Выручка выше 26 625 000 долл. США
Годовая валовая выручка выше этой суммы, которая составляла 25 млн долл. США и была скорректирована с учетом инфляции в январе 2025 года. Учитывается вся выручка, а не только полученная в Калифорнии.
Руководство · Закон штата США
В Калифорнии самый подробный закон о конфиденциальности в Соединенных Штатах и самый строгий в части штрафов. Из этого руководства вы узнаете, когда он действует для вашего сайта, почему персонализированная реклама считается продажей или передачей данных и что должно быть на странице, чтобы посетитель мог сказать нет.
Что это
California Consumer Privacy Act, или CCPA, принят в 2018 году и вступил в силу 1 января 2020 года. Он дает жителям Калифорнии право знать, какие данные собирает компания, требовать удаления этих данных и не допускать их продажи.
В ноябре 2020 года избиратели одобрили California Privacy Rights Act, CPRA, который переписал значительную часть CCPA. Изменения действуют с 1 января 2023 года. Поэтому, когда сегодня говорят о CCPA, почти всегда имеют в виду закон, измененный CPRA.
CPRA создал California Privacy Protection Agency, агентство только по конфиденциальности, которое сегодня представляется публике как CalPrivacy. Оно пишет подробные правила, расследует деятельность компаний и налагает штрафы. Генеральный прокурор Калифорнии сохраняет право подавать иски против нарушителей закона.
Для сайта с рекламой главный момент прост: когда cookie и идентификаторы посетителя используются для показа рекламы на основе того, что он делал на других сайтах, закон считает это передачей данных. И у посетителя есть право отказаться.
Чек-лист
Действуют для компаний, которые превышают один из порогов закона и продают данные жителей Калифорнии или делятся ими.
Тот, кто продаёт данные или делится ими, должен разместить понятную ссылку в шапке или подвале главной страницы. Правила также допускают одну ссылку под названием Your Privacy Choices или Your California Privacy Choices с официальным значком рядом.
Подвал: Do Not Sell or Share My Personal Information
Генеральная прокуратура сообщает, что GPC нужно соблюдать как действительный запрос на отказ. Правила, действующие с 2026 года, требуют, чтобы сайт показывал посетителю статус его выбора.
Панель конфиденциальности: Мы получили ваш сигнал GPC. Мы не продаём ваши данные и не делимся ими.
Отказ нужно выполнить как можно скорее, не позднее 15 рабочих дней. На запросы узнать, удалить или исправить данные даётся 45 дней, ещё 45, если посетителя предупредили.
Уведомление появляется до сбора данных или в его момент и содержит ссылку на политику конфиденциальности. Политика объясняет права посетителя и как ими пользоваться.
Мы используем cookie рекламных партнёров. По закону Калифорнии это может считаться передачей данных. Чтобы отказаться, нажмите Do Not Sell or Share My Personal Information.
Тот, кто продаёт данные или делится ими, должен предложить два или больше способа отказа. Для запросов на доступ или удаление компания, работающая только онлайн, может предложить лишь e-mail.
Запросы по конфиденциальности: privacy@yoursite.com
Правила требуют симметрии выбора. Уведомление, которое предлагает только «Да» и «Спросить позже», не сбалансировано, потому что отказаться нельзя.
Две кнопки одинакового размера и цвета: «Принять» и «Отклонить»
Чтобы продавать данные тех, о ком вы знаете, что им меньше 16 лет, или делиться ими, нужно предварительное разрешение. Для детей младше 13 лет разрешение дают родители или опекуны.
В разделе Калифорнии строки GPP отказ от продажи или передачи данных включает RDP. Другой вариант: включить RDP в теге для тех, кто нажал на ссылку.
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});На практике
Официальные инструменты
Google не требует сертифицированную CMP для Калифорнии. Можно использовать сообщение Google для штатов США, CMP, создающую GPP, или RDP в теге. Вот официальные ссылки.
К кому относится
Закон действует для коммерческих компаний, которые ведут бизнес в Калифорнии, собирают данные жителей штата и достигают хотя бы одного из порогов ниже. Наличие штаб-квартиры там не обязательно: иностранные компании, обслуживающие калифорнийцев, тоже могут подпадать.
Годовая валовая выручка выше этой суммы, которая составляла 25 млн долл. США и была скорректирована с учетом инфляции в январе 2025 года. Учитывается вся выручка, а не только полученная в Калифорнии.
Покупка, продажа или передача данных 100 тысяч и более потребителей или домохозяйств Калифорнии в год. Портал с большим калифорнийским трафиком и персонализированной рекламой может дойти до этого порога незаметно.
Получение 50% и более годовой выручки от продажи или передачи персональных данных калифорнийцев, независимо от размера компании.
Некоммерческие организации и государственные органы, как правило, не охвачены. Компании ниже всех трех порогов тоже, но рекламные партнеры могут все равно требовать сигналы opt-out.
Определения
CCPA использует собственные термины. Понимание четырех ниже позволяет избежать большей части путаницы.
Любые данные, связанные или способные быть связанными с человеком или домохозяйством. Сам закон включает онлайн-идентификаторы, IP-адрес, историю просмотров и взаимодействия с сайтами и рекламой.
Данные, такие как документы, логины аккаунтов, точное местоположение, расовое происхождение, религия, здоровье, сексуальная жизнь и биометрия. Посетитель может потребовать ограничить использование этих данных.
Передача данных третьим лицам за деньги или другую ценность. Прямая оплата не обязательна: если позволить партнеру собирать данные в обмен на услугу, это может считаться продажей.
Передача данных третьим лицам для кросс-контекстной поведенческой рекламы, то есть рекламы, выбранной на основе того, что человек делал на других сайтах и в приложениях. Действует и без оплаты.
Права
У компании есть 45 дней, чтобы ответить на запросы, с продлением еще на 45 дней при необходимости. Запросы на opt-out нужно выполнять намного быстрее и без бюрократии.
Узнать, какие данные были собраны, откуда они взялись, для чего нужны и кому были проданы или переданы.
Потребовать удаления собранных данных и исправления неверных данных, с некоторыми исключениями, предусмотренными законом.
Потребовать от компании прекратить продавать или передавать ваши данные, в том числе для персонализированной рекламы, через ссылку на сайте или автоматический сигнал браузера.
Ограничить использование чувствительных данных необходимым минимумом и не получать худшее обращение, более высокую цену или сокращенный сервис, из-за использования этих прав.
Обязанности сайта
Тот, кто продает или передает данные, должен предоставить понятную ссылку с текстом Do Not Sell or Share My Personal Information, обычно в подвале каждой страницы. Правила агентства позволяют заменить эту ссылку и ссылку на чувствительные данные одной ссылкой Your Privacy Choices с официальным значком. Нажатие должно вести к простому способу отказаться, без регистрации и без требования документов.
Автоматический сигнал отказа также обязателен. Самый известный пример: Global Privacy Control, GPC, настройка браузера или расширения, которая сообщает всем сайтам, что человек не хочет, чтобы его данные продавались или передавались. С 1 января 2026 года правила требуют, чтобы сайт показывал, обработал ли он этот сигнал, например сообщением о выполненном запросе на отказ.
Нужно также уведомление в момент сбора и полная политика конфиденциальности. В ней перечислены категории собираемых данных, цели, категории компаний, получающих данные, есть ли продажа или передача, как долго данные хранятся и как осуществить каждое право. Правила агентства требуют также указывать дату последнего обновления.
Правила запрещают так называемые вводящие в заблуждение паттерны: для отказа не должно требоваться больше шагов, чем для согласия, а закрытие pop-up не считается согласием. Для продажи или передачи данных тех, кому, как известно компании, меньше 16 лет, нужно предварительное разрешение. От 13 до 16 лет разрешение дает сам подросток, младше 13 лет это делают родители.
Хронология
Даты подтверждены официальными источниками штата Калифорния.
Появляется право знать, удалять и отказываться от продажи данных.
Соглашение на 1,2 млн долл. США за продажу данных через сторонние трекеры и игнорирование GPC.
Появляются передача данных для рекламы, исправление, ограничение чувствительных данных, а обязательный 30-дневный срок на исправление до наказания заканчивается.
Порог выручки повышается до 26 625 000 долл. США, а штрафы до 2 663 и 7 988 долл. США.
Вступают в силу оценки рисков для деятельности со значительным риском, видимое подтверждение сигнала отказа и новые правила против вводящих в заблуждение паттернов.
Начинают действовать правила об автоматизированных решениях по важным вопросам. Закон AB 566 от 2025 года требует, чтобы браузеры предлагали встроенный сигнал отказа.
Срок подачи декларации и сводки оценок рисков. Сертификации аудита безопасности начинаются с этой даты для тех, чья выручка превышает 100 млн долл. США, и продолжатся в 2029 и 2030 годах для остальных.
Контроль и штрафы
Агентство по конфиденциальности и генеральный прокурор могут принимать меры. С 2023 года обязательного 30-дневного срока на исправление до наказания больше нет. Агентство может учесть добросовестность, но не обязано предупреждать заранее.
Штрафы были скорректированы в январе 2025 года: до 2 663 долл. США за нарушение и до 7 988 долл. США за умышленное нарушение или нарушение с участием несовершеннолетних младше 16 лет. Поскольку каждый посетитель или каждый запрос может считаться нарушением, сумма быстро растет. Гражданин может подать иск напрямую только в случае утечки данных, с компенсацией от 107 до 799 долл. США на человека и инцидент.
Sephora заплатила 1,2 млн долл. США в 2022 году за трекеры и GPC. В марте 2025 года Honda заплатила агентству 632 500 долл. США за то, что требовала слишком много данных для отказа и использовала инструмент, который представлял выбор несбалансированно. В мае 2025 года бренд одежды Todd Snyder заплатил 345 178 долл. США, потому что неправильно настроенный портал в течение 40 дней не обрабатывал запросы на отказ.
В июле 2025 года генеральный прокурор заключил соглашение на 1,55 млн долл. США с сайтом о здоровье Healthline, который не соблюдал отказы от таргетированной рекламы, в том числе через GPC. В сентябре 2025 года Tractor Supply получила штраф в 1,35 млн долл. США, включая сбои в обработке GPC. В феврале 2026 года Disney заключила крупнейшее на тот момент соглашение, на 2,75 млн долл. США, потому что отказ и GPC действовали только на одном устройстве или сервисе.
AdSense и Ad Manager
Google предлагает ограниченную обработку данных, RDP. Когда сигнал присутствует, Google не показывает рекламу на основе прежнего поведения посетителя и отправляет покупателям неперсонализированные запросы. В этом режиме Google действует как поставщик услуг, а закон Калифорнии не считает это продажей.
Есть два пути. Первый: CMP, которая формирует строку GPP, формат IAB Tech Lab для сигналов конфиденциальности. AdSense и Ad Manager читают раздел US National и раздел Калифорнии. В разделе Калифорнии отказ от продажи или передачи включает RDP, а отказ для детей младше 16 лет запускает обработку как для детей. Второй путь: включить RDP прямо в теге, например с помощью restrictDataProcessing в GPT, только для тех, кто нажал на ссылку отказа.
Сообщение о конфиденциальности для штатов США, в меню «Конфиденциальность и сообщения» AdSense и Ad Manager, охватывает Калифорнию. Оно показывает ссылку Do Not Sell or Share My Personal Information, регистрирует отказ и записывает выбор в GPP. Однако Google напоминает, что ответственность за соблюдение закона остается на сайте.
Header bidding, видеосети и пиксели соцсетей тоже получают данные. Отказ должен дойти до всех них, а не только до Google.
На практике
Повседневные примеры для сайта с AdSense или Ad Manager и посетителями из Калифорнии.
Частые ошибки
Почти все публичные соглашения касаются отказа, который выглядит рабочим, но не работает.
Ссылка Do Not Sell or Share открывает политику конфиденциальности вместо экрана, где посетитель действительно может отказаться.
CMP обнаруживает GPC, но рекламные теги загружаются раньше или продолжают получать сигнал «не отказался».
RDP включается в Google, но партнеры по header bidding и сторонние пиксели продолжают собирать данные.
Принять всё одним кликом, а отказаться только после открытия настроек. Отсутствие баланса в вариантах выбора сыграло роль в деле Honda.
Политика без даты обновления, без категорий данных или без указания на передачу данных для рекламы.
Баннер появляется, но строка GPP не создается, поэтому Google и партнеры не получают выбор посетителя.
В ConsentMode
Может действовать. Закон не требует штаб-квартиры в Калифорнии. Если компания обслуживает жителей штата и превышает один из трех порогов, например 100 тысяч потребителей или домохозяйств в год с данными, передаваемыми для рекламы, она подпадает под закон. Ниже порогов закон не применяется, но Google и другие партнеры все равно читают сигналы отказа.
Персонализированная реклама на основе просмотров на других сайтах подпадает под понятие передачи. При активном RDP Google действует как поставщик услуг и показывает этому посетителю только неперсонализированную рекламу.
CCPA работает по модели opt-out, поэтому не требует спрашивать разрешение заранее для взрослых. Она требует уведомления при сборе, ссылки для отказа и соблюдения GPC. Для детей младше 16 лет нужен opt-in.
Да. Генеральный прокурор и агентство считают GPC действительным запросом на отказ, и в нескольких соглашениях, например с Sephora, Tractor Supply и Disney, упоминаются сбои с GPC. С 2026 года сайт также должен показывать, обработал ли он сигнал.
Относится к компаниям, охваченным законом, чья деятельность входит в список значительного риска в правилах агентства. Тем, кто показывает персонализированную рекламу, стоит проверить этот список с юристом. Блогу ниже порогов CCPA это не нужно. Тот, кто выше порогов и попадает в список, должен задокументировать оценку и подать декларацию до 1 апреля 2028 года.
Нет. ConsentMode не является CMP и не показывает баннер. Он проверяет сайт снаружи и показывает, что исправить. Юридическое решение остается за вашим юристом.
Библиотека
Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:
Аудит открывает сайт как посетитель из Калифорнии, с GPC и без него, и показывает, что исправить, ничего не меняя.