CCPA/CPRA: מדריך חוק הפרטיות של קליפורניה
עודכן לשנת 2026.
חוק זכויות הפרטיות של קליפורניה (CPRA) נכנס לתוקף ב-2023. הוא הקים את סוכנות הגנת הפרטיות של קליפורניה (CPPA). ה-CPPA היא הרגולטורית הפרטיות הראשונה ברמת המדינה בארה"ב. ב-2024, ה-CPPA הוציאה קנסות של מעל $100 מיליון. מדובר באכיפה פעילה — לא בכלל על הנייר.
מי חייב לציית
שלושה מבחנים קובעים אם החוק חל. עסק חייב לעמוד בלפחות אחד מהם.
- הכנסה שנתית של $25 מיליון ומעלה.
- נתונים אישיים מ-100,000 צרכנים מהמדינה ומעלה.
- יותר מ-50% מההכנסות ממכירת מידע אישי.
למדינה 40 מיליון תושבים. היא הכלכלה החמישית בגודלה בעולם. רוב החברות הגלובליות עומדות לפחות במבחן אחד.
19 קטגוריות של נתונים רגישים
החוק יוצר רמה מיוחדת לפרטים אישיים רגישים. חברות חייבות לתת לצרכנים הודעה נוספת וזכות להגביל שימוש. 19 הסוגים הם:
- מספרי ביטוח לאומי, רישיון נהיגה, תעודת זהות מדינתית, דרכון
- מספרי חשבון פיננסי או כרטיס עם קודי גישה
- מיקום גיאוגרפי מדויק (בתוך 1,852 מטר)
- מוצא גזעי או אתני
- אמונות דתיות או פילוסופיות
- חברות בוועד עובדים
- תוכן דוא"ל פרטי או דואר
- מידע גנטי
- רשומות ביומטריות לזיהוי
- רשומות בריאות או רפואיות
- נטייה מינית או חיי מין
- מעמד הגירה (נוסף ב-2024)
- רשומות בריאות נפשית (נוסף ב-2024)
- מעמד אזרחות
- מספרי חשבון פיננסי ללא קודי גישה
- מעמד נכות
- מדדי מעמד תעסוקתי
- מידע על פוליסת ביטוח
- רשומות פליליות או מעצר
לכל קטגוריה, הצרכנים יכולים להגביל כיצד עסק משתמש ומשתף אותה. זכות זו נפרדת מהזכות הכללית לבטל הסכמה למכירה.
מה CPPA כיוונה ב-2024
פעולות ה-CPPA ב-2024 נפלו לארבעה תחומים.
רישום מתווכי נתונים. המדינה מחייבת מתווכי נתונים להירשם אצל ה-CPPA. הסוכנות מצאה מאות מתווכים בלתי רשומים המוכרים פרופילי צרכנים.
כלי ביטול הסכמה שבורים. פלטפורמות הסכמה רבות לא סיפקו ביטול הסכמה אמיתי. הכפתור לא עבד, או שביטול ההסכמה כיסה רק חלק מהשימושים.
החלטות AI ללא הודעה. כללי ה-AI של 2025 דורשים הודעה כאשר כלים אוטומטיים מקבלים החלטות מפתח. משרות, אשראי ודיור — כולם נחשבים. מספר מקרים ב-2024 כיוונו לכלי AI ששימשו ללא הודעה זו.
רשומות ילדים. קוד עיצוב מתאים לגיל של קליפורניה חל על כל שירות שמיעוטים עשויים להשתמש בו. אותן חברות חייבות להשלים הערכת השפעה על הגנת נתונים. ה-CPPA מצאה שחברות רבות לא עשו זאת.
חוק המדינה לעומת GDPR: הבדלים מרכזיים
ציות ל-GDPR אינו מכסה אתכם בקליפורניה. החוקים חולקים מטרות אך נבדלים בנקודות מפתח.
ביטול הסכמה לעומת הסכמה. GDPR דורש הסכמה להצטרפות לרוב השימושים בנתונים רגישים. חוק המדינה משתמש במודל ביטול הסכמה. עיבוד מותר עד שהצרכן מתנגד.
זכויות צרכנים. שני החוקים מעניקים זכויות גישה, מחיקה ותיקון. חוק המדינה מוסיף זכות לבטל הסכמה להחלטות אוטומטיות. GDPR סעיף 22 מכסה גם זאת, אך עם תחולה צרה יותר.
רשומות עובדים. חוק המדינה מכסה פרטים אישיים של עובדים באופן מלא. GDPR גם כן, אך למדינות חברות ב-EU יש כללי תעסוקה משלהן. פרטיות צוות במדינה לעיתים קרובות דורשת מסלול ציות משלה.
סוגים רגישים. 19 הסוגים של המדינה חופפים חלקית עם GDPR סעיף 9. מעמד הגירה ומספרי חשבון עצמאיים הם ספציפיים למדינה.
ראו את מדריך הציות החוקי לגבי אופן ערימת חובות אלה.
דרישות ספקי AI
כללי ה-AI של 2025 יוצרים חובות ברורות לחברות המשתמשות בכלי AI על רשומות צרכנים.
חוזי ספקים. ספקי שירות חייבים לחתום על הסכם כתוב. ההסכם חייב לכסות ארבעה דברים. ראשית, השתמש ברשומות רק למטרה המוצהרת. שנית, מחק רשומות עם סיום השירות. שלישית, העבר בקשות לזכויות צרכן. רביעית, שמור אבטחה נאותה.
הודעת החלטה אוטומטית. אם כלי AI עוזר להחליט על אשראי, הונאה או משרות — הצרכנים חייבים להיות מיודעים. הם גם חייבים לקבל ביטול הסכמה.
מגבלות אימון AI. אם רשומות צרכן אימנו מודל AI, למודל זה יש מגבלות. לא ניתן להשתמש בו למטרות הסותרות את סיבת האיסוף המקורית.
התיקון הישיר לרוב הצוותים: הסירו מזהים אישיים לפני שרשומות נכנסות לכל מערכת AI. זה עומד בכללי ה-AI ומצמצם סיכון מסוג רגיש בו זמנית.
למדו כיצד anonym.legal מסירה מזהים לפני עיבוד AI ב-/security-compliance.
נקודות מפתח
חוק המדינה מכסה את רוב החברות הגלובליות עם לקוחות במדינה. הוא מוסיף 19 סוגים רגישים, סוכנות אכיפה פעילה וכללי הודעת AI. ציות ל-GDPR אינו מחליף ציות למדינה. הצעד הברור ביותר: הסירו מזהים אישיים לפני שרשומות נכנסות לכלי AI.
קראו על מזעור נתונים ב-/docs/faq.
מקורות
- CPPA: סוכנות הגנת הפרטיות של קליפורניה. cppa.ca.gov.
- חוק זכויות הפרטיות של קליפורניה (CPRA) טקסט מלא. leginfo.legislature.ca.gov.
- CPPA: תקנות טכנולוגיית קבלת החלטות אוטומטית 2025. cppa.ca.gov.
- קוד עיצוב מתאים לגיל של קליפורניה. leginfo.legislature.ca.gov.