Право США і CCPA

Пояснення CCPA: Як керувати відмовами для споживачів Каліфорнії

7 липня 2026 р. · 16 хв читання

Швидка відповідь: Закон Каліфорнії про конфіденційність споживачів (CCPA) надає жителям Каліфорнії право відмовитися від продажу або обміну їхньою особистою інформацією. З 1 січня 2026 року змінені правила тепер вимагають від бізнесу поважати сигнали про відмову (такі як Global Privacy Control), наочно підтверджувати, що ці сигнали були оброблені, і забезпечити, щоб процеси відмови не були складнішими, ніж процеси згоди. Невиконання вимог може призвести до цивільних штрафів до 7,500 доларів за навмисне порушення.

Основні висновки

CCPA застосовується до комерційних підприємств, які відповідають певним критеріям доходу, обсягу даних або порогам продажу даних, а не до кожної компанії, що працює в Каліфорнії.
З 1 січня 2026 року бізнеси повинні наочно підтверджувати, коли сигнал про відмову (такий як Global Privacy Control) був визнаний і виконаний. [3]
Механізми відмови повинні бути такими ж простими у використанні, як і процеси згоди; темні патерни, які відлякують відмови, чітко заборонені згідно з поправками 2026 року. [7]
Бізнеси мають 15 робочих днів, щоб виконати запит споживача на відмову після його отримання. [2]
"Особиста інформація" згідно з CCPA є широким поняттям: вона включає IP-адреси, історію переглядів, дані геолокації, висновки, зроблені на основі поведінки споживачів, та інше.
CCPA та GDPR працюють на основі принципово різних моделей згоди: відмова проти згоди, і багато бізнесів повинні дотримуватися обох одночасно.
Невиконання вимоги оновити вашу політику конфіденційності, щоб відобразити права CCPA, є порушенням дотримання, окремим від технічних невдач з відмовою.
Платформа управління згодою, така як Biscotti CMP, може автоматизувати виявлення сигналів, відображення підтвердження відмови та ведення обліку переваг.

Що таке CCPA і чому це важливо для вашого бізнесу

Закон Каліфорнії про конфіденційність споживачів — це закон на рівні штату, який надає жителям Каліфорнії конкретні права щодо того, як бізнеси збирають, використовують і продають їхні особисті дані. Це важливо, оскільки Каліфорнія є п'ятою за величиною економікою у світі, і будь-який бізнес, який має справу зі споживачами Каліфорнії, незалежно від місця розташування, може бути юридично зобов'язаний дотримуватися.

CCPA був спочатку прийнятий у 2018 році, посилений Законом про права на конфіденційність Каліфорнії (CPRA) у 2020 році, і суттєво оновлений знову з правилами, затвердженими Офісом адміністративного права Каліфорнії 22 вересня 2025 року, що набирають чинності з 1 січня 2026 року. [1][5] Ці поправки 2026 року додали нові обов'язки щодо технології автоматизованого прийняття рішень (ADMT), оцінок ризиків і, критично для більшості бізнесів, вимог до дизайну механізмів відмови та підтвердження. [1][7]

Розуміння пояснення CCPA: як керувати відмовами для споживачів Каліфорнії більше не є опціональним для охоплених бізнесів. Регуляторний мінімум підвищився, і за ним слідує виконання.

Як дізнатися, чи застосовується CCPA до моєї компанії

CCPA застосовується до комерційних підприємств, які ведуть бізнес у Каліфорнії та відповідають принаймні одному з наступних критеріїв:

Річний валовий дохід, що перевищує 25 мільйонів доларів
Щорічна купівля, продаж, отримання або обмін особистою інформацією 100,000 або більше споживачів або домогосподарств Каліфорнії
Отримання 50% або більше річного доходу від продажу або обміну особистою інформацією споживачів Каліфорнії [4][6]

Чи застосовується CCPA до малих підприємств з певним доходом? Загалом, ні. Якщо бізнес не відповідає всім трьом критеріям, він не є охопленим бізнесом згідно з CCPA. Однак постачальники послуг і підрядники, які обробляють дані від імені охоплених бізнесів, підлягають контрактним зобов'язанням CCPA, навіть якщо вони самі не відповідали б критеріям. [2]

Крайній випадок: невелика компанія SaaS з доходом менше 25 мільйонів доларів, але з великою базою користувачів безкоштовного рівня, може легко перевищити поріг даних у 100,000 споживачів, не усвідомлюючи цього.

Що вважається особистою інформацією згідно з CCPA

Особиста інформація згідно з CCPA визначається широко як будь-яка інформація, яка ідентифікує, стосується, описує або може бути розумно пов'язана з конкретним споживачем або домогосподарством. Це виходить далеко за межі імен і електронних адрес.

Охоплені категорії включають:

Категорія	Приклади
Ідентифікатори	Ім'я, електронна пошта, IP-адреса, ID пристрою
Комерційна інформація	Історія покупок, поведінка при перегляді
Біометричні дані	Відбитки пальців, дані розпізнавання обличчя
Інтернет-активність	Файли cookie, історія пошуку, взаємодії з сайтом
Геолокація	Точне місцезнаходження з мобільних пристроїв
Висновки	Профілі, створені на основі поведінкових даних
Чутлива особиста інформація	Номери соціального страхування, дані про здоров'я, точна геолокація

Висновки, зроблені на основі даних споживачів для створення профілів про переваги, характеристики або поведінку, чітко включені. [4] Це важливо для реклами, аналітики та персоналізації.

У чому різниця між відмовою CCPA та згодою

CCPA працює на моделі відмови: бізнеси можуть за замовчуванням збирати та використовувати дані споживачів, але споживачі мають право вимагати, щоб їхні дані не продавалися або не обмінювалися. Згода на участь потрібна лише в специфічних обставинах, таких як обробка особистої інформації споживачів молодше 16 років. [4][6]

Це основна структурна різниця від GDPR, який працює на моделі згоди, що вимагає активної згоди перед початком більшості обробок даних. Згідно з CCPA, мовчання не є згодою, але також не є перешкодою для обробки. Згідно з GDPR, мовчання не є згодою, і обробка не може початися без неї.

Виберіть логіку згоди, якщо: ви обробляєте дані неповнолітніх (до 16 років) або обробляєте категорії чутливої особистої інформації, які вимагають явної згоди згідно з каліфорнійським законодавством.

Виберіть логіку відмови, якщо: ви обробляєте стандартні дані споживачів від дорослих і є охопленим бізнесом згідно з CCPA.

Як налаштувати посилання "Не продавайте або діліться моєю особистою інформацією"

Кожен охоплений бізнес, який продає або ділиться особистою інформацією, повинен надати чітке та помітне посилання з назвою "Не продавайте або діліться моєю особистою інформацією" на своїй домашній сторінці та в політиці конфіденційності. [4][6]

Покрокове налаштування:

Проведіть аудит ваших потоків даних, щоб визначити, чи ваш бізнес продає або ділиться особистою інформацією, як це визначено CCPA.
Додайте необхідне посилання до нижнього колонтитулу вашого веб-сайту та меню налаштувань мобільного додатку.
Налаштуйте вашу платформу управління згодою для захоплення та позначення часу запитів на відмову.
Переконайтеся, що процес відмови не вимагає більше кроків, ніж процес згоди; правила 2026 року чітко забороняють асиметричний тертя. [7]
Автоматично поважайте сигнали Global Privacy Control (GPC), якщо ваш бізнес обробляє дані на основі браузера.
Відображайте видиме підтвердження того, що відмова була визнана, наприклад, банер або стан перемикача, що показує "Сигнал про відмову визнано". [3]

Платформа, така як Biscotti CMP, може автоматизувати кроки з 3 по 6, включаючи виявлення сигналів GPC та відображення підтвердження відповідно до вимог.

Скільки часу у мене є, щоб відповісти на запит споживача на відмову

Бізнеси повинні виконати запит споживача на відмову протягом 15 робочих днів з моменту його отримання. [2] Це відрізняється від 45-денного терміну відповіді, який застосовується до інших запитів прав споживачів (таких як доступ або видалення).

Після виконання бізнес також повинен повідомити будь-які треті сторони, яким він продавав або ділився даними споживача протягом попередніх 90 днів, вказуючи їм припинити використання цих даних. [6] Це зобов'язання щодо повідомлення часто ігнорується і представляє собою поширене порушення дотримання.

Чи можу я все ще використовувати дані після того, як клієнт відмовився

Після того, як споживач відмовився від продажу або обміну, бізнес не може продавати або ділитися особистою інформацією цього споживача в подальшому. Однак бізнес все ще може використовувати дані для внутрішніх цілей, які відповідають відносинам споживача з бізнесом. [4]

Конкретно заборонено після відмови:

Продаж або обмін даними з третіми сторонами для крос-контекстної поведінкової реклами
Використання даних способами, які несумісні з контекстом, в якому вони були зібрані

Дозволено після відмови:

Виконання угоди або послуги, яку запитав споживач
Внутрішня аналітика та запобігання шахрайству
Дотримання юридичних зобов'язань

Поширена помилка: Припущення, що відмова означає повне видалення даних. Це не так. Споживачі повинні подати окремий запит на видалення, щоб активувати це право.

CCPA проти GDPR: Який з них мені потрібно дотримуватися

Якщо ваш бізнес обслуговує як жителів Каліфорнії, так і жителів Європейського Союзу, вам, ймовірно, потрібно дотримуватися обох. CCPA та GDPR не є взаємовиключними, і вимоги щодо дотримання настільки різняться, що єдина політика рідко задовольняє обидва.

Фактор	CCPA	GDPR
Модель згоди	Відмова (дозволена обробка за замовчуванням)	Згода (попередня згода потрібна)
Географічний обсяг	Жителі Каліфорнії	Жителі ЄС/ЄЕП
Кого охоплює	Комерційні підприємства, що відповідають критеріям	Будь-яка особа, що обробляє дані жителів ЄС
Штрафи	До 7,500 доларів за навмисне порушення	До 4% від глобального річного обороту
Право на видалення	Так	Так (Право на видалення)
Портативність даних	Так	Так

Практичне значення: банери згоди, що відповідають GDPR, не є автоматично відповідними CCPA, оскільки CCPA вимагає специфічного механізму відмови, а не воріт згоди.

Що станеться, якщо я не дотримуюсь вимог CCPA

Невиконання вимог піддає бізнеси цивільним штрафам до 2,500 доларів за ненавмисне порушення та 7,500 доларів за навмисне порушення, які контролюються Агентством захисту конфіденційності Каліфорнії (CPPA). [4][6] Порушення, що стосуються даних неповнолітніх, за замовчуванням вважаються навмисними.

Споживачі також мають право на приватний позов за витоки даних, що сталися внаслідок невиконання бізнесом розумних заходів безпеки, з законодавчими збитками від 100 до 750 доларів за споживача за інцидент. [4]

Поправки 2026 року розширили повноваження CPPA щодо аудиту, що означає, що бізнеси, які підлягають вимогам оцінки ризиків, можуть зіткнутися з проактивним регуляторним контролем, а не лише з реактивним виконанням. [1][7]

Чи потрібно мені оновлювати свою політику конфіденційності для CCPA

Так. Охоплені бізнеси повинні підтримувати політику конфіденційності, яка розкриває, принаймні:

Категорії особистої інформації, що збирається, та цілі збору
Чи продається або ділиться особиста інформація, та категорії залучених третіх сторін
Права споживачів, доступні згідно з CCPA (відмова, видалення, доступ, виправлення, портативність)
Як споживачі можуть подавати запити для реалізації цих прав
Період зберігання для кожної категорії особистої інформації [4][6]

Політики конфіденційності повинні оновлюватися щонайменше раз на 12 місяців. Невиконання оновлення політики після суттєвих змін у практиці обробки даних, таких як додавання нового постачальника аналітики, є порушенням дотримання.

Як перевірити, що запит споживача на відмову є законним

Для запитів на відмову CCPA не вимагає від бізнесів перевіряти особу споживача, який подає запит. [2] Це навмисно: вимога перевірки особи для відмови створила б тертя, яке підриває це право.

Однак бізнеси можуть використовувати розумні засоби для підтвердження, що запит не є шахрайським, наприклад, підтверджуючи електронну адресу, пов'язану з обліковим записом. Стандарт для перевірки відмови навмисно нижчий, ніж для запитів на видалення або доступ, де перевірка особи є доречною, оскільки ці запити пов'язані з розкриттям або знищенням даних.

Крайній випадок: Якщо запит на відмову надходить через автоматизований сигнал (GPC), жоден додатковий крок перевірки не потрібен або не дозволений, сам сигнал є дійсним запитом. [3][7]

Як працюють механізми відмови на мобільних додатках та веб-сайтах

На веб-сайтах механізми відмови повинні включати посилання "Не продавайте або діліться моєю особистою інформацією" в нижньому колонтитулі та повинні поважати сигнали GPC на рівні браузера. [3][7] На мобільних додатках вимоги функціонально еквівалентні, але реалізація відрізняється:

Мобільні додатки повинні включати опцію відмови в меню налаштувань додатку або в розділі налаштувань конфіденційності.
Додатки, розповсюджувані через магазини додатків, повинні відповідати будь-яким додатковим вимогам конфіденційності на рівні платформи (таким як Прозорість відстеження додатків на iOS), але ці вимоги платформи не замінюють дотримання CCPA.
Автоматизовані сигнали з мобільних операційних систем повинні поважатися так само, як сигнали GPC на основі браузера, якщо бізнес обробляє ці дані.

Правила 2026 року чітко вказують, що канал (веб проти додатку) не змінює основного зобов'язання, лише технічна реалізація відрізняється.

Які поширені помилки, які бізнеси роблять при дотриманні CCPA

Навіть добре намірені бізнеси часто роблять такі помилки:

Розгляд відмови як згоди: Вимагати від споживачів підтвердження своєї відмови через кілька кроків, що порушує вимогу симетрії в поправках 2026 року. [7]
Ігнорування сигналів GPC: Не налаштовувати свою технологічну інфраструктуру для виявлення та поваги до сигналів Global Privacy Control браузера, які тепер вважаються дійсними запитами на відмову. [3]
Невиконання відображення підтвердження відмови: Правила 2026 року вимагають видимого підтвердження того, що сигнал був оброблений; запис у бекенді не є достатнім. [3]
Ігнорування постачальників даних: Не повідомляти третіх осіб, які отримали дані, після отримання відмови.
Статичні політики конфіденційності: Невиконання оновлення політики щорічно або після суттєвих змін у практиці обробки даних.
Змішування постачальників послуг з третіми сторонами: Постачальники послуг, які обробляють дані за контрактом, мають інші зобов'язання, ніж треті сторони, які отримують дані для своїх власних цілей.

FAQ

Чи застосовується CCPA до неприбуткових організацій? Ні. CCPA застосовується лише до комерційних підприємств. Неприбуткові організації не є охопленими бізнесами, хоча вони можуть підпадати під інші закони про конфіденційність Каліфорнії.

Що таке Global Privacy Control (GPC) і чи повинен я його поважати? GPC — це сигнал на рівні браузера, який автоматично повідомляє про перевагу споживача щодо відмови. З 1 січня 2026 року охоплені бізнеси, які обробляють дані браузера, повинні поважати сигнали GPC як дійсні запити на відмову та відображати підтвердження того, що сигнал був оброблений. [3][7]

Чи може бізнес стягувати іншу ціну з споживачів, які відмовляються? Загалом, ні. CCPA забороняє бізнесам дискримінувати споживачів, які реалізують свої права на конфіденційність, включаючи стягнення різних цін, якщо різниця не є розумно пов'язаною з вартістю даних споживача. [4]

Як довго потрібно зберігати записи про відмову? CCPA не вказує універсальний термін зберігання для записів про відмову, але бізнеси повинні зберігати записи достатньо довго, щоб продемонструвати дотримання у разі аудиту або дій виконання, зазвичай щонайменше 24 місяці вважається розумним базовим терміном. [6]

Чи задовольняє банер cookie вимоги CCPA щодо відмови? Банер cookie сам по собі не є достатнім. CCPA вимагає спеціального посилання "Не продавайте або діліться моєю особистою інформацією", а поправки 2026 року вимагають, щоб бізнеси поважали та підтверджували сигнали GPC незалежно від будь-якої взаємодії згоди на cookie. [3][7]

У чому різниця між "продажем" і "обміном" згідно з CCPA? "Продаж" передбачає обмін особистою інформацією за грошову винагороду. "Обмін" охоплює розкриття особистої інформації для крос-контекстної поведінкової реклами, навіть без оплати. Обидва тригерують права на відмову. [4]

Чи потрібно мені мати окремі механізми відмови для кожної категорії даних? Ні. Один механізм відмови, що охоплює продаж і обмін, є достатнім, хоча бізнеси повинні чітко описати в своїй політиці конфіденційності, які категорії даних охоплюються.

Що таке оцінка ризиків згідно з поправками CCPA 2026 року? Бізнеси, які обробляють особисту інформацію способами, що представляють значні ризики конфіденційності, включаючи використання технології автоматизованого прийняття рішень, повинні проводити та документувати оцінки ризиків перед початком такої обробки. [1][7]

Висновок

Пояснення CCPA: як керувати відмовами для споживачів Каліфорнії — це динамічна ціль, і поправки 2026 року значно підвищили планку. Основні зобов'язання, такі як надання чіткого механізму відмови, повага до запитів споживачів протягом 15 робочих днів та оновлення вашої політики конфіденційності, залишаються основоположними. Але нові вимоги щодо підтвердження сигналів GPC, заборони темних патернів та оцінок ризиків ADMT вимагають більш систематичного підходу, ніж статичне посилання в нижньому колонтитулі може забезпечити.

Дії для охоплених бізнесів:

Проведіть аудит вашого поточного потоку відмови відповідно до вимоги симетрії 2026 року: підрахуйте кроки для відмови та порівняйте їх з кроками для згоди.
Переконайтеся, що ваш веб-сайт та мобільний додаток виявляють і поважають сигнали Global Privacy Control, і що відображається видиме підтвердження, коли сигнал отримано.
Перегляньте свій список постачальників даних і підтвердіть, що процедури повідомлення для пост-відмови налаштовані для потоків даних.
Оновіть свою політику конфіденційності, щоб відобразити актуальні практики обробки даних, терміни зберігання та повний список прав споживачів.
Оцініть платформу управління згодою, таку як Biscotti CMP, для автоматизації виявлення сигналів, підтвердження відмови та ведення обліку переваг через веб- та мобільні канали.

Дотримання вимог — це не одноразовий проект. CPPA продемонструвала готовність надавати рекомендації та здійснювати контроль, а регуляторне середовище продовжуватиме еволюціонувати. Створення повторюваних, підлягаючих аудиту процесів зараз є найбільш захищеною позицією, яку може зайняти охоплений бізнес.