CCPA/CPRA: Californiai adatvédelmi törvény útmutatója
Frissítve 2026-ra.
Kaliforniai fogyasztói adatvédelmi jogokról szóló törvény (CPRA) 2023-ban lépett hatályba. Létrehozta a Kaliforniai Adatvédelmi Ügynökséget (CPPA). A CPPA az USA első állami adatvédelmi szabályozója. 2024-ben a CPPA több mint 100 millió dollár értékű bírságot szabott ki. Ez aktív jogérvényesítés – nem csupán papíron létező szabály.
Kire vonatkozik a megfelelési kötelezettség
Három feltétel határozza meg, hogy a törvény alkalmazandó-e. Elegendő, ha egy vállalat ezek bármelyikét teljesíti.
- Éves bevétel legalább 25 millió dollár.
- Legalább 100 000 állam fogyasztójának személyes adatai.
- Bevétel több mint 50%-a személyes adatok értékesítéséből.
Az állam 40 millió lakost számlál. A világ ötödik legnagyobb gazdasága. A globális vállalatok többsége teljesíti legalább az egyik feltételt.
Az érzékeny adatok 19 kategóriája
A törvény különleges szintet hoz létre az érzékeny személyes adatok számára. A vállalatoknak fokozott értesítést és a felhasználásra vonatkozó korlátozási jogot kell biztosítaniuk a fogyasztóknak. A 19 típus a következő:
- Társadalombiztosítási szám, jogosítványszám, állami személyigazolvány- és útlevélszám
- Pénzügyi számla- vagy kártyaszámok hozzáférési kódokkal
- Pontos tartózkodási hely (1 852 méteren belül)
- Faji vagy etnikai származás
- Vallási vagy filozofiai meggyőződés
- Szakszervezeti tagság
- Magán e-mail vagy postai levelek tartalma
- Genetikai információ
- Azonosításra alkalmas biometrikus adatok
- Egészségügyi vagy orvosi adatok
- Szexuális irányultság vagy nemi élet
- Bevándorlói jogállás (2024-ben hozzáadva)
- Mentális egészségügyi adatok (2024-ben hozzáadva)
- Állampolgárság
- Pénzügyi számlaszámok hozzáférési kódok nélkül
- Fogyatékossági jogállás
- Foglalkoztatási jogállás jelzői
- Biztosítási kötvény adatai
- Büntetőjogi vagy letartóztatási adatok
Minden kategória esetében a fogyasztók korlátozhatják, hogy a vállalat hogyan használja és osztja meg ezeket az adatokat. Ez a jog külön illeti meg a fogyasztókat az általános értékesítési opt-out jogon felül.
A CPPA 2024-es célterületei
A CPPA 2024-es intézkedései négy területre összpontosultak.
Adatbróker-regisztráció. Az állam kötelezi az adatbrókereket, hogy regisztráljanak a CPPA-nál. A hatóság több száz olyan nem regisztrált brókert talált, amely fogyasztói profilokat értékesített.
Nem működő opt-out eszközök. Sok hozzájárulási platform nem biztosított valódi opt-out lehetőséget. A gomb nem működött, vagy az opt-out csak egyes felhasználási módokat fedett.
Mesterséges intelligencia alapú döntések értesítés nélkül. A 2025-ös mesterséges intelligencia szabályok értesítést írnak elő, ha automatizált eszközök hoznak kulcsfontosságú döntéseket. A munkakör, hitel és lakhatás mind ide tartozik. Több 2024-es ügy olyan mesterséges intelligencia eszközöket célzott meg, amelyeket ilyen értesítés nélkül alkalmaztak.
Gyermekadatok. Kalifornia korcsoportnak megfelelő tervezési törvénye minden olyan szolgáltatásra vonatkozik, amelyet kiskorúak valószínűleg igénybe vesznek. Ezeknek a vállalatoknak adatvédelmi hatásvizsgálatot kell végezniük. A CPPA azt tapasztalta, hogy sok vállalat ezt nem tette meg.
Állami törvény vs. GDPR: Főbb különbségek
A GDPR-megfelelés nem váltja ki a kaliforniai megfelelőséget. A két jogrendszer azonos célokat követ, de kulcskérdésekben eltér egymástól.
Opt-out vs. opt-in. A GDPR az érzékeny adatok legtöbb felhasználásához opt-in hozzájárulást követel meg. Az állami törvény opt-out modellt alkalmaz. Az adatkezelés addig megengedett, amíg a fogyasztó nem tiltakozik ellene.
Fogyasztói jogok. Mindkét törvény hozzáférési, törlési és helyesbítési jogot biztosít. Az állami törvény emellett az automatizált döntéshozatalból való opt-out jogot is megadja. A GDPR 22. cikke szintén foglalkozik ezzel, de szűkebb hatókörrel.
Munkavállalói adatok. Az állami törvény teljes körűen kiterjed a munkavállalói személyes adatokra. A GDPR szintén, de az EU tagállamoknak saját foglalkoztatási szabályaik vannak. A munkavállalói adatvédelem az érintett államon belül sokszor külön megfelelési vonalat igényel.
Érzékeny típusok. A 19 állami típus részben átfed a GDPR 9. cikkével. A bevándorlói jogállás és az önálló számlaszámok az állami jogra jellemzők.
A jogi megfelelési útmutatóban részletesen olvashat arról, hogyan épülnek egymásra ezek a kötelezettségek.
Mesterséges intelligencia szállítókra vonatkozó követelmények
A 2025-ös mesterséges intelligencia szabályok egyértelmű kötelezettségeket állapítanak meg a fogyasztói adatokon mesterséges intelligencia eszközöket alkalmazó vállalatok számára.
Szállítói szerződések. A szolgáltatóknak írásos megállapodást kell aláírniuk. A megállapodásnak négy dologra kell kiterjednie: Először is, az adatokat csak a megjelölt célra szabad felhasználni. Másodszor, a szolgáltatás végén az adatokat törölni kell. Harmadszor, a fogyasztói jogok iránti kérelmeket tovább kell adni. Negyedszer, megfelelő biztonsági intézkedéseket kell fenntartani.
Automatizált döntéshozatali értesítés. Ha mesterséges intelligencia eszköz segít döntést hozni hitelről, csalásról vagy munkáról – a fogyasztókat erről tájékoztatni kell. Opt-out lehetőséget is kell biztosítani számukra.
Mesterséges intelligencia betanítási korlátok. Ha fogyasztói adatokat használtak fel egy mesterséges intelligencia modell betanítására, az adott modell korlátozások alá esik. Nem használható olyan célokra, amelyek ellentétesek az eredeti gyűjtési indokkal.
A legtöbb csapat számára a közvetlen megoldás: a személyes azonosítókat el kell távolítani, mielőtt az adatok bármilyen mesterséges intelligencia rendszerbe kerülnek. Ez egyidejűleg teljesíti a mesterséges intelligencia döntéshozatali szabályokat és csökkenti az érzékeny típusokkal kapcsolatos kockázatot.
Megtudhatja, hogyan távolítja el az anonym.legal az azonosítókat a mesterséges intelligencia feldolgozás előtt a /security-compliance oldalon.
Legfontosabb tudnivalók
Az állami törvény a legtöbb globális vállalatra vonatkozik, amelynek ügyfelei vannak az érintett államban. 19 érzékeny típust, aktív végrehajtó hatóságot és mesterséges intelligencia értesítési szabályokat hoz létre. A GDPR-megfelelés nem helyettesíti az állami megfelelőséget. A legvilágosabb lépés: a személyes azonosítókat el kell távolítani, mielőtt az adatok mesterséges intelligencia eszközökbe kerülnek.
Az adatminimalizálásról bővebben olvashat a /docs/faq oldalon.
Források
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- Californiai Fogyasztói Adatvédelmi Jogokról Szóló Törvény (CPRA) teljes szövege. leginfo.legislature.ca.gov.
- CPPA: Automatizált döntéshozatali technológiára vonatkozó szabályok 2025. cppa.ca.gov.
- Californiai Korcsoportnak Megfelelő Tervezési Törvény. leginfo.legislature.ca.gov.