Калифорнийский регулятор CPPA утвердил крупный пакет поправок к правилам CCPA/CPRA: он вступит в силу в 2027 году (после одобрения OAL). Для adtech это частичное послабление: поведенческая реклама выведена из требований к ADMT при «значимых решениях» (кредит, жильё, работа, медицина), поэтому risk assessment/DPIA по умолчанию не нужен.

• Не индульгенция: обмен персональными данными для таргетинга по-прежнему требует прозрачных уведомлений, договорных ограничений и работающих opt-out; при профилировании на основе чувствительных данных — обязательна оценка воздействия.
• Определение ADMT остаётся широким («профилирование»), но обязанности привязаны к «значимым решениям»; «реклама потребителю» исключена из этой категории.
• Новый риск: ограничение не только полностью автоматизированных решений, но и систем, которые «существенно помогают» человеку принимать решение — трактовка будет формироваться на практике.

Контекст: правила дорабатывались волнами — задержка запуска на 7 месяцев в 2020, правки 2021, начало rulemaking CPPA в 2022, выравнивание с CPRA в 2023. Эксперты (Reed Smith, Davis+Gilbert, IAPP, Otterbourg) сходятся: комплаенс не упрощается, а усложняется; adtech получает «передышку», но обязан соблюдать уведомление/выбор и ограничения по sensitive data.