Hvad CPRA ændrede i Californiens privatlivslov

Sådan hænger CPRA sammen med CCPA

CPRA ændrede selve teksten i CCPA i stedet for at tilføje en parallel lov. I dag er der ét californisk regelsæt, CCPA som ændret, så byg ikke separate samtykkeforløb for “CCPA” og “CPRA”.

Brug guiden til CCPA til spørgsmål om, hvem der er omfattet, oplysningspligt, linket til fravalg og forbrugeranmodninger. Denne side forklarer, hvad der er ændret, og hvordan det påvirker din hjemmeside. De vigtigste datoer:

• November 2020: Californiens vælgere vedtog Proposition 24, CPRA.
• 1. januar 2023: CPRA’s ændringer af CCPA trådte i kraft.
• 1. juli 2023: civilretlig og administrativ håndhævelse af de ændrede bestemmelser kunne begynde for overtrædelser fra og med den dato.

Hvad der er ændret for hjemmesider

Tabellen opsummerer de ændringer, der oftest påvirker en hjemmeside; afsnittene nedenfor forklarer hver enkelt.

Deling til adfærdsbaseret annoncering på tværs af kontekster

Adfærdsbaseret annoncering på tværs af kontekster betyder målretning af annoncer ud fra en persons aktivitet på tværs af andre virksomheders hjemmesider, apps eller tjenester. Oplist de værktøjer, der modtager browsinghændelser, identifikatorer, køb eller målgruppedata, og tjek, om modtageren bruger dem på den måde.

En erklæring om, at “vi sælger aldrig personoplysninger”, kan være vildledende, hvis den ignorerer deling. Afstem erklæringen, fravalgsfunktionen og konfigurationen, og test både browser- og serverside-ruter. En leverandør, der leverer adfærdsbaseret annoncering på tværs af kontekster, er en tredjepart, ikke en tjenesteudbyder.

Følsomme personoplysninger og retten til begrænsning

Følsomme personoplysninger omfatter blandt andre kategorier offentligt udstedte id-numre, kontologin med adgangskoder, præcis geolokalisering, helbredsoplysninger og race eller etnisk oprindelse.

Loven tillader visse anvendelser uden ret til begrænsning, f.eks. at levere de varer eller tjenester, forbrugeren har bedt om. Retten til begrænsning gælder anvendelser ud over dem. At bruge loginoplysninger til at logge nogen ind er en tilladt anvendelse; genbrug af følsomme data til profilering er det muligvis ikke. Hvis du kun bruger dem til tilladte formål og oplyser det i din privatlivspolitik, behøver du ikke linket “Limit the Use of My Sensitive Personal Information”.

Ret til berigtigelse

En kunde kan bede dig om at berigtige unøjagtige personoplysninger, og du skal gøre en kommercielt rimelig indsats for at gøre det. Find den autoritative kilde og de systemer, der kopierer fra den.

Test én anmodning fra modtagelse til afslutning. Hvis en rettet oplysning senere overskrives af en gammel integration, kræver processen stadig arbejde.

Opbevaring og dataminimering

Fortæl ved eller før indsamlingen, hvor længe du har til hensigt at opbevare hver kategori af personoplysninger, eller hvilke kriterier du bruger, og opbevar dem ikke længere end rimeligt nødvendigt. Indsamling og brug skal også være rimeligt nødvendig og proportional i forhold til de formål, du har oplyst.

Undgå et vagt “så længe det er nødvendigt”, hvor en konkret periode er mulig. Sammenlign opbevaringen på tværs af hjemmesiden, analyseværktøjer, kundeplatform, eksport til annoncering og backups.

Kontrakter og kontrol med modtagere

Salg eller deling af data med en tredjepart, eller videregivelse til en tjenesteudbyder eller kontrahent, kræver en aftale, der begrænser brugen til bestemte formål, viderefører CCPA-forpligtelserne og giver dig mulighed for at gribe ind over for uautoriseret brug. En generel fortrolighedsklausul er ikke nok.

Kontrakter styrer ikke dataflows i sig selv. Tjek, at hver modtagers indstillinger og faktiske brug svarer til dens rolle i kontrakten.

Risikovurderinger, cybersikkerhedsrevisioner og ADMT

CPRA bad også Californiens privatlivsmyndighed om at udarbejde regler om risikovurderinger, cybersikkerhedsrevisioner og automatiseret beslutningsteknologi (ADMT). CPPA Board vedtog dem 24. juli 2025, Office of Administrative Law godkendte dem 22. september 2025, og de trådte i kraft 1. januar 2026 (CPPA’s side om regelarbejdet). Fristerne for at overholde dem indfases gradvist:

Læg mærke til, hvad der udløser risikovurderingen: en omfattet virksomhed, der deler personoplysninger til adfærdsbaseret annoncering på tværs af kontekster, sælger eller deler, så pligten kan gælde for en almindelig marketinghjemmeside. Vurderingerne skal opdateres inden for 45 dage efter en væsentlig ændring og gennemgås mindst hvert tredje år.

Fristerne for cybersikkerhedsrevisioner afhænger af den årlige bruttoomsætning: over 100 mio. $, første rapport senest 1. april 2028; 50–100 mio. $, senest 1. april 2029; under 50 mio. $, senest 1. april 2030. Gennemgå dine aktiviteter i forhold til disse regler, og hold den gennemgang adskilt fra konfigurationen af banneret.

Operationel tjekliste

Gennemgå disse punkter, hver gang du tilføjer en annonceintegration, en lokationsfunktion eller et personaliseringsværktøj, også selv om banneret er uændret.

• Deling: oplist alle værktøjer, der modtager browsing- eller målgruppedata, med deres rolle.
• Fravalgets virkning: bekræft, at salg og deling stopper i både browser- og serverside-flows.
• Følsomme data: afgør, om der kræves en “Limit”-funktion, og notér hvorfor.
• Opbevaring: afstem perioderne i din privatlivserklæring med de faktiske indstillinger i hvert system.
• Berigtigelse: følg én anmodning gennem alle tilknyttede systemer.
• Kontrakter: bekræft, at hver modtagers kontrakt svarer til dens faktiske brug.
• Nye pligter: afklar nu, om du skal udarbejde risikovurderinger, og senest 1. januar 2027, om ADMT-reglerne gælder for dig.

Ofte stillede spørgsmål