CCPA/CPRA 2025: Ochrana soukromí a AI v Kalifornii

CCPA/CPRA: Průvodce kalifornským zákonem o ochraně soukromí

Aktualizováno pro rok 2026.

Kalifornský zákon o právech na soukromí spotřebitelů (CPRA) vstoupil v platnost v roce 2023. Založil Agenturu na ochranu soukromí Kalifornie (CPPA). CPPA je prvním státním regulátorem ochrany soukromí v USA. V roce 2024 CPPA vydala pokuty přesahující 100 milionů dolarů. Jde o aktivní vymáhání — nikoli o papírové pravidlo.

Na koho se zákon vztahuje

Tři testy určují, zda se zákon na danou firmu vztahuje. Firma musí splňovat alespoň jeden z nich.

• Roční obrat 25 milionů dolarů nebo více.
• Osobní data od 100 000 nebo více spotřebitelů státu.
• Více než 50 % příjmů z prodeje osobních informací.

Stát má 40 milionů obyvatel. Je pátou největší ekonomikou na světě. Většina globálních společností splňuje alespoň jeden test.

19 kategorií citlivých dat

Zákon vytváří zvláštní kategorii pro citlivé osobní údaje. Společnosti musí spotřebitelům poskytnout zvláštní oznámení a právo omezit využití. Oněch 19 typů je:

1. Čísla sociálního zabezpečení, řidičských průkazů, státních průkazů totožnosti a pasů
2. Čísla finančních účtů nebo karet s přístupovými kódy
3. Přesná geolokace (do 1 852 metrů)
4. Rasový nebo etnický původ
5. Náboženské nebo filosofické přesvědčení
6. Členství v odborech
7. Obsah soukromé e-mailové nebo poštovní komunikace
8. Genetické informace
9. Biometrické záznamy za účelem identifikace
10. Zdravotní nebo lékařské záznamy
11. Sexuální orientace nebo sexuální život
12. Imigrační status (přidáno v roce 2024)
13. Záznamy o duševním zdraví (přidáno v roce 2024)
14. Státní příslušnost
15. Čísla finančních účtů bez přístupových kódů
16. Zdravotní postižení
17. Ukazatele zaměstnaneckého statusu
18. Informace o pojistných smlouvách
19. Záznamy o trestné činnosti nebo zatčení

U každé kategorie mohou spotřebitelé omezit, jak ji firma využívá a sdílí. Toto právo je oddělené od obecného práva odhlásit se z prodeje.

Na co se CPPA zaměřila v roce 2024

Opatření CPPA v roce 2024 spadala do čtyř oblastí.

Registrace datových brokerů. Stát vyžaduje, aby se datoví brokeři registrovali u CPPA. Agentura zjistila stovky neregistrovaných brokerů prodávajících profily spotřebitelů.

Nefunkční nástroje pro odhlášení. Mnoho platforem pro správu souhlasů neposkytovalo skutečnou možnost odhlášení. Tlačítko nefungovalo nebo se odhlášení vztahovalo pouze na některá využití.

Rozhodování pomocí AI bez oznámení. Pravidla AI z roku 2025 vyžadují oznámení, pokud automatizované nástroje přijímají klíčová rozhodnutí. Zahrnuty jsou pracovní, úvěrové a bytové situace. Několik případů z roku 2024 se týkalo nástrojů AI používaných bez tohoto oznámení.

Záznamy dětí. Kalifornský zákon o věkově přiměřeném designu se vztahuje na každou službu, kterou pravděpodobně využívají nezletilí. Tyto společnosti musí provést posouzení dopadu na ochranu osobních údajů. CPPA zjistila, že mnohé společnosti toto hodnocení neprovedly.

Státní zákon vs. GDPR: klíčové rozdíly

Soulad s GDPR vás v Kalifornii nekryje. Zákony sdílejí cíle, ale liší se v klíčových bodech.

Opt-out vs. opt-in. GDPR vyžaduje souhlas opt-in pro většinu využití citlivých dat. Státní zákon používá model opt-out. Zpracování je povoleno, dokud spotřebitel nevznesl námitku.

Práva spotřebitelů. Oba zákony přiznávají práva na přístup, výmaz a opravu. Státní zákon přidává právo odhlásit se z automatizovaných rozhodnutí. GDPR článek 22 to také pokrývá, ale s užším rozsahem.

Záznamy zaměstnanců. Státní zákon plně pokrývá osobní údaje zaměstnanců. GDPR také, ale členské státy EU mají vlastní pracovněprávní pravidla. Soukromí zaměstnanců v daném státě často vyžaduje vlastní zákonný postup.

Citlivé typy. Oněch 19 státních typů se částečně překrývá s GDPR článkem 9. Imigrační status a samostatná čísla účtů jsou specifická pro daný stát.

Přehled kumulace těchto povinností naleznete v průvodci právním souladem.

Požadavky na dodavatele AI

Pravidla AI z roku 2025 stanovují jasné povinnosti pro firmy, které využívají nástroje AI pro záznamy spotřebitelů.

Smlouvy s dodavateli. Poskytovatelé služeb musí podepsat písemnou smlouvu. Smlouva musí pokrývat čtyři věci. Za prvé, záznamy využívat pouze ke stanovenému účelu. Za druhé, záznamy smazat po skončení smlouvy. Za třetí, předávat žádosti o práva spotřebitelů. Za čtvrté, udržovat přiměřené zabezpečení.

Oznámení o automatizovaném rozhodování. Pokud nástroj AI pomáhá rozhodovat o úvěrech, podvodech nebo pracovních místech — spotřebitelé musí být informováni. Musí jim být také poskytnuta možnost odhlášení.

Omezení trénování AI. Pokud záznamy spotřebitelů trénovaly model AI, tento model má omezení. Nelze jej využívat k účelům, které jsou v rozporu s původním důvodem shromáždění.

Přímé řešení pro většinu týmů: odstranit osobní identifikátory před tím, než záznamy vstoupí do jakéhokoli systému AI. Tím jsou splněna pravidla pro rozhodování pomocí AI a zároveň je sníženo riziko citlivých typů.

Přečtěte si, jak anonym.legal odstraňuje identifikátory před zpracováním pomocí AI na stránce /security-compliance.

Klíčové body

Státní zákon pokrývá většinu globálních firem se zákazníky v daném státě. Zavádí 19 citlivých typů, aktivní vymáhací agenturu a pravidla pro oznámení týkající se AI. Soulad s GDPR nenahrazuje soulad se státním zákonem. Nejjasnější krok: odstranit osobní identifikátory před tím, než záznamy vstoupí do nástrojů AI.

O minimalizaci dat si přečtěte na stránce /docs/faq.

Zdroje

• CPPA: California Privacy Protection Agency. cppa.ca.gov.
• Úplné znění zákona California Privacy Rights Act (CPRA). leginfo.legislature.ca.gov.
• CPPA: Pravidla pro technologii automatizovaného rozhodování 2025. cppa.ca.gov.
• Kalifornský zákon o věkově přiměřeném designu. leginfo.legislature.ca.gov.