CCPA, CPRA og persónuverndarlöggjöf í Bandaríkjunum: Vafrakökusamræmi handan Evrópu

Bandaríkin nálgast vafrakökupersónuvernd á grundvallar-ólíkan hátt en Evrópa. Þar er engin alríkislöggjöf um vafrakökur, engin almenn krafa um samþykki og ekkert eitt persónuverndaryfirvald. Þess í stað skapar sívaxandi bútasaumur persónuverndarlaga á ríkisstigi æ flóknari umgjörð fyrir rekstraraðila vefsvæða. Að skilja bandarísku nálgunina — og hvernig hún víkur frá GDPR — er nauðsynlegt fyrir hvaða fyrirtæki sem er með gesti báðum megin Atlantshafsins.

Persónuverndarlandslagið í Bandaríkjunum: Yfirlit

Mikilvægasti munurinn á vafrakökulöggjöf í Bandaríkjunum og ESB er reglusetningarlíkanið:

• ESB-líkan: Opt-in (þátttaka valin). Þú verður að afla samþykkis áður en ónauðsynlegar vafrakökur eru settar. Sjálfgefið er engin rakning.
• Bandarískt líkan: Opt-out (frávalskostur). Þú mátt safna og deila persónuupplýsingum sjálfgefið, en þú verður að gefa neytendum kost á að afþakka. Sjálfgefið er rakning, með rofa til að slökkva á henni.

Þessi munur á hugmyndafræði endurspeglast í hverjum þætti vafrakökureglna. Í ESB biður vafrakökuborði um leyfi. Í Bandaríkjunum upplýsir vafrakökuborði (ef hann er þá til staðar) notendur venjulega um rétt þeirra til að afþakka.

Í ársbyrjun 2026 hafa heildstæð persónuverndarlög verið sett í að minnsta kosti 15 ríkjum, og fleiri eru til virkrar skoðunar. Aðeins fá þeirra hafa þó sérstakar afleiðingar fyrir vafrakökusamræmi.

Kalifornía: CCPA og CPRA

Kalifornía er mikilvægasta bandaríska ríkið hvað persónuverndarreglur varðar. California Consumer Privacy Act (CCPA), sem tók gildi 1. janúar 2020, voru fyrstu heildstæðu persónuverndarlögin á ríkisstigi. Þeim var verulega breytt með California Privacy Rights Act (CPRA), sem tók að fullu gildi 1. janúar 2023, og hófst framkvæmd hjá California Privacy Protection Agency (CPPA) þann 1. júlí 2023.

Hvernig vafrakökur tengjast CCPA/CPRA

CCPA/CPRA reglusetja ekki vafrakökur beint. Þess í stað reglusetja lögin söfnun, sölu og deilingu persónuupplýsinga, sem tekur til gagna sem safnað er í gegnum vafrakökur. Lykilhugtökin eru:

• „Persónuupplýsingar“ samkvæmt CCPA/CPRA taka til nettengdra auðkenna, IP-vistfanga, vafrasögu og upplýsinga um samskipti neytanda við vefsvæði — sem allt er algengt að safna í gegnum vafrakökur.
• „Sala“ er skilgreind víðtækt sem það að gera persónuupplýsingar aðgengilegar þriðja aðila gegn fjárhagslegu eða öðru verðmætu endurgjaldi. Ef auglýsingavafrakökur þriðja aðila á vefsvæði þínu deila gagna um gesti með auglýsinganetum getur það talist „sala“ samkvæmt CCPA.
• „Deiling“ (bætt við með CPRA) tekur til þess að gera persónuupplýsingar aðgengilegar þriðja aðila fyrir hegðunarmiðaðar auglýsingar þvert á samhengi, óháð því hvort peningar skipti um hendur. Þetta færir auglýsingavafrakökur skýrt inn í gildissviðið.

Lykilkröfur

1. Tengill fyrir „Ekki selja eða deila persónuupplýsingum mínum“: Ef vefsvæði þitt selur eða deilir persónuupplýsingum (sem tekur til flestra auglýsingavafraköku-tilvika) verður þú að bjóða skýrt merktan tengil á forsíðu sem gerir neytendum kleift að afþakka. Þetta er bandaríska hliðstæðan við kerfi til samþykkis vafraköku, þótt það starfi á opt-out en ekki opt-in grunni.
2. Global Privacy Control (GPC): Samkvæmt CPRA-reglugerðum sem CPPA gekk frá verða fyrirtæki að meðhöndla GPC-merki sem vafri notanda sendir sem gilda beiðni um afþökkun. GPC er merki á vafrastigi (svipað í eðli og gamla Do Not Track, en lagalega bindandi samkvæmt CCPA/CPRA). Ef vafri notanda sendir GPC-merki verður þú að hætta að selja eða deila persónuupplýsingum hans — sem þýðir að slökkva á auglýsinga- og rakningarvafrakökum fyrir þann notanda.
3. Upplýsingar í persónuverndarstefnu: Persónuverndarstefna þín verður að greina frá flokkum persónuupplýsinga sem safnað er, tilgangi söfnunar, flokkum þriðju aðila sem upplýsingum er deilt með, og hvort upplýsingar séu seldar eða þeim deilt.
4. Viðkvæmar persónuupplýsingar: CPRA innleiðir rétt til að „Takmarka notkun á viðkvæmum persónuupplýsingum mínum“. Ef vafrakökur safna viðkvæmum upplýsingum (svo sem nákvæmri staðsetningu) verða neytendur að geta takmarkað notkun þeirra.
5. Ólögráða einstaklingar: Fyrir neytendur undir 16 ára skiptir CCPA/CPRA yfir í opt-in líkan. Þú mátt ekki selja eða deila persónuupplýsingum neytanda sem þú veist að er undir 16 ára án staðfests samþykkis (frá neytandanum ef hann er 13-15 ára, frá foreldri/forsjáraðila ef hann er undir 13 ára).

Hverjir verða að fara eftir lögunum

CCPA/CPRA gilda um fyrirtæki í hagnaðarskyni sem stunda viðskipti í Kaliforníu og uppfylla eitthvað af eftirfarandi viðmiðum: árlegar heildartekjur yfir 25 milljónum dala; kaup, sölu eða deilingu persónuupplýsinga 100.000 eða fleiri neytenda eða heimila; eða þar sem 50% eða meira af árstekjum koma frá sölu eða deilingu persónuupplýsinga neytenda.

Önnur persónuverndarlög bandarískra ríkja

Nokkur önnur ríki hafa sett heildstæð persónuverndarlög sem hafa afleiðingar fyrir vafrakökusamræmi. Þótt ekkert þeirra sé jafn ítarlegt og CCPA/CPRA setja þau fram samræmd stef um afþökkunarrétt og gagnsæi gagna.

Colorado Privacy Act (CPA)

Í gildi frá: 1. júlí 2023. Framkvæmt af: dómsmálaráðherra Colorado.

Krefst afþökkunarréttar fyrir markmiðaðar auglýsingar og sölu persónuupplýsinga. Fyrirtæki verða að virða almenn afþökkunarkerfi (eins og GPC). Reglur Colorado krefjast sérstaklega „skýrrar og áberandi“ afþökkunaraðferðar og viðurkenna almenn afþökkunarmerki, sem gerir GPC-samræmi í raun skyldu fyrir fyrirtæki sem falla undir lögin.

Connecticut Data Privacy Act (CTDPA)

Í gildi frá: 1. júlí 2023. Framkvæmt af: dómsmálaráðherra Connecticut.

Svipuð lögum Colorado. Krefjast afþökkunar fyrir markmiðaðar auglýsingar, sölu persónuupplýsinga og prófílgerð. Krefjast viðurkenningar á almennum afþökkunarkerfum frá 1. janúar 2025. Veita sérstaka vernd fyrir viðkvæm gögn sem krefjast opt-in samþykkis.

Virginia Consumer Data Protection Act (VCDPA)

Í gildi frá: 1. janúar 2023. Framkvæmt af: dómsmálaráðherra Virginíu.

Veitir afþökkunarrétt fyrir markmiðaðar auglýsingar og sölu persónuupplýsinga. Krefst ekki viðurkenningar á almennum afþökkunarmerkjum (ólíkt Kaliforníu, Colorado og Connecticut). Krefst samþykkis fyrir vinnslu viðkvæmra gagna.

Texas Data Privacy and Security Act (TDPSA)

Í gildi frá: 1. júlí 2024. Framkvæmt af: dómsmálaráðherra Texas.

Athyglisvert víðtæk að gildissviði án tekjuviðmiðs — hún gildir um sérhverja einingu sem stundar viðskipti í Texas, vinnur persónugögn og er ekki smáfyrirtæki eins og SBA skilgreinir það. Krefst afþökkunar fyrir markmiðaðar auglýsingar og gagnasölu. Krefst viðurkenningar á almennum afþökkunarkerfum.

Oregon Consumer Privacy Act (OCPA)

Í gildi frá: 1. júlí 2024. Framkvæmt af: dómsmálaráðherra Oregon.

Gildir um fyrirtæki sem stýra eða vinna gögn 100.000+ neytenda í Oregon, eða 25.000+ neytenda ef 25%+ tekna koma frá gagnasölu. Veitir staðlaðan afþökkunarrétt og krefst 30 daga úrbótafrests vegna brota.

Samanburður: Bandarísk ríki og GDPR

Hagnýt nálgun: GDPR-samræmi nær yfir flestar bandarískar kröfur

Ef vefsvæði þitt fer þegar eftir GDPR ertu vel í stakk búinn fyrir bandarískt samræmi. Opt-in líkan GDPR er strangara en opt-out líkan nokkurs bandarísks ríkis. Þó eru til sérstakar bandarískar kröfur sem GDPR fjallar ekki um:

1. Tengill fyrir „Ekki selja eða deila“: GDPR krefst samþykkisstjórnunar, en ekki sérstaks tengils fyrir „Ekki selja eða deila“. Ef þú ert með gesti frá Kaliforníu og uppfyllir CCPA-viðmiðin þarftu þennan tengil.
2. Viðurkenning GPC-merkja: Þótt GDPR krefjist ekki viðurkenningar á vaframerkjum gera nokkur bandarísk ríki það að skyldu. Innleiðing á GPC-viðurkenningu er einföld og sýnir virðingu fyrir óskum notenda.
3. Sérstakar upplýsingar í persónuverndarstefnu: CCPA/CPRA krefjast upplýsinga sniðnar á tiltekinn hátt (flokkar upplýsinga sem safnað var síðustu 12 mánuði, flokkar upplýsingauppspretta o.s.frv.) sem eru frábrugðnar kröfum GDPR um persónuverndartilkynningu.
4. „Do Not Track“ á móti GPC: Gamla Do Not Track (DNT) vaframerkið var aldrei lagalega bindandi. GPC er arftaki þess og er lagalega bindandi samkvæmt CCPA/CPRA og nokkrum öðrum ríkislögum. Gakktu úr skugga um að samþykkisstjórnunarpallur þinn viðurkenni og bregðist við GPC-merkjum.

Horfur á alríkislöggjöf um persónuvernd í Bandaríkjunum

American Data Privacy and Protection Act (ADPPA) komst nær samþykki en nokkurt fyrra alríkisfrumvarp um persónuvernd þegar það náði fram í fulltrúadeildarnefnd um orku og viðskipti í júlí 2022, en það stöðvaðist á endanum. Á síðari þingum hafa komið fram endurnýjaðar tillögur, en í ársbyrjun 2026 hafa engin alríkislög um persónuvernd verið sett.

Helstu hindranirnar eru enn:

• Forgangur (preemption): Hvort alríkislög eigi að ganga framar ríkislögum (Kalifornía er andvíg forgangi sem myndi veikja CCPA/CPRA).
• Einkamálaréttur: Hvort einstaklingar eigi að geta lögsótt fyrirtæki beint vegna persónuverndarbrota.
• Opt-in á móti opt-out: Hvort alríkisstaðallinn eigi að taka upp opt-in líkan fyrir viðkvæm gögn eða viðhalda opt-out nálguninni.

Þar til alríkislög eru sett verða fyrirtæki að rata um bútasauminn ríki fyrir ríki. Hagnýta ráðið stendur óbreytt: byggðu samþykkisstjórnunarkerfi sem ræður við ströngustu kröfurnar (GDPR opt-in), og bættu við bandarísk-sértækum eiginleikum (afþökkunartenglum, GPC-stuðningi) eftir þörfum.

Ráðleggingar fyrir alþjóðlegt samræmi

Fyrir vefsvæði sem þjóna bæði gestum frá ESB og Bandaríkjunum er skilvirkasta nálgunin:

1. Innleiddu GDPR-samræmda samþykkisstjórnun sem grunnviðmið. Það gefur þér ströngasta líkanið, sem uppfyllir í eðli sínu vægari kröfur.
2. Bættu við kerfi fyrir „Ekki selja eða deila“ ef þú uppfyllir CCPA-viðmiðin eða ert með umtalsverða umferð frá Kaliforníu.
3. Innleiddu viðurkenningu GPC-merkja fyrir alla gesti. Það er einföld tæknileg innleiðing með umtalsverðum lagalegum ávinningi.
4. Notaðu staðsetningargreiningu til að bjóða viðeigandi samþykkisupplifun. Gestir frá ESB sjá opt-in borða; bandarískir gestir sjá minna áberandi tilkynningu með afþökkunarmöguleikum. Þetta jafnar samræmi og notendaupplifun.
5. Viðhaltu heildstæðum persónuverndarupplýsingum sem uppfylla bæði kröfur GDPR og CCPA/CPRA.

Alþjóðleg þróun stefnir ótvírætt í átt að aukinni persónuvernd og stjórn notenda á rakningartækni. Að byggja upp öfluga samþykkisstjórnun núna er fjárfesting sem mun skila arði eftir því sem nýjar reglugerðir halda áfram að koma fram.