Czym jest CCPA
California Consumer Privacy Act (CCPA) podpisano w czerwcu 2018 roku, a weszła w życie 1 stycznia 2020 roku. Była to pierwsza kompleksowa ustawa o prywatności konsumentów w Stanach Zjednoczonych. Daje mieszkańcom Kalifornii, nazywanym w ustawie konsumentami, bezpośrednie prawa do informacji osobowych, które przechowują o nich firmy. Biuro w Kalifornii nie jest potrzebne: firma podlega ustawie, jeśli prowadzi działalność w tym stanie i spełnia jeden z progów.
W listopadzie 2020 roku wyborcy w Kalifornii zatwierdzili California Privacy Rights Act (CPRA), która znowelizowała i rozszerzyła CCPA. Dodała nowe prawa, kategorię wrażliwych informacji osobowych, surowsze zasady dla usługodawców i kontrahentów oraz limity minimalizacji i retencji danych. CPRA powołała też California Privacy Protection Agency (CPPA), pierwszy w USA organ zajmujący się wyłącznie prywatnością. CPPA wydaje przepisy wykonawcze i egzekwuje ustawę razem z prokuratorem generalnym Kalifornii.
Kogo obejmuje
CCPA dotyczy firmy nastawionej na zysk, która prowadzi działalność w Kalifornii i spełnia co najmniej jeden z trzech progów. Obejmuje też podmioty, które kontrolują taką firmę lub są przez nią kontrolowane i działają pod jej marką.
| Próg | Warunek |
|---|---|
| Przychody | Roczne przychody brutto powyżej 25 mln USD w poprzednim roku kalendarzowym; kwota jest waloryzowana o inflację |
| Wolumen danych | Kupuje, sprzedaje lub udostępnia informacje osobowe 100 000 lub więcej konsumentów albo gospodarstw domowych rocznie |
| Przychody z danych | Uzyskuje 50% lub więcej rocznych przychodów ze sprzedaży lub udostępniania informacji osobowych |
Prawa konsumentów
CCPA daje konsumentom siedem praw. Dwa z nich dodała CPRA: prawo do poprawiania i prawo ograniczenia.
| Prawo | Co oznacza |
|---|---|
| Do wiedzy | Dowiedzieć się, jakie informacje osobowe są zbierane, w jakim celu i czy są sprzedawane lub udostępniane; otrzymać konkretne przechowywane dane |
| Do usunięcia | Żądać usunięcia informacji osobowych przez firmę i jej usługodawców, z zastrzeżeniem wyjątków ustawowych |
| Do poprawiania | Żądać poprawienia nieprawidłowych informacji osobowych |
| Sprzeciwu | Zablokować sprzedaż informacji osobowych i ich udostępnianie na potrzeby reklamy behawioralnej między kontekstami; sygnały sprzeciwu z przeglądarki trzeba respektować |
| Ograniczenia | Zawęzić wykorzystanie i ujawnianie wrażliwych informacji osobowych do celów dozwolonych przepisami |
| Do przenoszenia | Otrzymać dane zebrane automatycznie w użytecznym formacie, który można przenieść |
| Do niedyskryminacji | Brak odmowy usługi i innych cen za skorzystanie z prawa |
Jak obsługuje się żądania
Żądania przechodzą stałą procedurę z terminami ustawowymi. Termin biegnie od dnia, w którym firma otrzymała żądanie.
- 1
Przyjęcie żądania
Konsument może złożyć żądanie co najmniej dwoma wyznaczonymi kanałami.
- 2
Weryfikacja wnioskodawcy
Firma potwierdza tożsamość osoby, zanim ujawni, usunie lub poprawi dane.
- 3
Odpowiedź w 45 dni
Firma odpowiada w ciągu 45 dni od otrzymania żądania.
- 4
Jednorazowe przedłużenie
Jeśli jest to uzasadnione, termin można raz przedłużyć o kolejne 45 dni. Konsument musi się o tym dowiedzieć w pierwszych 45 dniach.
Obowiązki firm
Firma objęta ustawą musi przekazać informację przy zbieraniu danych, opublikować politykę prywatności i zawrzeć pisemne umowy, które ograniczają wykorzystanie informacji osobowych przez usługodawców i kontrahentów. Przepisy CPPA stopniowo wprowadzają kolejne obowiązki: oceny ryzyka i audyty cyberbezpieczeństwa dla przetwarzania o wyższym ryzyku oraz informacje o zautomatyzowanym podejmowaniu decyzji.
Firma, która sprzedaje lub udostępnia informacje osobowe, co do zasady musi umieścić na stronie głównej wyraźny link o brzmieniu określonym w ustawie:
Do Not Sell or Share My Personal Information
Kodeks cywilny Kalifornii, § 1798.135Egzekwowanie i kary
Ustawę egzekwują CPPA i prokurator generalny Kalifornii. Każdy poszkodowany konsument może liczyć się jako osobne naruszenie, więc przy dużych incydentach sumy szybko rosną. Kwoty poniżej wynikają z ustawy i są waloryzowane o inflację.
| Przypadek | Kto działa | Kwota |
|---|---|---|
| Naruszenie | CPPA lub prokurator generalny | Do 2 500 USD za naruszenie |
| Naruszenie umyślne lub dane konsumentów poniżej 16 lat | CPPA lub prokurator generalny | Do 7 500 USD za naruszenie |
| Wyciek niezaszyfrowanych danych z powodu braku rozsądnych zabezpieczeń | Poszkodowany konsument, przed sądem | Od 100 do 750 USD na konsumenta za incydent lub rzeczywista szkoda, jeśli wyższa |
CCPA a RODO
Organizacje międzynarodowe często wdrażają CCPA i unijne RODO jako jeden program. Obie ustawy opierają się jednak na różnych modelach.
Czytaj dalej: Jak zadbać o bezpieczeństwo swoich danych osobowych?; System DLP Anexet Ultimate jako wsparcie w spełnianiu wymagań RODO.
| Aspekt | CCPA | RODO |
|---|---|---|
| Kogo obejmuje | Firmy nastawione na zysk, które spełniają progi kalifornijskie | Organizacje każdej wielkości z siedzibą w UE/EOG lub kierujące ofertę do osób w UE/EOG |
| Model podstawowy | Opt-out: przetwarzanie jest dozwolone, dopóki konsument nie sprzeciwi się sprzedaży lub udostępnianiu | Podstawa prawna: przed przetwarzaniem potrzebna jest podstawa, na przykład zgoda |
| Kluczowe role | Przedsiębiorca, usługodawca, kontrahent | Administrator, podmiot przetwarzający |
| Organ nadzoru | Prokurator generalny Kalifornii i CPPA | Krajowe organy nadzorcze w każdym państwie członkowskim |
| Kary | Kary za naruszenie, do 7 500 USD | Do 20 mln EUR lub 4% światowych rocznych przychodów |