CCPA/CPRA: Veiledning til Californias personvernlov
Oppdatert for 2026.
Californias Consumer Privacy Rights Act (CPRA) trådte i kraft i 2023. Den opprettet California Privacy Protection Agency (CPPA). CPPA er den første delstatsbaserte personvernregulatoren i USA. I 2024 utstedte CPPA bøter på over 100 millioner dollar. Dette er aktiv håndhevelse – ikke en papirregl.
Hvem må overholde loven
Tre tester avgjør om loven gjelder. En virksomhet må oppfylle minst én av dem.
- Årlig omsetning på 25 millioner dollar eller mer.
- Personopplysninger fra 100 000 eller flere forbrukere i delstaten.
- Mer enn 50 % av omsetningen fra salg av personopplysninger.
Delstaten har 40 millioner innbyggere. Den er verdens femte største økonomi. De fleste globale selskaper oppfyller minst én test.
19 kategorier av sensitive opplysninger
Loven oppretter et særskilt nivå for sensitive personopplysninger. Selskaper må gi forbrukere ekstra varsel og rett til å begrense bruken. De 19 typene er:
- Personnummer, førerkort, delstats-ID, passnumre
- Finanskontonumre eller kortnumre med tilgangskoder
- Nøyaktig geolokasjon (innenfor 1 852 meter)
- Rase eller etnisk opprinnelse
- Religiøse eller filosofiske overbevisninger
- Fagforeningsmedlemskap
- Innhold i privat e-post eller fysisk post
- Genetisk informasjon
- Biometriske registre for identifikasjon
- Helse- eller sykejournaler
- Seksuell orientering eller seksualliv
- Innvandringsstatus (lagt til i 2024)
- Psykisk helseregistre (lagt til i 2024)
- Statsborgerskap
- Finanskontonumre uten tilgangskoder
- Funksjonshemmingsstatus
- Indikatorer for ansettelsessituasjon
- Forsikringspolisinformasjon
- Kriminelle opptegnelser eller arrestasjonsregistre
For hver kategori kan forbrukere begrense hvordan en virksomhet bruker og deler den. Denne retten er adskilt fra den generelle retten til å reservere seg mot salg.
Hva CPPA rettet seg mot i 2024
CPPAs tiltak i 2024 falt inn under fire områder.
Registrering av dataformidlere. Delstaten krever at dataformidlere registrerer seg hos CPPA. Byrået fant hundrevis av uregistrerte formidlere som solgte forbrukerprofiler.
Ikke-fungerende reservasjonsverktøy. Mange samtykkeplattformer ga ikke en reell reservasjonsmulighet. Knappen fungerte ikke, eller reservasjonen dekket bare noen bruksområder.
AI-beslutninger uten varsel. AI-reglene fra 2025 krever varsel når automatiserte verktøy tar viktige beslutninger. Jobb, kreditt og bolig teller alle. Flere 2024-saker rettet seg mot AI-verktøy brukt uten dette varselet.
Barns journaler. Californias Age-Appropriate Design Code gjelder for enhver tjeneste som mindreårige sannsynligvis vil bruke. Disse selskapene må gjennomføre en Data Protection Impact Assessment. CPPA fant at mange selskaper ikke hadde gjort dette.
Delstatslov vs. GDPR: Viktige forskjeller
GDPR-samsvar gir deg ikke dekning i California. Lovene deler mål, men skiller seg på viktige punkter.
Reservasjonsmodell versus samtykkemodell. GDPR krever aktivt samtykke for de fleste bruksformål med sensitive data. Delstatsloven bruker en reservasjonsmodell. Behandling er tillatt inntil forbrukeren protesterer.
Forbrukerrettigheter. Begge lovene gir rett til innsyn, sletting og retting. Delstatsloven legger til en rett til å reservere seg mot automatiserte beslutninger. GDPR artikkel 22 dekker dette også, men med et smalere virkeområde.
Ansattjournaler. Delstatsloven dekker ansattes personopplysninger fullt ut. GDPR gjør det også, men EU-medlemsstatene har egne arbeidsrettslige regler. Ansatternes personvern i delstaten krever ofte et eget samsvarsspor.
Sensitive typer. De 19 delstatsspesifikke typene overlapper delvis med GDPR artikkel 9. Innvandringsstatus og kontonumre uten tilgangskoder er delstatsspesifikke.
Se veiledningen for juridisk samsvar for hvordan disse pliktene henger sammen.
Krav til AI-leverandører
AI-reglene fra 2025 skaper klare plikter for selskaper som bruker AI-verktøy på forbrukerdata.
Leverandørkontrakter. Tjenesteleverandører må signere en skriftlig avtale. Avtalen må dekke fire ting. For det første, bruk opplysninger bare til det oppgitte formålet. For det andre, slett opplysninger når tjenesten avsluttes. For det tredje, videresend forbrukerrettighetsforespørsler. For det fjerde, oppretthold tilstrekkelig sikkerhet.
Varsel om automatiserte beslutninger. Dersom et AI-verktøy hjelper til med beslutninger om kreditt, svindel eller ansettelse, må forbrukerne varsles. De må også få en reservasjonsmulighet.
Grenser for AI-opplæring. Dersom forbrukerdata trente en AI-modell, har den modellen grenser. Den kan ikke brukes til formål som er i strid med den opprinnelige innsamlingsgrunnen.
Den direkte løsningen for de fleste team: fjern personlige ID-er før opplysningene går inn i et AI-system. Dette oppfyller AI-beslutningsreglene og reduserer risikoen for sensitive typer på samme tid.
Lær hvordan anonym.legal fjerner identifikatorer før AI-behandling på /security-compliance.
Viktige punkter
Delstatsloven dekker de fleste globale selskaper med kunder i delstaten. Den legger til 19 sensitive typer, et aktivt håndhevelsesbyrå og AI-varselsregler. GDPR-samsvar erstatter ikke delstatssamsvar. Det klareste steget: fjern personlige ID-er før opplysningene går inn i AI-verktøy.
Les om dataminimering på /docs/faq.
Kilder
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- California Privacy Rights Act (CPRA) – fullstendig tekst. leginfo.legislature.ca.gov.
- CPPA: Automated Decision-Making Technology Regulations 2025. cppa.ca.gov.
- California Age-Appropriate Design Code. leginfo.legislature.ca.gov.