Общий регламент по защите данных (GDPR) и закон California Consumer Privacy Act (CCPA) с поправками, внесёнными законом California Privacy Rights Act (CPRA), - два из наиболее влиятельных нормативных режимов в области конфиденциальности для организаций, работающих на международном уровне. Хотя оба дают физическим лицам больше контроля над их персональной информацией, они существенно различаются по сфере действия, правовым основам, требованиям к согласию, правам потребителей, обязанностям при утечках, механизмам правоприменения и обязанностям по обеспечению соответствия. В этом руководстве сравниваются требования GDPR и CCPA, чтобы помочь организациям понять, где режимы пересекаются, где расходятся и как выстроить программу конфиденциальности, учитывающую оба.
Сравнение: GDPR против CCPA
| Параметр | 🇪🇺 GDPR | 🇺🇸 CCPA |
|---|---|---|
| Юрисдикция | Режим Европейского союза / ЕЭЗ | Калифорния, США |
| Основной закон | Регламент (ЕС) 2016/679 | California Consumer Privacy Act с поправками |
| Дата вступления в силу | 25 мая 2018 года | 1 января 2020 года; основные поправки CPRA действуют с 1 января 2023 года |
| Модель регулирования | Комплексный регламент о защите данных | Закон о конфиденциальности потребителей и защите данных |
| Основной регулятор | Надзорные органы ЕС/ЕЭЗ и EDPB | California Privacy Protection Agency и Генеральный прокурор Калифорнии |
| На кого распространяется? | Контролёры и обработчики, отвечающие критериям GDPR о территории или месте учреждения | Компании, отвечающие условиям применимости CCPA |
| Правовое основание | Для обработки необходимо правовое основание | Аналогичной системы шести оснований нет |
| Согласие | Одно из нескольких правовых оснований; в отдельных ситуациях требования строже | Значимо главным образом для отдельных требований о предварительном согласии и конкретных видов использования |
| Отказ от продажи/передачи | Прямого аналога правил CCPA о продаже/передаче нет | Потребители вправе отказаться от продажи или передачи |
| Чувствительная информация | Данные особых категорий получают усиленную защиту | К чувствительной персональной информации применяются дополнительные меры контроля |
| Права субъектов данных/потребителей | Широкие права, включая доступ, исправление, удаление и переносимость | Права на информацию, удаление, исправление, отказ, ограничение использования и недискриминацию |
| Уведомление об утечке данных | Уведомление надзорного органа, как правило, в течение 72 часов, когда оно требуется | Законы Калифорнии об утечках, как правило, требуют уведомления без необоснованной задержки / в кратчайший возможный срок |
| DPO | Обязателен в определённых обстоятельствах | Общего требования о DPO в CCPA нет |
| Местный представитель | От некоторых организаций за пределами ЕС может требоваться представитель по статье 27 | Общего аналога в CCPA нет |
| Трансграничная передача данных | Подчиняется требованиям главы V GDPR | Аналогичного комплексного механизма передачи в CCPA нет |
| Частные иски | Субъекты данных могут требовать компенсации по статье 82 GDPR | Право на частный иск связано главным образом с определёнными утечками данных |
| Максимальный административный штраф по GDPR | До 20 млн евро или 4% мирового годового оборота - в зависимости от того, какая сумма больше - за определённые нарушения | Административные штрафы и установленные законом компенсации зависят от применимой нормы и обстоятельств |
Что такое GDPR?
Общий регламент по защите данных (GDPR) - комплексный нормативный режим Европейского союза в области защиты данных. Он регулирует обработку персональных данных и устанавливает обязанности организаций, действующих в качестве контролёров и обработчиков.
GDPR может применяться к организациям за пределами ЕС, если выполнены требования о его территориальной сфере действия, - в частности, при определённой деятельности, связанной с предложением товаров или услуг физическим лицам в ЕС либо с мониторингом их поведения.
GDPR строится на таких принципах, как законность, справедливость и прозрачность, ограничение цели, минимизация данных, точность, ограничение срока хранения, безопасность и подотчётность.
Что такое CCPA?
Закон California Consumer Privacy Act (CCPA) наделяет потребителей Калифорнии конкретными правами в отношении их персональной информации и возлагает обязанности на компании, подпадающие под его действие.
В CCPA были внесены поправки законом California Privacy Rights Act (CPRA), который ввёл дополнительные права потребителей и учредил агентство California Privacy Protection Agency (CPPA).
Действующий режим CCPA включает требования о прозрачности, запросах потребителей, продаже и передаче персональной информации, чувствительной персональной информации, сигналах отказа и других мерах защиты конфиденциальности.
Действующие правила CPPA включают требования, вступившие в силу 1 января 2026 года, - в том числе обновлённые правила CCPA и требования об оценках рисков, аудитах кибербезопасности и технологиях автоматизированного принятия решений для отдельных компаний, подпадающих под действие закона.
GDPR vs CCPA: ключевые различия
1. Территориальная сфера действия
GDPR
GDPR может применяться к организациям, учреждённым как в ЕС, так и за его пределами, если выполнены условия статьи 3.
Это могут быть организации за пределами ЕС, которые:
- Предлагают товары или услуги физическим лицам в ЕС
- Ведут мониторинг поведения физических лиц в ЕС
- Действуют через учреждение в ЕС
Поэтому анализ применимости должен основываться на деятельности организации и требованиях GDPR о территориальной сфере действия.
CCPA
CCPA применяется к компаниям, которые отвечают установленному законом определению и применимым пороговым значениям. Это не общий закон о защите данных, распространяющийся на любую организацию, которая обрабатывает информацию о жителях Калифорнии.
Применимость зависит, в частности, от деятельности организации, её выручки и объёма или характера персональной информации потребителей Калифорнии.
Ключевое различие: GDPR выстроен вокруг территориальной применимости и таких ролей, как контролёр и обработчик, тогда как применимость CCPA определяется понятием компании, подпадающей под действие закона, и установленными им пороговыми значениями.
2. Правовое основание обработки
Одно из главных различий между GDPR и CCPA - понятие законности обработки.
GDPR
Организации обязаны определить надлежащее правовое основание по статье 6 для каждой операции обработки, например:
- Согласие
- Договор
- Юридическая обязанность
- Жизненно важные интересы
- Задача в общественных интересах
- Законные интересы
При обработке данных особых категорий применяются дополнительные условия.
CCPA
CCPA не использует модель шести правовых оснований GDPR.
Вместо этого основное внимание он уделяет прозрачности, правам потребителей, ограничениям на отдельные виды использования и раскрытия, а также возможности отказаться от таких действий, как продажа или передача персональной информации.
3. Согласие и право на отказ
GDPR
Согласие - одно из возможных правовых оснований, но оно не требуется автоматически для каждой операции обработки.
Если используется согласие, оно должно отвечать требованиям GDPR, в том числе быть свободным, конкретным, информированным и недвусмысленным.
CCPA
CCPA уделяет большое внимание выбору потребителя и праву на отказ.
Потребители могут иметь право отказаться от следующего:
- Продажа персональной информации
- Передача персональной информации для кросс-контекстной поведенческой рекламы
- Отдельные виды использования чувствительной персональной информации
- Отдельные виды автоматизированного принятия решений, где это применимо
Калифорнийский режим также признаёт в применимых обстоятельствах сигналы отказа, такие как Global Privacy Control (GPC).
4. Права потребителей и субъектов данных
Оба режима наделяют физических лиц существенными правами в области конфиденциальности, но терминология и механизмы различаются.
Права по GDPR
В зависимости от обстоятельств физические лица могут иметь следующие права:
- Доступ к персональным данным
- Исправление неточных данных
- Удаление персональных данных
- Ограничение обработки
- Возражение против обработки
- Переносимость данных
- Отзыв согласия
- Права, связанные с автоматизированным принятием решений и профилированием
Права по CCPA
Потребители Калифорнии могут иметь, в частности, следующие права:
- Право на информацию
- Право на удаление
- Право на исправление
- Право на отказ от продажи или передачи
- Право ограничить отдельные виды использования и раскрытия чувствительной персональной информации
- Право на отказ от отдельных видов автоматизированного принятия решений, где это применимо
- Право на недискриминацию
Генеральный прокурор Калифорнии подтверждает, что CCPA наделяет потребителей правами на доступ к информации, удаление, отказ от продажи или передачи и недискриминацию.
5. Чувствительная персональная информация
GDPR
Статья 9 GDPR устанавливает усиленную защиту особых категорий персональных данных, включая сведения о здоровье, биометрические данные, используемые для идентификации, генетические данные, сведения о политических взглядах и религиозных или философских убеждениях.
Для обработки, как правило, необходимы и правовое основание по статье 6, и применимое условие статьи 9.
CCPA
CCPA отдельно определяет чувствительную персональную информацию и наделяет потребителей правами в отношении отдельных видов её использования и раскрытия.
Таким образом, калифорнийский режим подходит к чувствительной информации иначе, чем модель данных особых категорий в GDPR.
6. Уведомление об утечке данных
GDPR
Если утечка персональных данных может создать риск для прав и свобод физических лиц, контролёр, как правило, обязан уведомить компетентный надзорный орган без неоправданной задержки и, по возможности, в течение 72 часов с момента, когда ему стало об утечке известно.
Если утечка может повлечь высокий риск для физических лиц, может также потребоваться сообщить о ней затронутым лицам.
CCPA / законодательство Калифорнии об утечках
Требования Калифорнии об уведомлении об утечках действуют в рамках калифорнийского законодательства об уведомлении об утечках данных и связанных с ним положений о конфиденциальности, а не в виде универсального правила CCPA о 72 часах.
Организациям, подпадающим под действие закона, следует оценить инцидент на соответствие применимым требованиям Калифорнии и направить уведомление в установленный законом срок.
Ключевое различие: GDPR устанавливает конкретный порядок уведомления надзорного органа в течение 72 часов об утечках, отвечающих установленным критериям; в Калифорнии действует иной законодательный порядок уведомления об утечках.
7. Инспекторы по защите данных
GDPR
Инспектор по защите данных (DPO) может быть обязателен в обстоятельствах, указанных в статье 37, в том числе для некоторых организаций, основная деятельность которых связана с регулярным и систематическим мониторингом в крупном масштабе или с крупномасштабной обработкой особых категорий данных.
CCPA
CCPA не устанавливает общего требования, по которому каждая компания, подпадающая под его действие, должна назначить инспектора по защите данных по образцу GDPR.
Однако в зависимости от деятельности и обязанностей организациям могут потребоваться надлежащие функции в области конфиденциальности, безопасности, оценки рисков и управления.
8. Представители по вопросам конфиденциальности
GDPR
Некоторым организациям, находящимся за пределами ЕС, может потребоваться назначить представителя в ЕС по статье 27, если статья 27 применяется.
Представитель может выступать контактным лицом для надзорных органов и физических лиц по вопросам операций по обработке.
CCPA
В CCPA нет прямого аналога требования статьи 27 GDPR о представителе.
Однако международным компаниям всё равно могут потребоваться надлежащее управление конфиденциальностью в Калифорнии, обработка запросов потребителей и взаимодействие с регуляторами.
9. Трансграничная передача данных
GDPR
Международная передача персональных данных за пределы ЕС/ЕЭЗ регулируется главой V GDPR.
В зависимости от страны назначения и обстоятельств организации могут опираться на такие механизмы, как:
- Решения об адекватности
- Стандартные договорные условия (SCCs)
- Обязательные корпоративные правила (BCRs)
- Отдельные исключения, где это применимо
CCPA
CCPA не устанавливает комплексного режима трансграничной передачи, аналогичного главе V GDPR.
Однако при международной передаче персональной информации или доступе к ней из-за рубежа организации всё равно обязаны учитывать договорные требования, требования к безопасности, прозрачности, управлению поставщиками и иные применимые правовые требования.
10. Уведомления о конфиденциальности и прозрачность
И GDPR, и CCPA требуют от организаций предоставлять содержательную информацию о своих операциях по обработке.
GDPR
Уведомления о конфиденциальности по GDPR обычно охватывают:
- Наименование и контактные данные контролёра
- Цели обработки
- Правовые основания
- Категории персональных данных
- Получателей
- Международную передачу данных
- Сроки хранения
- Права субъектов данных
- Право на подачу жалобы
- Автоматизированное принятие решений, где это применимо
CCPA
Раскрытие информации о конфиденциальности по CCPA обычно охватывает:
- Категории собираемой персональной информации
- Цели сбора и использования
- Категории источников
- Категории получателей
- Права потребителей
- Сведения о продаже/передаче
- Сведения о чувствительной персональной информации
- Механизмы отказа
11. Санкции и правоприменение
GDPR
За определённые серьёзные нарушения административные штрафы по GDPR могут достигать 20 млн евро или 4% совокупного мирового годового оборота за предыдущий финансовый год - в зависимости от того, какая сумма больше.
Правоприменение осуществляют национальные надзорные органы, работу которых координирует Европейский совет по защите данных.
CCPA
Правоприменением по CCPA занимаются California Privacy Protection Agency (CPPA) и Генеральный прокурор Калифорнии.
CCPA содержит положения об административных штрафах и ограниченное право на частный иск при определённых утечках данных. Размеры штрафов и установленных законом компенсаций зависят от применимой нормы и обстоятельств.
CPPA публикует актуальные тексты CCPA, подзаконных правил и денежные пороговые значения, включая пороговые значения, действующие с 2025 года, и последующие обновления правил.
GDPR vs CCPA: какой режим строже?
Не всегда верно называть один из режимов «более строгим» во всех отношениях.
GDPR в целом устанавливает более широкие требования к подотчётности, включая:
- Анализ правовых оснований
- Реестр обработки
- Оценки воздействия на защиту данных в применимых случаях
- Инспекторов по защите данных в определённых обстоятельствах
- Требования к международной передаче данных
- Подробные обязанности контролёров и обработчиков
- Контроль со стороны надзорных органов
CCPA, в свою очередь, особенно сосредоточен на прозрачности для потребителей, праве на отказ от продажи/передачи, чувствительной персональной информации, запросах потребителей и мерах защиты конфиденциальности, специфичных для Калифорнии.
Поэтому организациям, работающим на международном уровне, следует оценивать оба режима, а не исходить из того, что соответствие одному автоматически означает соответствие другому.
GDPR vs CCPA: может ли одна программа конфиденциальности охватить оба режима?
Да - но программу следует выстроить на общей системе средств контроля конфиденциальности, поверх которой добавляются требования отдельных юрисдикций.
Единая программа может включать:
Инвентаризация данных
Определите:
- Какая персональная информация собирается
- Где она хранится
- Зачем она обрабатывается
- Кто её получает
- Как долго она хранится
- Куда она передаётся
Управление правами в области конфиденциальности
Создайте единый процесс для работы со следующим:
- Запросы субъектов данных по GDPR
- Запросы потребителей Калифорнии
- Проверка личности
- Отслеживание запросов
- Сроки ответа
- Исключения и требования о сохранении данных в связи с судебными разбирательствами
Управление согласиями и предпочтениями
Управляйте следующим:
- Требования GDPR к согласию
- Предпочтения в отношении файлов cookie и отслеживания
- Отказы от продажи/передачи по CCPA
- Сигналы Global Privacy Control
- Предпочтения в отношении чувствительной информации
Управление поставщиками и третьими сторонами
Составьте карту:
- Обработчиков
- Поставщиков услуг
- Подрядчиков
- Рекламных партнёров
- Поставщиков аналитики
- Отношений, связанных с обменом данными
Реагирование на инциденты
Разработайте единый процесс реагирования на утечки, который определяет:
- Применимую юрисдикцию
- Порог уведомления
- Требования об уведомлении регулятора
- Требования об уведомлении потребителей
- Требования к доказательствам и документации
Регуляторный мониторинг
Программы конфиденциальности должны постоянно отслеживать изменения требований и ЕС, и Калифорнии.
Действующие правила CPPA включают обновления, вступившие в силу 1 января 2026 года, поэтому постоянный регуляторный мониторинг особенно важен для организаций, на которые распространяется законодательство Калифорнии о конфиденциальности.
Часто задаваемые вопросы
Нужно ли мне соблюдать и GDPR, и CCPA?
Вам может потребоваться соблюдать оба акта, если ваша организация отвечает требованиям GDPR о территориальной сфере действия и одновременно является компанией, подпадающей под действие CCPA. Два режима пересекаются в таких областях, как прозрачность, доступ и удаление, но их требования не идентичны.
CCPA - это то же самое, что GDPR?
Нет. Оба акта - комплексные режимы защиты конфиденциальности с пересекающимися понятиями, но регуляторная структура у них разная. GDPR основан на принципах защиты данных, правовых основаниях и обязанностях контролёров и обработчиков, тогда как CCPA сосредоточен на правах потребителей Калифорнии, прозрачности и механизмах отказа.
Требует ли CCPA согласия, как GDPR?
Как правило, нет. CCPA не использует систему правовых оснований GDPR. Однако отдельные требования CCPA могут предполагать согласие или механизмы предварительного согласия в определённых обстоятельствах, включая некоторые требования, касающиеся несовершеннолетних.
Есть ли в CCPA правило об уведомлении об утечке в течение 72 часов?
Нет. CCPA не следует представлять как устанавливающий универсальный 72-часовой срок уведомления об утечке, аналогичный статье 33 GDPR. Требования Калифорнии об уведомлении об утечках действуют в рамках применимого законодательства Калифорнии, и оценивать их следует с учётом характера и обстоятельств инцидента.
Требует ли CCPA назначать инспектора по защите данных?
В CCPA нет общего требования, по которому каждая компания, подпадающая под его действие, должна назначить DPO по образцу GDPR. Однако организациям следует выстроить надлежащие функции управления конфиденциальностью и подотчётности с учётом своих обязанностей и профиля риска.
Требует ли CCPA назначать представителя по статье 27?
Нет. CCPA не содержит прямого аналога требования статьи 27 GDPR о представителе в ЕС.
Помогает ли соответствие GDPR в обеспечении соответствия CCPA?
Да. Зрелая программа GDPR может стать прочной основой для соответствия CCPA, поскольку оба режима требуют прозрачности, управления правами в области конфиденциальности, управления данными и подотчётности. Однако необходимы дополнительные средства контроля, специфичные для Калифорнии.
Каким компаниям стоит рассмотреть оценку соответствия GDPR и CCPA?
Совместная оценка может быть особенно полезна SaaS-компаниям, технологическим компаниям, компаниям электронной коммерции, рекламным и маркетинговым платформам, компаниям в сфере ИИ, поставщикам медицинских технологий, финтех-компаниям, международным розничным сетям, цифровым платформам и компаниям, обрабатывающим данные потребителей в нескольких юрисдикциях.
Соответствие GDPR и CCPA с RegulatoryBridge
Раздельное управление требованиями GDPR и CCPA может порождать дублирующие процессы, несогласованные уведомления о конфиденциальности и разрозненные процессы обработки запросов потребителей.
RegulatoryBridge помогает организациям выстраивать согласованную глобальную программу конфиденциальности для разных юрисдикций.
Наша поддержка может включать:
- Оценку соответствия GDPR
- Оценку соответствия CCPA / CPRA
- Картирование и инвентаризацию данных
- Анализ уведомлений о конфиденциальности
- Процессы обработки запросов субъектов данных и потребителей
- Управление согласиями и предпочтениями
- Соответствие требованиям к файлам cookie и отслеживанию
- Оценку поставщиков и обработчиков
- Оценку международной передачи данных
- Планирование реагирования на утечки
- Управление конфиденциальностью и подотчётность
- Регуляторный мониторинг
- Трансграничное представительство по вопросам конфиденциальности
- Постоянную поддержку соответствия
Охватите GDPR и CCPA в рамках одной программы.
Сопоставьте средства контроля один раз, соответствуйте дважды. RegulatoryBridge предоставляет вам единый конвейер DSAR, единого DPO, единый план реагирования на нарушения - охватывающий обе системы.