Câu trả lời nhanh: Đạo luật Quyền Riêng tư California (CPRA) đã sửa đổi đáng kể Đạo luật Quyền Riêng tư Người tiêu dùng California (CCPA) ban đầu, giới thiệu các quyền mới cho người tiêu dùng, một cơ quan thực thi độc lập, hình phạt nghiêm khắc hơn và một danh mục thông tin cá nhân nhạy cảm hoàn toàn mới. Đối với các nhà vận hành trang web, CCPA so với CPRA: Những Thay Đổi Đối Với Các Nhà Vận Hành Trang Web Tại California? không phải là một câu hỏi lý thuyết, mà là một yêu cầu thực tiễn dẫn đến việc cập nhật chính sách quyền riêng tư, cơ chế đồng ý mới và nghĩa vụ hợp đồng mở rộng với các nhà cung cấp bên thứ ba.
Những điểm chính
- CPRA đã có hiệu lực thực thi hoàn toàn vào ngày 1 tháng 7 năm 2023, thay thế và mở rộng khung pháp lý của CCPA.
- Một danh mục mới "thông tin cá nhân nhạy cảm" (SPI) yêu cầu một liên kết từ chối rõ ràng trên các trang web thu thập dữ liệu đó.
- Người tiêu dùng đã có quyền sửa chữa dữ liệu cá nhân không chính xác, quyền mà không tồn tại theo CCPA ban đầu.
- Ngưỡng áp dụng đã tăng từ 50.000 lên 100.000 người tiêu dùng hoặc hộ gia đình, miễn trừ cho một số nhà vận hành nhỏ hơn.
- "Chia sẻ" dữ liệu cá nhân cho quảng cáo hành vi xuyên ngữ cảnh giờ đây được coi là một "bán", yêu cầu các cơ chế từ chối.
- Các nhà vận hành trang web phải tôn trọng các tín hiệu Kiểm soát Quyền riêng tư Toàn cầu (GPC) như là các yêu cầu từ chối hợp lệ.
- Các khoản phạt hành chính đã tăng lên 2.663 đô la cho mỗi vi phạm không cố ý và 7.988 đô la cho mỗi vi phạm cố ý kể từ ngày 1 tháng 1 năm 2025.
- Cơ quan Bảo vệ Quyền riêng tư California (CPPA) giờ đây có quyền thực thi độc lập tách biệt với Tổng chưởng lý.
- Các yêu cầu về tính minh bạch trong quyết định tự động sẽ có hiệu lực vào ngày 1 tháng 1 năm 2027.
- Các đánh giá rủi ro và kiểm toán an ninh mạng hiện là bắt buộc cho các hoạt động xử lý dữ liệu có rủi ro cao.
Sự khác biệt giữa CCPA và CPRA là gì?
CCPA, có hiệu lực từ ngày 1 tháng 1 năm 2020, đã cung cấp cho người tiêu dùng California các quyền cơ bản đối với dữ liệu cá nhân của họ: quyền biết, quyền xóa và quyền từ chối việc bán thông tin của họ. CPRA, được cử tri California thông qua vào tháng 11 năm 2020 và có hiệu lực hoàn toàn từ ngày 1 tháng 7 năm 2023, không thay thế hoàn toàn CCPA mà đã sửa đổi và mở rộng đáng kể nó [1].
Các khác biệt cấu trúc chính bao gồm:
| Tính năng | CCPA (Ban đầu) | CPRA (Đã sửa đổi) |
|---|---|---|
| Cơ quan thực thi | Tổng chưởng lý California | CPPA + Tổng chưởng lý |
| Danh mục dữ liệu nhạy cảm | Không được định nghĩa | Được định nghĩa chính thức (SPI) |
| Quyền sửa chữa | Không bao gồm | Bao gồm |
| Định nghĩa "bán" | Trao đổi dữ liệu để nhận giá trị | Bao gồm "chia sẻ" cho quảng cáo |
| Ngưỡng áp dụng | 50.000 người tiêu dùng/hộ gia đình | 100.000 người tiêu dùng/hộ gia đình |
| Đánh giá rủi ro | Không yêu cầu | Yêu cầu cho xử lý có rủi ro cao |
| Tuân thủ tín hiệu GPC | Không bắt buộc | Bắt buộc |
Hệ quả thực tiễn đối với các nhà vận hành trang web là việc tuân thủ CPRA so với CCPA không chỉ đơn thuần là cập nhật giấy tờ, mà còn yêu cầu thay đổi kiến trúc đối với các quy trình đồng ý, chính sách quyền riêng tư và hợp đồng với các nhà cung cấp [2].
Khi nào CPRA có hiệu lực và thay thế CCPA?
Các quyền và nghĩa vụ cơ bản của CPRA áp dụng cho dữ liệu được thu thập vào hoặc sau ngày 1 tháng 1 năm 2022, với việc thực thi bắt đầu vào ngày 1 tháng 7 năm 2023. Thời gian ân hạn thực thi một năm đã kết thúc vào ngày đó, có nghĩa là Cơ quan Bảo vệ Quyền riêng tư California có thể bắt đầu áp dụng phạt mà không cần cảnh báo trước [4].
Đối với các nhà vận hành trang web vẫn đang hoạt động theo chính sách thời kỳ CCPA vào năm 2026, rủi ro là có thật và ngay lập tức.
Người tiêu dùng có quyền mới nào theo CPRA mà không có trong CCPA?
CPRA đã thêm hai quyền cho người tiêu dùng mà không có trong khung CCPA ban đầu:
Quyền sửa chữa: Người tiêu dùng giờ đây có thể yêu cầu một doanh nghiệp sửa chữa thông tin cá nhân không chính xác mà họ nắm giữ về họ. Các nhà vận hành trang web phải thiết lập một quy trình yêu cầu có thể xác minh và hành động đối với các yêu cầu sửa chữa trong vòng 45 ngày [2].
Quyền hạn chế việc sử dụng thông tin cá nhân nhạy cảm: Người tiêu dùng có thể hạn chế cách mà các doanh nghiệp sử dụng SPI của họ ngoài mục đích mà nó đã được thu thập ban đầu. Quyền này yêu cầu một cơ chế từ chối riêng biệt, được đánh dấu rõ ràng trên trang web [1].
Những bổ sung này nằm bên cạnh các quyền hiện có để biết, xóa, từ chối việc bán và không phân biệt đối xử, tạo ra một yêu cầu tuân thủ phức tạp hơn cho bất kỳ trang nào thu thập dữ liệu người dùng ngoài phân tích cơ bản.
Quyền sửa chữa theo CPRA là gì?
Quyền sửa chữa là một trong những bổ sung yêu cầu hoạt động nhiều nhất trong CPRA. Khi một người tiêu dùng gửi yêu cầu sửa chữa đã được xác minh, doanh nghiệp phải sử dụng những nỗ lực hợp lý về mặt thương mại để sửa chữa thông tin cá nhân không chính xác và chỉ đạo bất kỳ nhà cung cấp dịch vụ hoặc nhà thầu nào đã nhận dữ liệu đó thực hiện cùng một sửa chữa [2].
Đối với các nhà vận hành trang web, điều này có nghĩa là:
- Xây dựng một cơ chế tiếp nhận yêu cầu sửa chữa (biểu mẫu web, quy trình email hoặc cổng tài khoản).
- Ghi lại việc sửa chữa và thông báo cho các nhà xử lý dữ liệu phía dưới.
- Phản hồi trong vòng 45 ngày, với một lần gia hạn 45 ngày được phép nếu cần thiết.
Sai lầm phổ biến: Nhiều nhà vận hành cho rằng quyền sửa chữa chỉ áp dụng cho dữ liệu hồ sơ tài khoản. Trong thực tế, nó mở rộng đến bất kỳ thông tin cá nhân nào mà doanh nghiệp nắm giữ, bao gồm dữ liệu hành vi, sở thích suy diễn và lịch sử mua hàng.
Các danh mục dữ liệu mới nào mà CPRA bao gồm mà CCPA không có?
CPRA đã định nghĩa chính thức "thông tin cá nhân nhạy cảm" (SPI) như một danh mục dữ liệu riêng biệt, được bảo vệ cao hơn. CCPA không có phân loại tương đương [1].
SPI theo CPRA bao gồm:
- Số An sinh xã hội và ID do chính phủ cấp
- Thông tin tài khoản tài chính (đăng nhập cộng với mã bảo mật)
- Dữ liệu định vị chính xác
- Nguồn gốc chủng tộc hoặc dân tộc, tín ngưỡng tôn giáo và tư cách thành viên công đoàn
- Nội dung của các giao tiếp riêng tư (thư, email, tin nhắn)
- Dữ liệu di truyền và sinh trắc học được xử lý để nhận dạng
- Thông tin sức khỏe và đời sống tình dục hoặc xu hướng tình dục
Các nhà vận hành trang web thu thập bất kỳ danh mục nào trong số này phải cung cấp một liên kết "Hạn chế việc sử dụng thông tin cá nhân nhạy cảm của tôi", tương tự như liên kết "Không bán thông tin cá nhân của tôi" đã được yêu cầu theo CCPA [1].
CPRA so với CCPA: Cái nào áp dụng cho doanh nghiệp của tôi?
Tính đến năm 2026, khung CPRA áp dụng cho các doanh nghiệp vì lợi nhuận hoạt động tại California VÀ đáp ứng ít nhất một trong các ngưỡng sau [7]:
- Doanh thu tổng hàng năm vượt quá 25 triệu đô la.
- Mua, bán, nhận hoặc chia sẻ thông tin cá nhân của 100.000 người tiêu dùng hoặc hộ gia đình California trở lên mỗi năm (tăng từ 50.000 theo CCPA).
- Có 50% hoặc hơn doanh thu hàng năm từ việc bán hoặc chia sẻ thông tin cá nhân của người tiêu dùng.
Chọn tuân thủ CPRA nếu: Trang web của bạn phục vụ cư dân California và bạn đáp ứng bất kỳ một trong các tiêu chí trên. Nếu bạn trước đây đủ điều kiện theo ngưỡng 50.000 người tiêu dùng của CCPA nhưng xử lý ít hơn 100.000 hồ sơ hàng năm, bạn có thể không còn bị áp dụng trực tiếp, mặc dù các nghĩa vụ hợp đồng với các đối tác lớn hơn có thể vẫn yêu cầu tuân thủ.
Trường hợp đặc biệt: Các tổ chức phi lợi nhuận và các nhà vận hành B2B thuần túy thường được miễn, nhưng các nhà cung cấp dịch vụ và nhà thầu cho các doanh nghiệp được bảo vệ có nghĩa vụ CPRA riêng của họ [3].
CPRA ảnh hưởng đến chính sách quyền riêng tư của trang web của tôi như thế nào?
Một chính sách quyền riêng tư tuân thủ CCPA không còn đủ. CPRA yêu cầu các nhà vận hành trang web cập nhật chính sách quyền riêng tư của họ để phản ánh [2][3]:
- Danh mục SPI mới và quyền hạn chế việc sử dụng nó.
- Quyền sửa chữa thông tin cá nhân không chính xác.
- Định nghĩa mở rộng về "bán" để bao gồm "chia sẻ" cho quảng cáo hành vi xuyên ngữ cảnh.
- Cách mà doanh nghiệp phản hồi các tín hiệu GPC.
- Thời gian lưu giữ dữ liệu cho mỗi danh mục thông tin cá nhân được thu thập.
- Liệu có sử dụng quyết định tự động hay không và cách người tiêu dùng có thể từ chối.
Các chính sách quyền riêng tư phải được xem xét ít nhất một lần mỗi 12 tháng và cập nhật để phản ánh các thực tiễn dữ liệu hiện tại. Các chính sách lỗi thời mô tả quyền theo thời kỳ CCPA mà không có các bổ sung của CPRA là một yếu tố kích hoạt thực thi phổ biến.
Tôi có cần cập nhật các biểu mẫu đồng ý của mình để tuân thủ CPRA không?
Có. Các cơ chế đồng ý mà trước đây đủ theo CCPA cần có những cập nhật có ý nghĩa cho CPRA. Cụ thể, các nhà vận hành trang web phải [3][5]:
- Thêm một liên kết từ chối "Hạn chế việc sử dụng thông tin cá nhân nhạy cảm của tôi" nếu trang web thu thập SPI.
- Tôn trọng các tín hiệu trình duyệt GPC như là một từ chối hợp lệ đối với việc bán và chia sẻ, điều này không thể yêu cầu người dùng thực hiện thêm bước nào.
- Đạt được sự đồng ý từ chối rõ ràng trước khi bán hoặc chia sẻ thông tin cá nhân của người tiêu dùng dưới 16 tuổi.
- Đảm bảo rằng sự đồng ý cho quảng cáo hành vi xuyên ngữ cảnh (nhắm lại, chia sẻ đối tượng với các nền tảng quảng cáo) được phân biệt rõ ràng với các mục đích sử dụng dữ liệu khác.
Một nền tảng quản lý đồng ý có thể giúp tự động hóa việc phát hiện GPC và ghi lại sở thích. Biscotti CMP (www.biscotti-cmp.com) được xây dựng để xử lý các yêu cầu cụ thể của CPRA, bao gồm các quy trình từ chối SPI và tuân thủ tín hiệu GPC, mà không yêu cầu phát triển tùy chỉnh từ nhà vận hành trang web.
Các hình phạt cho việc không tuân thủ CPRA là gì?
Tính đến ngày 1 tháng 1 năm 2025, các khoản phạt hành chính theo khung CPRA là [5]:
- 2.663 đô la cho mỗi vi phạm không cố ý.
- 7.988 đô la cho mỗi vi phạm cố ý.
- 7.988 đô la cho mỗi vi phạm (gấp ba lần) đối với các vi phạm liên quan đến thông tin cá nhân của người tiêu dùng dưới 16 tuổi.
Các con số này được điều chỉnh định kỳ theo lạm phát. Các khoản phạt được đánh giá theo từng vi phạm, có nghĩa là một thực tiễn dữ liệu không tuân thủ đơn lẻ ảnh hưởng đến hàng ngàn người tiêu dùng có thể tạo ra trách nhiệm tổng hợp lên đến hàng triệu đô la. CPPA có quyền độc lập để khởi xướng các hành động thực thi mà không cần giới thiệu từ Tổng chưởng lý [4].
Quan trọng: CPRA đã loại bỏ thời gian chữa trị 30 ngày mà trước đây tồn tại theo CCPA cho hầu hết các vi phạm, loại bỏ một mạng lưới an toàn mà nhiều nhà vận hành đã dựa vào.
Những sai lầm phổ biến mà các trang web mắc phải khi tuân thủ CPRA là gì?
Dựa trên các yêu cầu mở rộng, những thất bại tuân thủ thường gặp nhất bao gồm [3][6]:
- Bỏ qua tín hiệu GPC: Không phát hiện và tôn trọng các tín hiệu từ chối ở cấp trình duyệt là một trong những ưu tiên thực thi được CPPA nêu rõ.
- Thiếu liên kết từ chối SPI: Chỉ thêm một liên kết "Không bán" mà không có liên kết "Hạn chế việc sử dụng SPI" riêng biệt khi thu thập SPI.
- Hợp đồng nhà cung cấp lỗi thời: Không cập nhật các thỏa thuận xử lý dữ liệu với các nhà cung cấp dịch vụ để bao gồm các điều khoản yêu cầu của CPRA.
- Không có lịch trình lưu giữ dữ liệu: CPRA yêu cầu các doanh nghiệp tiết lộ và tuân thủ các thời gian lưu giữ; nhiều chính sách quyền riêng tư vẫn bỏ qua điều này.
- Giả định rằng thời gian chữa trị vẫn áp dụng: Các nhà vận hành chờ thông báo trước khi sửa chữa các vi phạm có thể phải đối mặt với các khoản phạt ngay lập tức.
- Bỏ qua quyền sửa chữa: Chỉ xây dựng quy trình xóa mà không xử lý yêu cầu sửa chữa.
Các doanh nghiệp nhỏ có yêu cầu CPRA khác không?
Việc tăng ngưỡng từ 50.000 lên 100.000 người tiêu dùng trực tiếp giảm bớt gánh nặng tuân thủ cho các nhà vận hành trang web nhỏ hơn [7]. Một trang thương mại điện tử nhỏ hoặc sản phẩm SaaS phục vụ ít hơn 100.000 người tiêu dùng California hàng năm, với doanh thu dưới 25 triệu đô la và không có doanh thu từ việc bán dữ liệu, nằm ngoài phạm vi trực tiếp của CPRA.
Tuy nhiên, các doanh nghiệp nhỏ nên lưu ý:
- Nếu họ hoạt động như một nhà cung cấp dịch vụ cho một doanh nghiệp được bảo vệ, họ sẽ kế thừa các nghĩa vụ hợp đồng CPRA bất kể kích thước.
- Tuân thủ tự nguyện ngày càng được kỳ vọng bởi các khách hàng doanh nghiệp và có thể là một yếu tố phân biệt cạnh tranh.
- Các tiểu bang khác đã ban hành các luật tương tự, và luật bảo vệ quyền riêng tư liên bang vẫn đang được thảo luận tích cực tính đến năm 2026.
Chi phí để trở thành tuân thủ CPRA là bao nhiêu?
Không có chi phí tuân thủ cố định, nó thay đổi đáng kể dựa trên độ phức tạp của hệ sinh thái dữ liệu của một trang web. Các yếu tố chi phí chung bao gồm:
- Cập nhật chính sách quyền riêng tư: Chi phí thấp nếu thực hiện nội bộ; 500 đô la, 3.000 đô la trở lên nếu sử dụng luật sư.
- Nền tảng quản lý đồng ý: Đăng ký SaaS liên tục; giá cả thay đổi theo khối lượng lưu lượng truy cập và bộ tính năng.
- Triển khai kỹ thuật: Thời gian của nhà phát triển để thêm các liên kết từ chối, phát hiện GPC và quy trình yêu cầu sửa chữa.
- Xem xét hợp đồng nhà cung cấp: Xem xét pháp lý các thỏa thuận xử lý dữ liệu với tất cả các nhà xử lý bên thứ ba.
- Đánh giá rủi ro: Đối với xử lý có rủi ro cao, các đánh giá chính thức có thể yêu cầu các tư vấn viên bên ngoài.
Đối với hầu hết các nhà vận hành trang web vừa, việc khắc phục tuân thủ ban đầu dao động trong khoảng vài nghìn đô la, với chi phí hoạt động liên tục cho việc duy trì chính sách và quản lý đồng ý. Chi phí không tuân thủ, với các khoản phạt theo từng vi phạm, vượt xa đáng kể so với khoản đầu tư.
Làm thế nào để tôi biết CPRA có áp dụng cho khách truy cập trang web của tôi không?
CPRA áp dụng dựa trên nơi cư trú của người tiêu dùng, không phải vị trí của doanh nghiệp. Nếu một trang web có khách truy cập cư trú tại California và nhà vận hành đáp ứng bất kỳ một trong ba ngưỡng doanh nghiệp, các nghĩa vụ CPRA áp dụng cho dữ liệu thu thập từ những khách truy cập đó [7][8].
Các chỉ số thực tiễn cho thấy CPRA có thể áp dụng:
- Trang web chấp nhận đơn hàng, đăng ký hoặc nhắm mục tiêu quảng cáo từ người dùng Mỹ mà không chặn địa lý California.
- Doanh nghiệp sử dụng các mạng quảng cáo bên thứ ba tham gia vào quảng cáo hành vi xuyên ngữ cảnh.
- Trang web thu thập bất kỳ hình thức SPI nào từ người dùng (bảng hỏi sức khỏe, dữ liệu tài chính, vị trí chính xác).
Khi không chắc chắn, vị trí bảo thủ và có thể bảo vệ về mặt pháp lý là coi tất cả khách truy cập trang web của Mỹ là có thể được bảo vệ theo CPRA và triển khai các quy trình đồng ý tuân thủ tương ứng.
Các đánh giá rủi ro bắt buộc, kiểm toán an ninh mạng và những gì sẽ đến tiếp theo
CPRA yêu cầu các doanh nghiệp tham gia vào xử lý có rủi ro cao thực hiện các đánh giá rủi ro và kiểm toán an ninh mạng định kỳ. Các quy định chi tiết về các yêu cầu này đã được hoàn thiện vào năm 2025 và có hiệu lực vào năm 2026 [6]. Các hoạt động có rủi ro cao bao gồm xử lý SPI quy mô lớn, lập hồ sơ người tiêu dùng cho các quyết định quan trọng và bán hoặc chia sẻ dữ liệu với số lượng lớn bên thứ ba.
Ngoài ra, các yêu cầu về tính minh bạch trong quyết định tự động, bao gồm lập hồ sơ cho việc làm, tín dụng, nhà ở và các quyết định quan trọng tương tự, dự kiến sẽ có hiệu lực vào ngày 1 tháng 1 năm 2027 [6]. Các nhà vận hành trang web sử dụng các công cụ gợi ý thuật toán, công cụ đánh giá tín dụng hoặc lập hồ sơ hành vi nên bắt đầu lập kế hoạch tuân thủ ngay bây giờ.
Kết luận
Hiểu CCPA so với CPRA: Những Thay Đổi Đối Với Các Nhà Vận Hành Trang Web Tại California? không phải là tùy chọn cho bất kỳ doanh nghiệp nào phục vụ cư dân California quy mô lớn. CPRA đã giới thiệu các nghĩa vụ mới quan trọng, các danh mục dữ liệu nhạy cảm, quyền sửa chữa, tuân thủ tín hiệu GPC, các yêu cầu mở rộng đối với nhà cung cấp và một cơ quan thực thi độc lập với quyền phạt thực sự, đòi hỏi các phản ứng hoạt động cụ thể, không chỉ là cập nhật chính sách.
Các bước tiếp theo có thể hành động cho các nhà vận hành trang web vào năm 2026:
- Kiểm tra các thực tiễn thu thập dữ liệu hiện tại của bạn so với danh sách danh mục SPI và thêm liên kết từ chối cần thiết nếu áp dụng.
- Cập nhật chính sách quyền riêng tư của bạn để phản ánh các quyền CPRA, lịch trình lưu giữ dữ liệu và định nghĩa mở rộng về "bán".
- Triển khai phát hiện tín hiệu GPC, đây là một ưu tiên thực thi và không thể bị trì hoãn.
- Xem xét và cập nhật tất cả các thỏa thuận xử lý dữ liệu với các nhà cung cấp dịch vụ và nhà thầu.
- Xây dựng một quy trình yêu cầu sửa chữa bên cạnh quy trình xóa hiện có của bạn.
- Nếu trang web của bạn tham gia vào xử lý có rủi ro cao, hãy ủy quyền một đánh giá rủi ro chính thức trước khi các cơ quan quản lý khởi xướng một đánh giá cho bạn.
- Đánh giá một giải pháp quản lý đồng ý như Biscotti CMP (www.biscotti-cmp.com) để tự động hóa các quy trình từ chối, tuân thủ GPC và ghi chép sở thích.
Quá trình thực thi CPRA vào năm 2026 khiến việc tuân thủ chủ động trở thành chiến lược hợp lý duy nhất.
Câu hỏi thường gặp
Q: CPRA có giống như CCPA 2.0 không?
CPRA thường được gọi là "CCPA 2.0" vì nó đã sửa đổi thay vì thay thế CCPA. Nó đã thêm các quyền mới, một cơ quan thực thi mới và các danh mục dữ liệu mới trong khi vẫn giữ nguyên khung CCPA ban đầu.
Q: Khi nào việc thực thi CPRA bắt đầu?
Việc thực thi hoàn toàn bắt đầu vào ngày 1 tháng 7 năm 2023. CPPA có thể áp dụng phạt cho các vi phạm xảy ra sau ngày đó mà không cần thời gian chữa trị trước cho hầu hết các vi phạm.
Q: CPRA có áp dụng cho các doanh nghiệp ngoài California không?
Có. Bất kỳ doanh nghiệp vì lợi nhuận nào thu thập thông tin cá nhân từ cư dân California và đáp ứng các ngưỡng áp dụng đều phải tuân thủ, bất kể doanh nghiệp có trụ sở ở đâu.
Q: Tín hiệu GPC là gì và tại sao nó quan trọng?
Kiểm soát Quyền riêng tư Toàn cầu (GPC) là một cài đặt ở cấp trình duyệt cho biết sở thích từ chối của người tiêu dùng. Theo CPRA, các nhà vận hành trang web phải phát hiện và tôn trọng các tín hiệu GPC như là các yêu cầu từ chối hợp lệ, việc bỏ qua chúng là một vi phạm tuân thủ.
Q: CPRA có áp dụng cho dữ liệu nhân viên không?
Có. Tính đến ngày 1 tháng 1 năm 2023, các miễn trừ tạm thời cho dữ liệu nhân viên và B2B đã hết hạn. Thông tin cá nhân của nhân viên giờ đây phải tuân theo các bảo vệ đầy đủ của CPRA.
Q: Sự khác biệt giữa "bán" và "chia sẻ" theo CPRA là gì?
Theo CCPA ban đầu, "bán" yêu cầu một sự trao đổi để nhận giá trị tiền tệ. CPRA đã mở rộng điều này để bao gồm "chia sẻ" dữ liệu cá nhân với các bên thứ ba cho quảng cáo hành vi xuyên ngữ cảnh, ngay cả khi không có khoản thanh toán trực tiếp.
Q: Chính sách quyền riêng tư phải được cập nhật bao nhiêu lần theo CPRA?
Tối thiểu, một lần mỗi 12 tháng. Nó cũng phải được cập nhật bất cứ khi nào các thực tiễn dữ liệu thay đổi một cách đáng kể.
Q: Các tổ chức phi lợi nhuận có được miễn CPRA không?
Thông thường là có, CPRA áp dụng cho các doanh nghiệp vì lợi nhuận. Tuy nhiên, các tổ chức phi lợi nhuận hoạt động như nhà cung cấp dịch vụ cho các doanh nghiệp được bảo vệ có thể có nghĩa vụ tuân thủ hợp đồng.
Q: Điều gì xảy ra nếu một người tiêu dùng gửi yêu cầu sửa chữa và doanh nghiệp không đồng ý?
Doanh nghiệp có thể từ chối sửa chữa nếu họ xác định thông tin là chính xác, nhưng phải ghi lại quyết định và thông báo cho người tiêu dùng về lý do từ chối.
Q: Có quyền khởi kiện tư nhân nào theo CPRA không?
Một quyền khởi kiện tư nhân hạn chế tồn tại cho các vi phạm dữ liệu liên quan đến một số danh mục thông tin cá nhân nhất định. Hầu hết các vi phạm khác được thực thi bởi CPPA hoặc Tổng chưởng lý, không thông qua các vụ kiện tư nhân.
Công cụ kiểm tra tuân thủ CPRA tương tác
Tài liệu tham khảo
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai