CCPA, CPRA og amerikanske delstatslove for websites
Hvad CCPA, som ændret ved CPRA, og andre amerikanske delstatslove kræver af websites med cookies: meddelelse, fravalg af salg og deling og GPC.
Opt-out i stedet for opt-in
Amerikanske delstatslove om privatliv bygger mest på opt-out: et website må bruge cookies til statistik og annoncering, men skal informere de besøgende og lade dem fravælge salg af deres personoplysninger, deling af dem til adfærdsbaseret annoncering på tværs af sammenhænge og i de fleste delstater målrettet annoncering. Annoncecookies og pixels fra tredjeparter er ofte ”salg” eller ”deling” efter disse love.
California Consumer Privacy Act
CCPA, som ændret ved CPRA (i kraft siden 2023), gælder for virksomheder med gevinst for øje, der driver forretning i Californien og opfylder en af tre tærskler: en årlig bruttoomsætning over 25 millioner USD (inflationsjusteret), køb, salg eller deling af personoplysninger om 100.000 eller flere forbrugere eller husstande, eller mindst halvdelen af omsætningen fra salg eller deling af personoplysninger. Den kræver:
- en meddelelse ved indsamlingen om, hvad der indsamles, og hvorfor;
- et link ”Do Not Sell or Share My Personal Information” eller et alternativt fravalgslink;
- at signaler fra Global Privacy Control (GPC) i browseren respekteres som gyldigt fravalg;
- svar på anmodninger om indsigt, sletning og berigtigelse inden for 45 dage.
California Privacy Protection Agency og delstatens Attorney General håndhæver den med bøder pr. overtrædelse, der inflationsjusteres og er højere for forsætlige overtrædelser og overtrædelser, der involverer mindreårige.
Andre amerikanske delstater
Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Montana og en voksende liste af andre delstater har omfattende privatlivslove med lignende fravalgsrettigheder. Flere af dem, herunder Colorado, Connecticut, Texas og Oregon, kræver, at virksomheder respekterer universelle fravalgssignaler som GPC. Tærskler, regler for følsomme data og frister er forskellige fra delstat til delstat.
Hvordan Consentl hjælper
- En færdig regel for USA: opt-out, med en meddelelse og et link til præferencerne, hvor besøgende kan slå salg eller deling af deres data fra.
- Global Privacy Control respekteres automatisk: et GPC-signal tæller som fravalg, og registreringen angiver det.
- Tags holdes tilbage efter et fravalg, og Google Consent Mode opdateres.
- En formular til anmodninger om persondata med CCPA's frist på 45 dage i dit kontrolpanel og anmodninger om ”Do Not Sell or Share” uden identitetsbekræftelse, som reglerne kræver.
Ofte stillede spørgsmål
Gælder CCPA for et lille website?
Kun hvis virksomheden opfylder en af tærsklerne. Andre delstatslove har deres egne tærskler, ofte baseret på antallet af indbyggere, hvis data du behandler.
Har jeg brug for et cookiebanner til CCPA?
CCPA kræver ikke et opt-in-banner, men du skal give meddelelse og et nemt fravalg. Et banner med et link til præferencerne er en almindelig måde at gøre begge dele på.
Denne side er generel information, ikke juridisk rådgivning. Love og vejledning ændrer sig; tjek de gældende regler for din situation.