შესაბამისობა7 მაისი, 2026 | FlexyConsent

CCPA და CPRA ქუქი-ფაილების თანხმობა: რას ნიშნავს კალიფორნიის კონფიდენციალურობის კანონი თქვენი ვებგვერდისთვის

კალიფორნიის კონფიდენციალურობის ჩარჩოს გაგება

კალიფორნია ლიდერობს შეერთებულ შტატებში მომხმარებელთა კონფიდენციალურობის კანონმდებლობაში და მისი კანონები გავლენას ახდენს ვებგვერდებზე მთელ მსოფლიოში. კალიფორნიის მომხმარებელთა კონფიდენციალურობის აქტი (CCPA), რომელიც მნიშვნ��ლოვნად შეიცვალა კალიფორნიის კონფიდენციალურობის უფლებების აქტით (CPRA), ძალაში 2023 წლის იანვრიდან, ქმნის ვალდებულებებს ნებისმიერი ბიზნესისთვის, რომელიც აგროვებს პერსონალურ ინფორმაციას კალიფორნიის მცხოვრებთა შესახებ — მიუხედავად იმისა, სად მდებარეობს ეს ბიზნესი ფიზიკურად.

ვებგვერდის მფლობელებისთვის პრაქტიკული შედეგები კონცენტრირდება ქუქი-ფაილებზე, თვალთვალის ტექნოლოგიებზე და იმაზე, თუ როგორ იზიარება მომხმარებლის მონაცემები მესამე პირებთან. მიუხედავად იმისა, რომ კალიფორნიის მოდელი ფუნდამენტურად განს��ვავდება ევროპის GDPR-ისგან, ის მაინც მოითხოვს თანხმობის მექანიზმებისა და მომხმარებლის უფლებების ფრთხილად გათვალისწინებას.

CCPA/CPRA: ვის ეხება?

კანონი ვრცელდება მოგებაზე ორიენტირებულ ბიზნესებზე, რომლებიც აკმაყოფილებენ შემდეგ ზღვრულ მაჩვენებლებს შორის მინიმუმ ერთს:

წლიური მთლიანი შემოსავალი აღემატება 25 მილიონ დოლარს.
ყოველწლიურად ყიდულობენ, ყიდიან ან იზიარებენ 100,000 ან მეტ კალიფორნიის მცხოვრების, ოჯახის ან მოწყობილობის პერსონალურ ინფორმაციას.
წლიური შემოსავლის 50 პროცენტს ან მეტს იღებენ კალიფორნიის მცხოვრებთა პერსონალური ინფორმაციის გაყიდვიდან ან გაზიარებიდან.

მეორე ზღვარი განსაკუთრებით მნიშვნელოვანია ვებგვერდებისთვის, რომლებსაც აქვთ რეკლამა. თუ თქვენი საიტი იყენებს მესამე მხარის ქუქი-ფაილებს მიზნობრივი რეკლამისთვის და იღებს მნიშვნელოვან კალიფორნიულ ტრაფიკს, თქვენ შესაძლოა ამ ქუქი-ფაილების მეშვეობით მხოლოდ კალიფორნიის 100,000-ზე ბევრად მეტი მომხმარებლის მონაცემებს ამუშავებდეთ ყოველწლიურად.

Opt-Out vs Opt-In: ფუნდამენტური განსხვავება GDPR-ისგან

ეს არის ყველაზე კრიტიკული გა��სხვავება, რომელიც ვებგვერდის ოპერატორებმა უნდა გაიგონ. GDPR-ის მიხედვით ნაგულისხმევი არის opt-in: თქვენ ვერ დააყენებთ არაესენციალურ ქუქი-ფაილებს, სანამ მომხმარებელი აქტიურად არ დაეთანხმება. CCPA/CPRA-ის მიხედვით ნაგულისხმევი არის opt-out: თქვენ შეგიძლიათ დაამუშავოთ პერსონალური ინფორმაცია (ქუქი-ფაილების მეშვეობითაც), სანამ მომხმარებელი არ გეტყვით, რომ შეწყვიტოთ.

ეს ნიშნავს, რომ კალიფორნიელი ვიზიტორებისთვის თანხმობის გამოცდილება ფუნდამენტურად განსხვავებულია:

GDPR-ის მიდგომა: დაბლოკეთ ყველა არაესენ��იალური ქუქი-ფაილი. აჩვენეთ ბანერი. დაელოდეთ დადებით თანხმობას. მხოლოდ ამის შემდეგ დააყენეთ ქუქი-ფაილები.
CCPA/CPRA-ის მიდგომა: ქუქი-ფაილების დაყენება შეიძლება ნაგულისხმევად. უზრუნველყავით მკაფიო და თვალსაჩინო "Do Not Sell or Share My Personal Information" ბმული. როდესაც მომხმარებელი იყენებს ამ უფლებას, შეწყვიტეთ მათი მონაცემების გაზიარება მესამე პირებთან.

თუმცა, არსებობს მნიშვნელოვანი გამონაკლისები. 16 წლამდე პირებისთვის CCPA/CPRA გადადის opt-in მოდელზე — თქვენ უნდა მიიღოთ მათი პერსონალური ინფორმაციის გაყიდვაზე ან გაზი��რებაზე წინასწარი თანხმობა. 13 წლამდე ბავშვებისთვის ამ თანხმობას უნდა იძლეოდეს მშობელი ან მეურვე.

"Do Not Sell or Share" მოთხოვნა

CPRA-მ გააფართოვა საწყისი CCPA-ს "Do Not Sell" უფლება და დაამატა "sharing" — რაც კონკრეტულად მიზნად ისახავს იმ ტიპის მონაცემთა გაცვლას, რომელიც ხდება მესამე მხარის სარეკლამო ქუქი-ფაილების მეშვეობით. როდესაც მომხმარებელი სტუმრობს თქვენს საიტს და თქვენი ქუქი-ფაილები აგზავნიან მათ ბრაუზინგის მონაცემებს სარეკლამო ქსელებში, ეს წარმოადგენს გაზიარებას CPRA-ს მიხედვით, თუნდაც ფული პირდაპირ არ იცვლებოდეს.

თქვენი ვალდებულებები მოიცავს:

მკაფიო ბმულს სათაურით "Do Not Sell or Share My Personal Information" მთავარ გვერდზე და კონფიდენციალურობის პოლიტიკაში.
მექანიზმს, რომ მომხმარებლებმა მარტივად გამოიყენონ ეს უფლება, ანგარიშის შექმნის მოთხოვნის გარეშე.
მოთხოვნის შესრულებას 15 სამუშაო დღეში.
არ დისკრიმინაციას იმ მომხმარებლების მიმართ, რომლებიც იყენებენ ამ უფლებას (მაგალითად, მათი გამოცდილების გაუარესებით).

Global Privacy Control (GPC)

Global Privacy Control არის ბრაუზერის დონეზე მოქმედი სიგნალი, რომლის ჩართვაც მომხმარებლებს შეუძლიათ, ��ათა ავტომატურად გადასცენ თავიანთი opt-out პრეფერენცია ყველა ვებგვერდს, რომელსაც სტუმრობენ. ძირითადი ბრაუზერები, მათ შორის Firefox და Brave, ნატურალურად უჭერენ მხარს GPC-ს, ხოლო ბრაუზერის გაფართოებები ამატებენ მხარდაჭერას Chrome-სა და სხვა ბრაუზერებში.

CPRA-ს რეგულაციების მიხედვით, ბიზნესებმა უნდა აღიარონ GPC სიგნალები როგორც ვალიდური opt-out მოთხოვნა. ამას აქვს მნიშვნელოვანი პრაქტიკული შედეგები:

თქვენი ვებგვერდი უნდა იყოს უნარიანი ამოიცნოს Sec-GPC: 1 HTTP ჰედერი ან navigator.globalPrivacyControl JavaScript თვისება.
ამოცნობის შემთხვევაში, თქვ��ნ უნდა მოექცეთ მას ისე, თითქოს მომხმარებელმა დააჭირა "Do Not Sell or Share" ბმულს.
სარეკლამო მიზნებისთვის გამოყენებული მესამე მხარის ქუქი-ფაილები უნდა იყოს ჩახშობილი ასეთი მომხმარებლებისთვის.

GPC-ის გამოყენება სტაბილურად იზრდება. შეფასებები მიუთითებს, რომ ვებტრაფიკის 5-დან 10 პროცენტამდე უკვე ატარებს GPC სიგნალს, და ეს პროცენტი უფრო მაღალია კონფიდენციალურობაზე ორიენტირებულ კალიფორნიელ მომხმარებლებს შორის.

როდის გჭირდებათ რეალურად ქუქი-ბანერი კალიფორნიისთვის?

აქ ბევრი ბიზნესი იბნევა. მკაცრად რომ ვთქვათ, CCPA/CPRA არ მოითხოვს ევროპული სტილის ქუქი-თანხმობის ბანერს opt-out მოდელის გამო. თუმცა, თქვენ გჭირდებათ:

ადვილად ხელმისაწვდომი "Do Not Sell or Share" ბმული.
მექანიზმი მესამე მხარის მონაცემთა გაზიარების ჩასახშობად, როდესაც მომხმარებელი აკეთებს opt-out-ს ან აგზავნის GPC სიგნალს.
კონფიდენციალურობის პოლიტიკა, რომელიც ავლენს შეგროვებული პერსონალური ინფორმაციის კატეგორიებს, მიზნებს და მესამე პირებს, რომელთანაც იზიარება მონაცემები.
საიტებისთვის, რომლებიც ასევე ემსახურებიან ევროპელ ვიზიტორებს, GDPR-თან თავსებადი თანხმობის ბანერი, რომელიც შეიძლება თანაარსებობდეს CCPA opt-out მექანიზმთან.

პრაქტიკაში, ვებგვერდების უმეტესობა, რომლებიც ემსახურებიან როგორც ევროპულ, ისე კალიფორნიულ აუდიტორიას, ახორციელებენ ერთიან თანხმობის ინტერფეისს, რომელიც ადაპტირდება ვიზიტორის მდებარეობის მიხედვით. ეს თავიდან იცილებს ორი სრულიად განსხვავებული თანხმობის სისტემის შენარჩუნების საჭიროებას.

პრაქტიკული განხორციელების ასპექტები

CCPA/CPRA-სთან შესაბამისობის განხორციელება GDPR-თან ერთად ქმნის ორმაგი რეჟიმის გამოწვევას. თქვენი consent management პლ��ტფორმა უნდა შეძლებდეს:

ვიზიტორის მდებარეობის ზუსტ ამოცნობას IP-ზე დაფუძნებული გეოლოკაციის გამოყენებით.
სწორი სამართლებრივი ჩარჩოს გამოყენებას — opt-in EEA/UK ვიზიტორებისთვის, opt-out კალიფორნიელი ვიზიტორებისთვის და შესაძლოა არანაირი მოთხოვნა სხვა რეგიონების ვიზიტორებისთვის.
"Do Not Sell or Share" ბმულის მართვას კალიფორნიელი ვიზიტორებისთვის, ბანერის შიგნით ან როგორც ცალკე ელემენტი გვერდზე.
GPC სიგნალების ამოცნობასა და აღიარებას ნებისმიერი მესამე მხარის ქუქი-ფაილების დაყენებამდე.
ქ��ქი-ფაილების ქცევის შესაბამის კონტროლს — სარეკლამო მესამე მხარის ქუქი-ფაილების დაბლოკვას opt-out გაკეთებული მომხმარებლებისთვის, იმავდროულად პირველი მხარის ანალიტიკის ქუქი-ფაილების დაშვებით.

ტექნიკური განხორციელება ასევე უნდა ითვალისწინებდეს განსხვავებას პირველი მხარის ანალიტიკის ქუქი-ფაილებს (ზოგადად დასაშვებია CCPA/CPRA-ს მიხედვით როგორც business purpose) და მესამე მხარის სარეკლამო ქუქი-ფაილებს შორის (რომლებიც წარმოადგენენ გაზიარებას და ექვემდებარებიან opt-out-ს).

FlexyConsent-ის გეოტარგეტინგი კალიფორნიელი ��იზიტორებისთვის

FlexyConsent ორმაგი რეჟიმის გამოწვევას წყვეტს ავტომატური გეოტარგეტინგის საშუალებით. როდესაც კალიფორნიელი ვიზიტორი შემოდის თქვენს საიტზე, FlexyConsent არეგულირებს თავის ქცევას CCPA/CPRA მოთხოვნებთან შესაბამისობაში:

Opt-out რეჟიმის აქტივაცია: ყველა ქუქი-ფაილის წინასწარ დაბლოკვის ნაცვლად, FlexyConsent თვალსაჩინოდ აჩვენებს აუცილებელ "Do Not Sell or Share My Personal Information" არჩევანს.
GPC სიგნალის ამოცნობა: FlexyConsent ავტომატურად ამოწმებს Global Privacy Control სიგნალს და, მისი არსებობის შემთხვევაში, ჩახშობს მესამე მხარის მონაცემთა გაზიარებას მომხმარებლის ნებისმიერი დამატებითი ქმედების გარეშე.
კატეგორიაზე ორიენტირებული ბლოკირება: როდესაც კალიფორნიელი მომხმარებელი აკეთებს opt-out-ს, FlexyConsent შერჩევითად ბლოკავს სარეკლამო და cross-site tracking ქუქი-ფაილებს, ამავე დროს ინარჩუნებს პირველი მხარის ანალიტიკის ფუნქციონალს, რომელიც business purpose გამონაკლისის ქვეშ ხვდება.
GDPR-თან შეუფერხებელი თანაარსებობა: იგივე FlexyConsent ინსტალაცია მართავს ორივე ჩარჩოს. ევროპელი ვიზიტორები ხედავენ GDPR-თან თავსებად opt-in ბანერს დეტალური კატეგორიული კონტროლებით. კალიფორნიელი ვიზიტორე��ი ხედავენ შესაბამის opt-out მექანიზმს. არარეგულირებული რეგიონებიდან მოსული ვიზიტორები იღებენ მინიმალურ შეტყობინებას ან საერთოდ არ ხედავენ ბანერს, თქვენი კონფიგურაციის მიხედვით.

როგორც Google-ს მიერ სერტიფიცირებული CMP, რომელიც უჭერს მხარს IAB TCF 2.3-ს და Consent Mode V2-ს, FlexyConsent უზრუნველყოფს, რომ თანხმობის სიგნალები სწორად გადაეცეს Google სერვისებს, მიუხედავად იმისა, რომელი სამართლებრივი ჩარჩო გამოიყენება. ეს ნიშნავს, რომ თქვენი Google Analytics და Google Ads კონფიგურაციები სწორად მუშაობს როგორც opt-in გაკეთებული ევროპელი მომხმარე��ლებისთვის, ისე კალიფორნიელი მომხმარებლებისთვის, რომლებმაც opt-out არ გააკეთეს.

ძირითადი დასკვნა: კალიფორნიის opt-out მოდელი შეიძლება ნაკლებად შეზღუდულად ჩანდეს GDPR-ის opt-in მიდგომასთან შედარებით, მაგრამ პრაქტიკული მოთხოვნები — განსაკუთრებით GPC სიგნალების ირგვლივ და "sharing"-ის ფართო განსაზღვრების გამო — ნიშნავს, რომ რეკლამით მხარდაჭერილი ვებგვერდების უმეტესობას სჭირდება დახვეწილი consent management გადაწყვეტა. გეოტარგეტირებული თანხმობის განხორციელება, რომელიც ორივე ჩარჩოსთან ადაპტირდება, ბევრად უფრო საიმედოა, ვიდრე ერთი უნივერსალური მიდგომის გლობალურად გამოყენების მცდელობა.