Мой кабинет

Руководство · Закон штата США

CCPA и CPRA простыми словами для тех, кто живет за счет рекламы

В Калифорнии самый подробный закон о конфиденциальности в Соединенных Штатах и самый строгий в части штрафов. Из этого руководства вы узнаете, когда он действует для вашего сайта, почему персонализированная реклама считается продажей или передачей данных и что должно быть на странице, чтобы посетитель мог сказать нет.

  • ✓По тексту закона, правилам агентства и публичным соглашениям
  • ✓Примеры для сайтов с AdSense и Ad Manager
  • ✓Проверка только для чтения, без изменения сайта
100 тысячпотребителей или домохозяйств Калифорнии в год: один из порогов, которые подводят компанию под закон
7 988 долл. СШАмаксимальный штраф за умышленное нарушение или нарушение с участием несовершеннолетних младше 16 лет, сумма скорректирована в 2025 году
16возраст, ниже которого для продажи или передачи данных требуется предварительное разрешение
2026год вступления в силу новых правил об оценках рисков, автоматизированных решениях и аудитах

Что это

Закон, давший посетителю право сказать нет продаже своих данных

California Consumer Privacy Act, или CCPA, принят в 2018 году и вступил в силу 1 января 2020 года. Он дает жителям Калифорнии право знать, какие данные собирает компания, требовать удаления этих данных и не допускать их продажи.

В ноябре 2020 года избиратели одобрили California Privacy Rights Act, CPRA, который переписал значительную часть CCPA. Изменения действуют с 1 января 2023 года. Поэтому, когда сегодня говорят о CCPA, почти всегда имеют в виду закон, измененный CPRA.

CPRA создал California Privacy Protection Agency, агентство только по конфиденциальности, которое сегодня представляется публике как CalPrivacy. Оно пишет подробные правила, расследует деятельность компаний и налагает штрафы. Генеральный прокурор Калифорнии сохраняет право подавать иски против нарушителей закона.

Для сайта с рекламой главный момент прост: когда cookie и идентификаторы посетителя используются для показа рекламы на основе того, что он делал на других сайтах, закон считает это передачей данных. И у посетителя есть право отказаться.

Чек-лист

Что нужно выполнить

Действуют для компаний, которые превышают один из порогов закона и продают данные жителей Калифорнии или делятся ими.

  1. Разместите ссылку для отказа на главной странице

    Тот, кто продаёт данные или делится ими, должен разместить понятную ссылку в шапке или подвале главной страницы. Правила также допускают одну ссылку под названием Your Privacy Choices или Your California Privacy Choices с официальным значком рядом.

    Пример

    Подвал: Do Not Sell or Share My Personal Information

  2. Принимайте GPC как действительный отказ

    Генеральная прокуратура сообщает, что GPC нужно соблюдать как действительный запрос на отказ. Правила, действующие с 2026 года, требуют, чтобы сайт показывал посетителю статус его выбора.

    Пример

    Панель конфиденциальности: Мы получили ваш сигнал GPC. Мы не продаём ваши данные и не делимся ими.

  3. Быстро выполняйте отказ

    Отказ нужно выполнить как можно скорее, не позднее 15 рабочих дней. На запросы узнать, удалить или исправить данные даётся 45 дней, ещё 45, если посетителя предупредили.

  4. Давайте уведомление при сборе и держите полную политику

    Уведомление появляется до сбора данных или в его момент и содержит ссылку на политику конфиденциальности. Политика объясняет права посетителя и как ими пользоваться.

    Пример

    Мы используем cookie рекламных партнёров. По закону Калифорнии это может считаться передачей данных. Чтобы отказаться, нажмите Do Not Sell or Share My Personal Information.

  5. Предложите хотя бы два канала

    Тот, кто продаёт данные или делится ими, должен предложить два или больше способа отказа. Для запросов на доступ или удаление компания, работающая только онлайн, может предложить лишь e-mail.

    Пример

    Запросы по конфиденциальности: privacy@yoursite.com

  6. Сделайте варианты равноценными

    Правила требуют симметрии выбора. Уведомление, которое предлагает только «Да» и «Спросить позже», не сбалансировано, потому что отказаться нельзя.

    Пример

    Две кнопки одинакового размера и цвета: «Принять» и «Отклонить»

  7. Запрашивайте разрешение для лиц младше 16 лет

    Чтобы продавать данные тех, о ком вы знаете, что им меньше 16 лет, или делиться ими, нужно предварительное разрешение. Для детей младше 13 лет разрешение дают родители или опекуны.

  8. Передайте отказ в Google

    В разделе Калифорнии строки GPP отказ от продажи или передачи данных включает RDP. Другой вариант: включить RDP в теге для тех, кто нажал на ссылку.

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует сертифицированную CMP для Калифорнии. Можно использовать сообщение Google для штатов США, CMP, создающую GPP, или RDP в теге. Вот официальные ссылки.

К кому относится

Достаточно превысить один из трех порогов

Закон действует для коммерческих компаний, которые ведут бизнес в Калифорнии, собирают данные жителей штата и достигают хотя бы одного из порогов ниже. Наличие штаб-квартиры там не обязательно: иностранные компании, обслуживающие калифорнийцев, тоже могут подпадать.

Выручка выше 26 625 000 долл. США

Годовая валовая выручка выше этой суммы, которая составляла 25 млн долл. США и была скорректирована с учетом инфляции в январе 2025 года. Учитывается вся выручка, а не только полученная в Калифорнии.

100 тысяч потребителей или домохозяйств

Покупка, продажа или передача данных 100 тысяч и более потребителей или домохозяйств Калифорнии в год. Портал с большим калифорнийским трафиком и персонализированной рекламой может дойти до этого порога незаметно.

Половина выручки от данных

Получение 50% и более годовой выручки от продажи или передачи персональных данных калифорнийцев, независимо от размера компании.

Кто не подпадает

Некоммерческие организации и государственные органы, как правило, не охвачены. Компании ниже всех трех порогов тоже, но рекламные партнеры могут все равно требовать сигналы opt-out.

Определения

Слова, которые меняют всё для сайта с рекламой

CCPA использует собственные термины. Понимание четырех ниже позволяет избежать большей части путаницы.

Личная информация

Любые данные, связанные или способные быть связанными с человеком или домохозяйством. Сам закон включает онлайн-идентификаторы, IP-адрес, историю просмотров и взаимодействия с сайтами и рекламой.

Конфиденциальная личная информация

Данные, такие как документы, логины аккаунтов, точное местоположение, расовое происхождение, религия, здоровье, сексуальная жизнь и биометрия. Посетитель может потребовать ограничить использование этих данных.

Продажа

Передача данных третьим лицам за деньги или другую ценность. Прямая оплата не обязательна: если позволить партнеру собирать данные в обмен на услугу, это может считаться продажей.

Передача

Передача данных третьим лицам для кросс-контекстной поведенческой рекламы, то есть рекламы, выбранной на основе того, что человек делал на других сайтах и в приложениях. Действует и без оплаты.

Права

Что может запросить посетитель из Калифорнии

У компании есть 45 дней, чтобы ответить на запросы, с продлением еще на 45 дней при необходимости. Запросы на opt-out нужно выполнять намного быстрее и без бюрократии.

Знать и получать доступ

Узнать, какие данные были собраны, откуда они взялись, для чего нужны и кому были проданы или переданы.

Удалить и исправить

Потребовать удаления собранных данных и исправления неверных данных, с некоторыми исключениями, предусмотренными законом.

Отказ от продажи и передачи

Потребовать от компании прекратить продавать или передавать ваши данные, в том числе для персонализированной рекламы, через ссылку на сайте или автоматический сигнал браузера.

Ограничить чувствительные данные и не подвергаться ответным мерам

Ограничить использование чувствительных данных необходимым минимумом и не получать худшее обращение, более высокую цену или сокращенный сервис, из-за использования этих прав.

Обязанности сайта

Ссылка для отказа, сигнал GPC и уведомление о конфиденциальности

Тот, кто продает или передает данные, должен предоставить понятную ссылку с текстом Do Not Sell or Share My Personal Information, обычно в подвале каждой страницы. Правила агентства позволяют заменить эту ссылку и ссылку на чувствительные данные одной ссылкой Your Privacy Choices с официальным значком. Нажатие должно вести к простому способу отказаться, без регистрации и без требования документов.

Автоматический сигнал отказа также обязателен. Самый известный пример: Global Privacy Control, GPC, настройка браузера или расширения, которая сообщает всем сайтам, что человек не хочет, чтобы его данные продавались или передавались. С 1 января 2026 года правила требуют, чтобы сайт показывал, обработал ли он этот сигнал, например сообщением о выполненном запросе на отказ.

Нужно также уведомление в момент сбора и полная политика конфиденциальности. В ней перечислены категории собираемых данных, цели, категории компаний, получающих данные, есть ли продажа или передача, как долго данные хранятся и как осуществить каждое право. Правила агентства требуют также указывать дату последнего обновления.

Правила запрещают так называемые вводящие в заблуждение паттерны: для отказа не должно требоваться больше шагов, чем для согласия, а закрытие pop-up не считается согласием. Для продажи или передачи данных тех, кому, как известно компании, меньше 16 лет, нужно предварительное разрешение. От 13 до 16 лет разрешение дает сам подросток, младше 13 лет это делают родители.

Хронология

Как закон Калифорнии пришел к нынешнему виду

Даты подтверждены официальными источниками штата Калифорния.

  1. 1 января 2020 года

    CCPA вступает в силу

    Появляется право знать, удалять и отказываться от продажи данных.

  2. 24 августа 2022 года

    Первый штраф: Sephora

    Соглашение на 1,2 млн долл. США за продажу данных через сторонние трекеры и игнорирование GPC.

  3. 1 января 2023 года

    CPRA начинает действовать

    Появляются передача данных для рекламы, исправление, ограничение чувствительных данных, а обязательный 30-дневный срок на исправление до наказания заканчивается.

  4. 1 января 2025 года

    Скорректированные суммы

    Порог выручки повышается до 26 625 000 долл. США, а штрафы до 2 663 и 7 988 долл. США.

  5. 1 января 2026 года

    Новый пакет правил

    Вступают в силу оценки рисков для деятельности со значительным риском, видимое подтверждение сигнала отказа и новые правила против вводящих в заблуждение паттернов.

  6. 1 января 2027 года

    Автоматизированные решения и браузеры

    Начинают действовать правила об автоматизированных решениях по важным вопросам. Закон AB 566 от 2025 года требует, чтобы браузеры предлагали встроенный сигнал отказа.

  7. 1 апреля 2028 года

    Декларации для агентства

    Срок подачи декларации и сводки оценок рисков. Сертификации аудита безопасности начинаются с этой даты для тех, чья выручка превышает 100 млн долл. США, и продолжатся в 2029 и 2030 годах для остальных.

Контроль и штрафы

Кто контролирует и сколько стоит ошибка

Агентство по конфиденциальности и генеральный прокурор могут принимать меры. С 2023 года обязательного 30-дневного срока на исправление до наказания больше нет. Агентство может учесть добросовестность, но не обязано предупреждать заранее.

Штрафы были скорректированы в январе 2025 года: до 2 663 долл. США за нарушение и до 7 988 долл. США за умышленное нарушение или нарушение с участием несовершеннолетних младше 16 лет. Поскольку каждый посетитель или каждый запрос может считаться нарушением, сумма быстро растет. Гражданин может подать иск напрямую только в случае утечки данных, с компенсацией от 107 до 799 долл. США на человека и инцидент.

Sephora заплатила 1,2 млн долл. США в 2022 году за трекеры и GPC. В марте 2025 года Honda заплатила агентству 632 500 долл. США за то, что требовала слишком много данных для отказа и использовала инструмент, который представлял выбор несбалансированно. В мае 2025 года бренд одежды Todd Snyder заплатил 345 178 долл. США, потому что неправильно настроенный портал в течение 40 дней не обрабатывал запросы на отказ.

В июле 2025 года генеральный прокурор заключил соглашение на 1,55 млн долл. США с сайтом о здоровье Healthline, который не соблюдал отказы от таргетированной рекламы, в том числе через GPC. В сентябре 2025 года Tractor Supply получила штраф в 1,35 млн долл. США, включая сбои в обработке GPC. В феврале 2026 года Disney заключила крупнейшее на тот момент соглашение, на 2,75 млн долл. США, потому что отказ и GPC действовали только на одном устройстве или сервисе.

AdSense и Ad Manager

Что меняется на сайте с рекламой Google

Google предлагает ограниченную обработку данных, RDP. Когда сигнал присутствует, Google не показывает рекламу на основе прежнего поведения посетителя и отправляет покупателям неперсонализированные запросы. В этом режиме Google действует как поставщик услуг, а закон Калифорнии не считает это продажей.

Есть два пути. Первый: CMP, которая формирует строку GPP, формат IAB Tech Lab для сигналов конфиденциальности. AdSense и Ad Manager читают раздел US National и раздел Калифорнии. В разделе Калифорнии отказ от продажи или передачи включает RDP, а отказ для детей младше 16 лет запускает обработку как для детей. Второй путь: включить RDP прямо в теге, например с помощью restrictDataProcessing в GPT, только для тех, кто нажал на ссылку отказа.

Сообщение о конфиденциальности для штатов США, в меню «Конфиденциальность и сообщения» AdSense и Ad Manager, охватывает Калифорнию. Оно показывает ссылку Do Not Sell or Share My Personal Information, регистрирует отказ и записывает выбор в GPP. Однако Google напоминает, что ответственность за соблюдение закона остается на сайте.

Header bidding, видеосети и пиксели соцсетей тоже получают данные. Отказ должен дойти до всех них, а не только до Google.

На практике

Что можно и что нельзя в Калифорнии

Повседневные примеры для сайта с AdSense или Ad Manager и посетителями из Калифорнии.

Можно

  • Показывать персонализированную рекламу, пока посетитель не откажется, если ссылка для отказа видна
  • Использовать одну ссылку Your Privacy Choices с официальным значком в подвале
  • Читать GPC и автоматически помечать посетителя как отказавшегося в строке GPP
  • Показывать короткое сообщение о том, что сигнал отказа выполнен
  • Показывать неперсонализированную рекламу тем, кто отказался
  • Использовать сообщение Google для штатов США

Нельзя

  • Требовать регистрацию или документ для фиксации отказа
  • Делать кнопку согласия цветной, а кнопку отказа прятать серым цветом
  • Считать закрытие pop-up согласием
  • Отключить только Google и оставить header bidding и пиксели получать данные
  • Игнорировать GPC, потому что посетитель не нажал на ссылку
  • Использовать данные тех, кому, как вы знаете, меньше 16 лет, для персонализированной рекламы без разрешения

Частые ошибки

Сбои, которые появляются в случаях контроля

Почти все публичные соглашения касаются отказа, который выглядит рабочим, но не работает.

Ссылка, которая ведет на текст

Ссылка Do Not Sell or Share открывает политику конфиденциальности вместо экрана, где посетитель действительно может отказаться.

GPC прочитан, но без эффекта

CMP обнаруживает GPC, но рекламные теги загружаются раньше или продолжают получать сигнал «не отказался».

Отказ только для Google

RDP включается в Google, но партнеры по header bidding и сторонние пиксели продолжают собирать данные.

Несбалансированный баннер

Принять всё одним кликом, а отказаться только после открытия настроек. Отсутствие баланса в вариантах выбора сыграло роль в деле Honda.

Устаревшая политика

Политика без даты обновления, без категорий данных или без указания на передачу данных для рекламы.

Сообщение только для Калифорнии, без строки

Баннер появляется, но строка GPP не создается, поэтому Google и партнеры не получают выбор посетителя.

В ConsentMode

Что проверяет аудит в части CCPA

  • Открывает сайт как посетитель из Калифорнии и ищет ссылку Do Not Sell or Share или Your Privacy Choices на всех проанализированных страницах.
  • Повторяет визит с включенным GPC и смотрит, меняются ли на странице строка GPP, RDP и сообщение с подтверждением.
  • Читает строку GPP в рекламных запросах и показывает, указывают ли разделы US National или Калифорнии на отказ.
  • Определяет CMP по коду страницы и проверяет, ждут ли рекламные теги ее ответа.
  • Читает политику конфиденциальности и указывает недостающие пункты, например категории данных, передачу для рекламы и дату обновления.

Частые вопросы о CCPA

Мой сайт бразильский. Действует ли на меня CCPA?

Может действовать. Закон не требует штаб-квартиры в Калифорнии. Если компания обслуживает жителей штата и превышает один из трех порогов, например 100 тысяч потребителей или домохозяйств в год с данными, передаваемыми для рекламы, она подпадает под закон. Ниже порогов закон не применяется, но Google и другие партнеры все равно читают сигналы отказа.

Считается ли реклама AdSense продажей?

Персонализированная реклама на основе просмотров на других сайтах подпадает под понятие передачи. При активном RDP Google действует как поставщик услуг и показывает этому посетителю только неперсонализированную рекламу.

Нужен ли мне баннер cookie для Калифорнии?

CCPA работает по модели opt-out, поэтому не требует спрашивать разрешение заранее для взрослых. Она требует уведомления при сборе, ссылки для отказа и соблюдения GPC. Для детей младше 16 лет нужен opt-in.

GPC действительно обязателен?

Да. Генеральный прокурор и агентство считают GPC действительным запросом на отказ, и в нескольких соглашениях, например с Sephora, Tractor Supply и Disney, упоминаются сбои с GPC. С 2026 года сайт также должен показывать, обработал ли он сигнал.

Относится ли оценка рисков к блогу?

Относится к компаниям, охваченным законом, чья деятельность входит в список значительного риска в правилах агентства. Тем, кто показывает персонализированную рекламу, стоит проверить этот список с юристом. Блогу ниже порогов CCPA это не нужно. Тот, кто выше порогов и попадает в список, должен задокументировать оценку и подать декларацию до 1 апреля 2028 года.

Решает ли ConsentMode вопросы с CCPA за меня?

Нет. ConsentMode не является CMP и не показывает баннер. Он проверяет сайт снаружи и показывает, что исправить. Юридическое решение остается за вашим юристом.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Проверьте, действительно ли работает ваш отказ

Аудит открывает сайт как посетитель из Калифорнии, с GPC и без него, и показывает, что исправить, ничего не меняя.

Начать аудит