Der Begriff gegenüber dem Gesetz
Der CCPA (California Consumer Privacy Act) ist ein Gesetz. Er gilt seit dem 1. Januar 2020, wurde durch den California Privacy Rights Act (CPRA) geändert und wird vom Generalstaatsanwalt von Kalifornien sowie von der California Privacy Protection Agency durchgesetzt. „CCPA-Konformität“ ist nicht das Gesetz selbst, sondern die Antwort darauf: die laufende Arbeit, innerhalb seiner Anforderungen zu bleiben.
Das Gesetz legt Pflichten fest, Konformität bestimmt die Arbeit. Aufsichtsbehörden beurteilen ein Unternehmen anhand seiner eigenen Unterlagen: Datenschutzerklärung, Anfrageprotokolle und Verträge mit Dienstleistern.
Das Gesetz: ein Gesetz, das die erfassten Unternehmen, Verbraucherrechte und Strafen festlegt, unabhängig vom Sitz des Unternehmens. Konformität: das Programm auf Unternehmensseite: Inventar, Bearbeitung von Anfragen, Offenlegung, Dienstleistermanagement und Schulung.
Wer erfasst ist
Der CCPA reicht weit über Kalifornien hinaus. Jedes gewinnorientierte Unternehmen, das personenbezogene Daten kalifornischer Verbraucher erhebt, ist erfasst, wenn es mindestens eine von drei Schwellen erreicht.
Das Ergebnis ist ein globaler Marktrahmen. Ein Unternehmen ohne Büro in den USA kann erfasst sein, wenn seine Website kalifornische Verbraucher im erforderlichen Umfang bedient. Die Ausnahmen für Beschäftigtendaten und Daten zwischen Unternehmen sind ausgelaufen, daher fallen auch Personalakten und geschäftliche Kontakte darunter.
| Schwelle | Bedingung |
|---|---|
| Jahresbruttoumsatz | Über 25 Millionen US-Dollar |
| Personenbezogene Daten | Kauf, Verkauf oder Weitergabe von Daten von 100.000 Verbrauchern oder Haushalten jährlich |
| Umsatz mit Daten | 50 Prozent oder mehr des Jahresumsatzes aus Verkauf oder Weitergabe |
Schritt eins: Inventar und Flusskarte
Ohne diesen Schritt funktioniert nichts anderes. Ein Unternehmen kann einen Löschantrag nicht erfüllen, solange es nicht weiß, welche personenbezogenen Daten es besitzt. Das Inventar erfasst jede Kategorie, ihre Quelle, ihren Zweck, die Systeme, die Aufbewahrungsdauer und die externen Empfänger.
Die Flusskarte erweitert das Inventar um die Bewegung: wie Daten zwischen Systemen, Auftragsverarbeitern und Kanälen wie E-Mail, Cloud-Speicher und Wechselmedien wandern. Hier zeigen sich die Lücken. Daten können das offizielle Quellsystem über einen Kanal verlassen, den das Inventar nie beschrieben hat.
Erfasste Daten durchsuchen
Die Konsole kann die erfassten Daten durchsuchen, von E-Mail über Messenger und Web bis zu weiteren Kanälen. So lässt sich prüfen, was sich tatsächlich bewegt hat.
Verfahren für Verbraucheranfragen
Der CCPA gewährt Verbrauchern durchsetzbare Rechte. Konformität bedeutet ein dokumentiertes Verfahren für jedes davon.
Anfragen sind innerhalb von 45 Tagen zu beantworten. Die Frist kann einmal um weitere 45 Tage verlängert werden, und die Anfrage muss mindestens die vorangegangenen 12 Monate abdecken. Die Identitätsprüfung muss verhältnismäßig sein: stark genug, um Betrug zu verhindern, ohne zusätzliche Daten zu erheben. Unternehmen müssen bevollmächtigte Vertreter akzeptieren und dürfen Verbraucher, die ihre Rechte ausüben, weder beim Preis noch beim Service benachteiligen.
| Recht | Was es umfasst |
|---|---|
| Auskunftsrecht | Offenlegung der erhobenen personenbezogenen Daten samt Quellen, Zwecken und Empfängern |
| Recht auf Löschung | Entfernung personenbezogener Daten, auch bei Dienstleistern, vorbehaltlich gesetzlicher Ausnahmen |
| Recht auf Berichtigung | Korrektur unrichtiger personenbezogener Daten, durch die CPRA ergänzt |
| Widerspruchsrecht | Gegen Verkauf und Weitergabe für Verhaltenswerbung, Browser-Signale beachten |
| Recht auf Einschränkung | Nutzung sensibler Daten nur für die gesetzlich erlaubten Zwecke |
| Recht auf Datenübertragbarkeit | Erhalt personenbezogener Daten in einem gut nutzbaren Format |
Datenschutzerklärung, Schulung und Dienstleister
Die Datenschutzerklärung ist das öffentliche Gesicht des Programms. Sie muss die Kategorien erhobener personenbezogener Daten, ihre Quellen, Zwecke und Aufbewahrung, die Dritten, mit denen Daten geteilt werden, und die Ausübung jedes Rechts auflisten. Ein Unternehmen, das personenbezogene Daten verkauft oder teilt, muss auf seiner Website außerdem den Link „Do Not Sell or Share My Personal Information“ führen.
Intern beruht Konformität auf Menschen und Verträgen. Das Personal braucht Schulungen, um Verbraucheranfragen zu erkennen und weiterzuleiten, denn eine verspätete Antwort ist bereits ein Verstoß. Dienstleister, die als service providers oder Auftragnehmer tätig sind, müssen an die vom CCPA geforderten Klauseln gebunden sein, die ihre Nutzung personenbezogener Daten einschränken.
Durchsetzung
Die Aufsichtsbehörden können die folgenden Bußgelder verhängen, gezählt je Verbraucher. Verbraucher haben zudem einen privaten Anspruch wegen bestimmter Datenpannen, die auf unzureichende Sicherheit zurückgehen.
| Verstoß | Bußgeld oder Schadensersatz |
|---|---|
| Jeder Verstoß | 2.500 Dollar |
| Vorsätzlicher Verstoß oder einer mit Minderjährigen | 7.500 Dollar |
| Datenpanne durch unzureichende Sicherheit | Gesetzlicher Schadensersatz von 100 bis 750 Dollar |
So sieht es in Anexet aus
Diese Bilder zeigen, wie eine Endpoint-DLP-Schicht personenbezogene Daten am Inhalt erkennt, mit Schlüsselwortlisten und digitalen Fingerabdrücken.
1 / 4
Der laufende Zyklus
Konformität ist daher laufend und kein Projekt. Inventare veralten, Dienstleister wechseln, und jede Anfrage ist ein Test im Live-Betrieb. Reife Programme betreiben den CCPA als Zyklus: Daten inventarisieren, Flüsse kartieren, Anfragen beantworten, offenlegen und Dienstleister prüfen.
Weiterlesen: Anexet Ultimate DLP-System zur Einhaltung der DSGVO nutzen.
Kein Werkzeug macht ein Unternehmen konform. Anexet hilft bei zwei Schritten: sichtbar machen, wohin personenbezogene Daten fließen, und festhalten, wer sie bearbeitet hat.
Anexet TeamWie Anexet das löst
Kein Tool macht ein Unternehmen CCPA-konform. Es gibt kein Zertifikat zu kaufen, und Anexet besitzt keines und stellt keines aus. Eine Schicht aus Endpunktüberwachung und Data Loss Prevention unterstützt zwei Schritte des oben beschriebenen Prozesses: zu sehen, wohin personenbezogene Daten tatsächlich fließen, und ein zurechenbares Protokoll darüber zu führen, wer sie bearbeitet hat.
Auch die On-premise-Architektur ist wichtig. Die Aufzeichnungen, die bei der Beobachtung von Datenflüssen entstehen, etwa erfasste Inhalte, Audit-Logs und Risikohistorie, bleiben in der eigenen Infrastruktur der Organisation. Das entspricht der Vertraulichkeit, die Datenschutzarbeit verlangt.
Sichtbarkeit der Datenflüsse
Endpunkt-Agenten beobachten E-Mail, Web, Cloud-Speicher, Messenger, Wechselmedien, Druck und Zwischenablage. Über diese Kanäle verlassen personenbezogene Daten die Quellsysteme. Die Flusskarte zeigt damit beobachtete Bewegung und nicht nur dokumentierte Systeme.
Inhaltsbasierte Erkennung
Sicherheits-Wortlisten, Hash-Datenbanken, Bibliotheken digitaler Fingerabdrücke und Vertraulichkeitskennzeichnungen erkennen personenbezogene Daten in Übertragungen anhand des Inhalts. So kommen Kopien ans Licht, die das Inventar übersehen hat.
Zurechenbarer Audit-Trail
Jedes erfasste Ereignis enthält Benutzer, Zeitstempel, Kanal und Klassifizierung. Diese Aufzeichnungen zeigen, wie mit den Daten einer Person umgegangen wurde, wenn eine Anfrage oder Untersuchung danach fragt.
Anexet DLP
Mehr erfahren