CCPA/CPRA: Kalifornian Tietosuojalakiopas
Päivitetty vuodelle 2026.
Kalifornian Consumer Privacy Rights Act (CPRA) tuli voimaan vuonna 2023. Se perusti California Privacy Protection Agencyn (CPPA). CPPA on Yhdysvaltojen ensimmäinen osavaltion tietosuojavalvoja. Vuonna 2024 CPPA antoi yli 100 miljoonan dollarin sakot. Tämä on aktiivista täytäntöönpanoa — ei paperisääntö.
Keneen Lakia Sovelletaan
Kolme testiä määrittää, soveltuuko laki. Yrityksen on täytettävä vähintään yksi niistä.
- Vuosiliikevaihdoltaan vähintään 25 miljoonaa dollaria.
- Henkilötiedot vähintään 100 000 osavaltion kuluttajalta.
- Yli 50 % liikevaihdosta henkilötietojen myynnistä.
Osavaltiossa on 40 miljoonaa asukasta. Se on maailman viidenneksi suurin talous. Useimmat maailmanlaajuiset yritykset täyttävät vähintään yhden testin.
19 Arkaluonteisen Datan Kategoriaa
Laki luo erityistason arkaluonteisille henkilökohtaisille tiedoille. Yritysten on annettava kuluttajille lisäilmoitus ja oikeus rajoittaa käyttöä. 19 tyyppiä ovat:
- Sosiaaliturvatunnus, ajokortti, osavaltion tunnus, passinumerot
- Rahoitustilin tai kortin numerot käyttökoodeilla
- Tarkka maantieteellinen sijainti (1 852 metrin sisällä)
- Rotu tai etninen alkuperä
- Uskonnolliset tai filosofiset vakaumukset
- Ammattiliiton jäsenyys
- Yksityisen sähköpostin tai kirjeenvaihdon sisältö
- Geneettinen tieto
- Biometriset tunnistetiedot
- Terveys- tai lääketieteelliset tietueet
- Seksuaalinen suuntautuminen tai sukupuolielämä
- Maahanmuuttostatus (lisätty vuonna 2024)
- Mielenterveyden tietueet (lisätty vuonna 2024)
- Kansalaisuusstatus
- Rahoitustilinumerot ilman käyttökoodeja
- Vammaisuusstatus
- Työsuhteen statusindikaattorit
- Vakuutuspoliisin tiedot
- Rikos- tai pidätystietueet
Jokaista kategoriaa varten kuluttajat voivat rajoittaa, miten yritys käyttää ja jakaa niitä. Tämä oikeus on erillinen yleisestä oikeudesta kieltäytyä myynnistä.
Mitä CPPA Tavoitteli Vuonna 2024
CPPA:n vuoden 2024 toimet jakautuivat neljään alueeseen.
Datavälittäjän rekisteröinti. Osavaltio edellyttää datavälittäjien rekisteröitymistä CPPA:han. Virasto löysi satoja rekisteröimättömiä välittäjiä, jotka myivät kuluttajaprofiileja.
Rikkinäiset kieltäytymistyökalut. Monet suostumuspalvelut eivät tarjonneet todellista kieltäytymismahdollisuutta. Painike ei toiminut, tai kieltäytyminen kattoi vain joitakin käyttötarkoituksia.
Tekoälypäätökset ilman ilmoitusta. Vuoden 2025 tekoälysäännöt edellyttävät ilmoitusta, kun automatisoidut työkalut tekevät keskeisiä päätöksiä. Työpaikat, luotto ja asuminen kaikki kuuluvat tähän. Useat vuoden 2024 tapaukset kohdistuivat tekoälytyökaluihin, joita käytettiin ilman tätä ilmoitusta.
Lasten tietueet. Kalifornian ikään sopivan suunnittelun koodi soveltuu kaikkiin palveluihin, joita alaikäiset todennäköisesti käyttävät. Näiden yritysten on suoritettava tietosuojavaikutuksen arviointi. CPPA havaitsi, että monet yritykset eivät olleet tehneet tätä.
Osavaltion Laki vs. GDPR: Keskeiset Erot
GDPR-vaatimustenmukaisuus ei kata sinua Kaliforniassa. Lailla on yhteisiä tavoitteita, mutta ne eroavat keskeisistä kohdista.
Kieltäytyminen vs. suostumus. GDPR edellyttää suostumusta useimpien arkaluonteisten tietojen käyttöön. Osavaltion laki käyttää kieltäytymismallia. Käsittely on sallittua, kunnes kuluttaja vastustaa.
Kuluttajan oikeudet. Molemmat lait antavat pääsy-, poisto- ja oikaisuoikeudet. Osavaltion laki lisää oikeuden kieltäytyä automaattisista päätöksistä. GDPR:n 22 artikla kattaa myös tämän, mutta suppeammalla soveltamisalalla.
Työsuhdetietueet. Osavaltion laki kattaa täysin työntekijöiden henkilökohtaiset tiedot. GDPR kattaa myös ne, mutta EU:n jäsenvaltioilla on omat työsuhdesääntönsä. Osavaltion henkilöstön tietosuoja tarvitsee usein oman vaatimustenmukaisuuslinjan.
Arkaluonteiset tyypit. 19 osavaltion tyyppiä osittain päällekkäistyvät GDPR:n 9 artiklan kanssa. Maahanmuuttostatus ja erilliset tilinumerot ovat osavaltiokohtaisia.
Katso oikeudellinen vaatimustenmukaisuusopas, miten nämä velvollisuudet kasaantuvat.
Tekoälytoimittajan Vaatimukset
Vuoden 2025 tekoälysäännöt luovat selkeät velvollisuudet yrityksille, jotka käyttävät tekoälytyökaluja kuluttajatietueisiin.
Toimittajasopimukset. Palveluntarjoajien on allekirjoitettava kirjallinen sopimus. Sopimuksen on katettava neljä asiaa. Ensimmäinen: käytä tietueita vain ilmoitettuun tarkoitukseen. Toinen: poista tietueet, kun palvelu päättyy. Kolmas: välitä kuluttajan oikeuspyynnöt eteenpäin. Neljäs: ylläpidä riittävää tietoturvaa.
Automaattisen päätöksenteon ilmoitus. Jos tekoälytyökalu auttaa päättämään luotosta, petoksesta tai työpaikoista — kuluttajille on kerrottava. Heille on myös annettava kieltäytymismahdollisuus.
Tekoälykoulutuksen rajoitukset. Jos kuluttajatietueet kouluttivat tekoälymallia, sillä mallilla on rajoituksia. Sitä ei voi käyttää tarkoituksiin, jotka ovat ristiriidassa alkuperäisen keräämissyyn kanssa.
Suora ratkaisu useimmille tiimeille: poista henkilötunnisteet ennen kuin tietueet syötetään tekoälyjärjestelmiin. Tämä täyttää tekoälypäätöksen säännöt ja vähentää arkaluonteisen tyypin riskiä samaan aikaan.
Lue, miten anonym.legal poistaa tunnisteet ennen tekoälykäsittelyä osoitteessa /security-compliance.
Keskeiset Kohdat
Osavaltion laki kattaa useimmat maailmanlaajuiset yritykset, joilla on asiakkaita osavaltiossa. Se lisää 19 arkaluonteista tyyppiä, aktiivisen täytäntöönpanoviraston ja tekoälyin ilmoitussäännöt. GDPR-vaatimustenmukaisuus ei korvaa osavaltion vaatimustenmukaisuutta. Selkein toimenpide: poista henkilötunnisteet ennen kuin tietueet syötetään tekoälytyökaluihin.
Lue tietojen minimoinnista osoitteessa /docs/faq.
Lähteet
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- California Privacy Rights Act (CPRA) täydellinen teksti. leginfo.legislature.ca.gov.
- CPPA: Automaattisen päätöstekniikan sääntelyt 2025. cppa.ca.gov.
- Kalifornian ikään sopivan suunnittelun koodi. leginfo.legislature.ca.gov.