Każda europejska firma, która sprzedaje produkty albo usługi przez internet klientom w Stanach Zjednoczonych, zbiera ich dane osobowe: przy składaniu zamówienia, zakładaniu konta, zapisie do newslettera, a także za pośrednictwem pikseli reklamowych i narzędzi analitycznych. Od tego momentu podlega amerykańskim przepisom o ochronie prywatności. Ich nieznajomość może prowadzić do postępowań przed stanowymi organami nadzoru, pozwów zbiorowych konsumentów oraz kar naliczanych za każde naruszenie z osobna.
Brak jednego amerykańskiego RODO
W przeciwieństwie do Unii Europejskiej Stany Zjednoczone nie mają jednej, kompleksowej ustawy federalnej o ochronie danych osobowych. Obowiązuje mozaika przepisów na dwóch poziomach.
Prawo federalne reguluje wybrane sektory, m.in. dane dzieci poniżej 13. roku życia (COPPA), dane medyczne (HIPAA) i finansowe (GLBA). Federalna Komisja Handlu (FTC) traktuje ponadto niedotrzymanie deklaracji złożonych w polityce prywatności jako praktykę wprowadzającą konsumentów w błąd. Oznacza to, że polityka prywatności Twojego sklepu jest dla Ciebie wiążąca także w stanach, które nie mają własnej ustawy.
Prawo stanowe odgrywa dziś rolę kluczową. W 2026 roku kompleksowe ustawy o ochronie danych konsumentów obowiązują już w około 20 stanach, a kolejne stany je uchwalają. Zakres ochrony, progi stosowania i wysokość sankcji różnią się między stanami istotnie: Kalifornia ma najbardziej rygorystyczne i najaktywniej egzekwowane przepisy, podczas gdy w części stanów (np. na Alasce) kompleksowej regulacji wciąż brak.
W praktyce firma sprzedająca na terenie całych Stanów Zjednoczonych powinna traktować przepisy kalifornijskie jako punkt odniesienia dla swojej polityki prywatności i procedur.
CCPA- kalifornijska ustawa o ochronie prywatności konsumentów
California Consumer Privacy Act (CCPA), znowelizowana przez California Privacy Rights Act (CPRA), jest najważniejszą ustawą o ochronie danych osobowych w USA. Jej przestrzeganie nadzorują wyspecjalizowany organ – California Privacy Protection Agency (CPPA) – oraz Prokurator Generalny Kalifornii.
Kogo obowiązuje CCPA?
CCPA dotyczy przedsiębiorstw nastawionych na zysk, które prowadzą działalność w Kalifornii (do czego wystarczy sprzedaż online mieszkańcom tego stanu, bez fizycznej obecności w USA), zbierają dane osobowe konsumentów i spełniają co najmniej jeden z trzech warunków:
- Przychody– roczne przychody brutto w poprzednim roku kalendarzowym przekroczyły 26,625,000 USD. Liczą się przychody globalne, a nie tylko osiągnięte w Kalifornii. Ustawowy próg 25 mln USD jest okresowo waloryzowany o inflację.
- Skala przetwarzania danych– firma rocznie kupuje, sprzedaje lub udostępnia dane osobowe co najmniej 100,000 konsumentów lub gospodarstw domowych z Kalifornii.
- Model biznesowy oparty na danych– co najmniej 50% rocznych przychodów pochodzi ze sprzedaży lub udostępniania danych osobowych.
Uwaga: drugi próg jest łatwiejszy do przekroczenia, niż się wydaje. „Udostępnianie” w rozumieniu CCPA obejmuje przekazywanie danych w celu reklamy behawioralnej, np. za pośrednictwem pikseli Meta, tagów Google Ads czy narzędzi retargetingowych. 100 000 konsumentów rocznie to średnio zaledwie około 275 odwiedzających z Kalifornii dziennie. CCPA może więc obowiązywać także niewielki sklep o przychodach dalekich od 26 mln USD.
Najważniejsze obowiązki wynikające z CCPA
- Polityka prywatności– opis kategorii zbieranych danych, ich źródeł i celów wykorzystania, informacja, czy dane są sprzedawane lub udostępniane podmiotom trzecim, okres przechowywania oraz katalog praw konsumenta. Politykę należy aktualizować co najmniej raz na 12 miesięcy.
- Informacja w momencie zbierania danych– przekazywana konsumentowi najpóźniej w chwili pozyskania danych.
- Realizacja praw konsumentów– prawo dostępu do danych, ich usunięcia i sprostowania, sprzeciwu wobec sprzedaży lub udostępniania (opt-out), ograniczenia wykorzystania danych wrażliwych oraz zakaz dyskryminowania konsumentów korzystających z tych praw.
- Mechanizmy opt-out– link „Do Not Sell or Share My Personal Information” (jeśli ma zastosowanie) oraz respektowanie sygnałów przeglądarki Global Privacy Control (GPC).
- Umowy z dostawcami– umowy z usługodawcami przetwarzającymi dane w imieniu firmy muszą zawierać klauzule wymagane przez CCPA.
- Bezpieczeństwo danych– wdrożenie rozsądnych, adekwatnych do ryzyka środków technicznych i organizacyjnych.
- Nowe przepisy wykonawcze– od 1 stycznia 2026 r. obowiązują m.in. wymogi przeprowadzania ocen ryzyka dla operacji przetwarzania istotnie zagrażających prywatności (pierwsze oceny należy złożyć do 1 kwietnia 2028 r.).
Kary za naruszenie CCPA
Sankcje przewidziane w CCPA nalicza się za każde naruszenie odrębnie, dlatego nawet pozornie drobne uchybienie, powtórzone wobec wielu konsumentów, może oznaczać kwoty zagrażające płynności małej lub średniej firmy.
- Kary administracyjne i cywilne nakładane przez CPPA lub dochodzone przez Prokuratora Generalnego Kalifornii do 2,663 USD za każde naruszenie oraz do 7 988 USD za każde naruszenie umyślne lub dotyczące konsumentów, o których firma wie, że mają mniej niż 16 lat. Kwoty te są waloryzowane o inflację. Firma nie ma ustawowo zagwarantowanego okresu na usunięcie naruszenia przed nałożeniem kary.
- Powództwa konsumentów – w razie wycieku danych wynikającego z braku rozsądnych zabezpieczeń każdy poszkodowany konsument może dochodzić od 107 do 799 USD za incydent albo odszkodowania za szkodę rzeczywistą (actual damages), jeśli jest wyższa. Roszczenia te są często dochodzone w formie pozwów zbiorowych (class action).
Przykład: 1,000 umyślnych naruszeń wobec mieszkańców Kalifornii – stanu liczącego blisko 40 mln osób – to potencjalna kara rzędu 8 mln USD.
Ochrona danych osobowych w innych stanach
Pozostałe stanowe ustawy w dużej mierze wzorują się na modelu z Wirginii, ale różnią się szczegółami, w tym progami stosowania (w niektórych stanach, np. w Delaware i Rhode Island, wynoszą one zaledwie 35 000 konsumentów). Większość z nich przyznaje konsumentom prawo sprzeciwu wobec reklamy ukierunkowanej, a coraz więcej wymaga respektowania sygnału Global Privacy Control. Egzekwowaniem przepisów zajmują się zazwyczaj stanowi prokuratorzy generalni.
Wybrane stany o rozbudowanych regulacjach:
- Wirginia – Virginia Consumer Data Protection Act
- Kolorado – Colorado Privacy Act
- Maryland – Maryland Online Data Privacy Act
- Connecticut, Teksas, Oregon, New Jersey, Minnesota oraz – od 1 stycznia 2026 r. – Indiana, Kentucky i Rhode Island.
Od czego zacząć? Lista kontrolna dla sklepu internetowego
- Zinwentaryzuj dane– ustal, jakie dane zbierasz, w jaki sposób i komu je przekazujesz (w tym przez piksele, wtyczki i narzędzia marketingowe).
- Określ, które ustawy Cię obowiązują– przeanalizuj progi w stanach, w których masz klientów.
- Dostosuj dokumenty– polityka prywatności zgodna z RODO nie spełnia wymogów amerykańskich. Przygotuj politykę prywatności i regulamin sklepu pod rynek USA.
- Wdroż mechanizmy techniczne– link opt-out, obsługę Global Privacy Control, baner zgód oraz procedurę obsługi wniosków konsumentów.
- Uporządkuj umowy i zabezpieczenia– zweryfikuj umowy z dostawcami, wdroż odpowiednie środki bezpieczeństwa i przeglądaj dokumentację co najmniej raz w roku.
Jak możemy pomóc na rynku USA
Kancelaria Cieszynski Law Group LLC doradza polskim i europejskim firmom wchodzącym na rynek amerykański w zakresie ochrony danych osobowych i e-commerce. Przeprowadzamy audyty sklepów internetowych, przygotowujemy polityki prywatności i regulaminy zgodne z prawem USA oraz umowy dotyczące przetwarzania danych.
Opisz swój projekt – odpowiemy po polsku w ciągu 8 godzin.
E-mail: jc@ecomten.com · Tel.: 201-777-1289
Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. Przepisy dotyczące ochrony danych osobowych w USA często się zmieniają – przed podjęciem decyzji skonsultuj swoją sytuację z prawnikiem.
