CCPA/CPRA: Guia de la Llei de Privacitat de California
Actualitzat per al 2026.
La California Consumer Privacy Rights Act (CPRA) va entrar en vigor el 2023. Va crear la California Privacy Protection Agency (CPPA). La CPPA es el primer regulador de privacitat estatal dels EUA. El 2024, la CPPA va emetre mes de 100 milions de dolars en multes. Es una execucio activa, no una norma sobre paper.
Qui Ha de Complir-la
Tres proves determinen si la llei s'aplica. Una empresa ha de complir-ne almenys una.
- Ingressos anuals de 25 milions de dolars o mes.
- Dades personals de 100.000 o mes consumidors de l'estat.
- Mes del 50% dels ingressos provinents de la venda d'informacio personal.
L'estat te 40 milions de residents. Es la cinquena economia mes gran del mon. La majoria de les empreses globals compleixen almenys una de les proves.
19 Categories de Dades Sensibles
La llei crea un nivell especial per a les dades personals sensibles. Les empreses han de donar als consumidors un avis addicional i un dret a limitar-ne l'us. Els 19 tipus son:
- Numeros de la Seguretat Social, carnet de conduir, identificacio estatal i passaport
- Numeros de compte financer o targeta amb codis d'acces
- Geolocalitzacio precisa (dins de 1.852 metres)
- Origen racial o etnic
- Creences religioses o filosofiques
- Afiliacio sindical
- Contingut de correu electronic o postal privat
- Informacio genetica
- Registres biometrics per a la identificacio
- Historials medics o de salut
- Orientacio sexual o vida sexual
- Estatus migratori (afegit el 2024)
- Historials de salut mental (afegit el 2024)
- Estat de ciutadania
- Numeros de compte financer sense codis d'acces
- Estat de discapacitat
- Indicadors d'estat laboral
- Informacio de polisses d'asseguranca
- Antecedents penals o detencions
Per a cada categoria, els consumidors poden limitar com una empresa l'utilitza i la comparteix. Aquest dret es independent del dret general d'exclusio voluntaria de la venda.
Que va Perseguir la CPPA el 2024
Les accions de la CPPA el 2024 es van centrar en quatre arees.
Registre d'intermediaris de dades. L'estat obliga els intermediaris de dades a registrar-se a la CPPA. L'agencia va trobar centenars d'intermediaris no registrats que venien perfils de consumidors.
Eines d'exclusio voluntaria deficients. Moltes plataformes de consentiment no oferien una exclusio real. El boto no funcionava, o l'exclusio nomes cobria alguns usos.
Decisions d'IA sense avis. Les normes d'IA del 2025 exigeixen un avis quan les eines automatitzades prenen decisions clau. Les feines, el credit i l'habitatge hi entren. Diversos casos del 2024 van perseguir eines d'IA utilitzades sense aquest avis.
Registres de menors. El California Age-Appropriate Design Code s'aplica a qualsevol servei que probablement utilitzin menors. Aquestes empreses han de completar una Avaluacio de l'Impacte sobre la Proteccio de Dades. La CPPA va constatar que moltes empreses no l'havien feta.
Llei Estatal versus RGPD: Diferencies Clau
El compliment del RGPD no us cobreix a California. Les lleis comparteixen objectius pero difereixen en punts clau.
Exclusio voluntaria versus consentiment preavi. El RGPD requereix consentiment previ per a la majoria d'usos de dades sensibles. La llei estatal utilitza un model d'exclusio voluntaria. El processament es permet fins que el consumidor s'hi oposa.
Drets del consumidor. Les dues lleis atorguen drets d'acces, supressio i correccio. La llei estatal afegeix el dret a excloure's de les decisions automatitzades. L'article 22 del RGPD tambe ho cobreix, pero amb un abast mes restringit.
Registres de treballadors. La llei estatal cobreix completament les dades personals dels treballadors. El RGPD tambe, pero els estats membres de la UE tenen les seves propies normes laborals. La privacitat del personal a l'estat sovint requereix el seu propi seguiment de compliment.
Tipus sensibles. Els 19 tipus estatals coincideixen parcialment amb l'article 9 del RGPD. L'estatus migratori i els numeros de compte autonoms son especifics de l'estat.
Consulteu la guia de compliment legal per veure com s'acumulen aquestes obligacions.
Requisits per als Proveïdors d'IA
Les normes d'IA del 2025 creen obligacions clares per a les empreses que utilitzen eines d'IA en registres de consumidors.
Contractes amb proveïdors. Els proveïdors de serveis han de signar un acord escrit. L'acord ha de cobrir quatre aspectes. Primer, utilitzar els registres nomes per a la finalitat declarada. Segon, suprimir els registres quan el servei finalitzi. Tercer, transmetre les sol.licituds de drets dels consumidors. Quart, mantenir una seguretat adequada.
Avis sobre decisions automatitzades. Si una eina d'IA contribueix a prendre decisions sobre credit, frau o feina, els consumidors han de ser-ne informats. Tambe han de tenir dret a excloure's.
Limits per a l'entrenament d'IA. Si els registres de consumidors han entrenat un model d'IA, aquest model te restriccions. No es pot utilitzar per a finalitats que entrin en conflicte amb el motiu de recopilacio original.
La solucio directa per a la majoria dels equips: eliminar els identificadors personals abans que els registres entrin en qualsevol sistema d'IA. Aixo compleix les normes de decisio d'IA i redueix el risc del tipus sensible alhora.
Sabeu com anonym.legal elimina identificadors abans del processament per IA a /security-compliance.
Punts Clau
La llei estatal cobreix la majoria d'empreses globals amb clients a l'estat. Afegeix 19 tipus sensibles, una agencia d'execucio activa i normes d'avis per a la IA. El compliment del RGPD no substitueix el compliment estatal. El pas mes clar: eliminar els identificadors personals abans que els registres entrin en eines d'IA.
Llegiu sobre la minimitzacio de dades a /docs/faq.
Fonts
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- Text complet de la California Privacy Rights Act (CPRA). leginfo.legislature.ca.gov.
- CPPA: Normes sobre Tecnologia de Presa de Decisions Automatitzades 2025. cppa.ca.gov.
- California Age-Appropriate Design Code. leginfo.legislature.ca.gov.