กฎหมายสหรัฐฯ และ CCPA

CCPA อธิบาย: วิธีการจัดการการไม่ขายข้อมูลสำหรับผู้บริโภคในแคลิฟอร์เนีย

7 กรกฎาคม 2569 · 16 อ่าน 1 นาที

คำตอบสั้น ๆ: พระราชบัญญัติความเป็นส่วนตัวของผู้บริโภคในแคลิฟอร์เนีย (CCPA) มอบสิทธิให้กับผู้อยู่อาศัยในแคลิฟอร์เนียในการไม่ขายหรือแบ่งปันข้อมูลส่วนบุคคลของตน ตั้งแต่วันที่ 1 มกราคม 2026 กฎระเบียบที่แก้ไขแล้วกำหนดให้ธุรกิจต้องให้เกียรติสัญญาณการไม่ขายข้อมูล (เช่น Global Privacy Control) ยืนยันอย่างชัดเจนว่าสัญญาณเหล่านั้นได้รับการประมวลผล และทำให้กระบวนการไม่ขายข้อมูลไม่ซับซ้อนเกินไปกว่ากระบวนการยินยอมเข้าร่วม การไม่ปฏิบัติตามอาจส่งผลให้เกิดบทลงโทษทางแพ่งสูงถึง $7,500 ต่อการละเมิดที่ตั้งใจ

ข้อสรุปสำคัญ

CCPA ใช้กับธุรกิจที่มุ่งหวังผลกำไรซึ่งมีรายได้ ขนาดข้อมูล หรือเกณฑ์การขายข้อมูลที่เฉพาะเจาะจง ไม่ใช่ทุกบริษัทที่ดำเนินการในแคลิฟอร์เนีย
ตั้งแต่วันที่ 1 มกราคม 2026 ธุรกิจต้องแสดงการยืนยันที่ชัดเจนเมื่อมีการรับรู้และให้เกียรติสัญญาณการไม่ขายข้อมูล (เช่น Global Privacy Control) [3]
กลไกการไม่ขายข้อมูลต้องใช้งานง่ายเท่ากับกระบวนการยินยอมเข้าร่วม; รูปแบบที่ทำให้ไม่สามารถไม่ขายข้อมูลได้จะถูกห้ามอย่างชัดเจนตามการแก้ไขในปี 2026 [7]
ธุรกิจมีเวลา 15 วันทำการในการให้เกียรติคำขอการไม่ขายข้อมูลของผู้บริโภคหลังจากได้รับคำขอ [2]
"ข้อมูลส่วนบุคคล" ตาม CCPA มีความหมายกว้าง: รวมถึงที่อยู่ IP ประวัติการท่องเว็บ ข้อมูลตำแหน่งทางภูมิศาสตร์ การอนุมานจากพฤติกรรมของผู้บริโภค และอื่นๆ
CCPA และ GDPR ใช้งานบนโมเดลการยินยอมที่แตกต่างกันโดยพื้นฐาน การไม่ขายข้อมูล vs. การยินยอมเข้าร่วม และธุรกิจหลายแห่งต้องปฏิบัติตามทั้งสองอย่างพร้อมกัน
การไม่อัปเดตนโยบายความเป็นส่วนตัวของคุณเพื่อสะท้อนสิทธิภายใต้ CCPA เองก็เป็นช่องว่างในการปฏิบัติตามที่แยกออกจากความล้มเหลวทางเทคนิคในการไม่ขายข้อมูล
แพลตฟอร์มการจัดการความยินยอมเช่น Biscotti CMP สามารถทำให้การตรวจจับสัญญาณ การแสดงการยืนยันการไม่ขายข้อมูล และการบันทึกความชอบเป็นไปโดยอัตโนมัติ

CCPA คืออะไรและทำไมมันถึงสำคัญสำหรับธุรกิจของคุณ

พระราชบัญญัติความเป็นส่วนตัวของผู้บริโภคในแคลิฟอร์เนียเป็นกฎหมายความเป็นส่วนตัวในระดับรัฐที่มอบสิทธิเฉพาะให้กับผู้อยู่อาศัยในแคลิฟอร์เนียเกี่ยวกับวิธีการที่ธุรกิจเก็บรวบรวม ใช้ และขายข้อมูลส่วนบุคคลของพวกเขา มันสำคัญเพราะแคลิฟอร์เนียเป็นเศรษฐกิจที่ใหญ่เป็นอันดับห้าของโลก และธุรกิจใดๆ ที่มีส่วนเกี่ยวข้องกับผู้บริโภคในแคลิฟอร์เนีย ไม่ว่าจะตั้งอยู่ที่ใด อาจมีข้อกำหนดทางกฎหมายให้ต้องปฏิบัติตาม

CCPA ถูกบังคับใช้ครั้งแรกในปี 2018 ได้รับการเสริมสร้างโดยพระราชบัญญัติสิทธิความเป็นส่วนตัวของแคลิฟอร์เนีย (CPRA) ในปี 2020 และได้รับการอัปเดตอย่างมีนัยสำคัญอีกครั้งด้วยกฎระเบียบที่ได้รับการอนุมัติโดยสำนักงานกฎหมายการบริหารของแคลิฟอร์เนียเมื่อวันที่ 22 กันยายน 2025 มีผลตั้งแต่วันที่ 1 มกราคม 2026 [1][5] การแก้ไขในปี 2026 เหล่านี้ได้เพิ่มหน้าที่ใหม่เกี่ยวกับเทคโนโลยีการตัดสินใจอัตโนมัติ (ADMT) การประเมินความเสี่ยง และที่สำคัญสำหรับธุรกิจส่วนใหญ่ การออกแบบกลไกการไม่ขายข้อมูลและข้อกำหนดการยืนยัน [1][7]

การเข้าใจ CCPA อธิบาย: วิธีการจัดการการไม่ขายข้อมูลสำหรับผู้บริโภคในแคลิฟอร์เนียไม่ใช่ทางเลือกสำหรับธุรกิจที่ครอบคลุมอีกต่อไป พื้นฐานด้านกฎระเบียบได้เพิ่มสูงขึ้น และการบังคับใช้ก็ได้ตามมา

ฉันจะรู้ได้อย่างไรว่า CCPA ใช้กับบริษัทของฉันหรือไม่

CCPA ใช้กับธุรกิจที่มุ่งหวังผลกำไรซึ่งทำธุรกิจในแคลิฟอร์เนียและตรงตาม อย่างน้อยหนึ่ง เกณฑ์ต่อไปนี้:

รายได้รวมประจำปีเกิน 25 ล้านดอลลาร์
การซื้อ ขาย รับ หรือแบ่งปันข้อมูลส่วนบุคคลของผู้บริโภคในแคลิฟอร์เนีย 100,000 คนหรือมากกว่า ต่อปี
ได้รับ 50% หรือมากกว่า ของรายได้ประจำปีจากการขายหรือแบ่งปันข้อมูลส่วนบุคคลของผู้บริโภคในแคลิฟอร์เนีย [4][6]

CCPA ใช้กับธุรกิจขนาดเล็กที่มีรายได้ต่ำกว่าหรือไม่? โดยทั่วไปแล้วไม่ใช่ หากธุรกิจอยู่ต่ำกว่าทั้งสามเกณฑ์ จะไม่ถือเป็นธุรกิจที่ครอบคลุมภายใต้ CCPA อย่างไรก็ตาม ผู้ให้บริการและผู้รับเหมาที่ประมวลผลข้อมูลในนามของธุรกิจที่ครอบคลุมจะต้องปฏิบัติตามข้อกำหนด CCPA ตามสัญญาแม้ว่าพวกเขาจะไม่ผ่านเกณฑ์ด้วยตนเอง [2]

กรณีขอบเขต: บริษัท SaaS ขนาดเล็กที่มีรายได้ต่ำกว่า 25 ล้านดอลลาร์ แต่มีฐานผู้ใช้ในระดับฟรีที่ใหญ่สามารถข้ามเกณฑ์ข้อมูลผู้บริโภค 100,000 คนได้โดยไม่รู้ตัว

อะไรคือข้อมูลส่วนบุคคลภายใต้ CCPA

ข้อมูลส่วนบุคคลภายใต้ CCPA ถูกกำหนดอย่างกว้างขวางว่าเป็นข้อมูลใดๆ ที่ระบุ เชื่อมโยง อธิบาย หรือสามารถเชื่อมโยงได้อย่างสมเหตุสมผลกับผู้บริโภคหรือครัวเรือนเฉพาะ นี่รวมถึงข้อมูลที่มากกว่าชื่อและที่อยู่อีเมล

หมวดหมู่ที่ครอบคลุมรวมถึง:

หมวดหมู่	ตัวอย่าง
ตัวระบุ	ชื่อ, อีเมล, ที่อยู่ IP, ID อุปกรณ์
ข้อมูลเชิงพาณิชย์	ประวัติการซื้อ, พฤติกรรมการท่องเว็บ
ข้อมูลชีวภาพ	ลายนิ้วมือ, ข้อมูลการรู้จำใบหน้า
กิจกรรมทางอินเทอร์เน็ต	คุกกี้, ประวัติการค้นหา, การโต้ตอบกับเว็บไซต์
ตำแหน่งทางภูมิศาสตร์	ตำแหน่งที่แม่นยำจากอุปกรณ์เคลื่อนที่
การอนุมาน	โปรไฟล์ที่สร้างจากข้อมูลพฤติกรรม
ข้อมูลส่วนบุคคลที่ละเอียดอ่อน	หมายเลขประกันสังคม, ข้อมูลสุขภาพ, ตำแหน่งทางภูมิศาสตร์ที่แม่นยำ

การอนุมานที่สร้างจากข้อมูลของผู้บริโภคเพื่อสร้างโปรไฟล์เกี่ยวกับความชอบ ลักษณะ หรือพฤติกรรมจะรวมอยู่ด้วยอย่างชัดเจน [4] สิ่งนี้มีความสำคัญสำหรับโฆษณาเทคโนโลยี การวิเคราะห์ และสายการปรับแต่ง

ความแตกต่างระหว่างการไม่ขายข้อมูลและการยินยอมเข้าร่วมของ CCPA คืออะไร

CCPA ใช้งานบน โมเดลการไม่ขายข้อมูล: ธุรกิจสามารถเก็บรวบรวมและใช้ข้อมูลของผู้บริโภคโดยอัตโนมัติ แต่ผู้บริโภคมีสิทธิที่จะเรียกร้องว่าข้อมูลของพวกเขาไม่ควรถูกขายหรือแบ่งปัน การยินยอมเข้าร่วมจะต้องมีในบางสถานการณ์ เช่น เมื่อจัดการข้อมูลส่วนบุคคลของผู้บริโภคที่อายุต่ำกว่า 16 ปี [4][6]

นี่คือความแตกต่างทางโครงสร้างที่สำคัญจาก GDPR ซึ่งใช้งานบน โมเดลการยินยอมเข้าร่วม ที่ต้องการการยินยอมที่ชัดเจนก่อนที่การประมวลผลข้อมูลส่วนใหญ่จะเริ่มต้น ภายใต้ CCPA ความเงียบไม่ถือเป็นการยินยอม แต่ก็ไม่เป็นอุปสรรคต่อการประมวลผล ภายใต้ GDPR ความเงียบไม่ถือเป็นการยินยอมและการประมวลผลไม่สามารถเริ่มต้นได้หากไม่มีการยินยอม

เลือกใช้ตรรกะการยินยอมเข้าร่วมหาก: คุณกำลังจัดการข้อมูลจากผู้เยาว์ (อายุต่ำกว่า 16 ปี) หรือประมวลผลหมวดหมู่ข้อมูลส่วนบุคคลที่ละเอียดอ่อนซึ่งต้องการการยินยอมที่ชัดเจนตามกฎหมายของแคลิฟอร์เนีย

เลือกใช้ตรรกะการไม่ขายข้อมูลหาก: คุณกำลังจัดการข้อมูลผู้บริโภคทั่วไปจากผู้ใหญ่และเป็นธุรกิจที่ครอบคลุมภายใต้ CCPA

ฉันจะตั้งค่าลิงก์ "ไม่ขายหรือแบ่งปันข้อมูลส่วนบุคคลของฉัน" ได้อย่างไร

ธุรกิจที่ครอบคลุมทุกแห่งที่ขายหรือแบ่งปันข้อมูลส่วนบุคคลต้องจัดให้มีลิงก์ที่ชัดเจนและเด่นชัดซึ่งมีชื่อว่า "ไม่ขายหรือแบ่งปันข้อมูลส่วนบุคคลของฉัน" บนหน้าแรกและในนโยบายความเป็นส่วนตัว [4][6]

ขั้นตอนการตั้งค่า:

ตรวจสอบกระบวนการข้อมูลของคุณเพื่อตรวจสอบว่าธุรกิจของคุณขายหรือแบ่งปันข้อมูลส่วนบุคคลตามที่กำหนดโดย CCPA หรือไม่
เพิ่มลิงก์ที่จำเป็นลงในส่วนท้ายของเว็บไซต์และเมนูการตั้งค่าแอปพลิเคชันมือถือของคุณ
กำหนดค่าแพลตฟอร์มการจัดการความยินยอมของคุณเพื่อจับและบันทึกเวลาในการขอการไม่ขายข้อมูล
ตรวจสอบให้แน่ใจว่ากระบวนการไม่ขายข้อมูลไม่ต้องการขั้นตอนมากกว่ากระบวนการยินยอมเข้าร่วม กฎระเบียบปี 2026 ห้ามการขัดขวางที่ไม่สมมาตรอย่างชัดเจน [7]
ให้เกียรติสัญญาณ Global Privacy Control (GPC) โดยอัตโนมัติหากธุรกิจของคุณประมวลผลข้อมูลจากเบราว์เซอร์
แสดงการยืนยันที่ชัดเจนว่าสัญญาณการไม่ขายข้อมูลได้รับการรับรู้ เช่น แบนเนอร์หรือสถานะการสลับที่แสดงว่า "ให้เกียรติสัญญาณการไม่ขายข้อมูล" [3]

แพลตฟอร์มเช่น Biscotti CMP สามารถทำให้ขั้นตอนที่ 3 ถึง 6 เป็นไปโดยอัตโนมัติ รวมถึงการตรวจจับสัญญาณ GPC และการแสดงการยืนยันที่สอดคล้อง

ฉันมีเวลานานแค่ไหนในการตอบสนองต่อคำขอการไม่ขายข้อมูลของผู้บริโภค

ธุรกิจต้องให้เกียรติคำขอการไม่ขายข้อมูลของผู้บริโภค ภายใน 15 วันทำการ หลังจากได้รับคำขอ [2] นี่แตกต่างจากกรอบเวลาการตอบสนอง 45 วันที่ใช้กับคำขอสิทธิของผู้บริโภคอื่นๆ (เช่น การเข้าถึงหรือการลบ)

เมื่อได้รับการให้เกียรติแล้ว ธุรกิจต้องแจ้งให้บุคคลที่สามใดๆ ที่ขายหรือแบ่งปันข้อมูลของผู้บริโภคภายใน 90 วันที่ผ่านมาให้หยุดใช้ข้อมูลนั้น [6] ข้อกำหนดการแจ้งเตือนในภายหลังนี้มักถูกมองข้ามและเป็นช่องว่างในการปฏิบัติตามที่พบบ่อย

ฉันยังสามารถใช้ข้อมูลได้หรือไม่หลังจากที่ลูกค้าไม่ขายข้อมูล

หลังจากที่ผู้บริโภคไม่ขายหรือแบ่งปันข้อมูล ธุรกิจไม่สามารถขายหรือแบ่งปันข้อมูลส่วนบุคคลของผู้บริโภคได้อีกต่อไป อย่างไรก็ตาม ธุรกิจยังสามารถ ใช้ ข้อมูลนั้นเพื่อวัตถุประสงค์ภายในที่สอดคล้องกับความสัมพันธ์ของผู้บริโภคกับธุรกิจ [4]

สิ่งที่ถูกห้ามโดยเฉพาะหลังจากการไม่ขายข้อมูล:

การขายหรือแบ่งปันข้อมูลกับบุคคลที่สามเพื่อการโฆษณาพฤติกรรมข้ามบริบท
การใช้ข้อมูลในวิธีที่ไม่สอดคล้องกับบริบทที่เก็บรวบรวมข้อมูล

สิ่งที่ยังได้รับอนุญาตหลังจากการไม่ขายข้อมูล:

การดำเนินการตามธุรกรรมหรือบริการที่ผู้บริโภคขอ
การวิเคราะห์ภายในและการป้องกันการฉ้อโกง
การปฏิบัติตามข้อกำหนดทางกฎหมาย

ข้อผิดพลาดทั่วไป: การสมมติว่าการไม่ขายข้อมูลหมายถึงการลบข้อมูลทั้งหมด นั่นไม่ใช่ ผู้บริโภคต้องส่งคำขอลบข้อมูลแยกต่างหากเพื่อกระตุ้นสิทธินั้น

CCPA vs. GDPR: ฉันต้องปฏิบัติตามอันไหน

หากธุรกิจของคุณให้บริการทั้งผู้บริโภคในแคลิฟอร์เนียและผู้บริโภคในสหภาพยุโรป คุณอาจต้องปฏิบัติตามทั้งสองอย่าง CCPA และ GDPR ไม่ได้ขัดแย้งกัน และข้อกำหนดในการปฏิบัติตามแตกต่างกันมากพอที่นโยบายเดียวมักจะไม่สามารถตอบสนองทั้งสองได้

ปัจจัย	CCPA	GDPR
โมเดลการยินยอม	ไม่ขายข้อมูล (การประมวลผลเริ่มต้นอนุญาต)	ยินยอมเข้าร่วม (ต้องการการยินยอมก่อน)
ขอบเขตทางภูมิศาสตร์	ผู้อยู่อาศัยในแคลิฟอร์เนีย	ผู้อยู่อาศัยในสหภาพยุโรป/EEA
ใครที่ครอบคลุม	ธุรกิจที่มุ่งหวังผลกำไรซึ่งตรงตามเกณฑ์	หน่วยงานใดๆ ที่ประมวลผลข้อมูลของผู้อยู่อาศัยในสหภาพยุโรป
บทลงโทษ	สูงสุด $7,500 ต่อการละเมิดที่ตั้งใจ	สูงสุด 4% ของรายได้ประจำปีทั่วโลก
สิทธิในการลบข้อมูล	ใช่	ใช่ (สิทธิในการลบข้อมูล)
การพกพาข้อมูล	ใช่	ใช่

ผลกระทบที่เป็นรูปธรรม: แบนเนอร์การยินยอมที่สอดคล้องกับ GDPR ไม่ได้หมายความว่าจะสอดคล้องกับ CCPA โดยอัตโนมัติ เนื่องจาก CCPA ต้องการกลไกการไม่ขายข้อมูลที่เฉพาะเจาะจงมากกว่าการประตูการยินยอม

จะเกิดอะไรขึ้นหากฉันไม่ปฏิบัติตามข้อกำหนดของ CCPA

การไม่ปฏิบัติตามทำให้ธุรกิจต้องเผชิญกับบทลงโทษทางแพ่งสูงถึง $2,500 ต่อการละเมิดที่ไม่ตั้งใจ และ $7,500 ต่อการละเมิดที่ตั้งใจ ซึ่งบังคับใช้โดยหน่วยงานป้องกันความเป็นส่วนตัวของแคลิฟอร์เนีย (CPPA) [4][6] การละเมิดที่เกี่ยวข้องกับข้อมูลของผู้เยาว์จะถูกพิจารณาว่าเป็นการละเมิดที่ตั้งใจโดยอัตโนมัติ

ผู้บริโภคยังมีสิทธิในการดำเนินการทางแพ่งสำหรับการละเมิดข้อมูลที่เกิดจากความล้มเหลวของธุรกิจในการดำเนินการตามมาตรการรักษาความปลอดภัยที่เหมาะสม โดยมีความเสียหายตามกฎหมายตั้งแต่ $100 ถึง $750 ต่อผู้บริโภคต่อเหตุการณ์ [4]

การแก้ไขในปี 2026 ได้ขยายอำนาจการตรวจสอบของ CPPA ซึ่งหมายความว่าธุรกิจที่อยู่ภายใต้ข้อกำหนดการประเมินความเสี่ยงอาจเผชิญกับการตรวจสอบด้านกฎระเบียบเชิงรุก ไม่ใช่แค่การบังคับใช้เชิงตอบสนอง [1][7]

ฉันต้องอัปเดตนโยบายความเป็นส่วนตัวของฉันสำหรับ CCPA หรือไม่

ใช่ ธุรกิจที่ครอบคลุมต้องรักษานโยบายความเป็นส่วนตัวที่เปิดเผยอย่างน้อย:

หมวดหมู่ของข้อมูลส่วนบุคคลที่เก็บรวบรวมและวัตถุประสงค์ในการเก็บรวบรวม
ข้อมูลส่วนบุคคลถูกขายหรือแบ่งปันหรือไม่ และหมวดหมู่ของบุคคลที่สามที่เกี่ยวข้อง
สิทธิของผู้บริโภคที่มีอยู่ภายใต้ CCPA (การไม่ขายข้อมูล การลบ การเข้าถึง การแก้ไข การพกพา)
วิธีที่ผู้บริโภคสามารถส่งคำขอเพื่อใช้สิทธิเหล่านั้น
ระยะเวลาการเก็บรักษาสำหรับแต่ละหมวดหมู่ของข้อมูลส่วนบุคคล [4][6]

นโยบายความเป็นส่วนตัวต้องได้รับการอัปเดตอย่างน้อยปีละหนึ่งครั้ง การไม่อัปเดตนโยบายหลังจากการเปลี่ยนแปลงที่มีนัยสำคัญในแนวทางการเก็บข้อมูล เช่น การเพิ่มผู้ให้บริการวิเคราะห์ใหม่ ถือเป็นการละเมิดการปฏิบัติตาม

ฉันจะตรวจสอบคำขอการไม่ขายข้อมูลของผู้บริโภคว่าเป็นของจริงได้อย่างไร

สำหรับคำขอการไม่ขายข้อมูลโดยเฉพาะ CCPA ไม่ กำหนดให้ธุรกิจต้องตรวจสอบตัวตนของผู้บริโภคที่ทำคำขอ [2] นี่เป็นการตั้งใจ: การกำหนดให้มีการตรวจสอบตัวตนสำหรับการไม่ขายข้อมูลจะสร้างความยุ่งยากที่ทำให้สิทธินั้นอ่อนแอลง

อย่างไรก็ตาม ธุรกิจสามารถใช้วิธีการที่เหมาะสมเพื่อยืนยันว่าคำขอไม่เป็นการฉ้อโกง เช่น การยืนยันที่อยู่อีเมลที่เกี่ยวข้องกับบัญชี มาตรฐานสำหรับการตรวจสอบการไม่ขายข้อมูลจะต่ำกว่าคำขอการลบหรือการเข้าถึง ซึ่งการตรวจสอบตัวตนเป็นสิ่งที่เหมาะสมเพราะคำขอนั้นเกี่ยวข้องกับการเปิดเผยหรือทำลายข้อมูล

กรณีขอบเขต: หากคำขอการไม่ขายข้อมูลมาจากสัญญาณอัตโนมัติ (GPC) จะไม่ต้องมีขั้นตอนการตรวจสอบเพิ่มเติมหรือได้รับอนุญาต สัญญาณนั้นเองถือเป็นคำขอที่ถูกต้อง [3][7]

กลไกการไม่ขายข้อมูลทำงานอย่างไรบนแอปมือถือกับเว็บไซต์

บนเว็บไซต์ กลไกการไม่ขายข้อมูลต้องรวมลิงก์ "ไม่ขายหรือแบ่งปันข้อมูลส่วนบุคคลของฉัน" ในส่วนท้ายและต้องให้เกียรติสัญญาณ GPC ระดับเบราว์เซอร์ [3][7] บนแอปมือถือ ข้อกำหนดจะเทียบเท่ากันในทางปฏิบัติ แต่การดำเนินการจะแตกต่างกัน:

แอปมือถือ ต้องรวมตัวเลือกการไม่ขายข้อมูลในเมนูการตั้งค่าของแอปหรือส่วนความเป็นส่วนตัว
แอปที่แจกจ่ายผ่านร้านแอปต้องปฏิบัติตามข้อกำหนดความเป็นส่วนตัวในระดับแพลตฟอร์มเพิ่มเติม (เช่น App Tracking Transparency บน iOS) แต่ข้อกำหนดในระดับแพลตฟอร์มเหล่านั้นไม่สามารถทดแทนการปฏิบัติตาม CCPA ได้
สัญญาณอัตโนมัติจากระบบปฏิบัติการมือถือจะต้องได้รับการให้เกียรติในลักษณะเดียวกับสัญญาณ GPC ที่มาจากเบราว์เซอร์หากธุรกิจประมวลผลข้อมูลนั้น

กฎระเบียบปี 2026 ทำให้ชัดเจนว่าช่องทาง (เว็บ vs. แอป) ไม่เปลี่ยนข้อผูกพันพื้นฐาน เพียงแต่การดำเนินการทางเทคนิคจะแตกต่างกัน

ข้อผิดพลาดทั่วไปที่ธุรกิจทำกับการปฏิบัติตาม CCPA

แม้แต่ธุรกิจที่มีเจตนาดีมักทำข้อผิดพลาดต่อไปนี้:

การถือว่าการไม่ขายข้อมูลเป็นการยินยอมเข้าร่วม: การกำหนดให้ผู้บริโภคต้องยืนยันการไม่ขายข้อมูลของตนอย่างชัดเจนผ่านหลายขั้นตอน ซึ่งละเมิดข้อกำหนดความสมมาตรในการแก้ไขปี 2026 [7]
การมองข้ามสัญญาณ GPC: ไม่ได้กำหนดค่าเทคโนโลยีของตนเพื่อให้ตรวจจับและให้เกียรติสัญญาณ GPC จากเบราว์เซอร์ ซึ่งตอนนี้ถือเป็นคำขอการไม่ขายข้อมูลที่ถูกต้อง [3]
การไม่แสดงการยืนยันการไม่ขายข้อมูล: กฎระเบียบปี 2026 กำหนดให้มีการยืนยันที่ชัดเจนว่าสัญญาณได้รับการประมวลผล การบันทึกในระบบหลังบ้านไม่เพียงพอ [3]
การมองข้ามผู้ขายในภายหลัง: ไม่แจ้งให้ผู้รับข้อมูลบุคคลที่สามทราบหลังจากได้รับการไม่ขายข้อมูล
นโยบายความเป็นส่วนตัวที่ไม่เปลี่ยนแปลง: ไม่อัปเดตนโยบายทุกปีหรือหลังจากการเปลี่ยนแปลงที่มีนัยสำคัญในแนวทางการเก็บข้อมูล
การผสมผสานผู้ให้บริการกับบุคคลที่สาม: ผู้ให้บริการที่ประมวลผลข้อมูลตามสัญญามีข้อผูกพันที่แตกต่างจากบุคคลที่สามที่ได้รับข้อมูลเพื่อวัตถุประสงค์ของตนเอง

FAQ

CCPA ใช้กับองค์กรไม่แสวงหาผลกำไรหรือไม่? ไม่ CCPA ใช้เฉพาะกับธุรกิจที่มุ่งหวังผลกำไร องค์กรไม่แสวงหาผลกำไรไม่ถือเป็นธุรกิจที่ครอบคลุม แม้ว่าพวกเขาอาจต้องปฏิบัติตามกฎหมายความเป็นส่วนตัวอื่นๆ ของแคลิฟอร์เนีย

Global Privacy Control (GPC) คืออะไรและฉันต้องให้เกียรติมันหรือไม่? GPC เป็นสัญญาณระดับเบราว์เซอร์ที่สื่อสารความชอบการไม่ขายข้อมูลของผู้บริโภคโดยอัตโนมัติ ตั้งแต่วันที่ 1 มกราคม 2026 ธุรกิจที่ครอบคลุมซึ่งประมวลผลข้อมูลจากเบราว์เซอร์ต้องให้เกียรติสัญญาณ GPC เป็นคำขอการไม่ขายข้อมูลที่ถูกต้องและแสดงการยืนยันว่าสัญญาณได้รับการประมวลผล [3][7]

ธุรกิจสามารถเรียกเก็บเงินในราคาที่แตกต่างจากผู้บริโภคที่ไม่ขายข้อมูลได้หรือไม่? โดยทั่วไปแล้วไม่สามารถ CCPA ห้ามธุรกิจไม่ให้เลือกปฏิบัติต่อผู้บริโภคที่ใช้สิทธิความเป็นส่วนตัว รวมถึงการเรียกเก็บเงินในราคาที่แตกต่าง เว้นแต่ความแตกต่างนั้นจะเกี่ยวข้องกับมูลค่าของข้อมูลของผู้บริโภค [4]

ต้องเก็บบันทึกการไม่ขายข้อมูลนานแค่ไหน? CCPA ไม่ได้กำหนดระยะเวลาการเก็บรักษาที่เป็นสากลสำหรับบันทึกการไม่ขายข้อมูล แต่ธุรกิจควรเก็บบันทึกนานพอที่จะพิสูจน์การปฏิบัติตามในกรณีที่มีการตรวจสอบหรือการบังคับใช้ โดยทั่วไปแล้วอย่างน้อย 24 เดือนถือเป็นฐานที่เหมาะสม [6]

แบนเนอร์คุกกี้ตอบสนองต่อข้อกำหนดการไม่ขายข้อมูลของ CCPA หรือไม่? แบนเนอร์คุกกี้เพียงอย่างเดียวไม่เพียงพอ CCPA ต้องการลิงก์ที่เฉพาะเจาะจง "ไม่ขายหรือแบ่งปันข้อมูลส่วนบุคคลของฉัน" และการแก้ไขในปี 2026 กำหนดให้ธุรกิจต้องให้เกียรติและยืนยันสัญญาณ GPC โดยไม่ขึ้นอยู่กับการโต้ตอบการยินยอมคุกกี้ใดๆ [3][7]

ความแตกต่างระหว่าง "การขาย" และ "การแบ่งปัน" ตาม CCPA คืออะไร? "การขาย" เกี่ยวข้องกับการแลกเปลี่ยนข้อมูลส่วนบุคคลเพื่อการพิจารณาทางการเงิน "การแบ่งปัน" ครอบคลุมการเปิดเผยข้อมูลส่วนบุคคลเพื่อการโฆษณาพฤติกรรมข้ามบริบท แม้จะไม่มีการชำระเงิน ทั้งสองจะกระตุ้นสิทธิในการไม่ขายข้อมูล [4]

ฉันต้องมีกลไกการไม่ขายข้อมูลแยกสำหรับแต่ละหมวดหมู่ของข้อมูลหรือไม่? ไม่ กลไกการไม่ขายข้อมูลเดียวที่ครอบคลุมการขายและการแบ่งปันถือเป็นสิ่งที่เพียงพอ แม้ว่าธุรกิจจะต้องอธิบายอย่างชัดเจนในนโยบายความเป็นส่วนตัวว่าหมวดหมู่ของข้อมูลใดบ้างที่ครอบคลุม

การประเมินความเสี่ยงภายใต้การแก้ไข CCPA ปี 2026 คืออะไร? ธุรกิจที่ประมวลผลข้อมูลส่วนบุคคลในลักษณะที่มีความเสี่ยงต่อความเป็นส่วนตัวอย่างมีนัยสำคัญ รวมถึงการใช้เทคโนโลยีการตัดสินใจอัตโนมัติ ต้องดำเนินการและบันทึกการประเมินความเสี่ยงก่อนที่จะเริ่มการประมวลผลนั้น [1][7]

สรุป

CCPA อธิบาย: วิธีการจัดการการไม่ขายข้อมูลสำหรับผู้บริโภคในแคลิฟอร์เนียเป็นเป้าหมายที่เคลื่อนไหว และการแก้ไขในปี 2026 ได้ยกระดับมาตรฐานขึ้นอย่างมาก ข้อผูกพันหลัก เช่น การจัดให้มีกลไกการไม่ขายข้อมูลที่ชัดเจน การให้เกียรติคำขอของผู้บริโภคภายใน 15 วันทำการ และการอัปเดตนโยบายความเป็นส่วนตัวของคุณ ยังคงเป็นพื้นฐาน แต่ข้อกำหนดใหม่เกี่ยวกับการยืนยันสัญญาณ GPC การห้ามรูปแบบที่มืดมน และการประเมินความเสี่ยง ADMT ต้องการวิธีการที่เป็นระบบมากกว่าลิงก์ส่วนท้ายที่ไม่เปลี่ยนแปลง

ขั้นตอนที่สามารถดำเนินการได้สำหรับธุรกิจที่ครอบคลุม:

ตรวจสอบกระบวนการไม่ขายข้อมูลปัจจุบันของคุณตามข้อกำหนดความสมมาตรในปี 2026: นับจำนวนขั้นตอนในการไม่ขายข้อมูลและเปรียบเทียบกับขั้นตอนในการยินยอมเข้าร่วม
ตรวจสอบว่าเว็บไซต์และแอปมือถือของคุณตรวจจับและให้เกียรติสัญญาณ Global Privacy Control และแสดงข้อความการยืนยันที่ชัดเจนเมื่อได้รับสัญญาณ
ตรวจสอบรายชื่อผู้ขายบุคคลที่สามของคุณและยืนยันว่ามีขั้นตอนการแจ้งเตือนในภายหลังสำหรับการไหลของข้อมูลหลังจากการไม่ขายข้อมูล
อัปเดตนโยบายความเป็นส่วนตัวของคุณเพื่อสะท้อนแนวทางการเก็บข้อมูลปัจจุบัน ระยะเวลาการเก็บรักษา และรายชื่อสิทธิของผู้บริโภคทั้งหมด
ประเมินแพลตฟอร์มการจัดการความยินยอมเช่น Biscotti CMP เพื่อทำให้การตรวจจับสัญญาณ การยืนยันการไม่ขายข้อมูล และการบันทึกความชอบเป็นไปโดยอัตโนมัติในช่องทางเว็บและมือถือ

การปฏิบัติตามไม่ใช่โครงการครั้งเดียว CPPA ได้แสดงให้เห็นถึงความเต็มใจที่จะออกแนวทางและดำเนินการบังคับใช้ และสภาพแวดล้อมด้านกฎระเบียบจะยังคงพัฒนา การสร้างกระบวนการที่สามารถทำซ้ำได้และตรวจสอบได้ในตอนนี้คือสถานะที่สามารถป้องกันได้มากที่สุดที่ธุรกิจที่ครอบคลุมสามารถทำได้