Hvad er CCPA? Californiens privatlivslovgivning forklaret

Hvis du driver en virksomhed, der betjener indbyggere i Californien, kan California Consumer Privacy Act (CCPA) gælde for dig. Denne skelsættende privatlivslov har ændret måden, virksomheder håndterer personlige data på i USA, og det er afgørende at forstå den for at sikre overholdelse.

I denne guide forklarer vi alt, hvad du behøver at vide om CCPA i klare, praktiske vendinger: fra hvem den gælder for, til hvilke rettigheder den giver forbrugere, til hvordan du kan sikre overholdelse.

Hvad er CCPA?

California Consumer Privacy Act (CCPA) er en databeskyttelseslov på delstatsniveau, der giver indbyggere i Californien større kontrol over de personlige oplysninger, som virksomheder indsamler om dem. Den trådte i kraft den 1. januar 2020, med håndhævelse fra den 1. juli 2020.

CCPA kaldes ofte "USA's GDPR", fordi det var den første omfattende privatlivslov i USA, selvom den har betydelige forskelle fra sin europæiske modpart.

CCPA vs. CPRA: Hvad ændrede sig?

I november 2020 godkendte vælgerne i Californien Proposition 24, der oprettede California Privacy Rights Act (CPRA). CPRA er i bund og grund CCPA 2.0: den ændrer og udvider den oprindelige lov.

Vigtige CPRA-ændringer, der trådte i kraft den 1. januar 2023:

• Oprettede et nyt håndhævelsesorgan: California Privacy Protection Agency (CPPA)
• Indførte kategorien "følsomme personlige oplysninger" med yderligere beskyttelse
• Udvidede retten til at rette unøjagtige data
• Forlængede tilbagebliksperioden for dataanmodninger fra 12 til 15 måneder
• Tredoblede omsætningstærsklen fra $25 million til $25 million (justeret for inflation)
• Tilføjede nye restriktioner for automatiseret beslutningstagning
• Indførte risikovurderinger for databehandling med høj risiko

Når folk i dag refererer til "CCPA", mener de typisk loven som ændret af CPRA.

Hvem gælder CCPA for?

CCPA gælder for kommercielle virksomheder, der driver forretning i Californien og opfylder mindst en af disse tærskler:

Omsætningstærskel

Årlige bruttoindtægter, der overstiger $25 million (justeret årligt for inflation, i øjeblikket $26.45 million for 2025)

Tærskel for forbrugerdata

Køb, salg eller deling af personlige oplysninger om 100,000 eller flere forbrugere eller husstande i Californien pr. år

Omsætning fra datasalg

Udled 50% eller mere af den årlige omsætning fra salg eller deling af forbrugeres personlige oplysninger

Usikker på, om CCPA gælder for dig? Lav en CCPA-compliant privatlivspolitik for at sikre, at du er dækket uanset din virksomheds størrelse.

Vigtige bemærkninger

• Du behøver ikke at være placeret i Californien: det er nok at betjene indbyggere i Californien
• Nonprofitorganisationer er generelt fritaget
• Tjenesteudbydere og kontraktparter har forskellige forpligtelser
• Loven gælder for personlige oplysninger indsamlet både online og offline

Hvilke personlige oplysninger beskytter CCPA?

CCPA har en bred definition af personlige oplysninger. Den dækker alle oplysninger, der identificerer, relaterer til eller med rimelighed kan kobles til en bestemt forbruger eller husstand i Californien.

Kategorier af personlige oplysninger

1. Identifikatorer

   • Rigtigt navn, alias, postadresse, e-mail, telefonnummer
   • Unik personlig identifikator, IP-adresse, kontonavn
   • Cpr-nummer, kørekort, pasnummer

2. Kundeoptegnelser

   • Købshistorik, betalingsoplysninger
   • Beskæftigelsesoplysninger
   • Uddannelsesoplysninger

3. Beskyttede klassifikationer

   • Alder, race, køn, seksuel orientering
   • Civilstand, veteranstatus
   • Handicapstatus

4. Kommercielle oplysninger

   • Købte produkter eller tjenester
   • Købs- eller forbrugshistorik
   • Tendenser eller præferencer

5. Biometriske oplysninger

   • Fingeraftryk, ansigtsgenkendelsesdata
   • Stemmeaftryk, irisscanninger
   • Adfærdsmønstre

6. Internetaktivitet

   • Browserhistorik, søgehistorik
   • Oplysninger om forbrugerens interaktion med websteder eller apps
   • Clickstream-data

7. Geolokationsdata

   • Præcise lokationsdata
   • Bevægelsesmønstre

8. Sensoriske data

   • Lyd, elektroniske, visuelle eller lignende oplysninger

9. Professionelle oplysninger

   • Nuværende eller tidligere jobhistorik
   • Resultatevalueringer

10. Slutninger

    • Profil, der afspejler præferencer, karakteristika, adfærd, holdninger

Følsomme personlige oplysninger (under CPRA)

CPRA oprettede en særlig kategori, der kræver yderligere beskyttelse:

• Cpr-numre, kørekortnumre, pasnumre
• Kontooplysninger med adgangskoder
• Præcis geolokation
• Racemæssig eller etnisk oprindelse, religiøs overbevisning, fagforeningsmedlemskab
• Indhold af post, e-mail og tekstbeskeder
• Genetiske data
• Biometriske data til identifikation
• Helbredsoplysninger
• Sexliv eller seksuel orientering

Forbrugerrettigheder under CCPA

CCPA giver forbrugere i Californien flere håndhævelige rettigheder:

Retten til at vide

Forbrugere kan anmode om:

• Hvilke kategorier af personlige oplysninger du har indsamlet
• Specifikke stykker personlige oplysninger, du opbevarer
• Kilder til disse oplysninger
• Forretningsmæssige formål med indsamlingen
• Tredjeparter, som du har delt data med

Du skal svare inden for 45 days (med en mulig forlængelse på 45 dage).

Retten til sletning

Forbrugere kan anmode om sletning af deres personlige oplysninger, med visse undtagelser (f.eks. gennemførelse af transaktioner, juridiske forpligtelser, sikkerhedsmæssige formål).

Retten til at fravælge salg/deling

Forbrugere kan fravælge salg eller deling af deres personlige oplysninger. Du skal levere et tydeligt link "Do Not Sell or Share My Personal Information" på dit websted.

Retten til at rette

Under CPRA kan forbrugere anmode om rettelse af unøjagtige personlige oplysninger.

Retten til at begrænse brugen af følsomme personlige oplysninger

CPRA giver forbrugere mulighed for at begrænse brugen og videregivelsen af deres følsomme personlige oplysninger til det, der er nødvendigt for at levere varer eller tjenester.

Retten til ikke at blive diskrimineret

Virksomheder må ikke diskriminere forbrugere for at udøve deres CCPA-rettigheder. Du kan dog tilbyde økonomiske incitamenter for dataindsamling, hvis det oplyses korrekt.

Virksomhedsforpligtelser under CCPA

Hvis CCPA gælder for din virksomhed, skal du:

1. Levere en privatlivspolitik

Din privatlivspolitik skal indeholde:

• Kategorier af indsamlede personlige oplysninger
• Kilder til personlige oplysninger
• Forretningsmæssige formål med indsamlingen
• Kategorier af tredjeparter, som du deler data med
• Forbrugerrettigheder under CCPA
• Hvordan disse rettigheder udøves
• Kategorier af solgte eller delte oplysninger (hvis relevant)
• Kategorier af indsamlede følsomme personlige oplysninger

2. Tilføje påkrævede links

Du skal levere:

• Et tydeligt, iøjnefaldende link med titlen "Do Not Sell or Share My Personal Information" (hvis du sælger/deler data)
• Et link til "Limit the Use of My Sensitive Personal Information" (hvis relevant under CPRA)
• Links i din privatlivspolitik til at anmode om dataadgang/sletning

3. Honorere forbrugeranmodninger

Etabler en proces til at:

• Verificere forbrugerens identitet
• Svare på anmodninger inden for 45 dage
• Levere data i et bærbart, let anvendeligt format
• Opbevare optegnelser over anmodninger i 24 måneder

4. Uddanne medarbejdere

Sørg for, at medarbejdere, der håndterer forbrugerhenvendelser eller -anmodninger, er uddannet i CCPA-krav og forbrugerrettigheder.

5. Opdatere kontrakter med tjenesteudbydere

Kontrakter med tjenesteudbydere skal:

• Forbyde salg af personlige oplysninger
• Forbyde opbevaring eller brug uden for kontrakten
• Kræve certificering af overholdelse

6. Gennemføre risikovurderinger (CPRA)

For databehandlingsaktiviteter med høj risiko skal du gennemføre og indsende cybersikkerhedsrevisioner og risikovurderinger til CPPA.

Klar til at overholde reglerne? Generer en CCPA-compliant privatlivspolitik, der dækker alle påkrævede oplysninger.

CCPA-straffe og håndhævelse

CCPA har både regulatorisk håndhævelse og privat søgsmålsret:

Administrative straffe

Justitsministeren i Californien (og nu CPPA under CPRA) kan pålægge:

• Op til $2,500 per violation
• Op til $7,500 per intentional violation

Tilsynsmyndigheder giver typisk en 30-dages afhjælpningsperiode for førstegangsovertrædelser, før der pålægges bøder.

Privat søgsmålsret (databrud)

Forbrugere kan sagsøge direkte for databrud, der involverer:

• Ukrypterede eller uredigerede personlige oplysninger
• Lovbestemte erstatninger på $100 to $750 per consumer, per incident
• Faktiske erstatninger, hvis de er højere

Bemærkelsesværdige CCPA-håndhævelsessager

• Sephora - $1.2 million i forlig for ikke at oplyse om salg af personlige oplysninger og honorere fravalgsanmodninger
• DoorDash - Forlig for utilstrækkelig meddelelse om datasalg
• Detailhandlere - Flere forlig for manglende "Do Not Sell"-links

CPPA påbegyndte aktiv håndhævelse i 2023 og har signaleret mere aggressiv handling fremover.

Sådan overholder du CCPA

Her er en praktisk køreplan til CCPA-overholdelse:

Trin 1: Afgør, om CCPA gælder

Beregn:

• Årlig omsætning
• Antal forbrugere i Californien, hvis data du behandler
• Omsætningsprocent fra datasalg

Trin 2: Datakortlægning

Gennemfør en dataopgørelse:

• Hvilke personlige oplysninger indsamler du?
• Fra hvilke kilder?
• Til hvilke formål?
• Med hvem deler du dem?
• Hvor længe opbevarer du dem?

Trin 3: Opdater din privatlivspolitik

Sørg for, at din politik indeholder:

• Alle påkrævede CCPA-oplysninger
• Klart, almindeligt sprog
• En let tilgængelig placering (footer-link)
• En 12-måneders opdateringscyklus

Trin 4: Implementer mekanismer for forbrugerrettigheder

Opsæt:

• Webformular til adgangs-/sletteanmodninger
• Gratis telefonnummer (for virksomheder med onlinetilstedeværelse)
• E-mailkontakt til anmodninger
• Identitetsverifikationsproces
• Svar-workflow med sporing af 45-dages-fristen

Trin 5: Tilføj påkrævede links

På dit websted:

• "Do Not Sell or Share My Personal Information"-link (hvis relevant)
• "Limit the Use of My Sensitive Personal Information"-link (hvis relevant)
• Link til privatlivspolitik i footeren

Trin 6: Gennemgå tredjepartsforhold

For tjenesteudbydere:

• Opdater kontrakter med CCPA-formuleringer
• Indhent certificeringer af overholdelse
• Revidér datadelingspraksisser

Trin 7: Uddan dit team

Sørg for, at personalet forstår:

• Hvad CCPA er, og hvem den gælder for
• Forbrugerrettigheder under CCPA
• Hvordan anmodninger håndteres
• Hvad der udgør et "salg" af data

Trin 8: Implementer tekniske kontroller

Opsæt:

• Cookie-samtykkestyring (til fravalg af salg)
• Datasletnings-workflows
• Værktøjer til dataportabilitet
• Genkendelse af fravalgssignaler (Global Privacy Control)

Brug for hjælp med cookies? Lav en cookiepolitik, der forklarer din sporingspraksis og honorerer fravalgsanmodninger.

CCPA vs. GDPR: Vigtige forskelle

Selvom begge love beskytter forbrugernes privatliv, har de vigtige forskelle:

Aspekt	CCPA	GDPR
Anvendelsesområde	Indbyggere i Californien	Indbyggere i EU
Virksomhedsstørrelse	Omsætnings-/datatærskler	Alle virksomheder, der behandler EU-data
Samtykkemodel	Fravalg (undtagen mindreårige)	Tilvalg påkrævet
Datasalg	Skal tillade fravalg	Generelt forbudt
Straffe	Op til $7,500/overtrædelse	Op til 4% af global omsætning
Databeskyttelsesrådgiver	Ikke påkrævet	Påkrævet for nogle
Retsgrundlag	Ikke påkrævet	Skal fastlægges for hvert formål
Håndhævelse	Delstatens justitsminister, CPPA, forbrugere	Tilsynsmyndigheder

Vigtigste pointe

GDPR er generelt mere omfattende og strengere. Hvis du allerede overholder GDPR, er du godt på vej til at overholde CCPA, men du skal stadig adressere CCPA-specifikke krav som "Do Not Sell"-linket og CCPA-oplysningsformuleringer.

Almindelige fejl ved CCPA-overholdelse

Undgå disse hyppige fejl:

1. Manglende "Do Not Sell"-link - Påkrævet, selvom du hævder, at du ikke "sælger" data i traditionel forstand
2. Utilstrækkelig privatlivspolitik - Skal indeholde alle 11 påkrævede kategorier af oplysninger
3. Ingen verifikationsproces - Skal verificere forbrugerens identitet, før der svares på anmodninger
4. Opkrævning af betaling for anmodninger - Kan ikke opkræve gebyrer for de første to anmodninger pr. år
5. Diskriminering af dem, der anmoder - Kan ikke nægte service eller opkræve forskellige priser fra forbrugere, der udøver rettigheder
6. Ignorering af autoriserede agenter - Skal honorere anmodninger fra forbrugerautoriserede agenter
7. Manglende honorering af Global Privacy Control - CPRA kræver genkendelse af browserbaserede fravalgssignaler
8. Manglende kontraktopdateringer - Aftaler med tjenesteudbydere skal indeholde specifikke CCPA-formuleringer

CCPA og andre delstaters privatlivslove

CCPA inspirerede lignende love på tværs af USA:

• Virginia (VCDPA) - I kraft 1. januar 2023
• Colorado (CPA) - I kraft 1. juli 2023
• Connecticut (CTDPA) - I kraft 1. juli 2023
• Utah (UCPA) - I kraft 31. december 2023
• Iowa, Montana, Oregon, Tennessee, Texas - Forskellige ikrafttrædelsesdatoer i 2024-2025

Mange virksomheder anlægger en landsdækkende tilgang og bruger CCPA som grundlinje for at undgå at vedligeholde separate overholdelsesprogrammer for hver delstat.

Kom godt i gang med CCPA-overholdelse

Det vigtigste første skridt er at lave en compliant privatlivspolitik, der:

1. Oplyser din datapraksis tydeligt - Hvad du indsamler, hvorfor og hvordan
2. Forklarer forbrugerrettigheder - Alle rettigheder, der er tilgængelige under CCPA/CPRA
3. Tilbyder kontaktmekanismer - Hvordan forbrugere kan udøve deres rettigheder
4. Oplister datasalg/-deling - Hvis relevant, hvilke kategorier du sælger eller deler
5. Opdateres årligt - Gennemgå og opdater mindst en gang hver 12. måned

Herfra implementerer du de tekniske og operationelle processer til at honorere forbrugerrettigheder og opretholde overholdelse.

Ofte stillede spørgsmål

Hvad står CCPA for?

CCPA står for California Consumer Privacy Act. Det er en omfattende databeskyttelseslov, der trådte i kraft den 1. januar 2020, og som giver indbyggere i Californien kontrol over deres personlige oplysninger.

Hvem gælder CCPA for?

CCPA gælder for kommercielle virksomheder, der driver forretning i Californien og opfylder mindst en af disse tærskler: en årlig omsætning på over $25 million, køb/salg af personlige oplysninger om 100,000+ forbrugere i Californien, eller udledning af 50%+ af omsætningen fra salg af personlige oplysninger.

Hvad er straffene for overtrædelser af CCPA?

Overtrædelser af CCPA kan medføre bøder på op til $2,500 pr. overtrædelse eller $7,500 pr. forsætlig overtrædelse. Overtrædelser i forbindelse med databrud kan føre til forbrugersøgsmål med erstatninger på $100-$750 pr. hændelse, pr. forbruger.

Hvad er forskellen mellem CCPA og CPRA?

CPRA (California Privacy Rights Act) er en ændring af CCPA, der trådte i kraft den 1. januar 2023. Den udvider forbrugerrettighederne, opretter California Privacy Protection Agency og indfører strengere krav til følsomme personlige oplysninger.

Skal jeg overholde både CCPA og GDPR?

Hvis du betjener både indbyggere i Californien og indbyggere i EU, skal du overholde begge love. CCPA er generelt mindre streng end GDPR, så hvis du allerede overholder GDPR, er du sandsynligvis tæt på at overholde CCPA.

Konklusion

CCPA repræsenterer et betydeligt skift i amerikansk privatlivslovgivning og giver forbrugere i Californien meningsfuld kontrol over deres personlige oplysninger. Selvom overholdelse kræver en indsats, herunder opdatering af politikker, implementering af anmodningsmekanismer og uddannelse af personale, er kerneprincippet ligetil: vær gennemsigtig om datapraksis og respekter forbrugernes valg.

For de fleste virksomheder er den største opgave det indledende overholdelsesarbejde. Når du har opdateret din privatlivspolitik, implementeret anmodnings-workflows og tilføjet påkrævede links, bliver løbende overholdelse rutine.

Nøglen er at starte nu. Med CPPA, der håndhæver aktivt, og forbrugere, der i stigende grad er bevidste om deres rettigheder, er CCPA-overholdelse ikke længere valgfri for virksomheder, der betjener indbyggere i Californien.

Klar til at lave din CCPA-compliant privatlivspolitik? Brug vores gratis generator til at lave en omfattende politik, der dækker alle CCPA-krav på få minutter.