CCPA: Hvad Californiens regler om privatliv betyder for din hjemmeside

CCPA og CPRA: én ændret lov

Vælgerne i Californien vedtog California Privacy Rights Act (CPRA) i november 2020. Den ændrede CCPA med virkning fra 1. januar 2023, så der findes ikke et separat CPRA-regelsæt: vurder din hjemmeside efter CCPA, som den er ændret.

Denne guide dækker omfanget og det centrale forløb på hjemmesiden. Guiden til CPRA forklarer, hvad ændringerne indebar, herunder følsomme personoplysninger, berigtigelse, opbevaring og forskrifterne fra 2025.

Hvem CCPA omfatter

Tærsklerne øverst på denne side kommer fra California Privacy Protection Agency’s FAQ. Omsætningsbeløbet reguleres for inflation hvert ulige år: 26.625.000 $ har gældt siden 1. januar 2025, og den næste regulering skal ske 1. januar 2027.

En virksomhed uden for Californien kan stadig være omfattet, og det samme kan tilknyttede selskaber, der deler en omfattet virksomheds brand og personoplysninger. Visse organisationer og typer af oplysninger er undtaget. Antallet af besøg på hjemmesiden kan ikke erstatte testen af 100.000 forbrugere eller husstande.

Notér, hvorfor du er omfattet eller ej, og vurder det igen, når omsætningen, forretningsmodellen eller datapraksis ændrer sig.

Salg, deling, annoncering og tjenesteudbydere

Fravalget omfatter salg og deling. Om et værktøj er omfattet, afhænger af, hvad modtageren gør med dataene, og af kontrakten bag, ikke af værktøjets navn.

At kalde et værktøj “statistik” eller at flytte den samme hændelse fra en pixel til en forbindelse på serversiden ændrer ikke vurderingen.

Sådan ser et fungerende “Do Not Sell or Share”-valg ud

En virksomhed, der sælger eller deler personoplysninger, som den indsamler online, skal tilbyde mindst to metoder til fravalg. Den ene er behandling af præferencesignaler for fravalg som GPC. Den anden er en af disse:

• Linket “Do Not Sell or Share My Personal Information” i forsidens header eller footer, som straks registrerer den besøgendes fravalg eller fører til en formular til fravalg.
• Alternativt fravalgslink (Alternative Opt-out Link): ét link med teksten “Your Privacy Choices” eller “Your California Privacy Choices” og det officielle fravalgsikon, som dækker fravalget og retten til at begrænse brugen af følsomme personoplysninger.
• Intet link: kun hvis du behandler signaler friktionsfrit, signalet fuldt ud gennemfører fravalget (også eventuelt salg eller deling offline), og din privatlivspolitik forklarer det.

Et generisk cookiebanner eller et panel med cookieindstillinger er ikke i sig selv en acceptabel metode, fordi det handler om indsamling, ikke om salg eller deling. Kontrollen skal nævne salg og deling, kræve så få trin som muligt og må ikke kræve en konto (CCPA-forskrifterne § 7013, § 7015 og § 7026).

Eksempel: et link i en webshops footer

Illustrativt eksempel: en webshop, der sælger friluftsudstyr, bruger en annoncepixel og en ugentlig upload af kundelister til adfærdsbaseret annoncering på tværs af kontekster. Linket “Your Privacy Choices” i footeren, med fravalgsikonet, åbner en side, der forklarer rettigheden og tilbyder to lige fremtrædende knapper: “Fravælg salg og deling” og “Behold nuværende indstillinger”. Den aktuelle status angives i tekst.

Når den besøgende fravælger:

• Pixlen holder op med at sende denne browsers hændelser til platformen til adfærdsbaseret annoncering på tværs af kontekster.
• En indlogget kundes konto markeres og udelades af den næste upload af kundelisten.
• Tredjeparter, der modtog dataene efter anmodningen, men før webshoppen handlede, får besked om fravalget.
• Siden bekræfter resultatet, fx “Opt-Out Request Honored”.
• Checkout, kurven og statistik hos tjenesteudbydere fortsætter.

Stop så hurtigt, som det er praktisk muligt, og senest inden for 15 arbejdsdage; overførsler, du kan stoppe med det samme, fx realtidsbudgivning på annoncer, bør stoppe straks. Vent derefter mindst 12 måneder, før du beder den besøgende om at tilvælge igen.

Respektér præferencesignaler for fravalg

En omfattet virksomhed, der sælger eller deler, skal behandle et kvalificeret signal, fx Global Privacy Control, som et gyldigt fravalg for den pågældende browser eller enhed og enhver profil, der er knyttet til den, og for forbrugeren, hvis vedkommende er kendt. Pligten bortfalder ikke, fordi du viser linkene til fravalg.

Test et første besøg, et gentaget besøg og en indlogget konto, også destinationer på serversiden. Guiden til Global Privacy Control dækker konflikter med tidligere valg og den påkrævede statusmeddelelse.

Oplysningspligt og forbrugeranmodninger

Personoplysninger omfatter cookie-id’er, browsingaktivitet og data knyttet til en husstand. Notér for hvert værktøj, hvad det indsamler, hvorfor og hvem der modtager det, herunder indlejrede tjenester og integrationer på serversiden.

Giv oplysninger ved eller før indsamlingen: kategorierne, formålene og om oplysningerne sælges eller deles, med et link til din privatlivspolitik. Tjek leadformularer, kontooprettelse og kampagnelandingssider ud over forsiden. CCPA-siden fra Californiens Attorney General opsummerer disse pligter.

Understøt anmodninger om indsigt, sletning, berigtigelse og udlevering af oplysninger i et overførbart format, med forbehold for undtagelserne og uden at straffe folk for at bruge deres rettigheder. Verificér identiteten i et rimeligt omfang ved disse anmodninger; fravalg kræver ingen verifikation. Sørg for, at hver anmodning når de systemer og leverandører, der har dataene.

Tjekliste til din hjemmeside

• Omfang: notér, hvilken tærskel der gælder, eller hvorfor ingen af dem gør.
• Modtagere: markér hvert værktøj som salg, deling, tjenesteudbyder eller kontraktpart.
• Fravalgsmetode: vælg linket, det alternative link eller friktionsfri håndtering af signaler.
• Effekt: bekræft, at pixels, serverhændelser og upload af lister stopper efter et fravalg.
• Signaler: test GPC ved et nyt besøg og på en indlogget konto.
• Anmodninger: følg en anmodning om indsigt, sletning og berigtigelse gennem de tilknyttede systemer.

Ofte stillede spørgsmål