CCPA/CPRA: دليل قانون الخصوصية الكاليفورني
محدَّث لعام 2026.
دخل قانون حقوق الخصوصية الاستهلاكية الكاليفورني (CPRA) حيز التنفيذ في 2023. أسَّس القانون الوكالة الكاليفورنية لحماية الخصوصية (CPPA). تُعدُّ CPPA أول جهة رقابة خصوصية ولائية في الولايات المتحدة. أصدرت CPPA في 2024 غرامات تجاوزت 100 مليون دولار. هذا تطبيق فعلي، لا مجرد نص على الورق.
من تسري عليه أحكام القانون
تحدد ثلاثة اختبارات مدى انطباق القانون على شركة ما. يكفي استيفاء أي منها.
- إيرادات سنوية تبلغ 25 مليون دولار أو أكثر.
- بيانات شخصية لـ100,000 مستهلك ولائي فأكثر.
- أكثر من 50% من الإيرادات مستمدة من بيع المعلومات الشخصية.
يقطن الولاية 40 مليون نسمة. وهي خامس أكبر اقتصاد في العالم. تستوفي معظم الشركات العالمية اختبارًا واحدًا على الأقل.
19 فئة من البيانات الحساسة
يُنشئ القانون فئة خاصة للتفاصيل الشخصية الحساسة. يجب على الشركات منح المستهلكين إشعارًا إضافيًا وحق تقييد الاستخدام. الأنواع الـ19 هي:
- أرقام الضمان الاجتماعي ورخصة القيادة وبطاقة الهوية الولائية وجواز السفر
- أرقام الحسابات المالية أو البطاقات مع رموز الوصول
- الموقع الجغرافي الدقيق (في نطاق 1,852 مترًا)
- الأصل العرقي أو الإثني
- المعتقدات الدينية أو الفلسفية
- عضوية النقابات
- محتوى البريد الإلكتروني أو البريد العادي الخاص
- المعلومات الجينية
- البيانات البيومترية لأغراض التعريف
- السجلات الصحية والطبية
- التوجه الجنسي أو الحياة الجنسية
- وضع الهجرة (أُضيف في 2024)
- سجلات الصحة النفسية (أُضيف في 2024)
- وضع الجنسية
- أرقام الحسابات المالية دون رموز الوصول
- وضع الإعاقة
- مؤشرات الوضع الوظيفي
- معلومات وثيقة التأمين
- سجلات السوابق الجنائية أو الاعتقال
لكل فئة، يحق للمستهلكين تقييد طريقة استخدام الشركة لها ومشاركتها. هذا الحق منفصل عن حق الانسحاب العام من البيع.
ما استهدفته CPPA في 2024
توزَّعت إجراءات CPPA لعام 2024 على أربعة محاور.
تسجيل وسطاء البيانات. يُلزم القانون وسطاء البيانات بالتسجيل لدى CPPA. رصدت الوكالة مئات الوسطاء غير المسجلين ممن يبيعون ملفات تعريف المستهلكين.
أدوات انسحاب معطوبة. لم تُتِح منصات الموافقة الكثيرة انسحابًا حقيقيًا. إما أن الزر لم يعمل، أو اقتصر الانسحاب على بعض الاستخدامات دون سواها.
قرارات الذكاء الاصطناعي دون إشعار. تستلزم قواعد الذكاء الاصطناعي لعام 2025 إشعارًا حين تُشارك الأدوات الآلية في القرارات المصيرية. تشمل مجالات التوظيف والائتمان والإسكان. استهدفت عدة قضايا في 2024 أدوات ذكاء اصطناعي تعمل دون هذا الإشعار.
سجلات الأطفال. ينطبق قانون تصميم كاليفورنيا المناسب للعمر على أي خدمة مرجَّح استخدام القاصرين لها. يجب على تلك الشركات إجراء تقييم لأثر حماية البيانات. وجدت CPPA أن كثيرًا من الشركات لم تُجرِ هذا التقييم.
القانون الولائي مقابل اللائحة GDPR: الفوارق الرئيسية
الامتثال للائحة GDPR لا يُغنيك عن الامتثال للقانون الكاليفورني. يتشارك القانونان الأهداف لكنهما يتباينان في نقاط جوهرية.
الانسحاب مقابل الاشتراك. تستلزم اللائحة GDPR موافقة صريحة لمعظم استخدامات البيانات الحساسة. يعتمد القانون الولائي نموذج الانسحاب؛ تُسمح المعالجة حتى يعترض المستهلك.
حقوق المستهلك. يمنح كلا القانونين حقوق الوصول والحذف والتصحيح. يُضيف القانون الولائي حق الانسحاب من القرارات الآلية. تغطي المادة 22 من اللائحة GDPR ذلك أيضًا لكن بنطاق أضيق.
سجلات الموظفين. يُغطي القانون الولائي بيانات الموظفين الشخصية بالكامل. كذلك تفعل اللائحة GDPR، لكن لكل دولة عضو قواعدها الخاصة في قانون العمل. تستلزم خصوصية الموظفين في الولاية في الغالب مسارًا امتثاليًا مستقلًا.
الأنواع الحساسة. تتداخل الأنواع الـ19 الولائية جزئيًا مع المادة 9 من اللائحة GDPR. لكن وضع الهجرة وأرقام الحسابات المستقلة خاصان بالقانون الولائي.
راجع دليل الامتثال القانوني للاطلاع على كيفية تضافر هذه الالتزامات.
متطلبات موردي الذكاء الاصطناعي
تُنشئ قواعد الذكاء الاصطناعي لعام 2025 التزامات واضحة للشركات التي تستخدم أدوات الذكاء الاصطناعي على سجلات المستهلكين.
عقود الموردين. يجب على مقدِّمي الخدمات توقيع اتفاقية مكتوبة تشمل أربعة عناصر: أولًا، استخدام السجلات للغرض المُحدد فحسب. ثانيًا، حذف السجلات عند انتهاء الخدمة. ثالثًا، تمرير طلبات حقوق المستهلكين. رابعًا، صون أمن كافٍ.
إشعار القرار الآلي. إذا أسهمت أداة ذكاء اصطناعي في قرارات الائتمان أو الاحتيال أو التوظيف، وجب إخطار المستهلكين. ويجب منحهم خيار الانسحاب.
حدود تدريب الذكاء الاصطناعي. إذا كانت سجلات المستهلكين قد دربت نموذجًا، فلهذا النموذج قيوده. لا يجوز استخدامه لأغراض تتعارض مع سبب جمع البيانات الأصلي.
الحل المباشر لمعظم الفرق: إزالة المعرِّفات الشخصية قبل أن تدخل السجلات أي نظام ذكاء اصطناعي. يستوفي ذلك قواعد قرار الذكاء الاصطناعي ويُخفِّض مخاطر الأنواع الحساسة في آنٍ واحد.
تعرَّف على كيفية إزالة anonym.legal للمعرِّفات قبل معالجة الذكاء الاصطناعي على /security-compliance.
الخلاصة
يغطي القانون الولائي معظم الشركات العالمية التي لديها عملاء في كاليفورنيا. يضيف 19 نوعًا من البيانات الحساسة وجهة تنفيذ نشطة وقواعد إشعار للذكاء الاصطناعي. الامتثال للائحة GDPR لا يحل محل الامتثال للقانون الولائي. الخطوة الأوضح: إزالة المعرِّفات الشخصية قبل دخول السجلات إلى أدوات الذكاء الاصطناعي.
اطلع على تقليص البيانات على /docs/faq.
المصادر
- CPPA: الوكالة الكاليفورنية لحماية الخصوصية. cppa.ca.gov.
- قانون حقوق الخصوصية الكاليفوني (CPRA) النص الكامل. leginfo.legislature.ca.gov.
- CPPA: لوائح تكنولوجيا القرار الآلي 2025. cppa.ca.gov.
- قانون كاليفورنيا للتصميم المناسب للعمر. leginfo.legislature.ca.gov.