Τι είναι το CCPA
Ο California Consumer Privacy Act (CCPA) υπογράφηκε τον Ιούνιο του 2018 και τέθηκε σε ισχύ την 1η Ιανουαρίου 2020. Ήταν ο πρώτος ολοκληρωμένος νόμος για την ιδιωτικότητα των καταναλωτών στις ΗΠΑ. Δίνει στους κατοίκους της Καλιφόρνια, που ο νόμος τους ονομάζει καταναλωτές, άμεσα δικαιώματα επί των προσωπικών δεδομένων που τηρούν γι' αυτούς οι επιχειρήσεις. Γραφείο στην Καλιφόρνια δεν χρειάζεται: μια επιχείρηση υπάγεται στον νόμο αν δραστηριοποιείται στην πολιτεία και πληροί ένα όριο.
Τον Νοέμβριο του 2020 οι ψηφοφόροι της Καλιφόρνια ενέκριναν τον California Privacy Rights Act (CPRA), που τροποποίησε και επέκτεινε το CCPA. Πρόσθεσε νέα δικαιώματα, την κατηγορία των ευαίσθητων προσωπικών δεδομένων, αυστηρότερους κανόνες για παρόχους υπηρεσιών και αναδόχους, καθώς και όρια ελαχιστοποίησης και διατήρησης δεδομένων. Ο CPRA ίδρυσε επίσης την California Privacy Protection Agency (CPPA), την πρώτη αρχή των ΗΠΑ αφιερωμένη στην ιδιωτικότητα. Η CPPA εκδίδει τους εκτελεστικούς κανονισμούς και επιβάλλει τον νόμο μαζί με τον γενικό εισαγγελέα της Καλιφόρνια.
Ποιοι υπάγονται
Το CCPA ισχύει για κερδοσκοπική επιχείρηση που δραστηριοποιείται στην Καλιφόρνια και πληροί τουλάχιστον ένα από τρία όρια. Καλύπτει επίσης οντότητες που ελέγχουν μια τέτοια επιχείρηση ή ελέγχονται από αυτήν και μοιράζονται το σήμα της.
| Όριο | Προϋπόθεση |
|---|---|
| Έσοδα | Ετήσια ακαθάριστα έσοδα άνω των 25 εκατ. USD το προηγούμενο ημερολογιακό έτος· το ποσό αναπροσαρμόζεται με τον πληθωρισμό |
| Όγκος δεδομένων | Αγοράζει, πωλεί ή κοινοποιεί προσωπικά δεδομένα 100 000 ή περισσότερων καταναλωτών ή νοικοκυριών τον χρόνο |
| Έσοδα από δεδομένα | Αντλεί το 50% ή περισσότερο των ετήσιων εσόδων από πώληση ή κοινοποίηση προσωπικών δεδομένων |
Δικαιώματα των καταναλωτών
Το CCPA δίνει στους καταναλωτές επτά δικαιώματα. Τα δύο πρόσθεσε ο CPRA: το δικαίωμα διόρθωσης και το δικαίωμα περιορισμού.
| Δικαίωμα | Τι σημαίνει |
|---|---|
| Ενημέρωσης | Να μάθει ποια προσωπικά δεδομένα συλλέγονται, για ποιους σκοπούς και αν πωλούνται ή κοινοποιούνται· να λάβει τα συγκεκριμένα δεδομένα που τηρούνται |
| Διαγραφής | Να ζητήσει διαγραφή των προσωπικών δεδομένων από την επιχείρηση και τους παρόχους της, με τις εξαιρέσεις του νόμου |
| Διόρθωσης | Να ζητήσει διόρθωση ανακριβών προσωπικών δεδομένων |
| Διαμαρτυρίας | Να σταματήσει την πώληση των δεδομένων και την κοινοποίησή τους για διαφήμιση συμπεριφοράς μεταξύ πλαισίων· τα σήματα διαμαρτυρίας του προγράμματος περιήγησης γίνονται σεβαστά |
| Περιορισμού | Να περιορίσει τη χρήση και αποκάλυψη ευαίσθητων δεδομένων στους σκοπούς που επιτρέπουν οι κανονισμοί |
| Φορητότητας | Να λάβει τα δεδομένα που συλλέχθηκαν αυτόματα σε χρηστική, μεταφέρσιμη μορφή |
| Μη διάκρισης | Καμία άρνηση υπηρεσίας ή διαφορετική τιμή επειδή ασκήθηκε ένα δικαίωμα |
Πώς διεκπεραιώνονται τα αιτήματα
Τα αιτήματα ακολουθούν σταθερή διαδικασία με νόμιμες προθεσμίες. Η προθεσμία μετρά από την ημέρα που η επιχείρηση λαμβάνει το αίτημα.
- 1
Παραλαβή αιτήματος
Ο καταναλωτής μπορεί να υποβάλει αίτημα από τουλάχιστον δύο καθορισμένα κανάλια.
- 2
Επαλήθευση αιτούντος
Η επιχείρηση επιβεβαιώνει την ταυτότητα του αιτούντος πριν αποκαλύψει, διαγράψει ή διορθώσει δεδομένα.
- 3
Απάντηση σε 45 ημέρες
Η επιχείρηση απαντά εντός 45 ημερών από την παραλαβή του αιτήματος.
- 4
Μία παράταση αν χρειαστεί
Όπου είναι εύλογα αναγκαίο, η προθεσμία παρατείνεται μία φορά κατά άλλες 45 ημέρες. Ο καταναλωτής ενημερώνεται μέσα στις πρώτες 45 ημέρες.
Υποχρεώσεις των επιχειρήσεων
Η επιχείρηση που υπάγεται στον νόμο πρέπει να δίνει ενημέρωση κατά τη συλλογή, να δημοσιεύει πολιτική απορρήτου και να υπογράφει γραπτές συμβάσεις που περιορίζουν πώς χρησιμοποιούν τα προσωπικά δεδομένα οι πάροχοι υπηρεσιών και οι ανάδοχοι. Οι κανονισμοί της CPPA εισάγουν σταδιακά νέες υποχρεώσεις: εκτιμήσεις κινδύνου και ελέγχους κυβερνοασφάλειας για επεξεργασία υψηλότερου κινδύνου, καθώς και ενημερώσεις για αυτοματοποιημένη λήψη αποφάσεων.
Η επιχείρηση που πωλεί ή κοινοποιεί προσωπικά δεδομένα πρέπει κατά κανόνα να έχει στην αρχική της σελίδα σαφή σύνδεσμο με τη διατύπωση του νόμου:
Do Not Sell or Share My Personal Information
Αστικός Κώδικας Καλιφόρνια, § 1798.135Επιβολή και κυρώσεις
Τον νόμο επιβάλλουν η CPPA και ο γενικός εισαγγελέας της Καλιφόρνια. Κάθε θιγόμενος καταναλωτής μπορεί να μετρά ως χωριστή παράβαση, οπότε τα ποσά ανεβαίνουν γρήγορα σε μεγάλα περιστατικά. Τα ποσά παρακάτω ορίζει ο νόμος και αναπροσαρμόζονται με τον πληθωρισμό.
| Περίπτωση | Ποιος ενεργεί | Ποσό |
|---|---|---|
| Παράβαση | CPPA ή γενικός εισαγγελέας | Έως 2 500 USD ανά παράβαση |
| Σκόπιμη παράβαση ή δεδομένα ανηλίκων κάτω των 16 | CPPA ή γενικός εισαγγελέας | Έως 7 500 USD ανά παράβαση |
| Παραβίαση μη κρυπτογραφημένων δεδομένων λόγω έλλειψης εύλογης ασφάλειας | Ο θιγόμενος καταναλωτής, στο δικαστήριο | 100 έως 750 USD ανά καταναλωτή και περιστατικό, ή η πραγματική ζημία αν είναι μεγαλύτερη |
CCPA και GDPR
Οι πολυεθνικοί οργανισμοί συχνά εφαρμόζουν το CCPA και τον Γενικό Κανονισμό για την Προστασία Δεδομένων της ΕΕ (GDPR) ως ένα πρόγραμμα. Οι δύο νόμοι όμως στηρίζονται σε διαφορετικά μοντέλα.
Περισσότερα: Πώς να διατηρήσω ασφαλή τα προσωπικά μου δεδομένα;; Χρήση του συστήματος Anexet Ultimate DLP για συμμόρφωση με τον GDPR.
| Πτυχή | CCPA | GDPR |
|---|---|---|
| Ποιοι καλύπτονται | Κερδοσκοπικές επιχειρήσεις που πληρούν τα όρια της Καλιφόρνια | Οργανισμοί κάθε μεγέθους με έδρα στην ΕΕ/ΕΟΧ ή που απευθύνονται σε πρόσωπα εκεί |
| Βασικό μοντέλο | Opt-out: η επεξεργασία επιτρέπεται μέχρι ο καταναλωτής να αρνηθεί πώληση ή κοινοποίηση | Νομική βάση: πριν από την επεξεργασία απαιτείται βάση, όπως η συγκατάθεση |
| Βασικοί ρόλοι | Επιχείρηση, πάροχος υπηρεσιών, ανάδοχος | Υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία |
| Ρυθμιστής | Γενικός εισαγγελέας της Καλιφόρνια και CPPA | Εθνικές εποπτικές αρχές κάθε κράτους-μέλους |
| Κυρώσεις | Πρόστιμα ανά παράβαση, έως 7 500 USD | Έως 20 εκατ. ευρώ ή 4% του παγκόσμιου ετήσιου κύκλου εργασιών |