกิจที่มุ่งหวังผลกำไร อย่างไรก็ตาม องค์กรไม่แสวงหาผลกำไรที่ทำหน้าที่เป็นผู้ให้บริการให้กับธุรกิจที่ครอบคลุมอาจมีข้อผูกพันในการปฏิบัติตามตามสัญญา
ถาม: จะเกิดอะไรขึ้นหากผู้บริโภคส่งคำขอการแก้ไขและธุรกิจไม่เห็นด้วย? ธุรกิจอาจปฏิเสธการแก้ไขหากตัดสินใจว่าข้อมูลนั้นถูกต้อง แต่ต้องบันทึกการตัดสินใจและแจ้งให้ผู้บริโภคทราบถึงเหตุผลในการปฏิเสธ
ถาม: มีสิทธิในการฟ้องร้องส่วนตัวภายใต้ CPRA หรือไม่? มีสิทธิในการฟ้องร้องส่วนตัวที่จำกัดสำหรับการละเมิดข้อมูลที่เกี่ยวข้องกับหมวดหมู่ข้อมูลส่วนบุคคลบางประเภท การละเมิดอื่น ๆ ส่วนใหญ่จะถูกบังคับใช้โดย CPPA หรืออัยการสูงสุด ไม่ผ่านการฟ้องร้องส่วนตัว
เครื่องตรวจสอบการปฏิบัติตาม CPRA แบบโต้ตอบ
อ้างอิง
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai