Californiens Consumer Privacy Rights Act (CPRA, der træder i kraft i 2023) etablerede California Privacy Protection Agency (CPPA) som den første dedikerede statslige privatlivsregulator i USA. CPPA udstedte over 100 millioner dollars i håndhævelsesforanstaltninger i 2024 — hvilket viser, at Californiens privatlivslov ikke blot er en reguleringsramme, men et aktivt håndhævelsesmiljø.
CPRAs ekstraterritoriale rækkevidde er det mest betydningsfulde aspekt for globale virksomheder: loven gælder for enhver virksomhed med en årlig omsætning på 25 millioner dollars eller mere, eller som behandler persondata for 100.000 eller flere californiske forbrugere eller husstande. Med 40 millioner californiske indbyggere og Californiens status som verdens 5. største økonomi falder de fleste globale virksomheder ind under CPRAs jurisdiktion.
CPRAs følsomme personoplysninger kategorier
CPRA skaber et særskilt niveau af "følsomme personoplysninger", der kræver øget beskyttelse og specifikke oplysningskrav. De 19 kategorier kortlægger tæt til GDPR's artikel 9 særlige kategorier, men med amerikanske specifikke tilføjelser:
- CPR-nummer, kørekort, statslig ID, pasnumre
- Finansielle konti, debit-/kreditkortnumre med adgangskoder
- Præcis geolocation (inden for 1.852 meter)
- Racial/etnisk oprindelse
- Religiøse eller filosofiske overbevisninger
- Fagforeningsmedlemskab
- Indhold af e-mail og post (hvis ikke bredt tilgængeligt)
- Genetiske data
- Biometriske data til identifikation
- Sundheds-/medicinske data
- Seksuel orientering eller sexliv
- Immigrationsstatus (tilføjet i 2024-reglerne)
- Mental sundhedsdata (tilføjet i 2024-reglerne)
- Statsborgerskabsstatus
- Finansielle kontonumre (stående alene, uden adgangskoder)
- Handicapstatus
- Indikatorer for ansættelsesstatus
- Forsikringspoliceinformation
- Kriminalregister eller arrestationsregisterdata
Den praktiske implikation: enhver databehandlingspipeline, der håndterer disse kategorier, skal give forbrugerne ret til at begrænse brugen og offentliggørelsen af følsomme personoplysninger, adskilt fra den generelle ret til at fravælge salg.
2024 CPPA håndhævelse: Hvad blev målrettet
CPPA udstedte håndhævelsesforanstaltninger og forlig i 2024, der målrettede:
Overtrædelser af datamæglerregistrering: Californien kræver, at datamæglere registrerer sig hos CPPA. CPPA fandt hundreder af uregistrerede datamæglere — organisationer, der sælger personlige profildata uden krævet offentliggørelse.
Manglende overholdelse af samtykkehåndtering: CPPA fandt, at mange virksomheders "samtykkehåndteringsplatforme" faktisk ikke gav funktionelle fravælgingsmekanismer — enten fungerede fravalgsknappen ikke, eller fravalget gjaldt kun specifikke databrug, mens andre fortsatte.
AI automatiseret beslutningstagning: CPRAs AI-regler fra 2025 kræver, at virksomheder underretter forbrugerne, når automatiseret beslutningstagning anvendes til væsentlige beslutninger (ansættelse, kredit, bolig) og giver meningsfulde fravalgsmekanismer. Flere håndhævelsesforanstaltninger i 2024 målrettede AI-værktøjer, der blev brugt uden tilstrækkelig underretning.
Børns data: Under Californiens Age-Appropriate Design Code (AADC) skal virksomheder, der sandsynligvis vil blive tilgået af mindreårige, gennemføre Data Protection Impact Assessments. CPPA fandt flere teknologivirksomheder, der ikke fuldførte de krævede DPIA'er.
CPRA vs. GDPR: Nøgleforskelle for globale organisationer
Organisationer, der opererer under både GDPR og CPRA, står over for overholdelseskrav, der er ens i princippet, men forskellige i specifikationer:
Fravalg vs. tilvalg: GDPR kræver tilvalgssamtykke til de fleste følsomme databehandlinger. CPRA bruger en fravalgmodel — behandling er lovlig, indtil forbrugeren fravælger. Dette betyder, at GDPR-kompatible samtykkemekanismer ofte er mere restriktive, end CPRA kræver, men CPRA-kompatible praksisser måske ikke opfylder GDPR.
Rettigheder for registrerede: Begge kræver adgang, sletning og korrigeringsrettigheder. CPRA tilføjer en ret til at fravælge automatiseret beslutningstagning — bredere end GDPR artikel 22's snævrere bestemmelse om automatiseret beslutningstagning.
Medarbejderdata: CPRA gælder fuldt ud for medarbejderpersondata. GDPR har en lignende rækkevidde, men medlemslandene har forskellige ansættelsesspecifikke bestemmelser. Californisk medarbejderprivatliv er ofte en særskilt overholdelsesbane fra EU-medarbejder-GDPR.
Følsom dataskop: CPRAs 19 kategorier overlapper delvist med GDPR artikel 9, men inkluderer kategorier (immigrationsstatus, finansielle kontonumre, kriminalregistre), som GDPR behandler anderledes.
AI-leverandørens overholdelsesimplikation
CPRAs AI-regler fra 2025 skaber specifikke krav til organisationer, der bruger AI-værktøjer, der behandler californiske forbrugerdata:
Leverandørkontraktlige krav: Tjenesteudbydere (leverandører, der behandler data på vegne af virksomheden) skal kontraktligt forpligte sig til: at bruge data kun til det offentliggjorte formål, slette data, når tjenesten ophører, tillade forbrugerettighedsanmodninger at flyde igennem, og implementere tilstrækkelige sikkerhedsforanstaltninger.
Offentliggørelse af automatiseret beslutningstagning: Hvis dit AI-værktøj træffer eller væsentligt bidrager til beslutninger om californiske forbrugere — kreditvurdering, svindelflagning, indholdsmoderation, ansættelsesscreening — skal forbrugerne underrettes og gives et meningsfuldt fravalg.
Træningsdata oprindelse: Hvis californiske forbrugerdata blev brugt til at træne en AI-model, betyder CPRAs formålsbegrænsningskrav, at AI-modellens output ikke kan bruges til formål, der er uforenelige med det oprindelige indsamlede formål.
For organisationer, der håndterer californiske forbrugerdata i AI-systemer: dataminimering før AI-behandling — fjernelse af PII, før data kommer ind i AI-træningspipelines eller AI-analysetools — er den mest ligetil måde at opfylde CPRAs krav til automatiseret beslutningstagning, samtidig med at eksponeringen af følsomme personoplysninger reduceres.
Kilder: