Il termine rispetto alla legge
Il CCPA (California Consumer Privacy Act) è una legge in vigore dal 1º gennaio 2020. È stato modificato dal California Privacy Rights Act (CPRA) ed è applicato dal procuratore generale della California e dalla California Privacy Protection Agency. La «conformità al CCPA» non è la legge in sé, ma la risposta a essa: il lavoro continuo per restare entro i suoi requisiti.
La legge definisce gli obblighi, la conformità definisce il lavoro. I regolatori giudicano un’azienda dai suoi documenti: informativa sulla privacy, registri delle richieste e contratti con i fornitori.
La legge: un testo che definisce le aziende interessate, i diritti dei consumatori e le sanzioni, ovunque abbia sede l’azienda. La conformità: il programma lato azienda: inventario, gestione delle richieste, informativa, gestione dei fornitori e formazione.
A chi si applica
Il CCPA va ben oltre la California. Qualsiasi impresa a scopo di lucro che raccoglie informazioni personali di consumatori californiani è interessata quando supera almeno una di tre soglie.
Il risultato è un quadro di mercato globale. Un’azienda senza uffici negli Stati Uniti può rientrarvi se il suo sito serve consumatori californiani su scala sufficiente. Le esenzioni per i dati dei dipendenti e per i dati business-to-business sono scadute, quindi anche i registri HR e i contatti professionali sono coperti.
| Soglia | Condizione |
|---|---|
| Ricavi lordi annui | Superiori a 25 milioni di dollari |
| Informazioni personali | Acquisto, vendita o condivisione dei dati di 100.000 consumatori o famiglie l’anno |
| Ricavi dai dati | 50 per cento o più dei ricavi annui da vendita o condivisione di dati |
Primo passo: inventario e mappa dei flussi
Nient’altro funziona senza questo passo. Un’azienda non può evadere una richiesta di cancellazione finché non sa quali informazioni personali possiede. L’inventario registra ogni categoria, la sua fonte, la finalità, i sistemi, il periodo di conservazione e i destinatari esterni.
La mappa dei flussi estende l’inventario al movimento: come i dati si spostano tra sistemi, responsabili del trattamento e canali come l’email, l’archiviazione cloud e i supporti rimovibili. Qui emergono le lacune. I dati possono uscire dal sistema di riferimento attraverso un canale che l’inventario non ha mai descritto.
Cercare nei dati catturati
La console consente di cercare nei dati catturati di posta, messaggistica, web e altri canali, e aiuta a verificare che cosa si è davvero spostato.
Procedure per le richieste dei consumatori
Il CCPA riconosce ai consumatori diritti azionabili. La conformità richiede una procedura documentata per ciascuno.
Le richieste devono ricevere risposta entro 45 giorni, prorogabili una volta di altri 45, e devono riguardare almeno i 12 mesi precedenti. La verifica deve essere proporzionata: abbastanza solida da prevenire le frodi, senza raccogliere altri dati. Le aziende devono accettare richieste tramite agenti autorizzati e non possono penalizzare, nel prezzo o nel servizio, i consumatori che esercitano i propri diritti.
| Diritto | Cosa comprende |
|---|---|
| Diritto di sapere | Comunicazione delle informazioni personali raccolte, con fonti, finalità e destinatari |
| Diritto di cancellazione | Rimozione delle informazioni personali, estesa ai fornitori di servizi, salvo eccezioni |
| Diritto di correzione | Correzione delle informazioni personali inesatte, aggiunto dalla CPRA |
| Diritto di esclusione | Dalla vendita e dalla condivisione per pubblicità comportamentale, nel rispetto dei segnali del browser |
| Diritto di limitazione | Uso delle informazioni personali sensibili solo per le finalità consentite dalla legge |
| Diritto alla portabilità | Ricezione delle informazioni personali in un formato di facile utilizzo |
Informativa sulla privacy, formazione e fornitori
L’informativa sulla privacy è il volto pubblico del programma. Deve elencare le categorie di informazioni personali raccolte, le loro fonti, finalità e conservazione, i terzi con cui i dati sono condivisi e come esercitare ciascun diritto. Un’azienda che vende o condivide informazioni personali deve inoltre pubblicare sul sito il link «Do Not Sell or Share My Personal Information».
Internamente, la conformità si basa su persone e contratti. Il personale deve essere formato per riconoscere e inoltrare le richieste dei consumatori, perché una risposta in ritardo è già una violazione. I fornitori che agiscono come fornitori di servizi o appaltatori devono essere vincolati dalle clausole richieste dal CCPA, che limitano l’uso delle informazioni personali.
Sanzioni
I regolatori possono applicare le sanzioni seguenti, conteggiate per consumatore. I consumatori dispongono inoltre di un’azione privata per alcune violazioni di dati causate da una sicurezza insufficiente.
| Violazione | Sanzione o risarcimento |
|---|---|
| Ogni violazione | 2.500 dollari |
| Violazione intenzionale o che coinvolge minori | 7.500 dollari |
| Violazione causata da sicurezza insufficiente | Risarcimento legale da 100 a 750 dollari |
Come appare in Anexet
Queste immagini mostrano come uno strato di DLP sugli endpoint riconosce le informazioni personali dal contenuto, con elenchi di parole chiave e impronte digitali.
1 / 4
Ciclo continuo
La conformità è quindi continua, non un progetto: gli inventari invecchiano, i fornitori cambiano e ogni richiesta è una prova sul campo. I programmi maturi gestiscono il CCPA come un ciclo: inventariare i dati, mappare i flussi, rispondere, informare e verificare i fornitori.
Per approfondire: Utilizza il sistema DLP Anexet Ultimate per la conformità al GDPR.
Nessuno strumento rende un’azienda conforme. Anexet aiuta in due passaggi: vedere dove circolano le informazioni personali e conservare traccia di chi le ha trattate.
Anexet TeamCome Anexet affronta questo
Nessuno strumento rende un’azienda conforme al CCPA. Non esiste una certificazione da acquistare, e Anexet non ne detiene né ne rilascia alcuna. Uno strato di monitoraggio degli endpoint e di prevenzione della perdita di dati contribuisce a due passi del processo descritto sopra: vedere dove fluiscono davvero le informazioni personali e tenere una traccia attribuibile di chi le ha gestite.
Anche l’architettura on-premise conta. I registri generati osservando i flussi di dati, come il contenuto acquisito, i log di audit e lo storico del rischio, restano nell’infrastruttura dell’organizzazione. Ciò è coerente con la riservatezza che richiede il lavoro sulla privacy.
Visibilità dei flussi di dati
Gli agenti installati sugli endpoint osservano email, web, archiviazione cloud, messaggistica, dispositivi rimovibili, stampa e appunti. Sono i canali attraverso cui le informazioni personali lasciano i sistemi di registrazione. La mappa dei flussi mostra quindi il movimento osservato, non solo i sistemi documentati.
Rilevamento basato sul contenuto
Thesauri di sicurezza, banche di hash, librerie di impronte digitali ed etichette di riservatezza individuano le informazioni personali nei trasferimenti in base al contenuto. Così emergono le copie sfuggite all’inventario.
Traccia di audit attribuibile
Ogni evento registrato riporta utente, marca temporale, canale e classificazione. Questi registri ricostruiscono come sono stati trattati i dati di una persona quando lo chiede una richiesta o un’indagine.
Anexet DLP
Scopri di più