O termo face à lei
O CCPA, a California Consumer Privacy Act, é uma lei. Está em vigor desde 1 de janeiro de 2020, foi alterado pela California Privacy Rights Act (CPRA) e é aplicado pelo procurador-geral da Califórnia e pela California Privacy Protection Agency. A «conformidade com o CCPA» não é a lei em si, mas a resposta a ela: o trabalho contínuo de cumprir os seus requisitos.
A lei define deveres. A conformidade define o trabalho. Os reguladores avaliam uma organização pelos seus próprios registos: a política de privacidade, os registos de pedidos e os contratos com fornecedores.
A lei: um diploma que define as empresas abrangidas, os direitos dos consumidores e as sanções, onde quer que a empresa esteja sediada. Conformidade: o programa do lado da empresa: inventário, tratamento de pedidos, divulgação, gestão de fornecedores e formação.
Quem está abrangido
O CCPA vai muito além da Califórnia. Qualquer empresa com fins lucrativos que recolha informações pessoais de consumidores da Califórnia fica abrangida se cumprir pelo menos um de três limiares.
O resultado é um enquadramento de mercado global. Uma empresa sem escritório nos EUA pode ser abrangida se o seu sítio servir consumidores da Califórnia à escala exigida. As isenções para dados de trabalhadores e dados entre empresas caducaram, pelo que também os registos de recursos humanos e os contactos profissionais estão abrangidos.
| Limiar | Condição |
|---|---|
| Volume de negócios bruto anual | Superior a 25 milhões de dólares |
| Informações pessoais | Compra, vende ou partilha dados de 100 mil consumidores ou mais por ano |
| Receitas dos dados | 50 por cento ou mais das receitas anuais com venda ou partilha de dados |
Primeiro passo: inventário e mapa de fluxos
Nada funciona sem este passo. Uma empresa não pode dar seguimento a um pedido de apagamento enquanto não souber que informações pessoais detém. O inventário regista cada categoria, a sua origem, finalidade, sistemas, prazo de conservação e destinatários externos.
O mapa de fluxos alarga o inventário ao movimento: como os dados circulam entre sistemas, subcontratantes e canais como o correio eletrónico, o armazenamento na nuvem e os suportes amovíveis. É aqui que surgem as lacunas. Os dados podem sair do sistema de registo oficial por um canal que o inventário nunca descreveu.
Pesquisar os dados capturados
A consola permite pesquisar os dados capturados no correio, nas mensagens, na web e noutros canais, o que ajuda a verificar o que realmente circulou.
Procedimentos para pedidos dos consumidores
O CCPA confere aos consumidores direitos exigíveis. Conformidade significa ter um procedimento documentado para cada um.
Os pedidos devem ter resposta em 45 dias, prorrogáveis uma vez por mais 45 dias, e devem abranger pelo menos os 12 meses anteriores. A verificação deve ser proporcional: suficientemente forte para prevenir fraudes, sem recolher mais dados. As empresas devem aceitar agentes autorizados e não podem penalizar, em preço ou serviço, os consumidores que exercem os seus direitos.
| Direito | O que abrange |
|---|---|
| Direito de saber | Divulgação das informações pessoais recolhidas, com origens, finalidades e destinatários |
| Direito de eliminação | Remoção das informações pessoais, extensível aos prestadores de serviços, com exceções legais |
| Direito de retificação | Correção de informações pessoais inexatas, acrescentado pela CPRA |
| Direito de oposição | À venda e partilha para publicidade comportamental, com respeito pelos sinais do navegador |
| Direito de limitação | Utilização de dados sensíveis apenas para as finalidades permitidas pela lei |
| Direito de portabilidade | Receção dos dados pessoais num formato facilmente utilizável |
Política de privacidade, formação e fornecedores
A política de privacidade é a face pública do programa. Deve enumerar as categorias de informações pessoais recolhidas, as suas origens, finalidades e prazos de conservação, os terceiros com quem os dados são partilhados e a forma de exercer cada direito. Uma empresa que venda ou partilhe informações pessoais deve também ter no seu sítio a ligação «Do Not Sell or Share My Personal Information».
Internamente, a conformidade assenta em pessoas e contratos. Os colaboradores precisam de formação para reconhecer e encaminhar pedidos dos consumidores, porque uma resposta tardia é já uma infração. Os fornecedores que atuam como prestadores de serviços ou subcontratantes devem estar vinculados por cláusulas exigidas pelo CCPA que limitam a utilização das informações pessoais.
Fiscalização
Os reguladores podem aplicar as coimas abaixo, contadas por consumidor. Os consumidores têm ainda direito a ação privada por certas violações de dados causadas por segurança insuficiente.
| Infração | Coima ou indemnização |
|---|---|
| Cada violação | 2 500 dólares |
| Infração intencional ou que envolva menores | 7 500 dólares |
| Violação causada por segurança insuficiente | Indemnização legal de 100 a 750 dólares |
Como se apresenta no Anexet
Estas imagens mostram como uma camada de DLP nos postos de trabalho reconhece informações pessoais pelo conteúdo, com listas de palavras-chave e impressões digitais.
1 / 4
Ciclo contínuo
A conformidade é, portanto, contínua e não um projeto. Os inventários envelhecem, os fornecedores mudam e cada pedido é um teste real. Os programas maduros gerem o CCPA como um ciclo: inventariar os dados, mapear os fluxos, responder aos pedidos, divulgar e verificar os fornecedores.
Leitura adicional: Use o sistema Anexet Ultimate DLP para atender ao RGPD.
Nenhuma ferramenta torna uma empresa conforme. O Anexet ajuda em dois passos: mostrar por onde circulam as informações pessoais e manter um registo de quem as tratou.
Anexet TeamComo a Anexet resolve isto
Nenhuma ferramenta torna uma empresa conforme com o CCPA. Não existe certificação para comprar, e a Anexet não detém nem emite nenhuma. Uma camada de monitorização de endpoints e de prevenção da perda de dados contribui para dois passos do processo acima: ver para onde as informações pessoais realmente circulam e manter um registo atribuível de quem as tratou.
A arquitetura on-premise também é relevante. Os registos gerados ao observar fluxos de dados, como conteúdo capturado, registos de auditoria e histórico de risco, permanecem na infraestrutura da própria organização. Isto está em linha com a confidencialidade que o trabalho de privacidade exige.
Visibilidade dos fluxos de dados
Os agentes nos endpoints observam o correio eletrónico, a web, o armazenamento na nuvem, as mensagens, os dispositivos removíveis, a impressão e a área de transferência. São os canais por onde as informações pessoais saem dos sistemas de registo. Assim, o mapa de fluxos mostra movimento observado, e não apenas sistemas documentados.
Deteção baseada no conteúdo
Dicionários de segurança, bases de hashes, bibliotecas de impressões digitais e rótulos de sensibilidade identificam informações pessoais nas transferências pelo conteúdo. Isto revela cópias que o inventário não registou.
Trilho de auditoria atribuível
Cada evento registado inclui o utilizador, a data e hora, o canal e a classificação. Estes registos permitem reconstruir como foram tratados os dados de uma pessoa quando um pedido ou uma investigação o exige.
Anexet DLP
Saiba mais