O que é a CCPA
A California Consumer Privacy Act (CCPA) foi sancionada em junho de 2018 e entrou em vigor em 1º de janeiro de 2020. Foi a primeira lei abrangente de privacidade do consumidor nos Estados Unidos. Ela dá aos residentes da Califórnia, chamados de consumidores na lei, direitos diretos sobre as informações pessoais que as empresas mantêm sobre eles. Não é preciso ter escritório na Califórnia: a empresa está sujeita à lei se faz negócios no estado e atinge um dos limiares.
Em novembro de 2020, os eleitores da Califórnia aprovaram a California Privacy Rights Act (CPRA), que alterou e ampliou a CCPA. Ela trouxe novos direitos, a categoria de informações pessoais sensíveis, regras mais rígidas para prestadores de serviços e contratados e limites de minimização e retenção de dados. A CPRA também criou a California Privacy Protection Agency (CPPA), o primeiro órgão dos EUA dedicado à privacidade. A CPPA edita a regulamentação e fiscaliza a lei junto com o procurador-geral da Califórnia.
Quem deve cumprir
A CCPA se aplica a empresas com fins lucrativos que fazem negócios na Califórnia e atingem pelo menos um de três limiares. Também estão cobertas as entidades que controlam essa empresa ou são controladas por ela e usam a mesma marca.
| Limiar | Condição |
|---|---|
| Receita | Receita bruta anual acima de 25 milhões de dólares no ano civil anterior; o valor é corrigido pela inflação |
| Volume de dados | Compra, vende ou compartilha informações pessoais de 100 mil ou mais consumidores ou domicílios por ano |
| Receita com dados | Obtém 50% ou mais da receita anual com a venda ou o compartilhamento de informações pessoais |
Direitos do consumidor
A CCPA garante sete direitos ao consumidor. Dois deles vieram com a CPRA: o direito de correção e o direito de limitação.
| Direito | O que significa |
|---|---|
| De saber | Saber quais informações pessoais são coletadas, para quais finalidades e se são vendidas ou compartilhadas; receber os dados específicos mantidos |
| De exclusão | Pedir que a empresa e seus prestadores de serviços excluam as informações pessoais, salvo exceções legais |
| De correção | Pedir a correção de informações pessoais inexatas |
| De opt-out | Impedir a venda de informações pessoais e o compartilhamento para publicidade comportamental entre contextos; sinais de opt-out do navegador devem ser respeitados |
| De limitação | Restringir o uso e a divulgação de informações pessoais sensíveis às finalidades permitidas pela regulamentação |
| De portabilidade | Receber os dados coletados por meios automatizados em formato utilizável e transferível |
| De não discriminação | Sem recusa de serviço nem preço diferente por exercer um direito |
Como os pedidos são atendidos
Os pedidos seguem um procedimento fixo, com prazos legais. A contagem começa no dia em que a empresa recebe o pedido.
- 1
Receber o pedido
O consumidor pode enviar o pedido por pelo menos dois canais designados.
- 2
Verificar o solicitante
A empresa confirma a identidade do solicitante antes de divulgar, excluir ou corrigir dados.
- 3
Responder em 45 dias
A empresa responde em até 45 dias após receber o pedido.
- 4
Prorrogar uma vez, se preciso
Quando for razoavelmente necessário, o prazo pode ser prorrogado uma única vez por mais 45 dias. O consumidor deve ser avisado dentro dos primeiros 45 dias.
Obrigações das empresas
A empresa sujeita à lei deve dar um aviso no momento da coleta, publicar uma política de privacidade e firmar contratos escritos que limitem o uso de informações pessoais por prestadores de serviços e contratados. A regulamentação da CPPA está introduzindo novas obrigações aos poucos: avaliações de risco e auditorias de cibersegurança para tratamentos de maior risco e avisos sobre decisões automatizadas.
A empresa que vende ou compartilha informações pessoais deve, em regra, colocar na página inicial um link claro com o texto definido pela lei:
Do Not Sell or Share My Personal Information
Código Civil da Califórnia, § 1798.135Fiscalização e penalidades
A CPPA e o procurador-geral da Califórnia fiscalizam a lei. Cada consumidor afetado pode contar como uma violação separada, por isso os totais crescem rápido em grandes incidentes. Os valores abaixo estão na lei e são corrigidos pela inflação.
| Caso | Quem age | Valor |
|---|---|---|
| Violação | CPPA ou procurador-geral | Até 2.500 dólares por violação |
| Violação intencional ou dados de consumidores menores de 16 anos | CPPA ou procurador-geral | Até 7.500 dólares por violação |
| Vazamento de dados não criptografados por falta de segurança razoável | O consumidor afetado, na Justiça | De 100 a 750 dólares por consumidor por incidente, ou o dano real, se for maior |
CCPA x GDPR
Organizações multinacionais costumam tratar a CCPA e o Regulamento Geral sobre a Proteção de Dados da UE (GDPR) como um único programa. Mas as duas leis partem de modelos diferentes.
Leitura adicional: Como manter meus dados pessoais seguros?; Use o sistema Anexet Ultimate DLP para atender ao RGPD.
| Aspecto | CCPA | GDPR |
|---|---|---|
| Quem é coberto | Empresas com fins lucrativos que atingem os limiares da Califórnia | Organizações de qualquer porte estabelecidas na UE/EEE ou que se dirigem a pessoas de lá |
| Modelo central | Opt-out: o tratamento é permitido até o consumidor recusar a venda ou o compartilhamento | Base legal: é preciso uma base, como o consentimento, antes do tratamento |
| Papéis-chave | Empresa, prestador de serviço, contratado | Controlador, operador |
| Regulador | Procurador-geral da Califórnia e CPPA | Autoridades nacionais de supervisão em cada Estado-membro |
| Penalidades | Multas por violação, até 7.500 USD | Até 20 milhões de euros ou 4% da receita anual global |