Изисквания за CCPA бисквитки: Ръководство за съответствие 2026

CCPA и CPRA не изискват банер за съгласие от типа на GDPR, но налагат три конкретни задължения, на които трябва да отговаря всеки обхванат уебсайт: Известие при събиране, публикувано в момента на събиране на данни или преди това, ясно видима връзка „Do Not Sell or Share My Personal Information“ на началната страница и в долния колонтитул, както и ефективно обработване на отказите, което включва зачитане на сигналите на Global Privacy Control (GPC). Неизпълнението на което и да е от тях представлява риск от санкции според настоящата позиция на California Privacy Protection Agency (CPPA).

Три действия, които можете да предприемете тази седмица, за да намалите този риск незабавно:

• Добавете връзка „Do Not Sell or Share My Personal Information“ в долния колонтитул и началната страница на сайта, водеща към интерактивна форма за отказ.
• Актуализирайте банера за бисквитки, за да показва опция „Decline All“ на първия слой, с еднаква визуална видимост спрямо „Accept All“.
• Конфигурирайте платформата си за управление на съгласието да разпознава и зачита сигналите GPC като валидни искания за отказ за устройството или браузъра, който ги изпраща.

CPPA Enforcement Advisory No. 2024-02 и регулациите на CCPA от 15 март са двата основни източника, регулиращи тези изисквания. И двата се цитират в цялото ръководство.

Съдържание

• За кои бизнеси важат правилата на CCPA/CPRA за бисквитки?
• Какво реално изисква CCPA/CPRA за бисквитки и известия?
• Как трябва да изглежда и да се държи вашият банер за бисквитки?
• Как да зачитате отказите: стъпки за техническо внедряване
• Как CPPA прилага правилата за банери за бисквитки?
• Какво да актуализирате в политиката си за поверителност и в разкриването на бисквитки
• Практичен график за внедряване и контролен списък
• Вашият контролен списък за съответствие с CCPA/CPRA за тази седмица
• Ключови изводи
• Частта, която повечето ръководства за съответствие бъркат
• Passiro поема техническата страна, за да можете да се съсредоточите върху решенията
• Полезни източници за допълнително четене

За кои бизнеси важат правилата на CCPA/CPRA за бисквитки?

CCPA и CPRA важат за търговски бизнеси, които събират лична информация от потребители в Калифорния и отговарят на поне един от три прага: годишни брутни приходи, надвишаващи висок праг; купуване, продаване, получаване или споделяне на лична информация на голям брой потребители или домакинства годишно; или получаване на значителна част от годишните приходи от продажба или споделяне на лична информация на потребители. Бизнесът не е нужно да е регистриран в Калифорния. Ако обслужва жители на Калифорния и отговаря на праг, законът важи.

Проследяването чрез бисквитки поражда тези задължения, когато данните, събрани чрез бисквитки, пиксели или идентификатори между устройства, представляват „лична информация“ по смисъла на закона, което включва IP адреси, идентификатори на устройства, история на браузването и изведени профили. Сайт за електронна търговия, използващ проследяване на реализации на Google Ads, издател, вграждащ пиксели от рекламни мрежи на трети страни, или SaaS платформа, използваща аналитични инструменти, споделящи данни за сесии с доставчици — всичко това са примери за дейности, при които се извършва продажба или споделяне на лична информация чрез бисквитки.

Често срещани типове сайтове и техните типични задължения:

• Електронна търговия с таргетирана реклама: Продажбата или споделянето на идентификатори с рекламни мрежи поражда изискването за връзка Do Not Sell or Share и обработване на отказите.
• Издатели на съдържание с рекламни мрежи: Пиксели на трети страни, споделящи данни за браузването за поведенческа реклама, представляват „споделяне“ по смисъла на CPRA.
• Сайтове само с аналитика: Ако аналитичните данни не се продават или споделят с трети страни, връзката Do Not Sell or Share може да не се изисква, но Известието при събиране все пак важи.
• B2B SaaS платформи: Ако платформата обработва лична информация на потребители в Калифорния (а не само бизнес контакти), задълженията по CCPA може да важат.

Сигналите GPC важат за всяко устройство и за всеки браузър. Потребител, който е активирал GPC в мобилен браузър, е отказал за този браузър; същият потребител на настолен браузър без GPC не е. Вашият процес за отказ трябва да обработва и двата независимо.

Съвет: Ако не сте сигурни дали сайтът ви отговаря на праг за приходи или обем данни, първо проверете аналитиката си и договорите с рекламните доставчици. Много сайтове несъзнателно преминават прага от 100 000 потребители само чрез рутинно събиране на аналитични данни.

Какво реално изисква CCPA/CPRA за бисквитки и известия?

Известие при събиране

Известието при събиране трябва да бъде публикувано в момента на събиране на лична информация или преди това. За уебсайт това обикновено означава връзка на самата събираща страница или банер, който се появява преди задействането на каквито и да е неесенциални тракери. Известието трябва да разкрива:

• Категориите събирана лична информация (напр. идентификатори, история на браузването, геолокация).
• Целите, за които се събира всяка категория.
• Дали всяка категория се продава или споделя с трети страни.
• Периода на съхранение за всяка категория или критериите, използвани за определянето му.
• Връзка към Известието за правото на отказ от продажба или споделяне.

За мобилни приложения известието трябва да се появи преди или в момента на събирането, например на екран за разрешения или в потока за въвеждане в приложението.

Връзката Do Not Sell or Share

Законът California Consumer Privacy Act изисква ясна и видима връзка на началните страници на бизнеса, озаглавена „Do Not Sell or Share My Personal Information“. Връзката трябва да води до страница, където потребителите могат да подадат искане за отказ. Бизнесите трябва да предоставят поне два определени метода за подаване на искания за отказ, единият от които трябва да е интерактивна уеб форма, достъпна чрез тази връзка. Допълнителни приемливи методи включват безплатен телефонен номер, имейл адрес и поща.

GPC като валиден отказ

Бизнесите, които събират лична информация онлайн, трябва да третират сигналите GPC като валидни искания за отказ за конкретното устройство или браузър, изпращащ сигнала. Това не е по избор. Бизнесът не може да изисква от потребителя да кликне и върху връзката Do Not Sell or Share, ако GPC вече е активиран. Сигналът сам по себе си е достатъчен.

Задължения за срокове

Бизнесът трябва да изпълни искане за отказ възможно най-скоро и не по-късно от 15 работни дни от получаването. Ако лична информация се продава или споделя след искането за отказ, но преди изпълнението да е завършено, бизнесът трябва да уведоми тези трети страни и да ги инструктира да не продават или използват информацията на този потребител.

Как трябва да изглежда и да се държи вашият банер за бисквитки?

Симетрията в избора е водещият принцип

CPPA Enforcement Advisory No. 2024-02 определя съгласието като „свободно дадено, конкретно, информирано и недвусмислено“ и заявява изрично, че съгласие, получено чрез dark patterns, не представлява съгласие. Практическото значение за дизайна на банера е, че „Accept All“ и „Decline All“ трябва да са равни по визуална видимост, размер на бутоните, тежест на цвета и брой необходими стъпки за достигане до тях.

Банер, който показва „Accept All“ като запълнен основен бутон и „More Information“ като второстепенна текстова връзка, не отговаря на изискванията. California Code of Regulations изрично определя този модел като асиметричен и забранен.

Примерен текст за банер на първия слой за потребители от Калифорния

Кратък вариант:

Разширен вариант (за втори слой или център за предпочитания):

Контролен списък с правила

Правете:

• Показвайте „Accept All“ и „Decline All“ на първия слой с еднаква визуална тежест.
• Използвайте ясен език; избягвайте фрази като „подобряване на вашето изживяване“ като заместител на разкриването на споделянето на данни.
• Третирайте затварянето на банера от потребителя без да прави избор нито като съгласие, нито като отказ; не задействайте неесенциални тракери.
• Свързвайте директно към Известието при събиране и политиката за поверителност от банера.

Не правете:

• Не използвайте ярък, запълнен бутон „Accept“ до нискоконтрастна или само текстова опция „Decline“.
• Не изисквайте от потребителите да навигират до второстепенно меню, за да намерят „Decline All“.
• Не използвайте двойни отрицания („Не махайте отметката, за да откажете“).
• Не добавяйте допълнителни стъпки за потвърждение при отказ, които не присъстват при приемане.

Съвет: Тествайте банера си с активиран GPC в браузър, базиран на Chromium (браузърът Brave активира GPC по подразбиране) и проверете, че никакви пиксели за проследяване от трети страни не се задействат при зареждане на страницата. Пуснете също потока с екранен четец, за да потвърдите, че опциите за приемане и отказ са еднакво достъпни чрез навигация с клавиатура.

Как да зачитате отказите: стъпки за техническо внедряване

Контролен списък за внедряване

1. Разпознавайте сигналите GPC. Четете HTTP заглавката Sec-GPC: 1 и JavaScript свойството navigator.globalPrivacyControl при всяко зареждане на страница. Свържете сигнала с устройството/браузъра и незабавно спрете всички тракери, свързани с продажба или споделяне.
2. Внедрете формата Do Not Sell or Share. Изградете или конфигурирайте интерактивна уеб форма, достъпна от връзката в долния колонтитул. Формата не трябва да изисква създаване на акаунт или информация извън необходимата за обработка на искането.
3. Блокирайте неесенциалните тракери, преди да се определи съгласието. Използвайте автоматично блокиране на скриптове, за да предотвратите задействането на пиксели, рекламни тагове и аналитични скриптове от трети страни, докато предпочитанието на потребителя не е известно. Това важи както за взаимодействията с банера, така и за разпознаването на GPC.
4. Интегрирайте IAB TCF v2.3. Ако сайтът ви използва доставчици, регистрирани в IAB, конфигурирайте платформата си за управление на съгласието като регистрирана CMP по IAB TCF v2.3. Това гарантира, че низовете за съгласие на ниво доставчик се генерират и предават правилно към партньорите надолу по веригата. За насоки за дизайн и внедряване на банери, регистрирана CMP се справя с това автоматично.
5. Интегрирайте Google Consent Mode v2. Предавайте състоянието на съгласието към таговете на Google чрез API gtag('consent', 'update', {...}), така че продуктите на Google за измерване и реклама да зачитат избора на потребителя.
6. Уведомявайте трети страни в рамките на 15 работни дни. Ако между получаването на искане за отказ и пълното изпълнение настъпи събитие на продажба или споделяне, изпратете писмено уведомление до всяка съответна трета страна, инструктирайки я да не продава или използва данните на този потребител.

Устойчивост и обхват

Предпочитанията за отказ трябва да се запазват между сесиите за браузъра или устройството, на които са зададени. Запис в бисквитка или локално хранилище, който записва състоянието на отказ, трябва да има срок на живот от поне 12 месеца. Законът забранява повторно подканване на потребител, който е отказал, за поне 12 месеца. Сигналите GPC, за разлика от това, се преоценяват при всяко зареждане на страница, тъй като потребителят контролира сигнала на ниво браузър; вашата система не трябва да заменя активен GPC сигнал със запазено предпочитание „приел“ от предишна сесия.

Одитно логване

Съхранявайте тези записи за минимален период, съответстващ на вашата политика за съхранение на данни и потенциалната давност за действия по прилагане от CPPA. Регулаторите очакват доказателства за навременни действия; оскъдна или липсваща одитна следа сама по себе си е риск от санкции.

Как CPPA прилага правилата за банери за бисквитки?

Позицията на CPPA по прилагането от 2024 г. насам се фокусира върху три категории нарушения: dark patterns в интерфейсите за съгласие, неадекватно или липсващо Известие при събиране и неизпълнение на зачитането на сигналите за отказ, включително GPC.

Enforcement Advisory No. 2024-02 предоставя най-ясното изявление за това какво регулаторите считат за несъответстващо:

Конкретните тригери за прилагане, които съветът идентифицира, включват:

• Банери, които предлагат „Accept All“ на първия слой, но изискват от потребителите да навигират до второстепенен екран, за да откажат.
• Интерфейси, при които бутонът „да“ е визуално доминиращ, а опцията „не“ е омаловажена чрез цвят, размер или разположение.
• Третиране на отхвърлянето или бездействието спрямо банера като предполагаемо съгласие за обработка на данни.
• Скриване на връзката Do Not Sell or Share в политиката за поверителност вместо видимото ѝ поставяне на началната страница.

Стъпки за намаляване на риска:

• Документирайте всяко дизайнерско решение в банера и потока за съгласие, включително обосновката за цветовете на бутоните, разположението и текста.
• Провеждайте периодични UX одити с реални потребители, за да потвърдите, че пътищата за отказ не са по-трудни за навигиране от пътищата за приемане.
• Запазвайте одитните логове и времевите печати, както е описано по-горе; регулаторите могат да поискат доказателства кога са получени и обработени отказите.
• Отговаряйте своевременно на всяко запитване от CPPA; забавените отговори увеличават риска от санкции.

Регулаторите третират архитектурата на избора на ниво дизайн като решение за съответствие. Проста визуална промяна, като направяне на бутона „Accept“ зелен, а бутона „Decline“ сив, може да превърне законен банер в цел за санкции.

Какво да актуализирате в политиката си за поверителност и в разкриването на бисквитки

Контролен списък за Известие при събиране

Вашето Известие при събиране трябва да включва:

• Категориите събирана лична информация, съотнесени към всяка точка на събиране.
• Конкретната цел за всяка категория.
• Ясно изявление дали всяка категория се продава или споделя с трети страни.
• Периоди на съхранение или критериите, използвани за определянето им.
• Връзка към Известието за правото на отказ от продажба или споделяне.

За уеб известието може да бъде връзка на събиращата уеб страница. За мобилни устройства то трябва да се появи преди или в момента на събирането.

Задължително съдържание на политиката за поверителност

Съгласно насоките на CPPA, политиката за поверителност трябва да обхваща:

• Категориите лична информация, събрана през последните 12 месеца, и източниците на тази информация.
• Бизнес или търговските цели за събирането.
• Категориите трети страни, на които се разкрива лична информация.
• Инструкции за упражняване на правата за отказ, включително връзката Do Not Sell or Share.
• Обяснение как се обработват сигналите за предпочитание за отказ, включително GPC.
• Процеса на проверка за исканията за права на потребители.

Насоки за таблица с бисквитки

Означете всяка бисквитка като есенциална или неесенциална. Есенциалните бисквитки, тези строго необходими за функционирането на сайта, не изискват обработване на отказ, но все пак трябва да бъдат разкрити в Известието при събиране. Неесенциалните бисквитки, които се продават или споделят, изискват механизма Do Not Sell or Share.

Примерен откъс от политика за разположението на връзката Do Not Sell or Share

Поставете следното в политиката си за поверителност и в долния колонтитул на началната страница:

Практичен график за внедряване и контролен списък

Поетапен план на проекта

1. Проучване (Ден 1–2): Одитирайте всички скриптове и пиксели на трети страни на сайта си. Идентифицирайте кои представляват продажба или споделяне на лична информация. Прегледайте текущия си банер за симетрия и обработка на GPC. Документирайте пропуските.
2. Дизайн на банер и конфигуриране на CMP (Ден 3–5): Актуализирайте или внедрете платформа за управление на съгласието с еднакво видими бутони Accept All и Decline All на първия слой. Конфигурирайте гео-таргетиране, за да показвате специфичния за Калифорния банер на посетители от Калифорния. За WordPress сайтове, CMP, базирана на плъгин, може да сведе тази фаза до няколко часа.
3. Блокиране на скриптове (Ден 3–5, паралелно): Активирайте автоматично блокиране на скриптове, така че неесенциалните тракери да не се задействат преди определяне на съгласието. Тествайте с активиран GPC, за да потвърдите, че никакви пиксели не се зареждат при влизане в страницата.
4. Крайни точки за отказ от страна на сървъра (Ден 5–10): Изградете или конфигурирайте интерактивната форма Do Not Sell or Share. Интегрирайте с CRM или платформата си за данни, за да спрете продажбата или споделянето за потребители, отказали. Настройте работния процес за уведомяване до 15 работни дни за трети страни.
5. Одитно логване (Ден 5–10, паралелно): Внедрете полетата за лог, описани в техническия раздел по-горе. Потвърдете, че сигналите GPC, взаимодействията с банера и подаванията чрез връзката в колонтитула се улавят.
6. QA и пускане (Ден 10–14): Симулирайте GPC в множество браузъри. Проверете, че никакви пиксели за проследяване не се задействат преди съгласие. Валидирайте, че предпочитанията за отказ се запазват между сесиите. Потвърдете, че работните процеси за уведомяване на трети страни се задействат правилно.

Оценки на графика според размера на сайта

Съвет: За големи платформи използвайте feature flags, за да въведете обработката на GPC и блокирането на скриптове постепенно. Разгърнете първо на 5–10% от трафика от Калифорния, наблюдавайте за нарушена функционалност, след което разширете. Това намалява риска от повсеместна повреда на сайта от неправилно конфигурирано правило в тag manager.

Вашият контролен списък за съответствие с CCPA/CPRA за тази седмица

Приоритетни действия за изпълнение през следващите няколко дни:

• Добавете връзката Do Not Sell or Share на началната си страница и в долния колонтитул. Връзката трябва да е озаглавена точно „Do Not Sell or Share My Personal Information“ или „Your Privacy Choices“ и трябва да отваря интерактивна форма за отказ.
• Актуализирайте банера си, за да показва „Decline All“ на първия слой със същата визуална тежест като „Accept All“. Премахнете всеки дизайн, който прави отказа по-труден или по-малко видим от приемането.
• Активирайте разпознаване на GPC в платформата си за управление на съгласието или в персонализираната си имплементация. Тествайте с navigator.globalPrivacyControl в конзолата на браузъра и потвърдете, че неесенциалните скриптове не се зареждат, когато GPC е активен.
• Блокирайте неесенциалните тракери преди определяне на съгласието. Проверете това с раздела за мрежата на браузъра си: никакви заявки за реклама или аналитика от трети страни не трябва да се появяват при първоначалното зареждане на страницата, преди да е направен избор в банера.
• Актуализирайте Известието си при събиране, за да включва категории, цели, статус на продажба/споделяне, съхранение и връзката за отказ.
• Добавете формулировка за обработка на GPC в политиката си за поверителност.
• Тествайте устойчивостта на отказа, като откажете, затворите браузъра, отворите отново и потвърдите, че никакви неесенциални тракери не се задействат при връщане.
• Стартирайте одитен лог, който улавя времеви печат, метод, обхват и версия на банера за всяко събитие на предпочитание.

За регулаторни цитати, които да споделите с правния си екип: CPPA Enforcement Advisory No. 2024-02, регулациите на CCPA от 15 март и насоките на CPPA за Известие при събиране.

Тази статия предоставя обща информация за изискванията на CCPA/CPRA и не е правен съвет. Потвърдете текущите изисквания с California Privacy Protection Agency или с квалифициран адвокат по поверителност за вашата конкретна ситуация.

Ключови изводи

CCPA и CPRA изискват Известие при събиране, видима връзка Do Not Sell or Share и ефективно обработване на отказите, включително GPC, но не изискват банер за съгласие от типа на GDPR.

Частта, която повечето ръководства за съответствие бъркат

Повечето статии за съответствие с CCPA за бисквитки се фокусират върху това дали банер е технически задължителен. Това е грешният въпрос. Историята на прилагането от CPPA ясно показва, че агенцията е далеч по-заинтересована от това как се представят изборите, отколкото от това дали изобщо съществува банер. Бизнес без банер, но с функционираща връзка Do Not Sell or Share в колонтитула и работещо разпознаване на GPC, е в по-силна позиция от бизнес с изпипан банер, който скрива опцията за отказ зад две допълнителни кликвания.

Изискването за симетрия в 11 CCR § 7004(a)(2) не е дизайнерско предпочитание. То е правен стандарт и регулаторите го прилагат на ниво пиксел. Бутон „Decline“, който е 20% по-малък от „Accept“, или изобразен в сиво, което не отговаря на стандартите за контрастно съотношение, е точно този вид детайл, който се появява в кореспонденцията по прилагане. Илюстративните примери в съвета не са хипотетични; те описват реални модели на интерфейс, които CPPA е маркирала.

Съществува също и упорито погрешно схващане, че GPC е нишов сигнал, използван от малък брой потребители, загрижени за поверителността. Контролите за поверителност на ниво браузър стават стандартни функции, а не изключения. Изграждането на обработка на GPC като допълнителна мисъл, а не като първокласен вход в процеса ви за отказ, е технически дълг, който се натрупва с течение на времето, тъй като все повече браузъри активират сигнала по подразбиране.

Най-устойчивата позиция за съответствие е тази, изградена върху документация: записвайте всяко дизайнерско решение, всяко събитие на отказ и всяко уведомление на трета страна. Регулаторите не очакват съвършенство; те очакват доказателства за добросъвестни, навременни действия.

Passiro поема техническата страна, за да можете да се съсредоточите върху решенията

Правилното внедряване на механиката за известия и отказ по CCPA/CPRA изисква платформа за управление на съгласието, която обработва разпознаването на GPC, автоматичното блокиране на скриптове и одитното логване, без да изисква персонализирано инженерство за всеки сайт. Passiro е регистрирана CMP по IAB TCF v2.3 (CMP ID 499) с интеграция на Google Consent Mode v2, база данни с над 4900 тракера, обновявана ежедневно от EasyPrivacy, и гео-таргетирани банери, които автоматично показват специфични за Калифорния известия на посетители от Калифорния.

Безплатният план покрива неограничен брой домейни и неограничен трафик, без ограничения за страници или изтичане. Визуалният дизайнер ви позволява да конфигурирате еднакво видими бутони Accept All и Decline All без да пишете CSS, а поддръжката на 25 езика обслужва многорегионални сайтове от един акаунт. Две ограничения, които си струва да се отбележат: Passiro не включва автоматизация на DSAR (Искане за достъп до данни на субекта) и не предлага функции за управление на риска на доставчиците. За тези функции е необходим специализиран инструмент за операции по поверителност наред с CMP.

За WordPress сайтове плъгинът Passiro за WordPress се инсталира за минути и обработва блокирането на скриптове, разпознаването на GPC и логването на съгласието директно. Потребителите на конструктори на сайтове като Wix, Squarespace или Webflow могат да го внедрят чрез интеграцията за конструктори на сайтове. Безплатният план е постоянен, а не пробен.

Полезни източници за допълнително четене

Следните основни документи са авторитетните референции за изискванията на CCPA/CPRA за бисквитки и съгласие. Споделете регулаторните цитати с правния си екип и използвайте съвета на CPPA за UX преглед.

• CPPA Enforcement Advisory No. 2024-02 (Consent): Основният източник за забраните на dark patterns, изискването за симетрия в избора и определението за валидно съгласие. Използвайте го за преглед на дизайна на банера и правно одобрение.
• CCPA March 15 Regulations (OAG): Окончателният текст на регулацията, обхващащ методите за отказ, обработката на GPC, 15-работния дни срок за съответствие и изискванията за уведомяване на трети страни. Използвайте го за технически QA и проектиране на процеса за отказ.
• CPPA Notice at Collection Guidance: Определя необходимото съдържание и разположение на Известието при събиране и политиката за поверителност. Използвайте го за изготвяне на политики и изграждане на таблица с бисквитки.
• California Consumer Privacy Act Statute (CPPA): Пълният законов текст на CCPA и CPRA, включително изискванията за връзката Do Not Sell or Share съгласно Civil Code § 1798.135. Използвайте го за правен преглед на обхвата и праговете за приложимост.
• California Code of Regulations, 11 CCR § 7004 (Westlaw): Регулаторният текст за методите за подаване на искания и получаване на съгласие, включително илюстративните примери за забранени асиметрични интерфейси. Използвайте го за документация за UX съответствие.
• CPPA Announcements (cppa.ca.gov): Текущи съобщения на агенцията и актуализации по прилагането. Наблюдавайте тази страница за нови съвети и нормотворческа дейност.
• OAG CCPA Overview (oag.ca.gov): Прегледът на California Attorney General за правата по CCPA и задълженията на бизнеса. Полезен като референция на разбираем език за незаинтересовани от правото участници.

Препоръчано

• Банери за бисквитки – Ръководство за дизайн, внедряване и съответствие | Passiro
• Уведомление за бисквитки: Ръководство за съответствие 2026 за собственици на уебсайтове | Passiro
• Съответствие за бисквитки – Пълното ви ръководство за съгласие за бисквитки и регулации за поверителност | Passiro
• Контролен списък за съответствие за бисквитки – Проверка от 25 точки за вашия уебсайт | Passiro