CCPA для сайта: ссылка «Do Not Sell or Share» и штрафы США

США работают иначе, чем ЕС

В Калифорнии не нужно спрашивать согласие на cookies заранее. Зато житель штата вправе запретить продажу и передачу своих данных для рекламы, а сайт обязан это позволить. Поэтому в чекере для США нет правила «согласие до загрузки», но есть правило про ссылку отказа.

Кому это нужно

CCPA касается коммерческих компаний, которые ведут дело в Калифорнии и подходят под один из порогов: годовая выручка свыше 25 млн $ (порог индексируют), данные 100 000 и больше жителей или домохозяйств, либо половина выручки от продажи или передачи данных. Независимо от порогов, любому сайту, собирающему данные жителей Калифорнии, нужна опубликованная политика: это требует CalOPPA.

Что сделать

• Поставить в подвал ссылку «Do Not Sell or Share My Personal Information» или «Your Privacy Choices».
• Учитывать сигнал Global Privacy Control из браузера: он считается отказом без клика.
• Не грузить рекламные пиксели тем, кто отказался.
• Описать в политике, какие данные и кому передаются.

Сколько стоит нарушение

После индексации 2025 года штраф — до 2 663 $ за нарушение и до 7 988 $, если нарушение умышленное или касается детей младше 16 лет. Считают на каждого пострадавшего жителя, поэтому суммы растут быстро. В 2022 году Sephora заплатила 1,2 млн $ за то, что не выполняла сигнал GPC и не сообщила о продаже данных.

Частые вопросы

Источники

• CPPA: индексация сумм CCPA
• Калифорнийский Civil Code § 1798.135