Швидка відповідь: Закон Каліфорнії про права на конфіденційність (CPRA) суттєво змінив оригінальний Закон Каліфорнії про конфіденційність споживачів (CCPA), запровадивши нові права споживачів, спеціальний орган для забезпечення виконання, суворіші штрафи та абсолютно нову категорію чутливої особистої інформації. Для операторів вебсайтів питання CCPA проти CPRA: Що змінилося для операторів вебсайтів у Каліфорнії? не є теоретичним, воно безпосередньо перетворюється на оновлені політики конфіденційності, нові механізми згоди та розширені контрактні зобов'язання з постачальниками.
Основні висновки
- CPRA набула чинності 1 липня 2023 року, замінивши та розширивши рамки CCPA.
- Нова категорія "чутлива особиста інформація" (SPI) вимагає наявності спеціального посилання для відмови на вебсайтах, що збирають ці дані.
- Споживачі отримали право виправляти неточні особисті дані, яке не існувало в оригінальному CCPA.
- Поріг застосування зріс з 50,000 до 100,000 споживачів або домогосподарств, звільняючи деяких менших операторів.
- "Обмін" особистими даними для крос-контекстної поведінкової реклами тепер вважається "продажем", що вимагає механізмів відмови.
- Оператори вебсайтів повинні поважати сигнали Глобального контролю конфіденційності (GPC) як дійсні запити на відмову.
- Адміністративні штрафи зросли до $2,663 за ненавмисне порушення та $7,988 за навмисне порушення з 1 січня 2025 року.
- Каліфорнійське агентство з захисту конфіденційності (CPPA) тепер має незалежні повноваження для забезпечення виконання, окремі від Генерального прокурора.
- Вимоги до прозорості автоматизованого прийняття рішень набудуть чинності 1 січня 2027 року.
- Оцінки ризиків та аудити кібербезпеки тепер є обов'язковими для діяльності з обробки даних високого ризику.
У чому різниця між CCPA та CPRA?
CCPA, що набрала чинності 1 січня 2020 року, надала споживачам Каліфорнії базові права на їх особисті дані: право знати, видаляти та відмовлятися від продажу їх інформації. CPRA, прийнята виборцями Каліфорнії в листопаді 2020 року та повністю підлягає виконанню з 1 липня 2023 року, не замінила CCPA повністю, а внесла зміни та значно її розширила [1].
Ключові структурні відмінності включають:
| Особливість | CCPA (Оригінал) | CPRA (Змінений) |
|---|---|---|
| Орган, що забезпечує виконання | Генеральний прокурор Каліфорнії | CPPA + Генеральний прокурор |
| Категорія чутливих даних | Не визначена | Офіційно визначена (SPI) |
| Право на виправлення | Не включено | Включено |
| Визначення "продажу" | Обмін даними за цінність | Включає "обмін" для реклами |
| Поріг застосування | 50,000 споживачів/домогосподарств | 100,000 споживачів/домогосподарств |
| Оцінки ризиків | Не вимагалися | Вимагалися для обробки високого ризику |
| Дотримання сигналів GPC | Не вимагалося | Обов'язкове |
Практичні наслідки для операторів вебсайтів полягають у тому, що відповідність CPRA проти CCPA не є просто оновленням документації, це вимагає архітектурних змін у механізмах згоди, політиках конфіденційності та контрактах з постачальниками [2].
Коли CPRA набула чинності та замінила CCPA?
Суттєві права та зобов'язання CPRA застосовувалися до даних, зібраних 1 січня 2022 року або пізніше, з початком виконання з 1 липня 2023 року. Однорічний період грації для виконання закінчився в цю дату, що означає, що Каліфорнійське агентство з захисту конфіденційності могло почати накладати штрафи без попередження [4].
Для операторів вебсайтів, які все ще працюють за політиками епохи CCPA станом на 2026 рік, ризик є реальним і негайним.
Які нові права мають споживачі відповідно до CPRA, яких не було в CCPA?
CPRA додала два права споживачів, яких не було в оригінальній структурі CCPA:
Право на виправлення: Тепер споживачі можуть вимагати, щоб бізнес виправив неточну особисту інформацію, яку він має про них. Оператори вебсайтів повинні встановити процес перевірки запитів та діяти на запити на виправлення протягом 45 днів [2].
Право обмежити використання чутливої особистої інформації: Споживачі можуть обмежити, як бізнеси використовують їх SPI за межами мети, для якої вона була спочатку зібрана. Це право вимагає окремого, чітко позначеного механізму відмови на вебсайті [1].
Ці доповнення доповнюють існуючі права на знання, видалення, відмову від продажу та недискримінацію, створюючи більш складні вимоги до відповідності для будь-якого сайту, що збирає дані користувачів понад базову аналітику.
Що таке право на виправлення відповідно до CPRA?
Право на виправлення є одним з найбільш операційно вимогливих доповнень у CPRA. Коли споживач подає перевірений запит на виправлення, бізнес повинен вжити комерційно обґрунтованих заходів для виправлення неточної особистої інформації та направити будь-яким постачальникам послуг або підрядникам, які отримали ці дані, зробити таке ж виправлення [2].
Для операторів вебсайтів це означає:
- Створення механізму прийому запитів на виправлення (веб-форма, електронна пошта або портал облікового запису).
- Документування виправлення та повідомлення нижчестоящих обробників даних.
- Відповідь протягом 45 днів, з одним 45-денним продовженням, якщо це необхідно.
Поширена помилка: Багато операторів вважають, що право на виправлення застосовується лише до даних профілю облікового запису. Насправді воно поширюється на будь-яку особисту інформацію, яку бізнес має, включаючи поведінкові дані, виведені уподобання та історію покупок.
Які нові категорії даних охоплює CPRA, яких не було в CCPA?
CPRA офіційно визначила "чутливу особисту інформацію" (SPI) як окрему категорію даних з вищим рівнем захисту. CCPA не мала еквівалентної класифікації [1].
SPI відповідно до CPRA включає:
- Номери соціального страхування та ідентифікаційні документи, видані державою
- Реквізити фінансових рахунків (логін плюс коди безпеки)
- Точні дані геолокації
- Расове або етнічне походження, релігійні переконання та членство в профспілках
- Зміст приватних комунікацій (листування, електронна пошта, текстові повідомлення)
- Генетичні та біометричні дані, оброблені для ідентифікації
- Медична інформація та сексуальне життя або сексуальна орієнтація
Оператори вебсайтів, які збирають будь-яку з цих категорій, повинні надати посилання "Обмежити використання моєї чутливої особистої інформації", функціонально подібне до посилання "Не продавати мою особисту інформацію", яке вже вимагається відповідно до CCPA [1].
CPRA проти CCPA: Яка з них застосовується до мого бізнесу?
Станом на 2026 рік рамки CPRA застосовуються до комерційних підприємств, які ведуть бізнес у Каліфорнії ТА відповідають хоча б одному з цих порогів [7]:
- Річний валовий дохід перевищує $25 мільйонів.
- Купує, продає, отримує або ділиться особистою інформацією 100,000 або більше споживачів або домогосподарств Каліфорнії на рік (збільшено з 50,000 відповідно до CCPA).
- Отримує 50% або більше річного доходу від продажу або обміну особистою інформацією споживачів.
Виберіть відповідність CPRA, якщо: Ваш вебсайт обслуговує жителів Каліфорнії і ви відповідаєте будь-якому з наведених вище критеріїв. Якщо ви раніше відповідали критерію 50,000 споживачів за CCPA, але обробляєте менше 100,000 записів щорічно, ви більше не підлягаєте безпосередньо, хоча контрактні зобов'язання з більшими партнерами можуть все ще вимагати дотримання.
Крайній випадок: Некомерційні організації та чисто B2B оператори зазвичай звільнені, але постачальники послуг та підрядники для охоплених бізнесів несуть свої власні зобов'язання відповідно до CPRA [3].
Як CPRA впливає на політику конфіденційності мого вебсайту?
Політика конфіденційності, що відповідає CCPA, більше не є достатньою. CPRA вимагає від операторів вебсайтів оновити свої політики конфіденційності, щоб відобразити [2][3]:
- Нову категорію SPI та право обмежити її використання.
- Право виправляти неточну особисту інформацію.
- Розширене визначення "продажу", яке включає "обмін" для крос-контекстної поведінкової реклами.
- Як бізнес реагує на сигнали GPC.
- Тривалість зберігання даних для кожної категорії особистої інформації, що збирається.
- Чи використовується автоматизоване прийняття рішень і як споживачі можуть відмовитися.
Політики конфіденційності повинні переглядатися принаймні раз на 12 місяців та оновлюватися, щоб відобразити актуальні практики обробки даних. Застарілі політики, які описують права епохи CCPA без доповнень CPRA, є поширеним тригером для виконання.
Чи потрібно мені оновити мої форми згоди для відповідності CPRA?
Так. Механізми згоди, які були достатніми відповідно до CCPA, потребують значних оновлень для CPRA. Зокрема, операторам вебсайтів потрібно [3][5]:
- Додати посилання "Обмежити використання моєї чутливої особистої інформації" для відмови, якщо сайт збирає SPI.
- Вшановувати сигнали браузера GPC як дійсні запити на відмову від продажу та обміну, це не може вимагати від користувача додаткових дій.
- Отримати ствердну згоду перед продажем або обміном особистої інформації споживачів віком до 16 років.
- Забезпечити, щоб згода на крос-контекстну поведінкову рекламу (ретаргетинг, обмін аудиторією з рекламними платформами) чітко відрізнялася від інших використань даних.
Платформа управління згодою може допомогти автоматизувати виявлення GPC та записування переваг. Biscotti CMP (www.biscotti-cmp.com) розроблена для обробки цих специфічних вимог CPRA, включаючи потоки відмови від SPI та дотримання сигналів GPC, без необхідності в індивідуальному розробленні з боку оператора вебсайту.
Які штрафи за недотримання CPRA?
Станом на 1 січня 2025 року адміністративні штрафи відповідно до рамок CPRA становлять [5]:
- $2,663 за ненавмисне порушення.
- $7,988 за навмисне порушення.
- $7,988 за порушення (потроєно) за порушення, що стосуються особистої інформації споживачів віком до 16 років.
Ці суми періодично коригуються з урахуванням інфляції. Штрафи накладаються за кожне порушення, що означає, що одна недотримувана практика обробки даних, що впливає на тисячі споживачів, може призвести до загальної відповідальності в мільйонах. CPPA має незалежні повноваження ініціювати дії щодо забезпечення виконання без направлення від Генерального прокурора [4].
Важливо: CPRA скасувала 30-денний період виправлення, який існував відповідно до CCPA для більшості порушень, усунувши мережу безпеки, на яку багато операторів покладалися.
Які поширені помилки роблять вебсайти з дотриманням CPRA?
Виходячи з розширених вимог, найбільш часті невдачі у дотриманні включають [3][6]:
- Ігнорування сигналів GPC: Невиконання виявлення та поваги до сигналів відмови на рівні браузера є одним з пріоритетів забезпечення виконання CPPA.
- Відсутність посилання для відмови від SPI: Додавання лише посилання "Не продавати" без окремого посилання "Обмежити використання SPI", коли збирається SPI.
- Застарілі контракти з постачальниками: Невиконання оновлення угод на обробку даних з постачальниками послуг, щоб включити вимоги CPRA.
- Відсутність графіка зберігання даних: CPRA вимагає від бізнесу розкривати та дотримуватися термінів зберігання; багато політик конфіденційності все ще це пропускають.
- Припущення, що період виправлення все ще застосовується: Оператори, які чекають на повідомлення перед виправленням порушень, можуть зіткнутися з негайними штрафами.
- Ігнорування права на виправлення: Створення лише робочих процесів видалення без обробки запитів на виправлення.
Чи мають малі підприємства інші вимоги CPRA?
Збільшення порогу з 50,000 до 100,000 споживачів безпосередньо зменшує навантаження з дотримання для менших операторів вебсайтів [7]. Малий інтернет-магазин або продукт SaaS, що обслуговує менше 100,000 споживачів Каліфорнії щорічно, з доходами менше $25 мільйонів і без доходу від продажу даних, виходить за межі безпосереднього застосування CPRA.
Однак малі підприємства повинні враховувати:
- Якщо вони виступають як постачальник послуг для охопленого бізнесу, вони успадковують контрактні зобов'язання CPRA незалежно від розміру.
- Добровільне дотримання все більше очікується від корпоративних клієнтів і може стати конкурентною перевагою.
- Інші штати прийняли подібні закони, а федеральне законодавство про конфіденційність залишається під активним обговоренням станом на 2026 рік.
Скільки коштує стати відповідним до CPRA?
Немає фіксованої вартості дотримання, вона значно варіюється в залежності від складності екосистеми даних вебсайту. Загальні фактори витрат включають:
- Оновлення політики конфіденційності: Низька вартість, якщо виконано внутрішньо; $500, $3,000+ при використанні юридичних послуг.
- Платформа управління згодою: Постійна підписка SaaS; ціни варіюються залежно від обсягу трафіку та набору функцій.
- Технічна реалізація: Час розробника для додавання посилань для відмови, виявлення GPC та робочих процесів запитів на виправлення.
- Перегляд контрактів з постачальниками: Юридичний перегляд угод на обробку даних з усіма сторонніми обробниками.
- Оцінки ризиків: Для обробки високого ризику формальні оцінки можуть вимагати залучення зовнішніх консультантів.
Для більшості середніх операторів вебсайтів початкове виправлення відповідності коливається в межах кількох тисяч доларів, з подальшими операційними витратами на підтримку політики та управління згодою. Вартість недотримання, враховуючи штрафи за порушення, значно перевищує інвестиції.
Як дізнатися, чи CPRA застосовується до відвідувачів мого вебсайту?
CPRA застосовується на основі місця проживання споживача, а не місця розташування бізнесу. Якщо вебсайт має відвідувачів, які є резидентами Каліфорнії, і оператор відповідає будь-якому з трьох бізнес-порогів, зобов'язання CPRA застосовуються до даних, зібраних від цих відвідувачів [7][8].
Практичні показники того, що CPRA, ймовірно, застосовується:
- Вебсайт приймає замовлення, реєстрації або рекламу від користувачів США без гео-блокування Каліфорнії.
- Бізнес використовує сторонні рекламні мережі, які займаються крос-контекстною поведінковою рекламою.
- Вебсайт збирає будь-яку форму SPI від користувачів (анкетування здоров'я, фінансові дані, точне місцезнаходження).
Коли є сумніви, консервативна та юридично обґрунтована позиція полягає в тому, щоб розглядати всіх відвідувачів вебсайту з США як потенційно охоплених CPRA та відповідно реалізувати механізми згоди.
Обов'язкові оцінки ризиків, аудити кібербезпеки та що далі
CPRA вимагає від бізнесів, які займаються обробкою високого ризику, проводити регулярні оцінки ризиків та аудити кібербезпеки. Регламенти, що деталізують ці вимоги, були завершені в 2025 році та набули чинності в 2026 році [6]. Високі ризикові дії включають обробку SPI в масштабах, профілювання споживачів для значних рішень та продаж або обмін даними з великою кількістю третіх сторін.
Крім того, вимоги до прозорості автоматизованого прийняття рішень, що охоплюють профілювання для працевлаштування, кредитування, житла та подібних значних рішень, заплановані до набуття чинності 1 січня 2027 року [6]. Операторам вебсайтів, які використовують алгоритмічні системи рекомендацій, інструменти кредитного оцінювання або поведінкове профілювання, слід почати планування відповідності вже зараз.
Висновок
Розуміння CCPA проти CPRA: Що змінилося для операторів вебсайтів у Каліфорнії? не є необов'язковим для будь-якого бізнесу, що обслуговує жителів Каліфорнії в масштабах. CPRA запровадила суттєві нові зобов'язання, категорії чутливих даних, право на виправлення, дотримання сигналів GPC, розширені вимоги до постачальників та спеціальний орган для забезпечення виконання з реальними повноваженнями накладення штрафів, які вимагають конкретних операційних відповідей, а не лише оновлень політики.
Дії, які потрібно вжити операторам вебсайтів у 2026 році:
- Аудит ваших поточних практик збору даних відповідно до списку категорій SPI та додати необхідне посилання для відмови, якщо це застосовно.
- Оновити вашу політику конфіденційності, щоб відобразити права CPRA, графіки зберігання даних та розширене визначення "продажу".
- Реалізувати виявлення сигналів GPC, це пріоритет забезпечення виконання і не може бути відкладено.
- Переглянути та оновити всі угоди на обробку даних з постачальниками послуг та підрядниками.
- Створити робочий процес запитів на виправлення поряд з існуючим процесом видалення.
- Якщо ваш сайт займається обробкою високого ризику, замовити формальну оцінку ризиків, перш ніж регулятори ініціюють її для вас.
- Оцінити рішення для управління згодою, таке як Biscotti CMP (www.biscotti-cmp.com), для автоматизації потоків відмови, дотримання GPC та ведення записів про переваги.
Тенденція виконання CPRA в 2026 році робить проактивну відповідність єдиною раціональною стратегією.
Питання та відповіді
Q: Чи є CPRA тим самим, що і CCPA 2.0?
CPRA зазвичай називають "CCPA 2.0", оскільки вона внесла зміни, а не замінила CCPA. Вона додала нові права, новий орган забезпечення виконання та нові категорії даних, зберігаючи при цьому оригінальну структуру CCPA.
Q: Коли почалося виконання CPRA?
Повне виконання почалося 1 липня 2023 року. CPPA може накладати штрафи за порушення, що сталися після цієї дати, без попереднього періоду виправлення для більшості порушень.
Q: Чи застосовується CPRA до бізнесів за межами Каліфорнії?
Так. Будь-який комерційний бізнес, який збирає особисту інформацію від резидентів Каліфорнії та відповідає порогам застосування, повинен дотримуватися, незалежно від того, де розташований бізнес.
Q: Що таке сигнал GPC і чому це важливо?
Глобальний контроль конфіденційності (GPC) — це налаштування на рівні браузера, яке сигналізує про перевагу споживача щодо відмови. Відповідно до CPRA, оператори вебсайтів повинні виявляти та поважати сигнали GPC як дійсні запити на відмову, ігнорування їх є порушенням відповідності.
Q: Чи застосовується CPRA до даних працівників?
Так. Станом на 1 січня 2023 року тимчасові винятки для даних працівників та B2B закінчилися. Особиста інформація працівників тепер підлягає повному захисту CPRA.
Q: У чому різниця між "продажем" та "обміном" відповідно до CPRA?
Відповідно до оригінального CCPA, "продаж" вимагав обміну за грошову цінність. CPRA розширила це, щоб включити "обмін" особистими даними з третіми сторонами для крос-контекстної поведінкової реклами, навіть без прямої оплати.
Q: Як часто потрібно оновлювати політику конфіденційності відповідно до CPRA?
Принаймні раз на 12 місяців. Вона також повинна оновлюватися щоразу, коли практики обробки даних суттєво змінюються.
Q: Чи звільнені некомерційні організації від CPRA?
Загалом так, CPRA застосовується до комерційних підприємств. Однак некомерційні організації, які виступають як постачальники послуг для охоплених бізнесів, можуть мати контрактні зобов'язання щодо відповідності.
Q: Що відбувається, якщо споживач подає запит на виправлення, а бізнес не погоджується?
Бізнес може відмовити у виправленні, якщо вважає, що інформація є точною, але повинен задокументувати рішення та повідомити споживача про підстави відмови.
Q: Чи існує приватне право на дії відповідно до CPRA?
Обмежене приватне право на дії існує для випадків витоку даних, що стосуються певних категорій особистої інформації. Більшість інших порушень контролюються CPPA або Генеральним прокурором, а не через приватні позови.
Інтерактивний перевірник відповідності CPRA
Посилання
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai