Termin a ustawa
CCPA, czyli California Consumer Privacy Act, to ustawa. Obowiązuje od 1 stycznia 2020 roku, została znowelizowana przez California Privacy Rights Act (CPRA), a egzekwuje ją prokurator generalny Kalifornii wraz z California Privacy Protection Agency. „Zgodność z CCPA” nie jest samą ustawą, lecz odpowiedzią na nią: ciągłą pracą nad utrzymaniem się w granicach jej wymogów.
Ustawa definiuje obowiązki, a zgodność definiuje pracę. Regulatorzy oceniają firmę na podstawie jej własnych zapisów: polityki prywatności, dzienników żądań i umów z dostawcami.
Ustawa: akt prawny określający objęte przedsiębiorstwa, prawa konsumentów i kary, niezależnie od siedziby firmy. Zgodność: program po stronie firmy: inwentaryzacja, obsługa żądań, ujawnianie informacji, zarządzanie dostawcami i szkolenia.
Kogo dotyczy
CCPA sięga daleko poza Kalifornię. Objęte są nastawione na zysk przedsiębiorstwa, które zbierają informacje osobowe konsumentów z Kalifornii, jeśli spełniają co najmniej jeden z trzech progów.
Efektem jest globalna rama rynkowa. Firma bez biura w USA może podlegać ustawie, jeśli jej strona obsługuje konsumentów z Kalifornii w wymaganej skali. Wyjątki dla danych pracowniczych i danych business-to-business wygasły, więc objęte są także akta kadrowe i kontakty zawodowe.
| Próg | Warunek |
|---|---|
| Roczny przychód brutto | Powyżej 25 milionów dolarów |
| Informacje osobowe | Kupno, sprzedaż lub udostępnianie danych co najmniej 100 tys. konsumentów lub gospodarstw rocznie |
| Przychody z danych | 50 procent lub więcej rocznych przychodów ze sprzedaży lub udostępniania danych |
Krok pierwszy: inwentaryzacja i mapa przepływów
Bez tego kroku nic innego nie działa. Firma nie może zrealizować żądania usunięcia danych, dopóki nie wie, jakie informacje osobowe posiada. Inwentaryzacja rejestruje każdą kategorię, jej źródło, cel, systemy, okres przechowywania i zewnętrznych odbiorców.
Mapa przepływów rozszerza inwentaryzację o ruch: jak dane przemieszczają się między systemami, podmiotami przetwarzającymi i kanałami, takimi jak poczta, chmura czy nośniki wymienne. Tu wychodzą luki. Dane mogą opuścić oficjalny system przez kanał, którego inwentaryzacja nigdy nie opisała.
Przeszukiwanie przechwyconych danych
Konsola pozwala przeszukiwać przechwycone dane w poczcie, komunikatorach, sieci i innych kanałach, co pomaga sprawdzić, co faktycznie się przemieściło.
Procedury obsługi żądań konsumentów
CCPA przyznaje konsumentom prawa podlegające egzekucji. Zgodność oznacza udokumentowaną procedurę dla każdego z nich.
Na żądania trzeba odpowiedzieć w ciągu 45 dni. Termin można jednorazowo przedłużyć o kolejne 45 dni, a żądanie musi obejmować co najmniej poprzednie 12 miesięcy. Weryfikacja ma być proporcjonalna: wystarczająco silna, by zapobiec oszustwom, bez zbierania dodatkowych danych. Firma musi przyjmować żądania od upoważnionych pełnomocników i nie może karać konsumentów, którzy korzystają z praw, ceną ani jakością usługi.
| Prawo | Co obejmuje |
|---|---|
| Prawo do informacji | Ujawnienie zebranych danych wraz ze źródłami, celami i odbiorcami |
| Prawo do usunięcia | Usunięcie danych, także u dostawców usług, z ustawowymi wyjątkami |
| Prawo do sprostowania | Poprawienie nieprawidłowych danych, dodane przez CPRA |
| Prawo do rezygnacji | Ze sprzedaży i udostępniania do reklam behawioralnych, z respektowaniem sygnałów przeglądarki |
| Prawo do ograniczenia | Użycie wrażliwych danych wyłącznie w celach dozwolonych przez ustawę |
| Prawo do przenoszenia | Otrzymanie danych osobowych w łatwo używalnym formacie |
Polityka prywatności, szkolenia i dostawcy
Polityka prywatności jest publiczną twarzą programu. Musi wymieniać kategorie zbieranych informacji osobowych, ich źródła, cele i okresy przechowywania, strony trzecie, którym dane są przekazywane, oraz sposób skorzystania z każdego prawa. Firma, która sprzedaje lub udostępnia informacje osobowe, musi też umieścić na stronie link „Do Not Sell or Share My Personal Information”.
Wewnątrz organizacji zgodność opiera się na ludziach i umowach. Pracownicy potrzebują szkoleń, by rozpoznawać żądania konsumentów i kierować je dalej, bo spóźniona odpowiedź sama w sobie jest naruszeniem. Dostawcy działający jako dostawcy usług lub podwykonawcy muszą być związani klauzulami wymaganymi przez CCPA, które ograniczają sposób korzystania z informacji osobowych.
Egzekwowanie prawa
Regulatorzy mogą nakładać kary, liczone wobec każdego konsumenta. Konsumenci mają też roszczenie prywatne z tytułu niektórych naruszeń danych spowodowanych nierozsądnym zabezpieczeniem.
| Naruszenie | Kara lub odszkodowanie |
|---|---|
| Każde naruszenie | 2500 dolarów za naruszenie |
| Umyślne lub dotyczące nieletnich | 7500 dolarów za naruszenie |
| Naruszenie wynikające z nierozsądnego zabezpieczenia | Odszkodowanie ustawowe od 100 do 750 dolarów |
Jak to wygląda w Anexet
Te kadry pokazują, jak warstwa DLP na stacjach roboczych rozpoznaje informacje osobowe po treści, za pomocą list słów kluczowych i cyfrowych odcisków.
1 / 4
Ciągły cykl
Zgodność jest więc procesem ciągłym, a nie projektem. Inwentaryzacje się starzeją, dostawcy się zmieniają, a każde żądanie to test w praktyce. Dojrzałe programy prowadzą CCPA jako cykl: inwentaryzują dane, mapują przepływy, odpowiadają na żądania, ujawniają informacje i weryfikują dostawców.
Czytaj dalej: System DLP Anexet Ultimate jako wsparcie w spełnianiu wymagań RODO.
Żadne narzędzie nie czyni firmy zgodną. Anexet pomaga w dwóch krokach: pokazuje, dokąd płyną informacje osobowe, i prowadzi zapis, kto się nimi zajmował.
Anexet TeamJak rozwiązuje to Anexet
Żadne narzędzie nie czyni firmy zgodną z CCPA. Nie ma certyfikatu do kupienia, a Anexet nie posiada ani nie wydaje żadnego. Warstwa monitorowania stacji końcowych i zapobiegania utracie danych wspiera dwa kroki opisanego procesu: widoczność tego, gdzie informacje osobowe faktycznie płyną, oraz prowadzenie przypisywalnego zapisu tego, kto je obsługiwał.
Znaczenie ma też architektura on-premise. Zapisy powstające przy obserwacji przepływów danych, takie jak przechwycona treść, dzienniki audytowe i historia ryzyka, pozostają w infrastrukturze organizacji. Odpowiada to poufności, której wymaga sama praca nad prywatnością.
Widoczność przepływów danych
Agenci na stacjach końcowych obserwują pocztę, sieć, chmurę, komunikatory, urządzenia wymienne, drukowanie i schowek. Tymi kanałami informacje osobowe opuszczają systemy źródłowe. Mapa przepływów pokazuje wtedy ruch faktycznie zaobserwowany, a nie tylko udokumentowane systemy.
Wykrywanie oparte na treści
Słowniki bezpieczeństwa, bazy skrótów, biblioteki cyfrowych odcisków i etykiety wrażliwości identyfikują informacje osobowe w transferach na podstawie treści. Ujawnia to kopie, których nie uwzględniła inwentaryzacja.
Przypisywalny ślad audytu
Każde zarejestrowane zdarzenie zawiera użytkownika, znacznik czasu, kanał i klasyfikację. Zapisy te odtwarzają, jak traktowano dane danej osoby, gdy pyta o to żądanie lub postępowanie.
Anexet DLP
Dowiedz się więcej