CCPA/CPRA: California privaatsusseaduse juhend
Uuendatud 2026. aastaks.
California tarbijate privaatsusõiguste seadus (CPRA) jõustus 2023. aastal. See asutas California privaatsuskaitseasutuse (CPPA). CPPA on USA esimene osariigi privaatsusregulaator. 2024. aastal tegi CPPA trahve üle 100 miljoni dollari. See on aktiivne jõustamine - mitte paberile kirjutatud reegel.
Kellele kehtib nõue
Kolm testi määravad, kas seadus kehtib. Ettevõte peab täitma vähemalt ühe neist.
- Aastane käive 25 miljonit dollarit või rohkem.
- Isikuandmed 100 000 või enama osariigi tarbija kohta.
- Rohkem kui 50% tulust isikuandmete müügist.
Osariigil on 40 miljonit elanikku. See on maailma viies suurim majandus. Enamik globaalseid ettevõtteid vastab vähemalt ühele testile.
19 tundlike andmete kategooriat
Seadus loob tundlike isikuandmete jaoks eraldi taseme. Ettevõtted peavad andma tarbijatele täiendava teavituse ja piiramise õiguse. 19 tüüpi on:
- Sotsiaalkindlustusnumber, juhiluba, osariigi ID, passi numbrid
- Finantskontonumber või kaardinumbrid koos juurdepääsukoodidega
- Taiese asukoht (1852 meetri piires)
- Rassiline või etniline paritolu
- Usulised või filosoofilised veendumused
- Ametiuhinguliikmesus
- Privaatse e-posti või posti sisu
- Geneetiline teave
- Biomeetrilised kirjed tuvastamiseks
- Tervise- ja meditsiinilised kirjed
- Seksuaalne orientatsioon või seksuaalelu
- Immigratsioonistaatus (lisatud 2024. aastal)
- Vaimse tervise kirjed (lisatud 2024. aastal)
- Kodakondsusstaatus
- Finantskontonumbrid ilma juurdepääsukoodideta
- Puudeastatuse staatus
- Toetatuse staatuse indikaatorid
- Kindlustuspoliisi teave
- Kriminaalsed kirjed ja vahistamised
Iga kategooria puhul saavad tarbijad piirata, kuidas ettevõte seda kasutab ja jagab. See õigus on eraldiseisev üldisest õigusest loobuda müügist.
Mida CPPA 2024. aastal sihtis
CPPA 2024. aasta meetmed jaotusid nelja valdkonda.
Andmemaaklerite registreerimine. Osariik nõuab andmemaakleritelt CPPA-s registreerumist. Amet leidis sadu registreerimata maaklereid, kes müüsid tarbijate profiile.
Katkised loobumistööriistad. Paljud nõusolekuplatvormid ei andnud tegelikku loobumisõigust. Nupp ei töötanud, või loobumisõigus kattis vaid mõned kasutused.
Tehisintellekti otsused ilma teavituseta. 2025. aasta tehisintellekti reeglid nõuavad teavitust, kui automatiseeritud tööriistad teevad olulisi otsuseid. Töö, krediit ja eluase kõik loendatakse. Mitmed 2024. aasta juhtumid sihtisid tehisintellekti tööriistu, mida kasutati ilma selle teavituseta.
Laste kirjed. California vanusele vastava disaini seadus kehtib mis tahes teenusele, mida alaealised tõenäoliselt kasutavad. Need ettevõtted peavad tegema andmekaitseuuringut. CPPA leidis, et paljud ettevõtted ei olnud seda teinud.
Osariigi seadus vs. GDPR: peamised erinevused
GDPRi vastavus ei kata teid Californias. Seadustel on sarnased eesmärgid, kuid erinevad olulistes punktides.
Loobuvs. nõusolek. GDPR nõuab enamiku tundlike andmete kasutamiseks eelnevat nõusolekut. Osariigi seadus kasutab loobumismeetodit. Töötlemine on lubatud kuni tarbija vastuväiteni.
Tarbija õigused. Mõlemad seadused annavad juurdepääsu, kustutamise ja parandamise õigused. Osariigi seadus lisab õiguse loobuda automatiseeritud otsustest. GDPR artikkel 22 katab seda samuti, kuid kitsama ulatusega.
Töötajate kirjed. Osariigi seadus katab töötajate isikuandmeid täielikult. GDPR samuti, kuid EL liikmesriikidel on oma tööhõive reeglid. Osariigi töötajate privaatsus vajab sageli eraldi vastavustegevust.
Tundlikud tüübid. 19 osariigi tüüpi kattuvad osaliselt GDPR artikliga 9. Immigratsioonikstaatus ja eraldiseisvad kontonumbrid on osariigispetsiifilised.
Vaata juriidilise vastavuse juhendit, kuidas need kohustused kumuleeruvad.
Tehisintellekti müüja nõuded
- aasta tehisintellekti reeglid loovad selged kohustused ettevõtetele, kes kasutavad tehisintellekti tööriistu tarbijate kirjetel.
Müüjalepingud. Teenusepakkujad peavad allkirjastama kirjaliku lepingu. Lepe peab katma neli asja. Esiteks, kasutada kirjeid ainult deklareeritud eesmärgil. Teiseks, kustutada kirjed teenuse lõpetamisel. Kolmandaks, edastada tarbijate õiguste taotlused. Neljandaks, hoida piisav turvalisus.
Automatiseeritud otsuste teavitus. Kui tehisintellekti tööriist aitab otsustada krediidi, pettuse või töö kohta - tarbijaid peab teavitama. Neil peab olema ka loobumise võimalus.
Tehisintellekti koolituse piirangud. Kui tarbijate kirjed koolitasid tehisintellekti mudelit, on sellel mudelil piirangud. Seda ei saa kasutada eesmärkidel, mis on vastuolus esialgse kogumise põhjusega.
Otseselgeim lahendus enamikule meeskondadele: eemaldage isiklikud ID-d enne kirjete sisestamist tehisintellekti süsteemi. See vastab tehisintellekti otsuste reeglitele ja vähendab samal ajal tundliku tüübi riski.
Uuri, kuidas anonym.legal eemaldab identifikaatoreid enne tehisintellekti töötlemist aadressil /security-compliance.
Peamised punktid
Osariigi seadus katab enamiku globaalseid ettevõtteid, kellel on osariigis kliente. See lisab 19 tundlikku tüüpi, aktiivse jõustamisasutuse ja tehisintellekti teavituse reeglid. GDPRi vastavus ei asenda osariigi vastavust. Kõige selgem samm: eemaldage isiklikud ID-d enne kirjete sisestamist tehisintellekti tööriistadesse.
Loe andmete minimeerimise kohta aadressil /docs/faq.
Allikad
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- California privaatsusõiguste seaduse (CPRA) terviktekst. leginfo.legislature.ca.gov.
- CPPA: automatiseeritud otsuste tegemise tehnoloogia reeglid 2025. cppa.ca.gov.
- California vanusele vastava disaini seadus. leginfo.legislature.ca.gov.