CCPA/CPRA: Ръководство за калифорнийски закон за поверителност
Актуализирано за 2026 г.
Калифорнийският Закон за правата на потребителите в областта на поверителността (CPRA) влезе в сила през 2023 г. Той учреди Калифорнийската агенция за защита на поверителността (CPPA). CPPA е първият щатски регулатор по поверителността в САЩ. През 2024 г. CPPA издаде глоби над $100 млн. Това е активно правоприлагане, не хартиено правило.
Кой трябва да спазва закона
Три теста определят дали законът се прилага. Бизнесът трябва да отговаря на поне един от тях.
- Годишен приход от $25 млн. или повече.
- Лични данни на 100 000 или повече потребители от щата.
- Повече от 50% от прихода от продажба на лична информация.
Щатът има 40 милиона жители. Той е петата по големина икономика в света. Повечето глобални компании отговарят на поне един тест.
19 категории чувствителни данни
Законът създава специален ред за чувствителни лични данни. Компаниите трябва да предоставят на потребителите допълнително уведомяване и право за ограничаване на употребата. Девоентях типа са:
- Номера на социалното осигуряване, шофьорска книжка, лична карта, паспорт
- Номера на финансови сметки или карти с кодове за достъп
- Точна геолокация (в рамките на 1 852 метра)
- Расов или етнически произход
- Религиозни или философски убеждения
- Членство в синдикат
- Съдържание на лична електронна поща или кореспонденция
- Генетична информация
- Биометрични данни за идентификация
- Здравни или медицински досиета
- Сексуална ориентация или сексуален живот
- Имиграционен статус (добавен през 2024 г.)
- Психично-здравни досиета (добавен през 2024 г.)
- Гражданство
- Номера на финансови сметки без кодове за достъп
- Инвалидизиращо заболяване
- Показатели за трудова заетост
- Информация за застрахователни полици
- Криминална или арестантска история
За всяка категория потребителите могат да ограничат начина, по който бизнесът я използва и споделя. Това право е отделно от общото право за отказ от продажба.
Какво е преследвала CPPA през 2024 г.
Действията на CPPA за 2024 г. попадат в четири области.
Регистрация на брокери на данни. Щатът изисква брокерите на данни да се регистрират в CPPA. Агенцията откри стотици нерегистрирани брокери, продаващи потребителски профили.
Неработещи инструменти за отказ. Много платформи за съгласие не предлагаха реален отказ. Бутонът не работеше или отказът покриваше само част от употребите.
ИИ решения без уведомяване. Правилата за ИИ от 2025 г. изискват уведомяване при вземане на ключови решения с автоматизирани инструменти. Работни места, кредити и жилища — всичко се брои. Няколко случая от 2024 г. са насочени срещу ИИ инструменти, използвани без такова уведомяване.
Досиета на деца. Калифорнийският Кодекс за дизайн, подходящ за деца, важи за всяка услуга, която е вероятно да бъде ползвана от непълнолетни. Тези компании трябва да извършат Оценка на въздействието върху защитата на данните. CPPA откри, че много компании не са го направили.
Щатски закон срещу GDPR: ключови разлики
Спазването на GDPR не ви покрива в Калифорния. Законите споделят цели, но се различават по ключови точки.
Отказ срещу съгласие. GDPR изисква съгласие за повечето употреби на чувствителни данни. Щатският закон използва модел на отказ. Обработката е разрешена, докато потребителят не възрази.
Права на потребителите. И двата закона дават права на достъп, изтриване и корекция. Щатският закон добавя право на отказ от автоматизирани решения. Член 22 от GDPR регулира и това, но с по-тесен обхват.
Досиета на служители. Щатският закон напълно обхваща личните данни на служителите. GDPR също, но страните членки на ЕС имат собствени правила за заетостта. Поверителността на персонала в щата нерядко изисква собствен коплаянс.
Чувствителни типове. 19-те щатски типа частично се припокриват с Член 9 от GDPR. Имиграционният статус и самостоятелните номера на сметки са специфични за щата.
Вижте ръководството за правно съответствие как се наслагват тези задължения.
Изисквания към ИИ доставчиците
Правилата за ИИ от 2025 г. създават ясни задължения за компании, използващи ИИ инструменти върху потребителски данни.
Договори с доставчици. Доставчиците на услуги трябва да подпишат писмено споразумение. Споразумението трябва да обхваща четири неща. Първо, да използват данните само за посочената цел. Второ, да изтрият данните при приключване на услугата. Трето, да препредават заявки за права на потребители. Четвърто, да поддържат адекватна сигурност.
Уведомяване за автоматизирани решения. Ако ИИ инструмент участва в решения за кредит, измама или работа — потребителите трябва да бъдат уведомени. Трябва също да получат право на отказ.
Ограничения при обучение на ИИ. Ако потребителски данни са обучили ИИ модел, той има ограничения. Не може да се използва за цели, противоречащи на първоначалната причина за събиране.
Най-прякото решение за повечето екипи: да се премахнат личните идентификатори, преди данните да влязат в ИИ система. Това изпълнява правилата за ИИ решения и намалява риска от чувствителни типове едновременно.
Научете как anonym.legal премахва идентификатори преди ИИ обработка на /security-compliance.
Ключови точки
Щатският закон обхваща повечето глобални компании с клиенти в щата. Добавя 19 чувствителни типа, активна агенция за правоприлагане и правила за уведомяване при ИИ. Спазването на GDPR не замества спазването на щатския закон. Най-ясната стъпка: да се премахнат личните идентификатори, преди данните да влязат в ИИ инструменти.
Прочетете за минимизирането на данните на /docs/faq.
Източници
- CPPA: Калифорнийска агенция за защита на поверителността. cppa.ca.gov.
- Пълен текст на Калифорнийския Закон за правата за поверителност (CPRA). leginfo.legislature.ca.gov.
- CPPA: Наредби за технологии за автоматизирано вземане на решения 2025. cppa.ca.gov.
- Калифорнийски Кодекс за дизайн, подходящ за деца. leginfo.legislature.ca.gov.