‏الامتثال لـ CCPA

قانون CCPA، أي California Consumer Privacy Act، تشريع يسري منذ 1 يناير 2020. عدّلته California Privacy Rights Act (CPRA)، وتطبقه النيابة العامة في كاليفورنيا وهيئة California Privacy Protection Agency. «الامتثال لـ CCPA» ليس القانون نفسه، بل الاستجابة له: العمل المستمر للبقاء ضمن متطلباته.

القانون يحدد الالتزامات، والامتثال يحدد العمل. تُقيّم الجهات الرقابية الشركة من خلال سجلاتها هي: سياسة الخصوصية وسجلات الطلبات والعقود مع الموردين.

القانون: تشريع يحدد الشركات المشمولة وحقوق المستهلكين والعقوبات، أينما كان مقر الشركة. الامتثال: برنامج من جهة الشركة يشمل الجرد ومعالجة الطلبات والإفصاح وإدارة الموردين والتدريب.

يمتد CCPA إلى ما هو أبعد من كاليفورنيا. تخضع له أي شركة تهدف للربح وتجمع معلومات شخصية لمستهلكين من كاليفورنيا إذا استوفت واحداً على الأقل من ثلاثة حدود.

النتيجة إطار سوق عالمي. قد تخضع شركة لا مكتب لها في الولايات المتحدة إذا كان موقعها يخدم مستهلكين من كاليفورنيا بالحجم المطلوب. وقد انتهت الإعفاءات الخاصة ببيانات الموظفين وبيانات الشركات، لذلك تشمل أيضاً سجلات الموارد البشرية وجهات الاتصال المهنية.

لا شيء آخر يعمل قبل هذه الخطوة. لا تستطيع الشركة تنفيذ طلب حذف قبل أن تعرف ما المعلومات الشخصية التي تملكها. يسجّل الجرد كل فئة، ومصدرها، وغرضها، وأنظمتها، ومدة الاحتفاظ بها، والمستلمين الخارجيين.

تمتد خريطة التدفقات من الجرد إلى الحركة: كيف تنتقل البيانات بين الأنظمة والمعالجات وقنوات مثل البريد الإلكتروني والتخزين السحابي والوسائط القابلة للإزالة. وهنا تظهر الفجوات، إذ قد تغادر البيانات النظام الرسمي عبر قناة لم يصفها الجرد أبداً.

تتيح وحدة التحكم البحث في البيانات المسجّلة عبر البريد الإلكتروني والمراسلة والويب وقنوات أخرى، مما يساعد على التحقق مما انتقل فعلاً.

يمنح CCPA المستهلكين حقوقاً قابلة للإنفاذ، والامتثال يعني إجراءً موثقاً لكل حق.

يجب الرد على الطلبات خلال 45 يوماً، ويمكن تمديد المهلة مرة واحدة بـ 45 يوماً إضافية، ويجب أن يغطي الطلب 12 شهراً سابقة على الأقل. ويجب أن يكون التحقق متناسباً: قوياً بما يكفي لمنع الاحتيال دون جمع بيانات إضافية. وعلى الشركات قبول الوكلاء المفوضين، ولا يجوز معاقبة المستهلكين الذين يمارسون حقوقهم بالسعر أو بمستوى الخدمة.

سياسة الخصوصية هي الوجه العلني للبرنامج. يجب أن تسرد فئات المعلومات الشخصية المجموعة، ومصادرها وأغراضها ومدة الاحتفاظ بها، والأطراف الثالثة التي تُشارك معها البيانات، وكيفية ممارسة كل حق. وعلى الشركة التي تبيع المعلومات الشخصية أو تشاركها أن تضع على موقعها رابط «Do Not Sell or Share My Personal Information».

داخلياً، يقوم الامتثال على الأشخاص والعقود. يحتاج الموظفون إلى تدريب لتمييز طلبات المستهلكين وتوجيهها، لأن الرد المتأخر مخالفة بحد ذاته. ويجب أن يلتزم الموردون الذين يعملون كمزودي خدمات أو متعاقدين بالبنود التي يشترطها CCPA، والتي تقيّد استخدامهم للمعلومات الشخصية.

يمكن للجهات الرقابية فرض الغرامات التالية، محسوبة لكل مستهلك. وللمستهلكين أيضاً دعوى خاصة بشأن بعض خروقات البيانات الناجمة عن أمن غير معقول.

تبيّن هذه اللقطات كيف تتعرّف طبقة منع فقدان البيانات (DLP) المثبّتة على محطات العمل إلى المعلومات الشخصية من محتواها، عبر قوائم الكلمات المفتاحية والبصمات الرقمية.

1 / 4

• 
• 
• 
• 

لذلك فالامتثال مستمر وليس مشروعاً محدد المدة، فالجرد يتقادم، والموردون يتغيرون، وكل طلب اختبار حقيقي. وتدير البرامج الناضجة CCPA كدورة: جرد البيانات، ورسم التدفقات، والاستجابة، والإفصاح، والتحقق من الموردين.

للمزيد من القراءة: استخدام نظام Anexet Ultimate DLP للامتثال لـ GDPR.