Ο όρος έναντι του νόμου
Το CCPA (California Consumer Privacy Act) είναι νόμος. Ισχύει από την 1η Ιανουαρίου 2020, τροποποιήθηκε από το California Privacy Rights Act (CPRA) και εφαρμόζεται από τον γενικό εισαγγελέα της Καλιφόρνιας και από τον οργανισμό California Privacy Protection Agency. Η «συμμόρφωση με το CCPA» δεν είναι ο ίδιος ο νόμος, αλλά η απάντηση σε αυτόν: η συνεχής εργασία για να παραμένει μια επιχείρηση εντός των απαιτήσεών του.
Ο νόμος ορίζει υποχρεώσεις. Η συμμόρφωση ορίζει την εργασία. Οι ρυθμιστικές αρχές αξιολογούν μια επιχείρηση από τα δικά της αρχεία: την πολιτική απορρήτου, τα αρχεία αιτημάτων και τις συμβάσεις με τους προμηθευτές.
Ο νόμος: το νομοθετικό κείμενο που ορίζει τις καλυπτόμενες επιχειρήσεις, τα δικαιώματα των καταναλωτών και τις κυρώσεις, όπου κι αν εδρεύει η επιχείρηση. Συμμόρφωση: το πρόγραμμα από την πλευρά της επιχείρησης: απογραφή, διαχείριση αιτημάτων, γνωστοποίηση, διαχείριση προμηθευτών και εκπαίδευση.
Ποιους αφορά
Το CCPA εφαρμόζεται πολύ πέραν της Καλιφόρνιας. Κάθε κερδοσκοπική επιχείρηση που συλλέγει προσωπικά δεδομένα καταναλωτών της Καλιφόρνιας καλύπτεται, αν πληροί τουλάχιστον ένα από τρία όρια.
Το αποτέλεσμα είναι ένα παγκόσμιο πλαίσιο αγοράς. Μια επιχείρηση χωρίς γραφείο στις ΗΠΑ μπορεί να καλύπτεται αν ο ιστότοπός της εξυπηρετεί καταναλωτές της Καλιφόρνιας στην απαιτούμενη κλίμακα. Οι εξαιρέσεις για δεδομένα εργαζομένων και επιχειρηματικών επαφών έχουν λήξει, οπότε καλύπτονται και τα αρχεία ανθρώπινου δυναμικού και οι επαγγελματικές επαφές.
| Όριο | Προϋπόθεση |
|---|---|
| Ετήσια ακαθάριστα έσοδα | Άνω των 25 εκατομμυρίων δολαρίων |
| Προσωπικά δεδομένα | Αγορά, πώληση ή κοινοποίηση δεδομένων 100.000 καταναλωτών ετησίως |
| Έσοδα από δεδομένα | 50 τοις εκατό ή περισσότερο των ετήσιων εσόδων από πώληση ή κοινοποίηση |
Πρώτο βήμα: απογραφή και χάρτης ροών
Τίποτα άλλο δεν λειτουργεί χωρίς αυτό το βήμα. Μια επιχείρηση δεν μπορεί να ικανοποιήσει αίτημα διαγραφής αν δεν γνωρίζει ποια προσωπικά δεδομένα κατέχει. Η απογραφή καταγράφει κάθε κατηγορία, την πηγή της, τον σκοπό, τα συστήματα, τη διάρκεια διατήρησης και τους εξωτερικούς αποδέκτες.
Ο χάρτης ροών επεκτείνει την απογραφή στην κίνηση των δεδομένων: πώς μετακινούνται μεταξύ συστημάτων, εκτελούντων την επεξεργασία και καναλιών όπως το email, ο αποθηκευτικός χώρος στο νέφος και τα αφαιρούμενα μέσα. Εδώ εμφανίζονται τα κενά. Δεδομένα μπορεί να φύγουν από το επίσημο σύστημα μέσω καναλιού που η απογραφή δεν περιέγραψε ποτέ.
Αναζήτηση στα καταγεγραμμένα δεδομένα
Η κονσόλα επιτρέπει την αναζήτηση στα καταγεγραμμένα δεδομένα από email, μηνύματα, διαδίκτυο και άλλα κανάλια, κάτι που βοηθά να ελεγχθεί τι μετακινήθηκε πράγματι.
Διαδικασίες για αιτήματα καταναλωτών
Το CCPA παρέχει στους καταναλωτές δικαιώματα που μπορούν να επιβληθούν. Η συμμόρφωση σημαίνει τεκμηριωμένη διαδικασία για καθένα από αυτά.
Τα αιτήματα πρέπει να απαντώνται εντός 45 ημερών, με μία δυνατή παράταση άλλων 45 ημερών, και να καλύπτουν τουλάχιστον τους 12 προηγούμενους μήνες. Η επαλήθευση πρέπει να είναι ανάλογη: αρκετά ισχυρή για να αποτρέπει απάτες, χωρίς να συλλέγονται επιπλέον δεδομένα. Οι επιχειρήσεις πρέπει να δέχονται αιτήματα από εξουσιοδοτημένους αντιπροσώπους και δεν επιτρέπεται να τιμωρούν, με τιμή ή υπηρεσία, τους καταναλωτές που ασκούν τα δικαιώματά τους.
| Δικαίωμα | Τι καλύπτει |
|---|---|
| Δικαίωμα ενημέρωσης | Γνωστοποίηση των συλλεγόμενων δεδομένων, με πηγές, σκοπούς και αποδέκτες |
| Δικαίωμα διαγραφής | Διαγραφή προσωπικών δεδομένων, με επέκταση στους παρόχους υπηρεσιών |
| Δικαίωμα διόρθωσης | Διόρθωση ανακριβών προσωπικών δεδομένων, προστέθηκε από το CPRA |
| Δικαίωμα εξαίρεσης | Από πώληση και κοινοποίηση για συμπεριφορική διαφήμιση, με σεβασμό στα σήματα browser |
| Δικαίωμα περιορισμού | Χρήση ευαίσθητων δεδομένων μόνο για σκοπούς που επιτρέπει ο νόμος |
| Δικαίωμα φορητότητας | Λήψη των προσωπικών δεδομένων σε εύχρηστη μορφή |
Πολιτική απορρήτου, εκπαίδευση και προμηθευτές
Η πολιτική απορρήτου είναι η δημόσια όψη του προγράμματος. Πρέπει να απαριθμεί τις κατηγορίες προσωπικών δεδομένων που συλλέγονται, τις πηγές τους, τους σκοπούς και τη διατήρησή τους, τους τρίτους με τους οποίους μοιράζονται τα δεδομένα και τον τρόπο άσκησης κάθε δικαιώματος. Μια επιχείρηση που πωλεί ή κοινοποιεί προσωπικά δεδομένα πρέπει επίσης να έχει στον ιστότοπό της τον σύνδεσμο «Do Not Sell or Share My Personal Information».
Εσωτερικά, η συμμόρφωση στηρίζεται σε ανθρώπους και συμβάσεις. Το προσωπικό χρειάζεται εκπαίδευση για να αναγνωρίζει και να προωθεί τα αιτήματα καταναλωτών, καθώς μια καθυστερημένη απάντηση αποτελεί από μόνη της παράβαση. Οι προμηθευτές που λειτουργούν ως πάροχοι υπηρεσιών ή συνεργάτες πρέπει να δεσμεύονται με ρήτρες που απαιτεί το CCPA και που περιορίζουν τη χρήση των προσωπικών δεδομένων.
Επιβολή του νόμου
Οι ρυθμιστικές αρχές μπορούν να επιβάλουν τα παρακάτω πρόστιμα, υπολογιζόμενα ανά καταναλωτή. Οι καταναλωτές έχουν επίσης ιδιωτική αγωγή για ορισμένες παραβιάσεις δεδομένων που προκλήθηκαν από μη εύλογη ασφάλεια.
| Παράβαση | Πρόστιμο ή αποζημίωση |
|---|---|
| Κάθε παράβαση | 2.500 δολάρια |
| Εκ προθέσεως ή αφορά ανηλίκους | 7.500 δολάρια |
| Παραβίαση από μη εύλογη ασφάλεια | Νόμιμη αποζημίωση από 100 έως 750 δολάρια |
Πώς φαίνεται στο Anexet
Αυτά τα στιγμιότυπα δείχνουν πώς ένα επίπεδο DLP στους σταθμούς εργασίας αναγνωρίζει προσωπικά δεδομένα από το περιεχόμενο, με λίστες λέξεων-κλειδιών και ψηφιακά αποτυπώματα.
1 / 4
Συνεχής κύκλος
Η συμμόρφωση είναι επομένως συνεχής και όχι ένα έργο. Οι απογραφές παλιώνουν, οι προμηθευτές αλλάζουν και κάθε αίτημα είναι δοκιμή στην πράξη. Τα ώριμα προγράμματα διαχειρίζονται το CCPA ως κύκλο: απογράφουν τα δεδομένα, χαρτογραφούν τις ροές, απαντούν στα αιτήματα, γνωστοποιούν και ελέγχουν τους προμηθευτές.
Περισσότερα: Χρήση του συστήματος Anexet Ultimate DLP για συμμόρφωση με τον GDPR.
Κανένα εργαλείο δεν κάνει μια επιχείρηση συμμορφούμενη. Το Anexet βοηθά σε δύο βήματα: να φαίνεται πού κινούνται τα προσωπικά δεδομένα και να τηρείται αρχείο για το ποιος τα χειρίστηκε.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Κανένα εργαλείο δεν καθιστά μια επιχείρηση συμμορφούμενη με το CCPA. Δεν υπάρχει πιστοποίηση προς αγορά, και η Anexet δεν κατέχει ούτε χορηγεί καμία. Ένα στρώμα παρακολούθησης endpoints και πρόληψης απώλειας δεδομένων συμβάλλει σε δύο βήματα της παραπάνω διαδικασίας: στο να φαίνεται πού ρέουν πράγματι τα προσωπικά δεδομένα και στο να τηρείται αποδιδόμενο αρχείο για το ποιος τα χειρίστηκε.
Σημασία έχει και η αρχιτεκτονική on-premise. Τα αρχεία που παράγονται κατά την παρατήρηση των ροών δεδομένων, όπως το καταγεγραμμένο περιεχόμενο, τα αρχεία ελέγχου και το ιστορικό κινδύνου, παραμένουν στην υποδομή της ίδιας της οργάνωσης. Αυτό ταιριάζει με την εχεμύθεια που απαιτεί η ίδια η εργασία για το απόρρητο.
Ορατότητα των ροών δεδομένων
Οι agents στα endpoints παρατηρούν το email, τον ιστό, τον αποθηκευτικό χώρο στο νέφος, τα μηνύματα, τις αφαιρούμενες συσκευές, την εκτύπωση και το πρόχειρο. Από αυτά τα κανάλια εγκαταλείπουν τα συστήματα μητρώου τα προσωπικά δεδομένα. Έτσι, ο χάρτης ροών δείχνει πραγματική κίνηση και όχι μόνο τεκμηριωμένα συστήματα.
Ανίχνευση βάσει περιεχομένου
Λεξικά ασφαλείας, βάσεις hashes, βιβλιοθήκες ψηφιακών αποτυπωμάτων και ετικέτες ευαισθησίας εντοπίζουν προσωπικά δεδομένα μέσα στις μεταφορές βάσει του περιεχομένου τους. Έτσι αποκαλύπτονται αντίγραφα που διέφυγαν της απογραφής.
Αποδιδόμενο ίχνος ελέγχου
Κάθε καταγεγραμμένο συμβάν περιλαμβάνει χρήστη, χρονοσήμανση, κανάλι και κατηγοριοποίηση. Τα αρχεία αυτά ανασυνθέτουν πώς διαχειρίστηκαν τα δεδομένα ενός ατόμου, όταν το ζητά ένα αίτημα ή μια έρευνα.
Anexet DLP
Μάθετε περισσότερα