Продукт выходит в ЕС и Калифорнии в одном и том же квартале, аналитика уже включена, отдел продаж хочет ускорить онбординг, и юристы за неделю дважды слышат один вопрос: что на самом деле отличается между требованиями GDPR и CCPA? Для большинства цифровых компаний это не академическое сравнение. Оно влияет на карты данных, работу с cookie, договоры с поставщиками, реагирование на инциденты, настройки adtech и риски на уровне совета директоров.
Почему соответствие GDPR и CCPA — это не простой чек-лист
Первая ошибка компаний — считать эти законы взаимозаменяемыми режимами приватности с разными названиями. Это не так. GDPR — широкая система защиты данных, выстроенная вокруг правовых оснований, подотчётности и ограничений на обработку персональных данных. CCPA в редакции CPRA сильнее ориентирован на права потребителей и делает необычный акцент на продаже, передаче и использовании персональной информации для кросс-контекстной поведенческой рекламы.
Это различие важно операционно. По GDPR юридический вопрос часто начинается с того, почему вы вообще обрабатываете персональные данные и действительно ли выбранное правовое основание. По CCPA вопрос обычно начинается с того, какую категорию персональной информации вы собираете, раскрываете ли её третьим лицам и подпадает ли деятельность под продажу или передачу, которая запускает право на отказ.
Если юридическая и продуктовая команды сводят эти системы к одной общей программе приватности, пробелы появляются быстро. Баннер согласия, сделанный под европейские правила, может не решить калифорнийских обязанностей по отказу. Калифорнийское уведомление при сборе может почти ничего не говорить о стандартах прозрачности GDPR по статьям 13 и 14. Пересечение есть, но архитектура разная.
Сфера действия и территориальный охват
GDPR применяется по людям, поведению и таргетингу на рынок
GDPR применяется к контролёрам и обработчикам, учреждённым в Европейском союзе, но также распространяется на компании за пределами ЕС, когда те предлагают товары или услуги лицам в ЕС либо отслеживают их поведение. Статья 3 — причина, по которой множество американских и транснациональных платформ попадают под действие закона даже без европейского офиса.
Эта экстерриториальная модель шире, чем ожидают многие основатели. Если ваше приложение локализуется для пользователей из ЕС, принимает подписки из ЕС, профилирует поведение или ведёт измерение таргетированной рекламы, привязанное к трафику из ЕС, анализ по GDPR обычно неизбежен.
CCPA применяется через бизнес-пороги и данные калифорнийских потребителей
CCPA устроен иначе. Он, как правило, применяется к коммерческим организациям, ведущим деятельность в Калифорнии, которые определяют цели и средства обработки и достигают законодательных порогов по выручке, объёму персональной информации или доле выручки от продажи либо передачи персональной информации.
Это делает CCPA более пороговым и привязанным к конкретному бизнесу. Компания может работать с пользователями из Калифорнии и всё равно не подпадать под CCPA, если не соответствует нужным критериям. Но как только она оказывается в сфере действия, закон охватывает организацию вполне практичным образом, особенно в части уведомлений, договоров, чувствительной персональной информации и обработки запросов потребителей.
Персональные данные по GDPR и персональная информация по CCPA
Определения пересекаются, но различаются в рамке. GDPR определяет персональные данные очень широко в статье 4(1) как любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу. Сюда входят прямые идентификаторы, онлайн-идентификаторы, данные о местоположении и факторы, связанные с физической, генетической, психической, экономической, культурной или социальной идентичностью.
CCPA определяет персональную информацию широко — как информацию, которая идентифицирует конкретного потребителя или домохозяйство, относится к ним, описывает их, разумно может быть с ними сопоставлена или связана. Упоминание домохозяйства — одно из практических различий, которое многие глобальные команды упускают, особенно в экосистемах подключённых устройств, продуктах умного дома и телеком-средах.
Для моделей ИИ, adtech и брокериджа данных такая широта определений означает, что оба закона могут применяться к телеметрии, идентификаторам устройств, инференс-слоям и данным сегментации аудитории даже там, где в наборе данных нет очевидного имени или email.
Правовое основание против логики уведомления и отказа
Именно здесь проходит самый глубокий операционный разлом.
По GDPR каждая операция обработки нуждается в правовом основании по статье 6. В некоторых случаях по статье 9 действуют дополнительные условия для специальных категорий данных. Согласие — лишь одно из оснований, а не вариант по умолчанию для всего, но если оно используется, то должно отвечать высокому стандарту: даваться свободно, конкретно, осознанно и недвусмысленно. На практике аналитика, персонализация, мониторинг сотрудников и продуктовые эксперименты часто требуют тщательного выбора основания и задокументированной оценки баланса интересов, если применяется законный интерес.
По CCPA закон не вращается вокруг правовых оснований таким же образом. Ключевые обязанности — уведомление, управление правами, ограничение целей, минимизация данных и возможность для потребителей отказаться от продажи и передачи. Согласие становится центральным в более узких областях, например в части использования данных несовершеннолетних или отдельных схем финансового стимулирования, но система не строится вокруг доказывания правового основания для каждой операции обработки.
Это значит, что бизнес может быть формально соответствующим фронтенд-архитектуре выбора одного режима и при этом нарушать другой. Европейская настройка cookie без действительного согласия способна нарушить GDPR. Калифорнийская настройка без понятного механизма «Do Not Sell or Share My Personal Information» создаёт риск по CCPA, даже если интерфейс выглядит дружелюбным к приватности.
Запросы о реализации прав похожи, пока не появятся пограничные случаи
Оба закона дают людям значимые права, но содержание и механика различаются.
GDPR включает права на доступ, исправление, удаление, ограничение обработки, возражение, переносимость, а также права, связанные с автоматизированным принятием решений по статье 22. Эти права связаны со структурой правовых оснований и целей регламента. Например, право на возражение имеет особую силу там, где обработка опирается на законный интерес или прямой маркетинг.
CCPA даёт калифорнийским потребителям права знать, удалять, исправлять и получать доступ к определённой информации, а также отказываться от продажи и передачи, ограничивать использование и раскрытие чувствительной персональной информации в отдельных контекстах и не подвергаться дискриминации за реализацию прав.
Сложность не в том, чтобы сделать веб-форму. Сложность в проектировании серверной логики. Когда пользователь подаёт один запрос, ваша система должна определить, какой правовой режим применяется, какой стандарт проверки личности законен, как поступать с резервными копиями и списками подавления, действуют ли исключения и как ответить в установленный срок. В трансграничных группах обработка прав часто проваливается, потому что уведомление о приватности, CRM, хранилище данных и договоры с поставщиками так и не были согласованы между собой.
Поставщики, обработчики, сервис-провайдеры и архитектура договоров
GDPR проводит чёткую границу между контролёрами и обработчиками, а статья 28 требует детальных условий для обработчика. Если вы используете облачную инфраструктуру, платёжных поставщиков, инструменты клиентской поддержки, провайдеров LLM, аналитические платформы или внешнюю разработку, проверка обработчиков и договорные средства контроля не опциональны.
CCPA пользуется другим словарём. Различия между бизнесом, сервис-провайдером, подрядчиком и третьим лицом напрямую влияют на то, считается ли раскрытие ограниченной обработкой или же продажей либо передачей. Слабая редакция договора способна перечеркнуть позицию компании. Если в соглашении нет требуемых ограничений на хранение, использование и раскрытие, рядовая передача поставщику может превратиться в регулируемое раскрытие с новыми последствиями в части права на отказ.
Для компаний, масштабирующихся между юрисдикциями, управление поставщиками стоит проектировать один раз, но привязывать к каждому режиму отдельно. Здесь юридическая работа должна встретиться с закупками, инженерией и безопасностью. Шаблонные положения без проверки потоков данных не выдерживают пристального взгляда.
Международные передачи и то, что CCPA не решает
Повторяющееся заблуждение на уровне совета директоров — будто калифорнийский комплаенс каким-то образом покрывает риск международного движения данных. Это не так.
GDPR устанавливает специальные правила для передачи персональных данных за пределы ЕЭЗ в главе V. В зависимости от направления и потока данных это может потребовать решения об адекватности, стандартных договорных условий, оценок воздействия передачи и дополнительных мер. После Schrems II эти оценки перестали быть просто бумажной работой.
CCPA не предусматривает аналогичного механизма передачи. Поэтому, если ваш стек перемещает данные из ЕС в США или дальше в другие юрисдикции, готовность к CCPA никак не закрывает обязанности GDPR по передаче. Это важно для SaaS-платформ, централизованных HR-систем, сред измерения рекламы и конвейеров обучения ИИ.
Риск правоприменения различается по природе, а не только по степени
GDPR применяют европейские надзорные органы, и теоретические уровни штрафов по статье 83 хорошо известны. Но реальное давление часто приходит раньше — через расследования, жалобы, предписания о прекращении обработки или вопросы вокруг международных передач и моделей согласия. Для компании на стадии роста приостановка обработки способна навредить сильнее громкого штрафа.
Правоприменение CCPA теперь сосредоточено в основном в Калифорнийском агентстве по защите приватности и у Генерального прокурора, с созревающей практикой нормотворчества и принуждения. Существует и ограниченное частное право на иск, привязанное к определённым утечкам данных. Это делает управление безопасностью и контроль хранения особенно важными, потому что соответствие приватности и экспозиция к инцидентам тесно связаны.
Разумная модель риска не спрашивает, какой закон строже в абстракции. Она спрашивает, где бизнес наиболее уязвим: раскрытия в adtech, данные детей, HR-системы, обучающие данные ИИ, процессы рядом со сферой здравоохранения или трансграничная инфраструктура.
Рабочий подход к соответствию GDPR и CCPA
Компании, которые справляются с этим хорошо, не строят две отдельные вселенные приватности. Они создают одну систему контроля с наслоёнными поверх правилами под конкретные юрисдикции. Обычно это означает надёжную инвентаризацию данных, матрицу целей обработки, классификацию поставщиков, плейбуки обработки прав, управление cookie и SDK, графики хранения и пути реагирования на инциденты, отражающие то, как данные реально движутся.
Затем юридический дизайн становится точнее. GDPR требует задокументированных правовых оснований, согласованности в части прозрачности, анализа передач и средств контроля над обработчиками. CCPA требует уведомлений по категориям, анализа продажи и передачи, договорной логики для сервис-провайдеров и подрядчиков, правил о чувствительных данных и работающих на практике сигналов отказа для пользователей.
Для многоязычных распределённых компаний, работающих на рынках США, ЕС и СНГ, эту задачу нельзя поручить только внешним юристам после запуска. Продуктовой команде, безопасности, закупкам, маркетингу и инфраструктуре нужна одна и та же карта. Нашу команду часто привлекают именно в этот момент, когда компании нужно превратить разрозненные задачи по приватности в операционную модель, способную выдержать due diligence инвесторов, вопросы регуляторов и выход на новые рынки.
Полезный вопрос не в том, что сложнее — GDPR или CCPA. Он в том, способен ли ваш бизнес объяснить, отстоять и перевести в рабочий режим свои практики работы с данными до того, как наступит очередной запуск, сделка, инцидент или запрос регулятора.