CCPA/CPRA: посібник із каліфорнійського закону про конфіденційність
Оновлено для 2026 року.
Каліфорнійський закон про права на конфіденційність споживачів (CPRA) набрав чинності у 2023 році. Він заснував Каліфорнійське агентство з захисту конфіденційності (CPPA). CPPA — перший регулятор конфіденційності штатного рівня в США. У 2024 році CPPA виписала штрафів на суму понад $100 млн. Це активне правозастосування — не декларативний закон.
На кого поширюється закон
Дія закону визначається трьома критеріями. Компанія повинна відповідати хоча б одному з них.
- Річний дохід від $25 мільйонів або більше.
- Персональні дані 100 000 або більше споживачів штату.
- Більше 50% доходу від продажу персональної інформації.
Штат налічує 40 мільйонів мешканців. Це п'ята за величиною економіка у світі. Більшість глобальних компаній відповідають хоча б одному критерію.
19 категорій чутливих даних
Закон створює особливий рівень для чутливих персональних даних. Компанії зобов'язані надавати споживачам додаткове повідомлення та право обмежити використання. 19 типів:
- Номери соціального страхування, водійського посвідчення, ідентифікаційної картки штату, паспорта
- Номери фінансових рахунків або карток разом із кодами доступу
- Точне місцезнаходження (в межах 1 852 метрів)
- Расове або етнічне походження
- Релігійні або філософські переконання
- Членство у профспілці
- Зміст приватної електронної або поштової кореспонденції
- Генетична інформація
- Біометричні записи для ідентифікації
- Стан здоров'я або медичні записи
- Сексуальна орієнтація або статеве життя
- Статус іммігранта (додано у 2024 році)
- Записи про психічне здоров'я (додано у 2024 році)
- Статус громадянства
- Номери фінансових рахунків без кодів доступу
- Статус інвалідності
- Показники зайнятості
- Інформація про страховий поліс
- Записи про кримінальне минуле або арешти
Для кожної категорії споживачі можуть обмежити, яким чином компанія використовує та поширює їхні дані. Це право є окремим від загального права відмовитися від продажу даних.
Що переслідувало CPPA у 2024 році
Дії CPPA у 2024 році стосувалися чотирьох напрямків.
Реєстрація брокерів даних. Штат вимагає від брокерів даних реєструватися в CPPA. Агентство виявило сотні незареєстрованих брокерів, що продають профілі споживачів.
Неробочі інструменти відмови. Багато платформ управління згодою не забезпечували реального права на відмову. Кнопка не працювала, або відмова поширювалася лише на частину використань.
Рішення ШІ без повідомлення. Правила щодо ШІ 2025 року вимагають повідомлення, коли автоматизовані інструменти ухвалюють ключові рішення. До них відносяться рішення про роботу, кредит і житло. Кілька справ 2024 року стосувалися ШІ-інструментів, що використовувалися без такого повідомлення.
Записи про дітей. Каліфорнійський Кодекс проектування з урахуванням вікових особливостей поширюється на будь-який сервіс, яким можуть користуватися неповнолітні. Такі компанії зобов'язані провести Оцінку впливу на захист даних. CPPA виявило, що багато компаній цього не зробили.
Закон штату vs GDPR: ключові відмінності
Відповідність GDPR не захищає вас у Каліфорнії. Закони мають спільні цілі, але різняться в ключових аспектах.
Відмова vs згода. GDPR вимагає явної згоди для більшості використань чутливих даних. Закон штату використовує модель відмови. Обробка дозволена, доки споживач не заперечить.
Права споживачів. Обидва закони надають права на доступ, видалення та виправлення. Закон штату додає право відмовитися від автоматизованих рішень. Стаття 22 GDPR також це охоплює, але у вужчому обсязі.
Записи про співробітників. Закон штату повністю охоплює персональні дані співробітників. GDPR теж, але держави-члени ЄС мають власні правила зайнятості. Конфіденційність персоналу в штаті часто потребує окремого напрямку відповідності.
Чутливі типи. 19 типів штату частково перетинаються зі статтею 9 GDPR. Статус іммігранта та окремі номери рахунків є специфічними для штату.
Дивіться посібник із дотримання законодавства, щоб зрозуміти, як ці обов'язки накладаються одне на одного.
Вимоги до постачальників ШІ
Правила щодо ШІ 2025 року встановлюють чіткі обов'язки для компаній, що використовують інструменти ШІ для обробки записів споживачів.
Договори з постачальниками. Постачальники послуг мають підписувати письмовий договір. Договір має охоплювати чотири аспекти. По-перше, використовувати записи лише для заявленої мети. По-друге, видаляти записи після завершення послуги. По-третє, передавати запити споживачів щодо їхніх прав. По-четверте, підтримувати належний рівень безпеки.
Повідомлення про автоматизовані рішення. Якщо інструмент ШІ допомагає ухвалювати рішення щодо кредиту, шахрайства або зайнятості — споживачів необхідно повідомити. Вони також повинні мати можливість відмовитися.
Обмеження навчання ШІ. Якщо записи споживачів навчали модель ШІ, на цю модель поширюються обмеження. Її не можна використовувати для цілей, що суперечать первісній причині збору даних.
Пряме рішення для більшості команд: видаляти персональні ідентифікатори перед тим, як записи потраплять до будь-якої системи ШІ. Це виконує вимоги щодо рішень ШІ та одночасно знижує ризики з чутливими типами.
Дізнайтеся, як anonym.legal видаляє ідентифікатори перед обробкою ШІ, на сторінці /security-compliance.
Ключові висновки
Закон штату охоплює більшість глобальних компаній із клієнтами в штаті. Він додає 19 чутливих типів, активний регуляторний орган і правила щодо повідомлення про ШІ. Відповідність GDPR не замінює відповідність закону штату. Найпростіший крок: видалити персональні ідентифікатори перед тим, як записи потраплять до інструментів ШІ.
Читайте про мінімізацію даних у /docs/faq.
Джерела
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- Повний текст Закону про права на конфіденційність споживачів Каліфорнії (CPRA). leginfo.legislature.ca.gov.
- CPPA: Правила щодо технологій автоматизованого прийняття рішень 2025. cppa.ca.gov.
- Каліфорнійський Кодекс проектування з урахуванням вікових особливостей. leginfo.legislature.ca.gov.