CCPA/CPRA: Kaliforniya Gizlilik Yasası Rehberi
2026 için güncellendi.
Kaliforniya Tüketici Gizlilik Hakları Yasası (CPRA) 2023'te yürürlüğe girdi. Kalifornia Gizlilik Koruma Ajansı'nı (CPPA) kurdu. CPPA, ABD'nin ilk eyalet gizlilik düzenleyicisi. 2024 yılında CPPA, 100 milyon doların üzerinde ceza verdi. Bu aktif bir uygulama — kâğıt üzerinde kalan bir kural değil.
Kimler Uymak Zorunda
Yasanın geçerliliğini belirleyen üç test var. Bir işletmenin bu testlerden herhangi birini karşılaması yeterli.
- Yıllık gelir 25 milyon dolar veya üzeri.
- 100.000 veya daha fazla eyalet tüketicisinden kişisel veri.
- Gelirin %50'den fazlasının kişisel bilgi satışından gelmesi.
Eyaletin 40 milyon sakini var. Dünyanın beşinci büyük ekonomisi. Küresel şirketlerin büyük çoğunluğu en az bir testi karşılıyor.
19 Hassas Veri Kategorisi
Yasa, hassas kişisel bilgiler için özel bir katman oluşturuyor. Şirketler, tüketicilere ek bildirim ve kullanımı sınırlama hakkı tanımak zorunda. 19 tür şunlar:
- Sosyal Güvenlik, ehliyet, eyalet kimliği, pasaport numaraları
- Erişim kodlu finansal hesap veya kart numaraları
- Hassas konum bilgisi (1.852 metre içinde)
- Irk veya etnik köken
- Dinî veya felsefi inançlar
- Sendika üyeliği
- Özel e-posta veya posta içeriği
- Genetik bilgi
- Kimlik tespiti için biyometrik kayıtlar
- Sağlık veya tıbbi kayıtlar
- Cinsel yönelim veya cinsel yaşam
- Göçmenlik durumu (2024'te eklendi)
- Ruh sağlığı kayıtları (2024'te eklendi)
- Vatandaşlık durumu
- Erişim kodsuz finansal hesap numaraları
- Engellilik durumu
- İstihdam durumu göstergeleri
- Sigorta poliçe bilgisi
- Suç veya tutuklama kayıtları
Her kategori için tüketiciler, bir işletmenin bu verileri nasıl kullandığını ve paylaştığını sınırlayabilir. Bu hak, satışı reddetme genel hakkından ayrıdır.
CPPA'nın 2024'te Hedef Aldıkları
CPPA'nın 2024 eylemleri dört alanda yoğunlaştı.
Veri aracısı kaydı. Eyalet, veri aracılarının CPPA'ya kaydolmasını şart koşuyor. Kurum, tüketici profillerini satan yüzlerce kayıtsız aracı tespit etti.
Bozuk çıkış araçları. Pek çok onay platformu gerçek anlamda çıkış imkânı sunmuyordu. Düğme çalışmıyor ya da yalnızca bazı kullanımları kapsıyordu.
Bildirimsiz yapay zeka kararları. 2025 yapay zeka kuralları, otomatik araçların önemli kararlar aldığında bildirim yapılmasını zorunlu kılıyor. İşe alım, kredi ve konut bunlar arasında. 2024'teki çeşitli davalar, bu bildirim yapılmadan kullanılan yapay zeka araçlarını hedef aldı.
Çocuk kayıtları. Kaliforniya'nın Yaşa Uygun Tasarım Kodu, küçüklerin kullanmasının olası olduğu her hizmet için geçerli. Bu şirketler Veri Koruma Etki Değerlendirmesi tamamlamak zorunda. CPPA, pek çok şirketin bunu yapmadığını tespit etti.
Eyalet Yasası ile GDPR Karşılaştırması: Temel Farklar
GDPR uyumu, Kaliforniya'da sizi korumaz. Yasalar ortak hedefler paylaşıyor ancak temel noktalarda farklılaşıyor.
Çıkış mı, katılım mı? GDPR, hassas veri kullanımlarının büyük çoğunluğu için katılım onayı gerektiriyor. Eyalet yasası çıkış modelini benimsiyor. Tüketici itiraz edene kadar işleme izin veriliyor.
Tüketici hakları. Her iki yasa da erişim, silme ve düzeltme hakları tanıyor. Eyalet yasası, otomatik kararlara itiraz hakkı ekliyor. GDPR Madde 22 bunu da kapsıyor, ancak daha dar bir kapsamda.
Çalışan kayıtları. Eyalet yasası çalışan kişisel bilgilerini tam olarak kapsıyor. GDPR de kapsıyor, ancak AB üye devletlerinin kendi istihdam kuralları var. Eyaletteki personel gizliliği genellikle ayrı bir uyum çalışması gerektiriyor.
Hassas türler. 19 eyalet türü, GDPR Madde 9 ile kısmen örtüşüyor. Göçmenlik durumu ve bağımsız hesap numaraları eyalete özgü.
Bu yükümlülüklerin nasıl üst üste geldiğini görmek için hukuki uyum kılavuzuna bakın.
Yapay Zeka Tedarikçisi Gereksinimleri
2025 yapay zeka kuralları, tüketici kayıtlarında yapay zeka araçları kullanan şirketler için net yükümlülükler oluşturuyor.
Tedarikçi sözleşmeleri. Hizmet sağlayıcılar yazılı bir anlaşma imzalamak zorunda. Anlaşma dört konuyu kapsamak zorunda. Birincisi, kayıtları yalnızca belirtilen amaçla kullanmak. İkincisi, hizmet sona erdiğinde kayıtları silmek. Üçüncüsü, tüketici hakları taleplerini iletmek. Dördüncüsü, yeterli güvenlik sağlamak.
Otomatik karar bildirimi. Yapay zeka aracı kredi, sahtekârlık veya işe alım kararına yardım ediyorsa tüketiciler bilgilendirilmeli. Ayrıca çıkış hakkı tanınmalı.
Yapay zeka eğitim sınırları. Tüketici kayıtları bir yapay zeka modelini eğittiyse bu modelin sınırları var. Orijinal toplama amacıyla çelişen amaçlar için kullanılamaz.
Çoğu ekip için doğrudan çözüm: kayıtlar herhangi bir yapay zeka sistemine girmeden önce kişisel kimlikleri kaldırmak. Bu hem yapay zeka karar kurallarını karşılıyor hem de hassas tür riskini eş zamanlı azaltıyor.
anonym.legal'in yapay zeka işlenmesinden önce tanımlayıcıları nasıl kaldırdığını öğrenmek için /security-compliance sayfasına bakın.
Özet
Eyalet yasası, eyalette müşterisi olan küresel şirketlerin büyük çoğunluğunu kapsıyor. 19 hassas tür, aktif bir uygulama ajansı ve yapay zeka bildirim kuralları ekliyor. GDPR uyumu, eyalet uyumunun yerini almıyor. En net adım: kayıtlar yapay zeka araçlarına girmeden önce kişisel kimlikleri kaldırmak.
Veri minimizasyonu hakkında bilgi için /docs/faq sayfasına bakın.
Kaynaklar
- CPPA: California Gizlilik Koruma Ajansı. cppa.ca.gov.
- California Gizlilik Hakları Yasası (CPRA) tam metin. leginfo.legislature.ca.gov.
- CPPA: 2025 Otomatik Karar Alma Teknolojisi Yönetmelikleri. cppa.ca.gov.
- Kaliforniya Yaşa Uygun Tasarım Kodu. leginfo.legislature.ca.gov.