CCPA/CPRA: Kalifornijas privātuma tiesību rokasgrāmata
Atjaunināts 2026. gadam.
Kalifornijas Patērētāju privātuma tiesību likums (CPRA) stājās spēkā 2023. gadā. Tas izveidoja Kalifornijas Privātuma aizsardzības aģentūru (CPPA). CPPA ir pirmais štata privātuma regulators ASV. 2024. gadā CPPA izsniedza naudassodus vairāk nekā 100 miljonu ASV dolāru apmērā. Tā ir aktīva izpilde, nevis papīra noteikums.
Kam jāievēro prasības
Tri testi nosaka, vai likums attiecas. Uzņēmumam jāatbilst kaut vienam no tiem.
- Gada ieņēmumi 25 miljonu ASV dolāru vai vairāk.
- Personiskie dati no 100 000 vai vairāk štata patērētājiem.
- Vairāk nekā 50% ieņēmumu no personiskās informācijas pārdošanas.
Štatā ir 40 miljoni iedzīvotāju. Tā ir pasaulē piektā lielākā ekonomika. Lielākā daļa globālo uzņēmumu atbilst vismaz vienam testam.
19 sensitīvo datu kategorijas
Likums izveido īpašu pakāpi sensitīvai personiskajai informācijai. Uzņēmumiem jāsniedz patērētājiem papildu paziņojums un tiesības ierobežot izmantošanu. 19 veidi ir:
- Sociālās apdrošināšanas, autovadītāja apliecības, štata ID, pases numuri
- Finanšu konta vai kartes numuri ar piekļuves kodiem
- Precīza ģeogrāfiskā atrašanās vieta (1852 metru rādiusā)
- Rases vai etniskā izcelsme
- Reliģiskās vai filozofiskās pārliecības
- Dalība arodbiedrībā
- Privāta e-pasta vai pasta sarakste
- Ģenētiskā informācija
- Biometriskie ieraksti identificācijai
- Veselības vai medicīniskie ieraksti
- Seksuālā orientācija vai dzimumdzīve
- Imigrācijas statuss (pievienots 2024. gadā)
- Garīgās veselības ieraksti (pievienots 2024. gadā)
- Pilsonības statuss
- Finanšu konta numuri bez piekļuves kodiem
- Invaliditātes statuss
- Nodarbinātības statusa rādītāji
- Apdrošināšanas polises informācija
- Kriminālās vai aizturēšanas ieraksti
Katrai kategorijai patērētāji var ierobežot, kā uzņēmums to izmanto un kopīgo. Šīs tiesības ir atsevišķas no vispārējām tiesībām atteikties no pārdošanas.
Ko CPPA mērķēja 2024. gadā
CPPA 2024. gada darbības iedalījās četrās jomās.
Datu brokeru reģistrācija. Štats prasa, lai datu brokeri reģistrētos CPPA. Aģentūra atrada simtiem nereģistrētu brokeru, kas pārdod patērētāju profilus.
Bojāti atteikšanās rīki. Daudzas piekrišanas platformas nedeva reālu atteikšanās iespēju. Poga nedarbojās vai atteikšanās attiecās tikai uz dažiem izmantošanas veidiem.
AI lēmumi bez paziņojuma. 2025. gada AI noteikumi prasa paziņojumu, kad automatizēti rīki pieņem galvenos lēmumus. Darbs, kredīts un mājoklis — viss ir jāpaziņo. Vairāki 2024. gada gadījumi mērķēja AI rīkus, kas izmantoti bez šī paziņojuma.
Bērnu ieraksti. Kalifornijas Vecumam atbilstoša dizaina kodekss attiecas uz jebkuru pakalpojumu, ko, visticamāk, izmanto nepilngadīgie. Šiem uzņēmumiem jāveic Datu aizsardzības ietekmes novērtējums. CPPA konstatēja, ka daudzi uzņēmumi to nebija izdarījuši.
Štata likums pret GDPR: galvenās atšķirības
GDPR atbilstība jūs neaptver Kalifornijā. Likumi dalās mērķos, bet atšķiras galvenajos punktos.
Atteikšanās pret piekrišanu. GDPR prasa piekrišanu lielākajai daļai sensitīvo datu izmantošanas. Štata likums izmanto atteikšanās modeli. Apstrāde ir atļauta, kamēr patērētājs neiebilst.
Patērētāju tiesības. Abi likumi piešķir piekļuves, dzēšanas un labošanas tiesības. Štata likums pievieno tiesības atteikties no automatizētiem lēmumiem. GDPR 22. pants to arī aptver, bet ar šaurāku jomu.
Darbinieku ieraksti. Štata likums pilnībā aptver darbinieku personiskās informācijas. GDPR arī aptver, bet ES dalībvalstīm ir savs darba tiesību regulējums. Darbinieku privātums štatā bieži prasa savu atbilstības ceļu.
Sensitīvie veidi. 19 štata veidi daļēji pārklājas ar GDPR 9. pantu. Imigrācijas statuss un atsevišķi konta numuri ir štata specifiski.
Skatiet juridiskās atbilstības rokasgrāmatu, lai uzzinātu, kā šie pienākumi sakrājas.
AI piegādātāju prasības
- gada AI noteikumi rada skaidrus pienākumus uzņēmumiem, kas izmanto AI rīkus ar patērētāju ierakstiem.
Piegādātāju līgumi. Pakalpojumu sniedzējiem jāparaksta rakstisks līgums. Līgumam jāaptver četras lietas. Pirmkārt, izmantot ierakstus tikai norādītajam mērķim. Otrkārt, dzēst ierakstus, kad pakalpojums beidzas. Treškārt, nodrošināt patērētāju tiesību pieprasījumu izpildi. Ceturtkārt, uzturēt atbilstīgu drošību.
Automatizēto lēmumu paziņojums. Ja AI rīks palīdz pieņemt lēmumu par kredītu, krāpšanu vai darbu — patērētājiem jābūt informētiem. Viņiem arī jāsaņem atteikšanās iespēja.
AI apmācības ierobežojumi. Ja patērētāju ieraksti apmācīja AI modeli, tam ir ierobežojumi. To nedrīkst izmantot mērķiem, kas ir pretrunā ar sākotnējo vākšanas iemeslu.
Tiešais risinājums lielākajai daļai komandu: noņemt personiskos ID, pirms ieraksti nonāk jebkurā AI sistēmā. Tas atbilst AI lēmumu noteikumiem un vienlaikus samazina sensitīvo veidu risku.
Uzziniet, kā anonym.legal noņem identifikatorus pirms AI apstrādes /security-compliance.
Galvenie punkti
Štata likums aptver lielāko daļu globālo uzņēmumu ar klientiem štatā. Tas pievieno 19 sensitīvos veidus, aktīvu izpildes aģentūru un AI paziņojumu noteikumus. GDPR atbilstība neaizstāj štata atbilstību. Skaidrākais solis: noņemt personiskos ID, pirms ieraksti nonāk AI rīkos.
Lasiet par datu minimizāciju /docs/faq.
Avoti
- CPPA: Kalifornijas Privātuma aizsardzības aģentūra. cppa.ca.gov.
- Kalifornijas Privātuma tiesību likums (CPRA) pilns teksts. leginfo.legislature.ca.gov.
- CPPA: Automatizēto lēmumu tehnoloģiju noteikumi 2025. cppa.ca.gov.
- Kalifornijas Vecumam atbilstoša dizaina kodekss. leginfo.legislature.ca.gov.