CCPA i zgoda na cookies — czego wymaga Kalifornia w 2026
CCPA / CPRA dla ciasteczek po polsku. Co naprawdę mówi ustawa, czego egzekwuje prokurator generalny i minimalna implementacja, która spełnia wymogi.
California Consumer Privacy Act (CCPA), znowelizowany przez CPRA, reguluje jak firmy obchodzą się z danymi osobowymi mieszkańców Kalifornii. To system opt-out — inny niż opt-in w RODO — i ta jedna różnica zmienia wymagania względem bannera.
Kogo to dotyczy
CCPA obejmuje każdą firmę nastawioną na zysk, która prowadzi działalność w Kalifornii i spełnia jeden z warunków: roczne przychody 25 mln USD+, przetwarza dane 100k+ Kalifornijczyków albo zarabia 50%+ na sprzedaży/udostępnianiu danych.
Jeśli jesteś poniżej progów — nie jesteś prawnie zobowiązany, ale „sprzedaż" jest interpretowana szeroko — przekazanie danych do ad networks się liczy. Każda strona z Meta Pixel + Google Ads sprzedaje dane wg CCPA.
Opt-out, nie opt-in
W odróżnieniu od RODO, w CCPA nie potrzebujesz zgody przed ustawieniem cookies. Możesz domyślnie ustawić marketing cookies, pod warunkiem że dasz użytkownikowi czytelny sposób wycofania zgody.
Opt-out musi być linkiem o treści dokładnie „Do Not Sell or Share My Personal Information". Link na każdej stronie zbierającej dane — zwykle w stopce.
Global Privacy Control (GPC)
Od lipca 2023 r. prokurator Kalifornii egzekwuje GPC jako ważny sygnał opt-out. Jeśli przeglądarka użytkownika wysyła Sec-GPC: 1, masz to traktować jako Do-Not-Sell-or-Share bez interakcji.
Ignorowanie GPC to priorytet #1 egzekucji CPPA w 2025-26.
Najczęstsze pytania
Czy potrzebuję bannera dla użytkowników z Kalifornii?
Nie bannera zgody jak w RODO — ale potrzebujesz linku „Do Not Sell or Share" w stopce i działającego preference center.
Ile kosztuje ignorowanie GPC?
Kary cywilne do 7 500 USD za każde celowe naruszenie. CPPA wydał wiele cease-and-desist w 2024-25.
Czy CCPA dotyczy mnie, jeśli firma jest w Europie?
Tak, jeśli prowadzisz działalność w Kalifornii i przekraczasz próg.
Czy mogę pokazać jeden banner dla EU i Kalifornii?
Tak, ale powinien się dostosować. Pokaż opt-in dla EOG, opt-out + Do Not Sell dla Kalifornii.