CCPA/CPRA: Guide till Kaliforniens integritetslag
Uppdaterat för 2026.
Kaliforniens Consumer Privacy Rights Act (CPRA) trädde i kraft 2023. Den inrättade California Privacy Protection Agency (CPPA). CPPA är USA:s första delstatliga integritetsreglerare. Under 2024 utfärdade CPPA böter på över 100 miljoner dollar. Detta är aktiv tillsyn — inte ett papper på hyllan.
Vem måste följa lagen
Tre kriterier avgör om lagen är tillämplig. Ett företag måste uppfylla minst ett av dem.
- Årsomsättning på 25 miljoner dollar eller mer.
- Personuppgifter från 100 000 eller fler delstatskonsumenter.
- Mer än 50 % av intäkterna från försäljning av personuppgifter.
Delstaten har 40 miljoner invånare. Den är världens femte största ekonomi. De flesta globala företag uppfyller minst ett kriterium.
19 kategorier av känsliga uppgifter
Lagen skapar en särskild nivå för känsliga personuppgifter. Företag måste ge konsumenter extra information och rätt att begränsa användningen. De 19 typerna är:
- Personnummer, körkortsnummer, statliga ID- och passnummer
- Finansiella konto- eller kortnummer med åtkomstkoder
- Exakt geografisk plats (inom 1 852 meter)
- Ras eller etniskt ursprung
- Religiös eller filosofisk övertygelse
- Fackmedlemskap
- Innehåll i privat e-post eller post
- Genetisk information
- Biometriska uppgifter för identifiering
- Hälso- eller medicinska journaler
- Sexuell läggning eller sexliv
- Invandringstatus (tillagd 2024)
- Psykiatriska journaler (tillagd 2024)
- Medborgarskap
- Finansiella kontonummer utan åtkomstkoder
- Funktionsnedsättningsstatus
- Anställningsstatusindikatorer
- Försäkringspolicyinformation
- Brottsliga eller frihetsberövande uppgifter
För varje kategori kan konsumenter begränsa hur ett företag använder och delar uppgifterna. Denna rätt är skild från den allmänna rätten att avsäga sig försäljning.
Vad CPPA inriktade sig på 2024
CPPA:s åtgärder 2024 föll inom fyra områden.
Datamäklarregistrering. Delstaten kräver att datamäklare registrerar sig hos CPPA. Myndigheten hittade hundratals oregistrerade mäklare som sålde konsumentprofiler.
Trasiga avsägningsverktyg. Många samtyckesplattformar gav inte verklig möjlighet att avsäga sig. Knappen fungerade inte, eller avsägelsen täckte bara en del av användningarna.
AI-beslut utan information. 2025 års AI-regler kräver information när automatiserade verktyg fattar viktiga beslut. Anställning, kredit och bostad räknas alla hit. Flera 2024-ärenden riktade sig mot AI-verktyg som användes utan denna information.
Barnjournaler. Kaliforniens Age-Appropriate Design Code gäller alla tjänster som minderåriga sannolikt använder. Dessa företag måste genomföra en konsekvensbedömning för dataskydd. CPPA fann att många företag inte hade gjort detta.
Delstatslag kontra GDPR: Viktiga skillnader
GDPR-efterlevnad täcker inte dig i Kalifornien. Lagarna delar mål men skiljer sig åt på viktiga punkter.
Avsägning kontra samtycke. GDPR kräver aktivt samtycke för de flesta känsliga dataanvändningar. Delstatslagen använder en avsägningsmodell. Behandling är tillåten tills konsumenten invänder.
Konsumenträttigheter. Båda lagarna ger tillgångs-, raderings- och rättelserättigheter. Delstatslagen lägger till en rätt att avsäga sig automatiserade beslut. GDPR Artikel 22 täcker detta också, men med ett snävare tillämpningsområde.
Anställningsuppgifter. Delstatslagen täcker anställdas personuppgifter fullt ut. GDPR gör det också, men EU:s medlemsländer har egna arbetsrättsliga regler. Personalintegritet i delstaten kräver ofta ett eget efterlevnadsspår.
Känsliga typer. De 19 delstatstyperna överlappar delvis med GDPR Artikel 9. Invandringstatus och fristående kontonummer är delstatsspecifika.
Se juridisk efterlevnadsguide för hur dessa skyldigheter staplas.
Krav på AI-leverantörer
2025 års AI-regler skapar tydliga skyldigheter för företag som använder AI-verktyg på konsumentuppgifter.
Leverantörsavtal. Tjänsteleverantörer måste underteckna ett skriftligt avtal. Avtalet måste täcka fyra saker. Först: använd uppgifter enbart för det angivna ändamålet. Andra: radera uppgifter när tjänsten upphör. Tredje: vidarebefordra konsumenträttighetsförfrågningar. Fjärde: upprätthåll tillräcklig säkerhet.
Information om automatiserade beslut. Om ett AI-verktyg hjälper till att fatta beslut om kredit, bedrägeri eller anställning — måste konsumenter informeras. De måste också ges möjlighet att avsäga sig.
AI-träningsbegränsningar. Om konsumentuppgifter tränade en AI-modell gäller begränsningar för den modellen. Den får inte användas för ändamål som strider mot det ursprungliga insamlingsskälet.
Den direkta lösningen för de flesta team: ta bort personliga ID:n innan uppgifter når något AI-system. Detta uppfyller AI-beslutskraven och minskar risken för känsliga typer samtidigt.
Läs om hur anonym.legal tar bort identifierare innan AI-bearbetning på /security-compliance.
Sammanfattning
Delstatslagen täcker de flesta globala företag med kunder i delstaten. Den lägger till 19 känsliga typer, en aktiv tillsynsmyndighet och AI-informationskrav. GDPR-efterlevnad ersätter inte delstatsefterlevnad. Det tydligaste steget: ta bort personliga ID:n innan uppgifter når AI-verktyg.
Läs om dataminimering på /docs/faq.
Källor
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- California Privacy Rights Act (CPRA) fulltext. leginfo.legislature.ca.gov.
- CPPA: Regler för automatiserat beslutsfattande 2025. cppa.ca.gov.
- California Age-Appropriate Design Code. leginfo.legislature.ca.gov.