CCPA/CPRA 2025: Kalifornie KI-Privaatheid

CCPA/CPRA: Gids vir Kaliforniese Privaatheidswet

Opgedateer vir 2026.

Kalifornie se Consumer Privacy Rights Act (CPRA) het in 2023 in werking getree. Dit het die California Privacy Protection Agency (CPPA) gestig. Die CPPA is die eerste staatsprivaatheidreguleerder in die VSA. In 2024 het die CPPA meer as $100 miljoen in boetes uitgereik. Dit is aktiewe handhawing -- nie 'n papierreel nie.

Wie Moet Voldoen

Drie toetse bepaal of die wet van toepassing is. 'n Besigheid moet aan ten minste een voldoen.

• Jaarlikse inkomste van $25 miljoen of meer.
• Persoonlike data van 100 000 of meer staatsverbruikers.
• Meer as 50% van inkomste uit die verkoop van persoonlike inligting.

Die staat het 40 miljoen inwoners. Dit is die vyfde grootste ekonomie ter wereld. Die meeste globale maatskappye haal ten minste een toets.

19 Kategoriee Sensitiewe Data

Die wet skep 'n spesiale laag vir sensitiewe persoonlike besonderhede. Maatskappye moet verbruikers ekstra kennisgewing en 'n reg om gebruik te beperk gee. Die 19 tipes is:

1. Sosiale sekerheidsnommers, bestuurslisensie, staat-ID, paspoortnommers
2. Finansielerekeningnommers of kaartnommers met toegangskodes
3. Presiese geografiese ligging (binne 1 852 meter)
4. Ras- of etniese oorsprong
5. Godsdienstige of filosofiese oortuigings
6. Vakbondlidmaatskap
7. Private e-pos- of poskorrespondensie
8. Genetiese inligting
9. Biometriese rekords vir identifikasie
10. Gesondheid- of mediese rekords
11. Seksuele orientasie of seksuele lewe
12. Immigrasiestatus (bygevoeg in 2024)
13. Geestesgesondheidsrekords (bygevoeg in 2024)
14. Burgerskaps-status
15. Finansielerekeningnommers sonder toegangskodes
16. Gestremdheidstatus
17. Werkgeleentheidstatusindicators
18. Versekeringspolissinligting
19. Kriminele- of inhegtenisnemingrekords

Vir elke kategorie kan verbruikers beperk hoe 'n besigheid dit gebruik en deel. Hierdie reg is apart van die algemene reg om verkoop te vermy.

Wat die CPPA in 2024 Geteiken Het

Die CPPA se 2024-aksies het in vier areas geval.

Datamakelaarregistrasie. Die staat vereis dat datamakers by die CPPA registreer. Die agentskap het honderde ongeregistreerde makelaars gevind wat verbruikersprofiele verkoop.

Gebroke uitkesinstrumente. Baie toestemmingsplatforms het nie 'n werklike uitkiesmoontlikheid aangebied nie. Die knoppie het nie gewerk nie, of die uitkies het slegs sommige gebruike gedek.

KI-besluite sonder kennisgewing. Die 2025 KI-reels vereis kennisgewing wanneer outomatiese instrumente sleutelbesluite neem. Poste, krediet en behuising tel almal. Verskeie 2024-sake het KI-instrumente geteiken wat sonder hierdie kennisgewing gebruik is.

Kinderrekords. Kalifornie se Ouderdomsgeskikte-Ontwerpkode geld vir enige diens wat minderjariges waarskynlik sal gebruik. Hierdie maatskappye moet 'n Databeskermingsimpakbeoordeling voltooi. Die CPPA het gevind dat baie maatskappye dit nie gedoen het nie.

Staatswet vs. GDPR: Sleutelverskille

GDPR-nakoming dek jou nie in Kalifornie nie. Die wette deel doelwitte maar verskil in sleutelpunte.

Uitkies teenoor inkies. GDPR vereis inkiestoestemming vir die meeste sensitiewe-data-gebruike. Die staatswet gebruik 'n uitkiesmodel. Verwerking is toegelaat totdat die verbruiker beswaar maak.

Verbruikersregte. Beide wette gee toegangs-, verwydering- en korreksierregte. Die staatswet voeg 'n reg by om uit te kies van outomatiese besluite. GDPR Artikel 22 dek dit ook, maar met 'n nouer bereik.

Werknemerrekords. Die staatswet dek werknemerpersoonlike besonderhede volledig. GDPR doen dit ook, maar EU-lidstate het hul eie diensreels. Personeelprivaatheid in die staat benodig dikwels sy eie nakomingsspoor.

Sensitiewe tipes. Die 19 staatstipes oorvleuel gedeeltelik met GDPR Artikel 9. Immigrasiestatus en selfstandige rekeningnommers is staatspesifiek.

Sien die wetlike nakomingsgids vir hoe hierdie pligte stapel.

KI-Verkopervereistes

Die 2025 KI-reels skep duidelike pligte vir maatskappye wat KI-instrumente op verbruikersrekords gebruik.

Verkoperkontrakte. Diensleweransiers moet 'n geskrewe ooreenkoms onderteken. Die ooreenkoms moet vier dinge dek. Eerstens, gebruik rekords slegs vir die gestelde doel. Tweedens, verwyder rekords wanneer die diens eindig. Derdens, dra verbruikersregte-versoeke oor. Vierdens, behou voldoende sekuriteit.

Outomatiese besluitkennisgewing. As 'n KI-instrument help om te besluit oor krediet, bedrog of poste -- moet verbruikers ingelig word. Hulle moet ook 'n uitkiesmoontlikheid kry.

KI-opleidingsgrense. As verbruikersrekords 'n KI-model geoefen het, het hierdie model grense. Dit kan nie gebruik word vir doeleindes wat met die oorspronklike versamelingsrede in stryd is nie.

Die direkte oplossing vir die meeste spanne: verwyder persoonlike ID's voordat rekords enige KI-stelsel binnegaan. Dit haal die KI-besluitreels en verminder sensitiewe-tipe risiko gelyktydig.

Leer hoe anonym.legal identifiseerders voor KI-verwerking verwyder by /security-compliance.

Sleutelpunte

Die staatswet dek die meeste globale maatskappye met kliante in die staat. Dit voeg 19 sensitiewe tipes, 'n aktiewe handhawingsagentskap en KI-kennisgewingsreels by. GDPR-nakoming vervang nie staatsnakoming nie. Die duidelikste stap: verwyder persoonlike ID's voordat rekords KI-instrumente binnegaan.

Lees oor dataminimering by /docs/faq.

Bronne

• CPPA: California Privacy Protection Agency. cppa.ca.gov.
• California Privacy Rights Act (CPRA) volledige teks. leginfo.legislature.ca.gov.
• CPPA: Regulasies vir Outomatiese Besluitnemingstegnologie 2025. cppa.ca.gov.
• California Ouderdomsgeskikte Ontwerpkode. leginfo.legislature.ca.gov.