GDPR vs CCPA: Vigtige forskelle forklaret

Hvis du indsamler personoplysninger fra forbrugere, er du nødt til at forstå verdens to mest indflydelsesrige privatlivslove: GDPR og CCPA. Selvom begge sigter mod at beskytte forbrugernes privatliv, anlægger de forskellige tilgange og har forskellige krav.

I denne omfattende guide sammenligner vi GDPR og CCPA side om side, forklarer de vigtigste forskelle og hjælper dig med at afgøre, hvilke love der gælder for din virksomhed.

Hvad er GDPR?

Databeskyttelsesforordningen (GDPR) er Den Europæiske Unions omfattende privatlivslov, der trådte i kraft den 25. maj 2018. Den gælder for enhver organisation, der behandler personoplysninger om EU-borgere, uanset hvor virksomheden er placeret.

GDPR anses for at være guldstandarden inden for privatlivslove med strenge krav til samtykke, gennemsigtighed og brugerrettigheder.

Vigtige fakta om GDPR:

• Jurisdiktion: Den Europæiske Union og Det Europæiske Økonomiske Samarbejdsområde
• Ikrafttrædelsesdato: 25. maj 2018
• Samtykkemodel: Opt-in (udtrykkeligt samtykke kræves før behandling)
• Maksimal bøde: Op til 20 millioner euro eller 4% af den globale årlige omsætning
• Omfang: Gælder for alle virksomheder, der behandler data om EU-borgere

Hvad er CCPA?

California Consumer Privacy Act (CCPA) er Californiens privatlivslov, der trådte i kraft den 1. januar 2020. Den blev styrket af California Privacy Rights Act (CPRA) i 2023, som tilføjede nye beskyttelser og oprettede California Privacy Protection Agency.

CCPA er den stærkeste privatlivslov på delstatsniveau i USA og har inspireret lignende love i andre delstater.

Vigtige fakta om CCPA:

• Jurisdiktion: Californien, USA
• Ikrafttrædelsesdato: 1. januar 2020 (CPRA: 1. januar 2023)
• Samtykkemodel: Opt-out (forbrugere kan fravælge datasalg)
• Maksimal bøde: 7.500 USD pr. forsætlig overtrædelse, 2.500 USD pr. uforsætlig
• Omfang: Gælder for kommercielle virksomheder, der opfylder tærskler for omsætning eller data

GDPR vs CCPA: Sammenligning side om side

Aspekt	GDPR	CCPA/CPRA
Geografisk omfang	EU/EØS-borgere globalt	Indbyggere i Californien
Hvem skal overholde	Enhver virksomhed, der behandler EU-data	Virksomheder, der opfylder tærskler for omsætning/data i Californien
Samtykkemodel	Opt-in (udtrykkeligt samtykke kræves)	Opt-out (oplysning og ret til fravalg)
Definition af personoplysninger	Enhver oplysning vedrørende en identificeret eller identificerbar person	Oplysninger, der identificerer, vedrører eller kan knyttes til en person eller husstand
Brugerrettigheder	Indsigt, berigtigelse, sletning, dataportabilitet, begrænsning, indsigelse, automatiseret beslutningstagning	Indsigt, sletning, berigtigelse, fravalg af salg/deling, begrænsning af brug af følsomme data
Samtykkealder	16 (eller 13-16, hvis medlemsstaten tillader det)	13 for ret til fravalg, 16 for datasalg
Underretning om databrud	72 timer til tilsynsmyndigheden	Uden urimelig forsinkelse til Californiens justitsminister og forbrugere
Maksimale sanktioner	20 millioner euro eller 4% af den globale omsætning	7.500 USD pr. forsætlig overtrædelse, 2.500 USD pr. uforsætlig
Privat søgsmålsret	Nej (undtagen Storbritannien efter Brexit)	Ja, for databrud (100-750 USD pr. forbruger pr. hændelse)
Tilsynsmyndighed	Databeskyttelsesmyndigheder i hvert EU-land	California Privacy Protection Agency (CPPA)
Databeskyttelsesrådgiver	Påkrævet for visse organisationer	Ikke påkrævet
Konsekvensanalyser	Påkrævet for behandling med høj risiko	Påkrævet for behandling med høj risiko (CPRA)

Har du brug for en overholdende privatlivspolitik? Generer en privatlivspolitik, der dækker både GDPR- og CCPA-krav på få minutter.

Vigtige forskelle forklaret

1. Opt-in vs. opt-out-samtykke

Dette er den mest grundlæggende forskel mellem de to love.

GDPR (Opt-in)

• Du skal indhente udtrykkeligt samtykke før, du indsamler eller behandler personoplysninger
• Forhåndsafkrydsede felter er ikke tilladt
• Samtykke skal være frivilligt, specifikt, informeret og utvetydigt
• Brugere skal foretage en aktiv handling (klikke, trykke, skrive)
• Mere restriktivt for virksomheder

CCPA (Opt-out)

• Du kan indsamle og bruge personoplysninger uden forudgående samtykke
• Du skal stille et link med teksten "Do Not Sell or Share My Personal Information" til rådighed
• Forbrugere kan fravælge når som helst
• Du skal efterkomme anmodninger om fravalg inden for 15 dage
• En mere erhvervsvenlig tilgang

2. Hvem skal overholde

GDPR

• Gælder for enhver organisation, der behandler personoplysninger om EU-borgere
• Ingen omsætningstærskel
• Intet minimumsantal af registrerede
• Ekstraterritorial rækkevidde verden over

CCPA/CPRA

• Gælder for kommercielle virksomheder, der opfylder mindst et af følgende:
  • Årlig bruttoomsætning på over 25 millioner USD
  • Køber, sælger eller deler personoplysninger om 100.000+ indbyggere i Californien årligt
  • Henter 50% eller mere af den årlige omsætning fra salg eller deling af personoplysninger
• Gælder kun for virksomheder, der opererer i Californien

3. Forbrugerrettigheder

Begge love giver forbrugerne betydelige rettigheder, men der er forskelle:

GDPR-rettigheder

• Ret til indsigt
• Ret til berigtigelse (rettelse)
• Ret til sletning (retten til at blive glemt)
• Ret til dataportabilitet
• Ret til at begrænse behandling
• Ret til at gøre indsigelse mod behandling
• Ret til ikke at være underlagt automatiseret beslutningstagning

CCPA/CPRA-rettigheder

• Ret til at vide, hvilke personoplysninger der indsamles
• Ret til at vide, om data sælges eller deles
• Ret til at få personoplysninger slettet
• Ret til at rette unøjagtige data (CPRA)
• Ret til at fravælge salg eller deling
• Ret til at begrænse brugen af følsomme personoplysninger (CPRA)
• Ret til ikke-diskrimination ved udøvelse af rettigheder

4. Definition af personoplysninger

GDPR

• Bredere definition
• Omfatter enhver oplysning, der direkte eller indirekte kan identificere en person
• Omfatter IP-adresser, enheds-id'er, cookies, lokationsdata
• Særlige kategorier for følsomme data (helbred, race, religion osv.)

CCPA

• Omfatter oplysninger, der identificerer, vedrører eller kan knyttes til en forbruger eller husstand
• Dækker også data på husstandsniveau (unikt for CCPA)
• 11 specifikke kategorier af personoplysninger
• Følsomme personoplysninger har særlige beskyttelser (CPRA)

5. Sanktioner og håndhævelse

GDPR-sanktioner

• Toleddet system
• Lavere niveau: Op til 10 millioner euro eller 2% af den globale omsætning
• Højere niveau: Op til 20 millioner euro eller 4% af den globale omsætning
• Tilsynsmyndigheder tager hensyn til hensigt, samarbejde og afhjælpende tiltag
• Ingen privat søgsmålsret (undtagen Storbritannien)

CCPA-sanktioner

• 2.500 USD pr. uforsætlig overtrædelse
• 7.500 USD pr. forsætlig overtrædelse
• 30 dages afhjælpningsperiode til at rette overtrædelser, før der pålægges bøder
• Privat søgsmålsret for databrud: 100-750 USD pr. forbruger pr. hændelse
• Håndhævelse ved justitsministeren

6. Krav til databeskyttelse

GDPR

• Konsekvensanalyser vedrørende databeskyttelse (DPIA'er) for behandling med høj risiko
• Databeskyttelsesrådgiver (DPO) påkrævet for visse organisationer
• Fortegnelser over behandlingsaktiviteter
• Privatliv gennem design og som standard
• Lovligt grundlag påkrævet for al behandling

CCPA/CPRA

• Risikovurderinger for behandling med høj risiko (CPRA)
• Intet krav om DPO
• Skal føre fortegnelser over forbrugeranmodninger
• Privatliv gennem design opfordres til, men er ikke påkrævet
• Oplysningskrav ved eller før indsamling

Hvilken privatlivslov er strengest?

GDPR anses generelt for at være mere omfattende og strengere af flere grunde:

1. Samtykke: GDPR kræver opt-in-samtykke på forhånd, mens CCPA tillader opt-out
2. Omfang: GDPR gælder for alle virksomheder, mens CCPA har omsætningstærskler
3. Sanktioner: GDPR-bøder kan være meget højere (4% af den globale omsætning vs. bøder pr. overtrædelse)
4. Rettigheder: GDPR giver mere omfattende rettigheder til de registrerede
5. Krav: GDPR har strengere krav til sikkerhed, dokumentation og ansvarlighed

Dog har CCPA unikke fordele for forbrugerne:

• Privat søgsmålsret for databrud
• Hurtigere håndhævelse med kortere afhjælpningsperioder
• Ret til at fravælge "deling" af data (bredere end "salg")

Beskyt din virksomhed: Opret en omfattende privatlivspolitik, der adresserer både GDPR- og CCPA-krav.

Skal du overholde begge?

Hvis du har kunder i både EU og Californien, ja.

Mange virksomheder vælger en af to tilgange:

Tilgang 1: Dobbelt overholdelse

• Udarbejd en privatlivspolitik, der udtrykkeligt adresserer både GDPR og CCPA
• Implementer de strengeste krav (normalt GDPR's opt-in-samtykke)
• Oprethold separate overholdelsesprocesser for hvert regelsæt
• Mere komplekst, men potentielt mere omkostningseffektivt

Tilgang 2: Global privatlivsstandard

• Anvend de strengeste krav (GDPR) på alle brugere globalt
• Forenkler overholdelse og dokumentation
• Giver en ensartet brugeroplevelse
• Kan begrænse nogle muligheder for dataindsamling

De fleste virksomheder vælger Tilgang 2, fordi:

• Den er enklere at implementere og vedligeholde
• Den fremtidssikrer mod nye privatlivslove
• Den opbygger forbrugertillid
• Den reducerer juridisk risiko

Praktiske tips til overholdelse

For GDPR-overholdelse:

1. Implementer opt-in-samtykke for alle ikke-essentielle cookies og sporing
2. Udarbejd en omfattende privatlivspolitik med de påkrævede oplysninger
3. Etabler processer til håndtering af anmodninger fra registrerede (indsigt, sletning, portabilitet)
4. Gennemfør DPIA'er for databehandling med høj risiko
5. Udnævn en DPO, hvis det er påkrævet
6. Dokumenter alt: dit lovlige grundlag, samtykkefortegnelser, behandlingsaktiviteter

For CCPA-overholdelse:

1. Tilføj et link med teksten "Do Not Sell or Share My Personal Information" til din websides sidefod
2. Opdater din privatlivspolitik med de oplysninger, CCPA kræver
3. Opret en formular til dataanmodninger, så forbrugere kan udøve deres rettigheder
4. Uddan dit team i CCPA-krav, og hvordan anmodninger håndteres
5. Før fortegnelser over forbrugeranmodninger og svar
6. Gennemgå kontrakter med tredjeparter for at sikre, at leverandører overholder reglerne

For begge:

1. Gennemfør en dataaudit: vid, hvad du indsamler, hvorfor og hvor det havner
2. Implementer stærk sikkerhed: kryptering, adgangskontrol, regelmæssige audits
3. Brug en privatlivspolitik-generator for at sikre, at alle påkrævede elementer er medtaget
4. Opret et cookie-samtykkebanner med detaljerede kontroller
5. Etabler opbevaringspolitikker: behold ikke data længere end nødvendigt
6. Hold øje med opdateringer: begge love er under udvikling

Almindelige scenarier

Scenarie 1: Lille amerikansk virksomhed

• Omsætning: 5 millioner USD årligt
• Kunder: 95% USA, 5% internationalt, herunder nogle EU-besøgende
• Overholdelse: GDPR gælder (EU-besøgende), CCPA gælder muligvis ikke (under omsætningstærsklen)

Scenarie 2: Californisk e-handelsside

• Omsætning: 30 millioner USD årligt
• Kunder: 80% Californien, 20% andre amerikanske delstater
• Overholdelse: CCPA gælder (omsætningstærskel opfyldt), GDPR gælder muligvis ikke (ingen EU-kunder)

Scenarie 3: SaaS-platform

• Omsætning: 50 millioner USD årligt
• Kunder: Globalt, herunder EU og Californien
• Overholdelse: Både GDPR og CCPA gælder. Dobbelt overholdelse påkrævet

Scenarie 4: Mobilapp

• Omsætning: 15 millioner USD årligt
• Brugere: 150.000 downloads i Californien
• Overholdelse: CCPA gælder (overstiger tærsklen på 100.000 indbyggere i Californien)

Fremtiden for privatlivslove

Både GDPR og CCPA har inspireret en bølge af nye privatlivslove:

Amerikanske delstatslove

• Virginia Consumer Data Protection Act (VCDPA)
• Colorado Privacy Act (CPA)
• Connecticut Data Privacy Act (CTDPA)
• Utah Consumer Privacy Act (UCPA)
• Og flere under udarbejdelse

Internationale love

• Brasiliens LGPD
• Opdateringer til Canadas PIPEDA
• Kinas PIPL
• Indiens foreslåede databeskyttelseslov

Tendensen er klar: privatlivsreglerne bliver strengere og mere udbredte. Virksomheder, der implementerer stærke privatlivspraksisser nu, vil være bedre rustet til fremtidige regler.

Ofte stillede spørgsmål

Hvad er den vigtigste forskel mellem GDPR og CCPA?

Den vigtigste forskel er samtykkemodellen. GDPR kræver opt-in-samtykke, før der indsamles personoplysninger, mens CCPA bruger en opt-out-model, hvor virksomheder kan indsamle data, men skal give forbrugerne mulighed for at fravælge salget af dem.

Hvilken er strengest, GDPR eller CCPA?

GDPR anses generelt for at være strengest. Den har et bredere omfang, kræver udtrykkeligt samtykke på forhånd, giver flere brugerrettigheder og pålægger højere sanktioner. CCPA er mere erhvervsvenlig med sin opt-out-tilgang.

Skal jeg overholde både GDPR og CCPA?

Hvis du har kunder i både EU og Californien, ja. GDPR gælder for EU-borgere, og CCPA gælder for indbyggere i Californien. Mange virksomheder udarbejder en enkelt privatlivspolitik, der adresserer begge regelsæt.

Hvad er sanktionerne for at overtræde GDPR vs CCPA?

GDPR-bøder kan nå op til 20 millioner euro eller 4% af den globale årlige omsætning. CCPA-bøder er op til 7.500 USD pr. forsætlig overtrædelse og 2.500 USD pr. uforsætlig overtrædelse, plus private søgsmål for databrud.

Gælder CCPA for min virksomhed?

CCPA gælder, hvis du driver virksomhed i Californien og opfylder et af disse kriterier: en årlig omsætning på over 25 millioner USD, køber/sælger personoplysninger om 100.000+ indbyggere i Californien, eller henter 50% eller mere af omsætningen fra salg af personoplysninger.

Konklusion

Selvom GDPR og CCPA deler det samme mål, nemlig at beskytte forbrugernes privatliv, anlægger de forskellige tilgange. GDPR er mere omfattende og streng med sin opt-in-samtykkemodel, mens CCPA tilbyder mere fleksibilitet med opt-out-rettigheder, men inkluderer en privat søgsmålsret ved brud.

For virksomheder, der betjener både EU- og californiske kunder, er den bedste tilgang at implementere privatlivspraksisser, der opfylder begge love. Dette betyder typisk at følge GDPR's strengere krav, hvilket automatisk også dækker CCPA.

Nøglen til overholdelse er gennemsigtighed, respekt for forbrugerrettigheder og robuste datasikkerhedspraksisser. Begynd med en omfattende privatlivspolitik, der tydeligt forklarer dine datapraksisser, og byg dit overholdelsesprogram op derfra.

Klar til at oprette en privatlivspolitik, der dækker både GDPR og CCPA? Brug vores gratis generator til at oprette en overholdende politik på få minutter med professionelle add-ons til begge regelsæt.