Відповідність7 травня 2026 | FlexyConsent

Згода на використання cookie за CCPA та CPRA: що каліфорнійське законодавство про конфіденційність означає для вашого сайту

Розуміння каліфорнійської системи захисту даних

Каліфорнія є лідером у США в галузі законодавства про конфіденційність споживачів, і її закони впливають на вебсайти по всьому світу. California Consumer Privacy Act (CCPA), суттєво змінений California Privacy Rights Act (CPRA), що набрав чинності у січні 2023 року, встановлює обов’язки для будь-якого бізнесу, який збирає персональні дані жителів Каліфорнії — незалежно від того, де фізично розташований цей бізнес.

��ля власників сайтів практичні наслідки зосереджені навколо cookie, технологій відстеження та того, як дані користувачів передаються третім сторонам. Хоча каліфорнійська модель принципово відрізняється від європейського GDPR, вона все одно вимагає уважного ставлення до механізмів згоди та прав користувачів.

CCPA/CPRA: на кого поширюється дія?

Закон застосовується до комерційних компаній, які відповідають хоча б одному з таких критеріїв:

Другий критерій особливо важливий для сайтів з рекламою. Якщо ваш сайт використовує сторонні cookie для таргетованої реклами та отримує значний трафік з Каліфорнії, ви можете обробляти дані значно більше ніж 100 000 каліфорнійських користувачів на рік лише через ці cookie.

Opt-out проти opt-in: принципова відмінність від GDPR

Це найважливіша відмінність, яку мають розуміти власники сайтів. За GDPR типовою є модель opt-in: ви не можете встановлювати несуто необхідні cookie, доки користувач явно не надасть згоду. За CCPA/CPRA типовою є модель opt-out: ви можете обробляти персональні дані (у тому числі через cookie), доки користувач не скаже вам зупинитися.

Це означає, що досвід взаємодії з механізмом згоди для відвідувачів з Каліфорнії виглядає принципово інакше:

Однак існують важливі винятки. Для неповнолітніх до 16 років CCPA/CPRA переходить до моделі opt-in — ви повинні отримати явну згоду перед продажем або передачею їхньої персональної інформації. Для дітей до 13 років таку згоду має надати батько або опікун.

Вимога "Do Not Sell or Share"

CPRA розширив початкове право CCPA "Do Not Sell" до "sharing" — що спеціально націлене на той тип обміну даними, який відбувається через сторонні рекламні cookie. Коли користувач відвідує ваш сайт, і ваші cookie надсилають його дані перегляду до рекламних мереж, це становить sharing за CPRA, навіть якщо гроші безпосередньо не передаються.

Ваші обов’язки включають:

Global Privacy Control (GPC)

Global Privacy Control — це сигнал на рівні браузера, який ��ористувачі можуть увімкнути, щоб автоматично передавати свою перевагу opt-out кожному сайту, який вони відвідують. Основні браузери, включно з Firefox та Brave, підтримують GPC нативно, а розширення браузера додають підтримку в Chrome та інші.

Відповідно до правил CPRA, бізнеси зобов’язані враховувати сигнали GPC як дійсний запит на opt-out. Це має суттєві практичні наслідки:

Рівень впровадження GPC стабільно зростає. За оцінками, від 5 до 10 відсотків вебтрафіку вже містить сигнал GPC, і цей відсоток вищий серед користувачів, які особливо дбають про конфіденційність, у Каліфорнії.

Коли вам насправді потрібен банер cookie для Каліфорнії?

Саме тут багато компаній плутаються. Строго кажучи, CCPA/CPRA не вимагає європейського банера згоди на cookie через модель opt-out. Однак вам потрібні:

На практиці більшість сайтів, які обслуговують як європейську, так і каліфорнійську аудиторію, впроваджують уніфікований інтерфейс згоди, що адаптує свою поведінку залежно від місцезнаходження відвідувача. Це дозволяє уникнути підтримки двох повністю окремих систем згоди.

Практичні аспекти впровадження

Впровадження відповідності CCPA/CPRA разом із відповідністю GDPR створює задачу роботи в двох режимах. Ваша платформа керування згодою має:

  1. Точно визначати місцезнаходження відвідувача за допомогою геолокації на основі IP.
  2. Застосовувати правильну правову модель — opt-in для відвідувачів з ЄЕЗ/Великої Британії, opt-out для відвідувачів з Каліфорнії та, потенційно, відсутність вимог для відвідувачів з інших регіонів.
  3. Керувати посиланням "Do Not Sell or Share" для відвідувачів з Каліфорнії — або в межах банера, або як окремий елемент сторінки.
  4. Виявляти та враховувати сигнали GPC до встановлення будь-яких сторонніх cookie.
  5. Керувати поведінкою cookie відповідним чином — блокувати сторонні рекламні cookie для користувачів, які відмовилися (opt-out), водночас дозволяючи продовжувати роботу cookie для аналітики першої сторони.

Технічна реалізація також має враховувати відмінність між cookie для аналітики першої сторони (загалом допустимі за CCPA/CPRA як бізнесова мета) та сторонніми рекламними cookie (які становлять sharing і підлягають opt-out).

Geo-таргетинг FlexyConsent для відвідувачів з Каліфорнії

FlexyConsent вирішує задачу роботи в двох режимах за допомогою автоматичного geo-таргетингу. Коли відвідувач із Каліфорнії заходить на ваш сайт, FlexyConsent коригує свою поведінку відповідно до вимог CCPA/CPRA:

Як Google-certified CMP, що підтримує IAB TCF 2.3 та Consent Mode V2, FlexyConsent гарантує, що сигнали згоди коректно передаються до сервісів Google незалежно від того, яка правова модель застосовується. Це означає, що ваші конфігурації Google Analytics та Google Ads працюють коректно як для європейських користувачів, які надали згоду, так і для користувачів з Каліфорнії, які не відмовилися (не здійснили opt-out).

Основний висновок: Каліфорнійська модель opt-out може здаватися менш обмежувальною, ніж підхід opt-in у GDPR, але практичні вимоги — особливо щодо сигналів GPC та широкого визначення "sharing" — означають, що більшості сайтів, які фінансуються за рахунок реклами, потрібне складне рішення для керування згодою. Впровадження geo-таргетованої згоди, що адаптується до обох моделей, є набагато надійнішим, ніж спроба застосувати єдиний підхід у всьому світі.
← Блaderegistrdelays delays Читати все →