CCPA/CPRA: руководство по закону о конфиденциальности Калифорнии
Обновлено в 2026 году.
Калифорнийский Закон о правах потребителей в отношении конфиденциальности (CPRA) вступил в силу в 2023 году. Он учредил Калифорнийское агентство по защите конфиденциальности (CPPA) — первый регулятор в сфере конфиденциальности на уровне штата в США. В 2024 году CPPA выписало штрафов на сумму свыше $100 млн. Это активное правоприменение, а не формальная норма.
На кого распространяется закон
Соблюдать закон обязаны компании, соответствующие хотя бы одному из трёх критериев.
- Годовая выручка от $25 млн и выше.
- Персональные данные от 100 000 и более потребителей штата.
- Более 50% выручки от продажи персональной информации.
Штат насчитывает 40 миллионов жителей и является пятой по величине экономикой в мире. Большинство глобальных компаний соответствуют хотя бы одному критерию.
19 категорий чувствительных данных
Закон создаёт особый уровень защиты для чувствительных персональных данных. Компании обязаны обеспечить потребителям дополнительное уведомление и право на ограничение использования. Все 19 типов:
- Номера социального страхования, водительских удостоверений, удостоверений личности штата, паспортов
- Номера финансовых счетов или карт с кодами доступа
- Точное геолокационное местоположение (в пределах 1 852 метров)
- Расовое или этническое происхождение
- Религиозные или философские убеждения
- Членство в профсоюзе
- Содержимое личной электронной почты или почтовой переписки
- Генетическая информация
- Биометрические данные для идентификации
- Данные о здоровье или медицинские записи
- Сексуальная ориентация или сексуальная жизнь
- Иммиграционный статус (добавлено в 2024 году)
- Записи о психическом здоровье (добавлено в 2024 году)
- Гражданство
- Номера финансовых счетов без кодов доступа
- Статус инвалидности
- Показатели статуса занятости
- Данные страхового полиса
- Криминальные записи или записи об арестах
По каждой категории потребители могут ограничить порядок использования и передачи данных бизнесом. Это право отделено от общего права на отказ от продажи данных.
Приоритеты CPPA в 2024 году
Правоприменительные действия CPPA в 2024 году сосредоточились в четырёх областях.
Регистрация брокеров данных. Штат обязывает брокеров данных регистрироваться в CPPA. Агентство выявило сотни незарегистрированных брокеров, продававших профили потребителей.
Нефункционирующие инструменты отказа. Многие платформы управления согласием не обеспечивали реального отказа: кнопка не работала или отказ распространялся лишь на часть вариантов использования.
Решения на основе ИИ без уведомления. Правила в отношении ИИ 2025 года требуют уведомления при принятии ключевых решений с помощью автоматизированных инструментов: найм, кредитование, жильё — всё это подпадает под действие закона. Ряд дел 2024 года касался ИИ-инструментов, применявшихся без такого уведомления.
Данные детей. Калифорнийский Кодекс дизайна, ориентированного на возраст, распространяется на любой сервис, которым, вероятно, пользуются несовершеннолетние. Такие компании обязаны провести оценку воздействия на защиту данных. CPPA установило, что многие компании этого не сделали.
Законодательство штата и GDPR: ключевые различия
Соответствие требованиям GDPR не защищает вас в Калифорнии. Законы преследуют схожие цели, но различаются по ряду ключевых аспектов.
Отказ против согласия. GDPR требует активного согласия для большинства видов использования чувствительных данных. Закон штата использует модель отказа: обработка разрешена до тех пор, пока потребитель не возразит.
Права потребителей. Оба закона предоставляют права на доступ, удаление и исправление данных. Закон штата дополнительно предусматривает право на отказ от автоматизированных решений. GDPR, статья 22, охватывает это тоже, но в более узком объёме.
Данные сотрудников. Закон штата в полной мере распространяется на персональные данные сотрудников. GDPR тоже, однако государства — члены ЕС имеют собственные нормы трудового права. Конфиденциальность персонала в штате нередко требует отдельного трека соответствия.
Типы чувствительных данных. 19 категорий штата частично пересекаются со статьёй 9 GDPR. Иммиграционный статус и отдельно взятые номера счетов — специфика закона штата.
См. руководство по юридическому соответствию о том, как эти обязательства сочетаются.
Требования к ИИ-поставщикам
Правила в отношении ИИ 2025 года устанавливают чёткие обязательства для компаний, использующих ИИ-инструменты при обработке данных потребителей.
Договоры с поставщиками. Поставщики услуг обязаны подписать письменное соглашение, охватывающее четыре аспекта: использовать данные только в указанных целях; удалить данные по окончании оказания услуг; обеспечивать передачу запросов потребителей на реализацию их прав; поддерживать надлежащую безопасность.
Уведомление об автоматизированных решениях. Если ИИ-инструмент участвует в принятии решений о кредите, мошенничестве или трудоустройстве — потребители должны быть уведомлены. Они также должны получить право на отказ.
Ограничения на обучение ИИ. Если данные потребителей обучали модель ИИ, эта модель имеет ограничения. Её нельзя использовать в целях, противоречащих первоначальной причине сбора данных.
Прямое решение для большинства команд: удалить личные идентификаторы до того, как данные поступят в любую ИИ-систему. Это выполняет требования правил об ИИ-решениях и одновременно снижает риски, связанные с чувствительными типами данных.
Узнайте, как anonym.legal удаляет идентификаторы перед обработкой в ИИ, на странице /security-compliance.
Ключевые выводы
Закон штата охватывает большинство глобальных компаний с клиентами в штате. Он добавляет 19 типов чувствительных данных, активный надзорный орган и требования об уведомлении в сфере ИИ. Соответствие GDPR не заменяет соответствие законодательству штата. Наиболее чёткий шаг — удалить личные идентификаторы до того, как данные поступят в ИИ-инструменты.
Читайте о минимизации данных на странице /docs/faq.
Источники
- CPPA: Калифорнийское агентство по защите конфиденциальности. cppa.ca.gov.
- Полный текст Калифорнийского закона о правах в сфере конфиденциальности (CPRA). leginfo.legislature.ca.gov.
- CPPA: Регламент об автоматизированных технологиях принятия решений, 2025. cppa.ca.gov.
- Калифорнийский кодекс дизайна, ориентированного на возраст. leginfo.legislature.ca.gov.