GDPR a CCPA: kluczowe różnice wyjaśnione

Jeśli zbierasz dane osobowe od konsumentów, musisz zrozumieć dwa najbardziej wpływowe na świecie przepisy o ochronie prywatności: GDPR i CCPA. Choć oba mają na celu ochronę prywatności konsumentów, przyjmują różne podejścia i mają odmienne wymagania.

W tym kompleksowym przewodniku porównamy GDPR i CCPA obok siebie, wyjaśnimy kluczowe różnice i pomożemy Ci ustalić, które przepisy dotyczą Twojej firmy.

Czym jest GDPR?

Ogólne rozporządzenie o ochronie danych (GDPR) to kompleksowe prawo Unii Europejskiej dotyczące prywatności danych, które weszło w życie 25 maja 2018 roku. Dotyczy każdej organizacji, która przetwarza dane osobowe mieszkańców UE, niezależnie od tego, gdzie firma ma siedzibę.

GDPR jest uważane za złoty standard przepisów o ochronie prywatności, ze ścisłymi wymaganiami dotyczącymi zgody, przejrzystości i praw użytkowników.

Kluczowe fakty o GDPR:

• Jurysdykcja: Unia Europejska i Europejski Obszar Gospodarczy
• Data wejścia w życie: 25 maja 2018
• Model zgody: Opt-in (wymagana wyraźna zgoda przed przetwarzaniem)
• Maksymalna kara: Do 20 milionów euro lub 4% globalnego rocznego przychodu
• Zakres: Dotyczy wszystkich firm przetwarzających dane mieszkańców UE

Czym jest CCPA?

California Consumer Privacy Act (CCPA) to kalifornijskie prawo o ochronie prywatności danych, które weszło w życie 1 stycznia 2020 roku. Zostało wzmocnione przez California Privacy Rights Act (CPRA) w 2023 roku, który dodał nowe zabezpieczenia i utworzył California Privacy Protection Agency.

CCPA jest najsilniejszym stanowym prawem o ochronie prywatności w Stanach Zjednoczonych i zainspirowało podobne przepisy w innych stanach.

Kluczowe fakty o CCPA:

• Jurysdykcja: Kalifornia, Stany Zjednoczone
• Data wejścia w życie: 1 stycznia 2020 (CPRA: 1 stycznia 2023)
• Model zgody: Opt-out (konsumenci mogą zrezygnować ze sprzedaży danych)
• Maksymalna kara: 7500 USD za umyślne naruszenie, 2500 USD za nieumyślne
• Zakres: Dotyczy firm nastawionych na zysk, które spełniają progi przychodowe lub danych

GDPR a CCPA: porównanie obok siebie

Aspekt	GDPR	CCPA/CPRA
Zakres geograficzny	Mieszkańcy UE/EOG na całym świecie	Mieszkańcy Kalifornii
Kto musi przestrzegać	Każda firma przetwarzająca dane UE	Firmy spełniające progi przychodowe/danych w Kalifornii
Model zgody	Opt-in (wymagana wyraźna zgoda)	Opt-out (informacja i prawo do rezygnacji)
Definicja danych osobowych	Wszelkie dane dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby	Informacje, które identyfikują, odnoszą się lub mogą być powiązane z osobą lub gospodarstwem domowym
Prawa użytkowników	Dostęp, sprostowanie, usunięcie, przenoszenie, ograniczenie, sprzeciw, zautomatyzowane podejmowanie decyzji	Wiedza, usunięcie, sprostowanie, rezygnacja ze sprzedaży/udostępniania, ograniczenie wykorzystania danych wrażliwych
Wiek zgody	16 (lub 13-16, jeśli państwo członkowskie na to pozwala)	13 dla praw opt-out, 16 dla sprzedaży danych
Powiadomienie o naruszeniu danych	72 godziny do organu nadzorczego	Bez nieuzasadnionej zwłoki do prokuratora generalnego Kalifornii i konsumentów
Maksymalne kary	20 milionów euro lub 4% globalnego przychodu	7500 USD za umyślne naruszenie, 2500 USD za nieumyślne
Prawo do pozwu prywatnego	Nie (z wyjątkiem Wielkiej Brytanii po Brexicie)	Tak, w przypadku naruszeń danych (100-750 USD na konsumenta za incydent)
Organ regulacyjny	Organy ochrony danych w każdym kraju UE	California Privacy Protection Agency (CPPA)
Inspektor ochrony danych	Wymagany dla niektórych organizacji	Niewymagany
Oceny skutków	Wymagane dla przetwarzania wysokiego ryzyka	Wymagane dla przetwarzania wysokiego ryzyka (CPRA)

Potrzebujesz zgodnej polityki prywatności? Wygeneruj politykę prywatności, która spełnia wymagania zarówno GDPR, jak i CCPA w kilka minut.

Kluczowe różnice wyjaśnione

1. Zgoda opt-in a opt-out

To najbardziej fundamentalna różnica między tymi dwoma przepisami.

GDPR (Opt-In)

• Musisz uzyskać wyraźną zgodę przed zebraniem lub przetwarzaniem danych osobowych
• Wstępnie zaznaczone pola są niedozwolone
• Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna
• Użytkownicy muszą podjąć działanie potwierdzające (kliknięcie, dotknięcie, wpisanie)
• Bardziej restrykcyjne dla firm

CCPA (Opt-Out)

• Możesz zbierać i wykorzystywać dane osobowe bez uprzedniej zgody
• Musisz udostępnić link "Do Not Sell or Share My Personal Information"
• Konsumenci mogą zrezygnować w dowolnym momencie
• Musisz uwzględnić żądania rezygnacji w ciągu 15 dni
• Podejście bardziej przyjazne dla firm

2. Kto musi przestrzegać

GDPR

• Dotyczy każdej organizacji przetwarzającej dane osobowe mieszkańców UE
• Brak progu przychodowego
• Brak minimalnej liczby osób, których dane dotyczą
• Eksterytorialny zasięg na całym świecie

CCPA/CPRA

• Dotyczy firm nastawionych na zysk, które spełniają co najmniej jedno z kryteriów:
  • Roczny przychód brutto przekraczający 25 milionów USD
  • Kupno, sprzedaż lub udostępnianie danych osobowych ponad 100 000 mieszkańców Kalifornii rocznie
  • Uzyskiwanie 50% lub więcej rocznego przychodu ze sprzedaży lub udostępniania danych osobowych
• Dotyczy wyłącznie firm działających w Kalifornii

3. Prawa konsumentów

Oba przepisy przyznają konsumentom istotne prawa, ale istnieją różnice:

Prawa GDPR

• Prawo dostępu
• Prawo do sprostowania (poprawienia)
• Prawo do usunięcia (prawo do bycia zapomnianym)
• Prawo do przenoszenia danych
• Prawo do ograniczenia przetwarzania
• Prawo do sprzeciwu wobec przetwarzania
• Prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji

Prawa CCPA/CPRA

• Prawo do wiedzy, jakie dane osobowe są zbierane
• Prawo do wiedzy, czy dane są sprzedawane lub udostępniane
• Prawo do usunięcia danych osobowych
• Prawo do sprostowania nieprawidłowych danych (CPRA)
• Prawo do rezygnacji ze sprzedaży lub udostępniania
• Prawo do ograniczenia wykorzystania wrażliwych danych osobowych (CPRA)
• Prawo do niedyskryminacji za korzystanie z praw

4. Definicja danych osobowych

GDPR

• Szersza definicja
• Obejmuje wszelkie dane, które mogą bezpośrednio lub pośrednio zidentyfikować osobę
• Obejmuje adresy IP, identyfikatory urządzeń, pliki cookie, dane o lokalizacji
• Specjalne kategorie danych wrażliwych (zdrowie, rasa, religia itp.)

CCPA

• Obejmuje informacje, które identyfikują, odnoszą się lub mogą być powiązane z konsumentem lub gospodarstwem domowym
• Obejmuje również dane na poziomie gospodarstwa domowego (unikalne dla CCPA)
• 11 konkretnych kategorii danych osobowych
• Wrażliwe dane osobowe mają specjalną ochronę (CPRA)

5. Kary i egzekwowanie

Kary GDPR

• System dwustopniowy
• Niższy poziom: Do 10 milionów euro lub 2% globalnego przychodu
• Wyższy poziom: Do 20 milionów euro lub 4% globalnego przychodu
• Regulatorzy biorą pod uwagę intencje, współpracę i działania łagodzące
• Brak prawa do pozwu prywatnego (z wyjątkiem Wielkiej Brytanii)

Kary CCPA

• 2500 USD za nieumyślne naruszenie
• 7500 USD za umyślne naruszenie
• 30-dniowy okres na usunięcie naruszeń przed nałożeniem kar
• Prawo do pozwu prywatnego w przypadku naruszeń danych: 100-750 USD na konsumenta za incydent
• Egzekwowanie przez prokuratora generalnego

6. Wymagania dotyczące ochrony danych

GDPR

• Oceny skutków dla ochrony danych (DPIA) dla przetwarzania wysokiego ryzyka
• Inspektor ochrony danych (DPO) wymagany dla niektórych organizacji
• Rejestry czynności przetwarzania
• Ochrona prywatności już w fazie projektowania i domyślnie
• Wymagana podstawa prawna dla wszystkich operacji przetwarzania

CCPA/CPRA

• Oceny ryzyka dla przetwarzania wysokiego ryzyka (CPRA)
• Brak wymogu DPO
• Konieczność prowadzenia rejestrów żądań konsumentów
• Ochrona prywatności w fazie projektowania zalecana, ale nieobowiązkowa
• Wymogi informacyjne w momencie zbierania lub przed nim

Które prawo o ochronie prywatności jest bardziej restrykcyjne?

GDPR jest ogólnie uważane za bardziej kompleksowe i bardziej restrykcyjne z kilku powodów:

1. Zgoda: GDPR wymaga zgody opt-in z góry, podczas gdy CCPA pozwala na opt-out
2. Zakres: GDPR dotyczy wszystkich firm, podczas gdy CCPA ma progi przychodowe
3. Kary: Kary GDPR mogą być znacznie wyższe (4% globalnego przychodu w porównaniu z karami za naruszenie)
4. Prawa: GDPR przyznaje szersze prawa osobom, których dane dotyczą
5. Wymagania: GDPR ma bardziej rygorystyczne wymagania dotyczące bezpieczeństwa, dokumentacji i odpowiedzialności

Jednak CCPA ma unikalne zalety dla konsumentów:

• Prawo do pozwu prywatnego w przypadku naruszeń danych
• Szybsze egzekwowanie z krótszymi okresami naprawczymi
• Prawo do rezygnacji z "udostępniania" danych (szersze niż "sprzedaż")

Chroń swoją firmę: Stwórz kompleksową politykę prywatności, która spełnia wymagania zarówno GDPR, jak i CCPA.

Czy musisz przestrzegać obu przepisów?

Jeśli masz klientów zarówno w UE, jak i w Kalifornii, to tak.

Wiele firm przyjmuje jedno z dwóch podejść:

Podejście 1: Podwójna zgodność

• Stwórz politykę prywatności, która wyraźnie uwzględnia zarówno GDPR, jak i CCPA
• Wdróż bardziej restrykcyjne wymagania (zwykle zgodę opt-in z GDPR)
• Utrzymuj osobne procesy zgodności dla każdej regulacji
• Bardziej złożone, ale potencjalnie bardziej opłacalne

Podejście 2: Globalny standard prywatności

• Zastosuj najbardziej restrykcyjne wymagania (GDPR) do wszystkich użytkowników na całym świecie
• Upraszcza zgodność i dokumentację
• Zapewnia spójne doświadczenie użytkownika
• Może ograniczyć niektóre możliwości zbierania danych

Większość firm wybiera Podejście 2, ponieważ:

• Jest prostsze do wdrożenia i utrzymania
• Zabezpiecza na przyszłość przed nowymi przepisami o ochronie prywatności
• Buduje zaufanie konsumentów
• Zmniejsza ryzyko prawne

Praktyczne wskazówki dotyczące zgodności

Dla zgodności z GDPR:

1. Wdróż zgodę opt-in dla wszystkich nieistotnych plików cookie i śledzenia
2. Stwórz kompleksową politykę prywatności z wymaganymi ujawnieniami
3. Ustanów procesy obsługi żądań osób, których dane dotyczą (dostęp, usunięcie, przenoszenie)
4. Przeprowadzaj DPIA dla przetwarzania danych wysokiego ryzyka
5. Wyznacz DPO, jeśli jest to wymagane
6. Dokumentuj wszystko: podstawę prawną, rejestry zgód, czynności przetwarzania

Dla zgodności z CCPA:

1. Dodaj link "Do Not Sell or Share My Personal Information" do stopki swojej strony
2. Zaktualizuj politykę prywatności o ujawnienia wymagane przez CCPA
3. Stwórz formularz żądania danych dla konsumentów, aby mogli korzystać ze swoich praw
4. Przeszkol swój zespół w zakresie wymagań CCPA i obsługi żądań
5. Prowadź rejestry żądań konsumentów i odpowiedzi
6. Przejrzyj umowy z podmiotami zewnętrznymi, aby zapewnić zgodność dostawców

Dla obu:

1. Przeprowadź audyt danych: wiedz, co zbierasz, dlaczego i dokąd to trafia
2. Wdróż silne zabezpieczenia: szyfrowanie, kontrolę dostępu, regularne audyty
3. Użyj generatora polityki prywatności, aby zapewnić uwzględnienie wszystkich wymaganych elementów
4. Stwórz baner zgody na pliki cookie z granularnymi kontrolami
5. Ustanów polityki przechowywania: nie przechowuj danych dłużej niż to konieczne
6. Monitoruj aktualizacje: oba przepisy ewoluują

Typowe scenariusze

Scenariusz 1: Mała firma w USA

• Przychód: 5 milionów USD rocznie
• Klienci: 95% USA, 5% międzynarodowi, w tym niektórzy odwiedzający z UE
• Zgodność: GDPR ma zastosowanie (odwiedzający z UE), CCPA może nie (poniżej progu przychodowego)

Scenariusz 2: Sklep e-commerce w Kalifornii

• Przychód: 30 milionów USD rocznie
• Klienci: 80% Kalifornia, 20% inne stany USA
• Zgodność: CCPA ma zastosowanie (próg przychodowy spełniony), GDPR może nie (brak klientów z UE)

Scenariusz 3: Platforma SaaS

• Przychód: 50 milionów USD rocznie
• Klienci: Globalni, w tym UE i Kalifornia
• Zgodność: Zastosowanie mają zarówno GDPR, jak i CCPA: wymagana podwójna zgodność

Scenariusz 4: Aplikacja mobilna

• Przychód: 15 milionów USD rocznie
• Użytkownicy: 150 000 pobrań w Kalifornii
• Zgodność: CCPA ma zastosowanie (przekracza próg 100 000 mieszkańców Kalifornii)

Przyszłość przepisów o ochronie prywatności

Zarówno GDPR, jak i CCPA zainspirowały falę nowych przepisów o ochronie prywatności:

Stanowe przepisy USA

• Virginia Consumer Data Protection Act (VCDPA)
• Colorado Privacy Act (CPA)
• Connecticut Data Privacy Act (CTDPA)
• Utah Consumer Privacy Act (UCPA)
• I kolejne w przygotowaniu

Przepisy międzynarodowe

• Brazylijskie LGPD
• Aktualizacje kanadyjskiego PIPEDA
• Chińskie PIPL
• Proponowane indyjskie prawo o ochronie danych

Trend jest jasny: regulacje dotyczące prywatności stają się coraz bardziej restrykcyjne i powszechne. Firmy, które wdrożą silne praktyki ochrony prywatności już teraz, będą lepiej przygotowane na przyszłe regulacje.

Najczęściej zadawane pytania

Jaka jest główna różnica między GDPR a CCPA?

Główna różnica dotyczy modelu zgody. GDPR wymaga zgody opt-in przed zebraniem danych osobowych, podczas gdy CCPA stosuje model opt-out, w którym firmy mogą zbierać dane, ale muszą umożliwić konsumentom rezygnację z ich sprzedaży.

Co jest bardziej restrykcyjne, GDPR czy CCPA?

GDPR jest ogólnie uważane za bardziej restrykcyjne. Ma szerszy zakres, wymaga wyraźnej zgody z góry, przyznaje więcej praw użytkownikom i nakłada wyższe kary. CCPA jest bardziej przyjazne dla firm dzięki podejściu opt-out.

Czy muszę przestrzegać zarówno GDPR, jak i CCPA?

Jeśli masz klientów zarówno w UE, jak i w Kalifornii, to tak. GDPR dotyczy mieszkańców UE, a CCPA mieszkańców Kalifornii. Wiele firm tworzy jedną politykę prywatności, która uwzględnia obie regulacje.

Jakie są kary za naruszenie GDPR w porównaniu z CCPA?

Kary GDPR mogą sięgać do 20 milionów euro lub 4% globalnego rocznego przychodu. Kary CCPA wynoszą do 7500 USD za umyślne naruszenie i 2500 USD za nieumyślne naruszenie, a także obejmują prywatne pozwy w przypadku naruszeń danych.

Czy CCPA dotyczy mojej firmy?

CCPA ma zastosowanie, jeśli prowadzisz działalność w Kalifornii i spełniasz jedno z kryteriów: roczny przychód przekraczający 25 milionów USD, kupno lub sprzedaż danych osobowych ponad 100 000 mieszkańców Kalifornii lub uzyskiwanie 50% lub więcej przychodu ze sprzedaży danych osobowych.

Podsumowanie

Choć GDPR i CCPA mają ten sam cel, czyli ochronę prywatności konsumentów, przyjmują różne podejścia. GDPR jest bardziej kompleksowe i restrykcyjne dzięki modelowi zgody opt-in, podczas gdy CCPA oferuje większą elastyczność dzięki prawom opt-out, ale obejmuje prawo do pozwu prywatnego w przypadku naruszeń.

Dla firm obsługujących klientów zarówno z UE, jak i z Kalifornii, najlepszym podejściem jest wdrożenie praktyk ochrony prywatności, które spełniają oba przepisy. Zwykle oznacza to przestrzeganie bardziej rygorystycznych wymagań GDPR, które automatycznie obejmą również CCPA.

Kluczem do zgodności jest przejrzystość, poszanowanie praw konsumentów i solidne praktyki bezpieczeństwa danych. Zacznij od kompleksowej polityki prywatności, która jasno wyjaśnia Twoje praktyki dotyczące danych, i zbuduj na tej podstawie swój program zgodności.

Gotowy stworzyć politykę prywatności, która obejmuje zarówno GDPR, jak i CCPA? Skorzystaj z naszego darmowego generatora, aby stworzyć zgodną politykę w kilka minut z profesjonalnymi dodatkami dla obu regulacji.