CCPA/CPRA: คู่มือกฎหมายความเป็นส่วนตัวแคลิฟอร์เนีย
อัปเดตสำหรับปี 2026
พระราชบัญญัติสิทธิความเป็นส่วนตัวของผู้บริโภคแคลิฟอร์เนีย (CPRA) มีผลบังคับใช้ในปี 2023 จัดตั้ง California Privacy Protection Agency (CPPA) ซึ่งเป็นหน่วยงานกำกับดูแลความเป็นส่วนตัวของรัฐแห่งแรกในสหรัฐฯ ในปี 2024 CPPA ออกค่าปรับมากกว่า 100 ล้านดอลลาร์ นี่คือการบังคับใช้จริง ไม่ใช่กฎบนกระดาษ
ใครต้องปฏิบัติตาม
การทดสอบสามข้อกำหนดว่ากฎหมายใช้บังคับหรือไม่ ธุรกิจต้องผ่านการทดสอบอย่างน้อยหนึ่งข้อ:
- รายได้ต่อปีตั้งแต่ 25 ล้านดอลลาร์ขึ้นไป
- ข้อมูลส่วนบุคคลจากผู้บริโภคในรัฐตั้งแต่ 100,000 รายขึ้นไป
- รายได้จากการขายข้อมูลส่วนบุคคลมากกว่า 50%
รัฐมีผู้อยู่อาศัย 40 ล้านคน เป็นเศรษฐกิจที่ใหญ่เป็นอันดับห้าของโลก บริษัทระดับโลกส่วนใหญ่ผ่านการทดสอบอย่างน้อยหนึ่งข้อ
ข้อมูลละเอียดอ่อน 19 หมวดหมู่
กฎหมายสร้างระดับพิเศษสำหรับรายละเอียดส่วนบุคคลที่ละเอียดอ่อน บริษัทต้องให้การแจ้งเพิ่มเติมและสิทธิ์จำกัดการใช้งาน 19 ประเภทได้แก่:
- หมายเลขประกันสังคม ใบขับขี่ ID รัฐ หนังสือเดินทาง
- หมายเลขบัญชีการเงินหรือบัตรพร้อมรหัสเข้าถึง
- ตำแหน่งทางภูมิศาสตร์ที่แม่นยำ (ภายใน 1,852 เมตร)
- เชื้อชาติหรือชาติพันธุ์
- ความเชื่อทางศาสนาหรือปรัชญา
- การเป็นสมาชิกสหภาพแรงงาน
- เนื้อหาอีเมลหรือไปรษณีย์ส่วนตัว
- ข้อมูลทางพันธุกรรม
- บันทึกชีวมาตรเพื่อระบุตัวตน
- บันทึกสุขภาพหรือทางการแพทย์
- รสนิยมทางเพศหรือชีวิตทางเพศ
- สถานะการย้ายถิ่น (เพิ่มในปี 2024)
- บันทึกสุขภาพจิต (เพิ่มในปี 2024)
- สถานะพลเมือง
- หมายเลขบัญชีการเงินโดยไม่มีรหัสเข้าถึง
- สถานะความพิการ
- ตัวชี้วัดสถานะการจ้างงาน
- ข้อมูลกรมธรรม์ประกันภัย
- บันทึกอาชญากรรมหรือการจับกุม
สำหรับแต่ละหมวดหมู่ ผู้บริโภคสามารถจำกัดวิธีที่ธุรกิจใช้และแชร์ข้อมูล สิทธิ์นี้แยกจากสิทธิ์ทั่วไปในการถอนตัวจากการขาย
สิ่งที่ CPPA มุ่งเป้าในปี 2024
คำสั่งของ CPPA ในปี 2024 แบ่งเป็นสี่พื้นที่
การลงทะเบียนนายหน้าข้อมูล: รัฐกำหนดให้นายหน้าข้อมูลลงทะเบียนกับ CPPA หน่วยงานพบนายหน้าที่ไม่ได้ลงทะเบียนหลายร้อยรายที่ขายโปรไฟล์ผู้บริโภค
เครื่องมือถอนตัวที่ใช้งานไม่ได้: แพลตฟอร์มความยินยอมหลายรายไม่มีการถอนตัวที่แท้จริง ปุ่มไม่ทำงาน หรือการถอนตัวครอบคลุมเฉพาะบางการใช้งาน
การตัดสินใจด้วย AI โดยไม่แจ้ง: กฎ AI ปี 2025 กำหนดให้แจ้งเมื่อเครื่องมืออัตโนมัติตัดสินใจสำคัญ งาน เครดิต และที่อยู่อาศัยล้วนนับรวม คดีหลายรายการในปี 2024 มุ่งเป้าที่เครื่องมือ AI ที่ใช้งานโดยไม่มีการแจ้งนี้
บันทึกของเด็ก: California Age-Appropriate Design Code ใช้กับบริการใดก็ตามที่ผู้เยาว์มีแนวโน้มจะใช้ บริษัทเหล่านั้นต้องทำการประเมินผลกระทบการคุ้มครองข้อมูล CPPA พบว่าหลายบริษัทยังไม่ได้ดำเนินการนี้
กฎหมายของรัฐเทียบกับ GDPR: ความแตกต่างหลัก
การปฏิบัติตาม GDPR ไม่ครอบคลุมคุณในแคลิฟอร์เนีย กฎหมายมีเป้าหมายร่วมกันแต่แตกต่างกันในประเด็นสำคัญ
ถอนตัวเทียบกับให้ความยินยอม: GDPR กำหนดให้ให้ความยินยอมสำหรับการใช้ข้อมูลละเอียดอ่อนส่วนใหญ่ กฎหมายของรัฐใช้โมเดลถอนตัว การประมวลผลอนุญาตจนกว่าผู้บริโภคจะคัดค้าน
สิทธิ์ผู้บริโภค: ทั้งสองกฎหมายให้สิทธิ์การเข้าถึง การลบ และการแก้ไข กฎหมายของรัฐเพิ่มสิทธิ์ถอนตัวจากการตัดสินใจอัตโนมัติ GDPR มาตรา 22 ครอบคลุมเรื่องนี้ด้วยแต่มีขอบเขตแคบกว่า
บันทึกพนักงาน: กฎหมายของรัฐครอบคลุมรายละเอียดส่วนบุคคลของพนักงานอย่างครบถ้วน GDPR ก็เช่นกัน แต่รัฐสมาชิก EU มีกฎการจ้างงานของตัวเอง ความเป็นส่วนตัวของพนักงานในรัฐมักต้องการการติดตามการปฏิบัติตามกฎหมายแยกต่างหาก
ประเภทข้อมูลละเอียดอ่อน: ประเภท 19 ของรัฐทับซ้อนกับ GDPR มาตรา 9 บางส่วน สถานะการย้ายถิ่นและหมายเลขบัญชีแบบเดี่ยวเป็นเฉพาะของรัฐ
ดู คู่มือการปฏิบัติตามกฎหมาย เพื่อดูว่าหน้าที่เหล่านี้ซ้อนทับกันอย่างไร
ข้อกำหนดผู้จำหน่าย AI
กฎ AI ปี 2025 สร้างหน้าที่ชัดเจนสำหรับบริษัทที่ใช้เครื่องมือ AI กับบันทึกผู้บริโภค
สัญญาผู้จำหน่าย: ผู้ให้บริการต้องลงนามในข้อตกลงที่เป็นลายลักษณ์อักษร ข้อตกลงต้องครอบคลุมสี่ประการ ได้แก่ ใช้บันทึกเฉพาะตามวัตถุประสงค์ที่ระบุ ลบบันทึกเมื่อบริการสิ้นสุด ส่งต่อคำขอสิทธิ์ผู้บริโภค และรักษาความปลอดภัยที่เพียงพอ
การแจ้งการตัดสินใจอัตโนมัติ: หากเครื่องมือ AI ช่วยตัดสินใจเรื่องเครดิต การฉ้อโกง หรืองาน ผู้บริโภคต้องได้รับการแจ้ง และต้องมีทางเลือกถอนตัว
ข้อจำกัดการฝึก AI: หากบันทึกผู้บริโภคใช้ฝึกโมเดล AI โมเดลนั้นมีข้อจำกัด ไม่สามารถใช้เพื่อวัตถุประสงค์ที่ขัดแย้งกับเหตุผลการรวบรวมดั้งเดิม
วิธีแก้ตรงสำหรับทีมส่วนใหญ่: ลบ ID ส่วนบุคคลก่อนที่บันทึกจะเข้าสู่ระบบ AI ใดก็ตาม ซึ่งตอบสนองกฎการตัดสินใจด้วย AI และลดความเสี่ยงประเภทข้อมูลละเอียดอ่อนพร้อมกัน
เรียนรู้วิธีที่ anonym.legal ลบตัวระบุก่อนการประมวลผล AI ที่ /security-compliance
ประเด็นสำคัญ
กฎหมายของรัฐครอบคลุมบริษัทระดับโลกส่วนใหญ่ที่มีลูกค้าในรัฐ เพิ่มประเภทข้อมูลละเอียดอ่อน 19 ประเภท หน่วยงานบังคับใช้ที่แข็งขัน และกฎการแจ้ง AI การปฏิบัติตาม GDPR ไม่แทนที่การปฏิบัติตามกฎหมายของรัฐ ขั้นตอนที่ชัดเจนที่สุด: ลบ ID ส่วนบุคคลก่อนที่บันทึกจะเข้าสู่เครื่องมือ AI
อ่านเกี่ยวกับการลดข้อมูลที่ /docs/faq
แหล่งที่มา
- CPPA: California Privacy Protection Agency. cppa.ca.gov
- California Privacy Rights Act (CPRA) ฉบับเต็ม. leginfo.legislature.ca.gov
- CPPA: Automated Decision-Making Technology Regulations 2025. cppa.ca.gov
- California Age-Appropriate Design Code. leginfo.legislature.ca.gov