CCPA/CPRA: Californiako Pribatasun Legearen Gida
2026rako eguneratua.
California Consumer Privacy Rights Act (CPRA) 2023an indarrean sartu zen. California Privacy Protection Agency (CPPA) sortu zuen. CPPA AEBetako lehen estatuko pribatasun erregulatzailea da. 2024an, CPPAk 100 milioi dolar baino gehiagoko isun ezarri zituen. Betearazpen aktiboa da, ez arau teorikoa.
Nor Behar du Bete
Hiru probek zehazten dute legea aplikatzen den ala ez. Enpresa batek edozein bat bete behar du.
- Urteko diru-sarrerak 25 milioi dolar edo gehiago.
- Estatu-kontsumitzaile 100.000 edo gehiagoren datu pertsonalak.
- Diru-sarreren %50 baino gehiago informazio pertsonala saltzetik.
Estatuak 40 milioi biztanle ditu. Munduko bostgarren ekonomia handiena da. Enpresa global gehienek gutxienez proba bat betetzen dute.
Datu Sentikorren 19 Kategoria
Legeak datu pertsonal sentikorretarako maila berezia sortzen du. Enpresek kontsumitzaileei jakinarazpen gehigarria eta erabilera mugatzeko eskubidea eman behar diete. 19 motak hauek dira:
- Gizarte segurantza, gidabaimena, estatuko ID, pasaporte-zenbakiak
- Sarbide-kodeekin finantza-kontu edo txartel-zenbakiak
- Kokapen zehatza (1.852 metro barruan)
- Arraza edo etnia-jatorria
- Erlijio edo filosofia-sinesmenak
- Sindikatuaren kide izatea
- Posta elektroniko edo posta arruntaren edukia
- Informazio genetikoa
- Identifikazio biometrikoko erregistroak
- Osasun edo medikuntzako erregistroak
- Sexu-orientazioa edo sexu-bizitza
- Etorkin-estatusa (2024an gehituta)
- Osasun mental erregistroak (2024an gehituta)
- Herritartasun-estatusa
- Sarbide-koderik gabeko finantza-kontu zenbakiak
- Desgaitasun-estatusa
- Enplegu-egoera adierazleak
- Aseguru-polizaren informazioa
- Zigor edo atxilotze erregistroak
Kategoria bakoitzarentzako, kontsumitzaileek enpresa batek nola erabili eta partekatzen duen muga dezakete. Eskubide hori saltzetik ateratzeko eskubide orokorretik bereizita dago.
CPPAk 2024an Jomugatu Zuena
CPPAren 2024ko ekintzak lau eremutan erori ziren.
Datu-bitartekarien erregistroa. Estatuak datu-bitartekariei CPPAn erregistratzea eskatzen die. Agentzieak ehunka erregistratu gabeko bitartekari aurkitu zituen kontsumitzaileen profilak saltzen.
Aukera kentzeko tresna hautsiak. Baimenen plataforma askok ez zuten benetako aukera-kentze bat ematen. Botoia ez zen funtzionatzen, edo aukerak zenbait erabilera bakarrik estaltzen zuen.
AI erabakiak jakinarazpenik gabe. 2025eko AI arauek erabaki nagusiak hartzen laguntzen duten tresna automatikoak erabiltzen direnean jakinarazpena eskatzen dute. Lanpostuak, kreditua eta etxebizitza guztiak sartzen dira. 2024ko hainbat kasuk jakinarazpen hori gabe erabilitako AI tresnak jo zituen.
Haurren erregistroak. Californiako Adina Egokiko Diseinu Kodea adingabeak erabiltzeko bideratuta dauden edozein zerbitzuri aplikatzen zaio. Enpresa horiek Datuak Babesteko Inpaktu Ebaluazioa egin behar dute. CPPAk enpresa askok hori egin ez zutela aurkitu zuen.
Estatuko Legea vs. GDPR: Desberdintasun Nagusiak
GDPR betetzeak ez zaitu Californian estaltzen. Legeek helburu berdinak dituzte baina puntu nagusietan desberdintzen dira.
Aukera kentzea vs. aukera ematea. GDPRk baimen-ematea eskatzen du datu sentikorren erabilera gehienetarako. Estatuko legeak aukera-kentzeko eredua erabiltzen du. Prozesamendu baimenduta dago kontsumitzaileak objekziorik egin arte.
Kontsumitzaileen eskubideak. Bi legeek sarbide, ezabaketa eta zuzentzeko eskubideak ematen dituzte. Estatuko legeak erabaki automatizatuetatik ateratzeko eskubidea gehitzen du. GDPRren 22. artikuluak hau ere estaltzen du, baina esparru estuagoarekin.
Langile-erregistroak. Estatuko legeak langileen xehetasun pertsonalak osoki estaltzen ditu. GDPRk ere egiten du, baina EBko estatu-kideek beren enplegu-arauak dituzte. Estatuko langileen pribatasunak sarri bere betetze-ildo propioa behar du.
Mota sentikorrak. Estatuko 19 motak GDPRren 9. artikuluarekin neurri batean bat datoz. Etorkin-estatusa eta kontu-zenbaki bakartuak estatuarentzat bereziak dira.
Ikusi lege betetzeko gida betebehar hauek nola pilatzen diren.
AI Hornitzaileen Eskakizunak
2025eko AI arauek betebehar argiak sortzen dituzte kontsumitzaileen erregistroetan AI tresnak erabiltzen dituzten enpresetarako.
Hornitzaileen kontratuak. Zerbitzu-hornitzaileek akordio idatzi bat sinatu behar dute. Akordioak lau gauza estali behar ditu. Lehenik, erregistroak adierazitako helburutarako bakarrik erabili. Bigarren, zerbitzua bukatutakoan erregistroak ezabatu. Hirugarren, kontsumitzaileen eskubideen eskariak pasatu. Laugarren, segurtasun egokia mantendu.
Erabaki automatizatuen jakinarazpena. AI tresnak kreditu, iruzur edo lanpostuei buruzko erabakiak hartzen laguntzen badu, kontsumitzaileek jakin behar dute. Aukera-kentze bat ere eman behar zaie.
AI entrenatzeko mugak. Kontsumitzaileen erregistroek AI modelo bat entrenatzen badute, modelo horrek mugak ditu. Ezin da jatorrizko bilketa-arrazoi honekin kontrajarritako helburuetarako erabili.
Talde gehienentzako konponketa zuzena: datu pertsonalak ezabatu erregistroak edozein AI sistemetan sartu aurretik. Horrek AI erabakien arauak betetzen ditu eta mota sentikorren arriskua aldi berean murrizten du.
Ikasi nola kentzen dituen anonym.legal-ek identifikatzaileak AI prozesatzea baino lehen /security-compliance helbidean.
Puntu Nagusiak
Estatuko legeak estatu honetan bezeroak dituzten enpresa global gehienak estaltzen ditu. 19 mota sentikorrak, betearazpen-agentzia aktiboa eta AI jakinarazpen-arauak gehitzen ditu. GDPR betetzeak ez du estatuko betetzea ordezten. Urrats garbien: datu pertsonalak kendu erregistroak AI tresnak sartzen aurretik.
Irakurri datuen minimizazioari buruz /docs/faq helbidean.
Iturriak
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- California Privacy Rights Act (CPRA) testu osoa. leginfo.legislature.ca.gov.
- CPPA: Erabaki Automatizatuen Teknologia Araudiak 2025. cppa.ca.gov.
- California Adina Egokiko Diseinu Kodea. leginfo.legislature.ca.gov.