CCPA/CPRA 2025: Confidențialitatea IA în California

CCPA/CPRA: Ghid privind legea californie a confidențialității

Actualizat pentru 2026.

Legea californiana privind drepturile la confidențialitate (CPRA) a intrat în vigoare în 2023. A înființat California Privacy Protection Agency (CPPA). CPPA este prima autoritate statală de reglementare a confidențialității din SUA. În 2024, CPPA a emis amenzi de peste 100 de milioane de dolari. Aceasta este aplicare activă — nu o regulă pe hârtie.

Cine trebuie să se conformeze

Trei criterii determină dacă legea se aplică. O companie trebuie să îndeplinească cel puțin unul:

• Venituri anuale de 25 de milioane de dolari sau mai mult.
• Date cu caracter personal de la 100.000 sau mai mulți consumatori din stat.
• Peste 50% din venituri provenind din vânzarea de informații cu caracter personal.

Statul are 40 de milioane de locuitori și este a cincea economie din lume. Cele mai multe companii globale îndeplinesc cel puțin un criteriu.

19 categorii de date sensibile

Legea creează un nivel special pentru datele cu caracter personal sensibile. Companiile trebuie să ofere consumatorilor o notificare suplimentară și dreptul de a limita utilizarea. Cele 19 tipuri sunt:

1. Numere de securitate socială, permis de conducere, ID de stat sau pașaport
2. Numere de cont financiar sau card cu coduri de acces
3. Geolocalizare precisă (în raza de 1.852 de metri)
4. Origine rasială sau etnică
5. Convingeri religioase sau filozofice
6. Apartenența la sindicate
7. Conținutul email-urilor private sau al corespondenței poștale
8. Informații genetice
9. Date biometrice pentru identificare
10. Dosare medicale sau de sănătate
11. Orientare sexuală sau viață sexuală
12. Statut de imigrare (adăugat în 2024)
13. Dosare de sănătate mintală (adăugat în 2024)
14. Statut de cetățenie
15. Numere de cont financiar fără coduri de acces
16. Statut de dizabilitate
17. Indicatori de statut de angajare
18. Informații despre polița de asigurare
19. Dosare penale sau de arestare

Pentru fiecare categorie, consumatorii pot limita modul în care o companie le utilizează și le partajează. Acest drept este separat de dreptul general de a opta afară din vânzare.

Ce a vizat CPPA în 2024

Acțiunile CPPA din 2024 s-au concentrat pe patru domenii.

Înregistrarea brokerilor de date. Statul impune brokerilor de date să se înregistreze la CPPA. Agenția a descoperit sute de brokeri neînregistrați care vindeau profiluri ale consumatorilor.

Instrumente de retragere defectuoase. Multe platforme de consimțământ nu ofereau o retragere reală. Butonul nu funcționa sau retragerea acoperea doar unele utilizări.

Decizii IA fără notificare. Regulile IA din 2025 impun notificarea atunci când instrumentele automate iau decizii importante. Locurile de muncă, creditul și locuința intră în această categorie. Mai multe cazuri din 2024 au vizat instrumente IA utilizate fără această notificare.

Înregistrările copiilor. Codul de proiectare adecvat vârstei din California se aplică oricărui serviciu pe care minorii sunt susceptibili să îl utilizeze. Acele companii trebuie să efectueze o Evaluare a Impactului asupra Protecției Datelor. CPPA a constatat că multe companii nu au efectuat această evaluare.

Legea statală vs. GDPR: diferențe cheie

Conformitatea cu GDPR nu vă acoperă în California. Legile au obiective comune, dar diferă pe puncte esențiale.

Retragere versus consimțământ. GDPR impune consimțământul activ pentru cele mai multe utilizări ale datelor sensibile. Legea statului utilizează un model de retragere — prelucrarea este permisă până când consumatorul obiectează.

Drepturile consumatorilor. Ambele legi acordă drepturi de acces, ștergere și corectare. Legea statului adaugă dreptul de a refuza deciziile automate. Articolul 22 din GDPR acoperă și acest aspect, dar cu o sferă mai îngustă.

Înregistrările angajaților. Legea statului acoperă integral datele cu caracter personal ale angajaților. GDPR la fel, dar statele membre UE au propriile reguli de angajare. Confidențialitatea personalului în California necesită adesea o abordare separată de conformitate.

Tipuri de date sensibile. Cele 19 tipuri din lege se suprapun parțial cu Articolul 9 din GDPR. Statutul de imigrare și numerele de cont independente sunt specifice legislației statului.

Consultați ghidul de conformitate legală pentru modul în care aceste obligații se suprapun.

Cerințe privind furnizorii de IA

Regulile IA din 2025 creează obligații clare pentru companiile care utilizează instrumente IA pe înregistrările consumatorilor.

Contracte cu furnizorii. Furnizorii de servicii trebuie să semneze un acord scris care să acopere patru aspecte: utilizarea înregistrărilor exclusiv în scopul declarat; ștergerea înregistrărilor la încheierea serviciului; transmiterea cererilor de drepturi ale consumatorilor; menținerea unei securități adecvate.

Notificarea deciziilor automatizate. Dacă un instrument IA contribuie la decizii privind creditul, frauda sau angajarea, consumatorii trebuie informați și trebuie să li se ofere posibilitatea de retragere.

Limitele antrenării IA. Dacă înregistrările consumatorilor au antrenat un model IA, acel model are restricții. Nu poate fi utilizat în scopuri care contrazic motivul original al colectării.

Soluția directă pentru cele mai multe echipe: eliminarea ID-urilor cu caracter personal înainte ca înregistrările să intre în orice sistem IA. Aceasta respectă regulile privind deciziile IA și reduce simultan riscul legat de tipurile sensibile.

Aflați cum anonym.legal elimină identificatorii înainte de prelucrarea IA la /security-compliance.

Puncte cheie

Legea californiana acoperă cele mai multe companii globale cu clienți în stat. Adaugă 19 tipuri de date sensibile, o agenție activă de aplicare și reguli de notificare IA. Conformitatea cu GDPR nu înlocuiește conformitatea cu legea statului. Pasul cel mai clar: eliminați ID-urile cu caracter personal înainte ca înregistrările să intre în instrumentele IA.

Citiți despre minimizarea datelor la /docs/faq.

Surse

• CPPA: California Privacy Protection Agency. cppa.ca.gov.
• Textul integral al California Privacy Rights Act (CPRA). leginfo.legislature.ca.gov.
• CPPA: Regulamentele privind tehnologia decizională automatizată 2025. cppa.ca.gov.
• California Age-Appropriate Design Code. leginfo.legislature.ca.gov.