CCPA/CPRA: Kalifornijos privatumo įstatymo vadovas
Atnaujinta 2026 m.
Kalifonijos Vartotojų privatumo teisių įstatymas (CPRA) įsigaliojo 2023 m. Jis įsteigė Kalifornijos privatumo apsaugos agentūrą (CPPA). CPPA yra pirmasis valstijos privatumo reguliuotojas JAV. 2024 m. CPPA skyrė daugiau nei 100 milijonų dolerių baudų. Tai aktyvus vykdymas -- ne tik popieriuje egzistuojanti taisyklė.
Kam taikomas šis įstatymas
Trys testai nustato, ar įstatymas taikomas. Įmonė turi atitikti bent vieną iš jų.
- Metinės pajamos 25 milijonai dolerių ar daugiau.
- Asmeniniai duomenys iš 100 000 ar daugiau valstijos vartotojų.
- Daugiau nei 50% pajamų gaunama iš asmeninės informacijos pardavimo.
Valstijoje gyvena 40 milijonų gyventojų. Ji yra penktoji pagal dydį ekonomika pasaulyje. Dauguma pasaulinių įmonių atitinka bent vieną testą.
19 jautrių duomenų kategorijų
Įstatymas sukuria ypatingą lygmenį jautriems asmeniniams duomenims. Įmonės turi suteikti vartotojams papildomą pranešimą ir teisę apriboti naudojimą. 19 tipų yra:
- Socialinio draudimo, vairuotojo pažymėjimo, valstijos ID, paso numeriai
- Finansinės sąskaitos ar kortelių numeriai su prieigos kodais
- Tiksli geografinė padėtis (1 852 metrų ribose)
- Rasinė ar etninė kilmė
- Religiniai ar filosofiniai įsitikinimai
- Narystė profesinėje sąjungoje
- Privačių el. laiškų ar pašto turinis
- Genetinė informacija
- Biometriniai įrašai tapatybei nustatyti
- Sveikatos ar medicininiai įrašai
- Lytinė orientacija ar lytinis gyvenimas
- Imigracijos statusas (pridėtas 2024 m.)
- Psichikos sveikatos įrašai (pridėtas 2024 m.)
- Pilietybės statusas
- Finansinių sąskaitų numeriai be prieigos kodų
- Negalios statusas
- Užimtumo statuso rodikliai
- Draudimo poliso informacija
- Kriminaliniai arba arešto įrašai
Kiekvienai kategorijai vartotojai gali apriboti, kaip įmonė ją naudoja ir dalinasi. Ši teisė atskirta nuo bendros teisės atsisakyti pardavimo.
Ką CPPA taikė 2024 m.
CPPA 2024 m. veiksmai susiję su keturiomis sritimis.
Duomenų tarpininkų registracija. Valstija reikalauja, kad duomenų tarpininkai registruotųsi CPPA. Agentūra rado šimtus neregistruotų tarpininkų, parduodančių vartotojų profilius.
Sugedę atsisakymo įrankiai. Daugelis sutikimo platformų nesuteikė tikro atsisakymo. Mygtukas neveikė arba atsisakymas apėmė tik dalį naudojimų.
DI sprendimai be pranešimo. 2025 m. DI taisyklės reikalauja pranešimo, kai automatizuoti įrankiai priima svarbius sprendimus. Darbas, kreditas ir būstas -- visa tai patenka čia. Kelios 2024 m. bylos taikėsi į DI įrankius, naudotus be šio pranešimo.
Vaikų įrašai. Kalifornijos amžiaus atitikimo dizaino kodeksas taikomas bet kuriai paslaugai, kurią gali naudoti nepilnamečiai. Tos įmonės turi atlikti Duomenų apsaugos poveikio vertinimą. CPPA nustatė, kad daugelis įmonių to nepadarė.
Valstijos įstatymas palyginti su GDPR: pagrindiniai skirtumai
GDPR atitiktis neapsaugo Jūsų Kalifornijoje. Įstatymai dalinasi tikslais, bet skiriasi pagrindiniais klausimais.
Atsisakymas palyginti su sutikimu. GDPR reikalauja sutikimo daugumai jautriuose duomenų naudojimų. Valstijos įstatymas naudoja atsisakymo modelį. Apdorojimas leidžiamas, kol vartotojas prieštarauja.
Vartotojų teisės. Abu įstatymai suteikia prieigos, ištrynimo ir taisymo teises. Valstijos įstatymas prideda teisę atsisakyti automatizuotų sprendimų. GDPR 22 straipsnis tai taip pat apima, bet siauriau.
Darbuotojų įrašai. Valstijos įstatymas visiškai apima darbuotojų asmeninius duomenis. GDPR taip pat, bet ES valstybės narės turi savo darbo taisykles. Personalo privatumas valstijoje dažnai reikalauja atskiros atitikties sekos.
Jautrūs tipai. 19 valstijos tipų iš dalies sutampa su GDPR 9 straipsniu. Imigracijos statusas ir atskiri sąskaitų numeriai yra būdingi tik valstijos įstatymui.
Žiūrėkite teisinį atitikties vadovą kaip šie įpareigojimai derinami.
DI pardavėjų reikalavimai
2025 m. DI taisyklės sukuria aiškius įpareigojimus įmonėms, naudojančioms DI įrankius su vartotojų įrašais.
Pardavėjų sutartys. Paslaugų teikėjai turi pasirašyti rašytinį susitarimą. Susitarimas turi apimti keturis dalykus. Pirma, naudoti įrašus tik nurodytai paskirčiai. Antra, ištrinti įrašus pasibaigus paslaugai. Trečia, perduoti vartotojų teisių prašymus. Ketvirta, palaikyti tinkamą saugumą.
Automatizuotų sprendimų pranešimas. Jei DI įrankis padeda spręsti dėl kredito, sukčiavimo ar darbo -- vartotojai turi būti informuoti. Jie taip pat turi gauti atsisakymo galimybę.
DI mokymo apribojimai. Jei vartotojų įrašai apmokyti DI modelį, tas modelis turi apribojimų. Jis negali būti naudojamas tikslais, prieštaraujančiais pirminei rinkimo priežasčiai.
Tiesioginis sprendimas daugumai komandų: pašalinkite asmeninius ID prieš įrašams patenkant į bet kurią DI sistemą. Tai atitinka DI sprendimų taisykles ir tuo pačiu mažina jautrių tipų riziką.
Sužinokite, kaip anonym.legal pašalina identifikatorius prieš DI apdorojimą adresu /security-compliance.
Pagrindiniai punktai
Valstijos įstatymas apima daugumą pasaulinių įmonių, turinčių klientų valstijoje. Jis prideda 19 jautrių tipų, aktyvią vykdymo agentūrą ir DI pranešimų taisykles. GDPR atitiktis nepakeičia valstijos atitikties. Aiškiausias žingsnis: pašalinkite asmeninius ID prieš įrašams patenkant į DI įrankius.
Skaitykite apie duomenų minimizavimą adresu /docs/faq.
Šaltiniai
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- Kalifornijos privatumo teisių įstatymo (CPRA) visas tekstas. leginfo.legislature.ca.gov.
- CPPA: Automatizuotų sprendimų technologijų reglamentai 2025. cppa.ca.gov.
- Kalifornijos amžiaus atitinkamo dizaino kodeksas. leginfo.legislature.ca.gov.