- CCPA nie obejmuje automatycznie każdej małej firmy ani wszystkich firm w USA.
- Zakres zależy między innymi od prowadzenia działalności w Kalifornii i spełnienia ustawowych warunków.
- W pewnych sytuacjach konsument może żądać dostępu do danych, ich usunięcia, poprawienia lub rezygnacji ze sprzedaży albo udostępniania danych.
- Progi i definicje trzeba sprawdzić według aktualnych przepisów, nie tylko na podstawie liczby pracowników.
Jak sprawdzić, czy kalifornijska ustawa o prywatności dotyczy firmy, jakie prawa mają konsumenci i jak przygotować obsługę żądań.
Stan sprawdzony: 2 listopada 2026 r. Nie jesteśmy kancelarią prawną. Tekst ma charakter informacyjny i edukacyjny, nie stanowi indywidualnej porady prawnej. Przed podjęciem decyzji sprawdź przepisy właściwe dla miejsca i rodzaju działalności oraz skonsultuj sprawę z prawnikiem lub innym odpowiednim specjalistą.
Kogo może dotyczyć CCPA
Kalifornijska ustawa California Consumer Privacy Act, zmieniona przez California Privacy Rights Act, przyznaje określone prawa mieszkańcom Kalifornii i nakłada obowiązki na podmioty mieszczące się w ustawowej definicji przedsiębiorstwa. Lokalizacja biura poza Kalifornią sama nie rozstrzyga sprawy. Sprawdź, czy firma prowadzi działalność w tym stanie, jakie dane zbiera i czy spełnia pozostałe warunki.
Według kalifornijskiej agencji CPPA jednym z progów jest roczny przychód brutto w poprzednim roku wynoszący co najmniej wskazany ustawowo próg, skorygowany do 26,625 mln dolarów od 2025 r. Inne kryteria dotyczą liczby mieszkańców lub gospodarstw domowych, których dane są kupowane, sprzedawane lub udostępniane, oraz części przychodów ze sprzedaży lub udostępniania danych. Są to odrębne przesłanki, dlatego firma poniżej progu obrotu nie zawsze jest wyłączona.
Próg obrotu i pozostałe warunki sprawdzaj w aktualnym tekście prawa i wyjaśnieniach CPPA. Przepisy zawierają także definicje, wyjątki i zasady dotyczące podmiotów powiązanych. Prosta liczba klientów albo pracowników nie wystarczy do oceny.
Jakie dane i działania sprawdzić
Dane osobowe mogą obejmować nie tylko nazwisko i adres, ale również identyfikatory internetowe, przybliżone lub precyzyjne informacje o lokalizacji oraz historię zakupów, jeśli mieszczą się w ustawowej definicji. Spisz formularze, system sklepu, reklamę, analitykę, obsługę płatności i zewnętrznych dostawców. Ustal, jakie informacje przekazuje każde narzędzie i po co.
Słowa „sprzedaż” i „udostępnianie” mają ustawowe znaczenia. Nie zakładaj, że problem występuje wyłącznie wtedy, gdy firma dostaje pieniądze za bazę klientów. Szczególnie uważnie przeanalizuj technologie reklamowe i przekazywanie identyfikatorów dostawcom. To, czy konkretne działanie podlega prawu rezygnacji, zależy od faktów i odpowiednich wyjątków.
Prawa konsumenta i odpowiedź firmy
Osoby objęte ustawą mogą mieć prawo do informacji o danych i sposobach ich wykorzystania, żądania dostępu, usunięcia lub poprawienia danych oraz rezygnacji ze sprzedaży lub udostępniania danych. Niektóre prawa mają wyjątki i warunki. W określonych sytuacjach można też ograniczyć używanie lub ujawnianie wrażliwych danych osobowych.
Przygotuj sposób przyjmowania wniosków, sprawdzania tożsamości tam, gdzie jest to wymagane, i przekazywania zadań dostawcom. Nie zbieraj dodatkowych informacji bez zastanowienia, jeśli można bezpiecznie ustalić tożsamość inaczej. Zapisz, kto odpowiada za terminy, wyjątki, odpowiedź i dokumentację.
Przykład: sklep i reklamy
Sklep wysyła produkty klientom w Kalifornii i korzysta z zewnętrznego narzędzia reklamowego. Właściciel powinien najpierw ustalić, czy firma podlega CCPA, następnie sprawdzić przepływ danych z witryny, warunki umów i działanie narzędzia. Dopiero po tej analizie można prawidłowo ustalić obowiązki dotyczące informacji i rezygnacji. Samo wklejenie wzoru polityki prywatności nie odpowie na te pytania.
Jeżeli działasz również w innych stanach albo kierujesz ofertę do UE, osobno sprawdź właściwe prawo każdego rynku. Zgodność z CCPA nie oznacza automatycznie zgodności z RODO ani odwrotnie.
Jak obsłużyć wniosek o dane
Przy przyjęciu wniosku zapisz datę i zakres żądania. Sprawdź, czy zgłaszająca osoba jest konsumentem w rozumieniu ustawy i czy firma jest podmiotem zobowiązanym. Następnie ustal, których systemów dotyczy żądanie: sklepu, systemu obsługi klienta, poczty, platformy reklamowej i kopii przechowywanych przez dostawców.
Jeżeli żądanie dotyczy usunięcia danych, oddziel informacje przechowywane zgodnie z konkretnym wyjątkiem od tych, które należy usunąć. Nie obiecuj automatycznie usunięcia każdej informacji: znaczenie mogą mieć bezpieczeństwo, wykonanie transakcji i inne ustawowe wyjątki. Wynik wraz z uzasadnieniem przekaż zgodnie z wymaganiami właściwych przepisów.
W przypadku rezygnacji ze sprzedaży lub udostępniania sprawdź, czy ustawienia rzeczywiście blokują odpowiednie przepływy danych, a nie jedynie zamykają baner. Przetestuj działanie w różnych przeglądarkach i na urządzeniach, które obsługuje sklep. Ustal też, jak obsługiwać obowiązujące sygnały preferencji prywatności, jeśli mają zastosowanie.
Najczęstsze pytania
Czy firma poza Kalifornią może podlegać CCPA?
Tak, miejsce siedziby samo nie wyklucza zastosowania ustawy. Znaczenie mają warunki ustawowe, w tym prowadzenie działalności w Kalifornii.
Czy każda firma musi realizować każde żądanie usunięcia?
Nie. Prawa podlegają warunkom i wyjątkom, które trzeba ocenić dla konkretnego żądania.
Powiązane poradniki
Źródła
| Dokument | Co zawiera |
|---|---|
| CPPA: pytania i odpowiedzi | Zakres, prawa mieszkańców i progi. |
| California Attorney General: CCPA | Obowiązki przedsiębiorstw i prawa konsumentów. |
Komentarze (0)
Brak komentarzy. Bądź pierwszy!