Πώς διαφέρουν ο GDPR και ο CCPA;

Σε τι διαφέρουν ο GDPR και ο CCPA;

Ο GDPR και ο CCPA αντιπροσωπεύουν δύο σημαντικά πλαίσια στη νομοθεσία περί προστασίας δεδομένων, αλλά διαφέρουν θεμελιωδώς ως προς το πεδίο εφαρμογής, τις απαιτήσεις και την επιβολή. Αυτές οι διακρίσεις διαμορφώνουν τις στρατηγικές συμμόρφωσης για τις επιχειρήσεις που δραστηριοποιούνται διεθνώς ή εντός των Ηνωμένων Πολιτειών.

• Ο GDPR επιβάλλει στις εταιρείες να έχουν μια σαφή νομική βάση πριν από την επεξεργασία οποιωνδήποτε προσωπικών δεδομένων των κατοίκων της ΕΕ. Ο κανονισμός προσδιορίζει έξι νόμιμες βάσεις για την επεξεργασία, όπως η συγκατάθεση, η αναγκαιότητα για την εκτέλεση σύμβασης ή τα έννομα συμφέροντα. Αντίθετα, ο CCPA δεν απαιτεί νομική βάση πριν από τη συλλογή ή την επεξεργασία προσωπικών πληροφοριών. Αυτό δημιουργεί ένα υψηλότερο κατώφλι για τη συμμόρφωση με τον GDPR, ιδιαίτερα για οργανισμούς που χειρίζονται ευαίσθητες κατηγορίες δεδομένων.

• Ο CCPA ισχύει μόνο για ορισμένες επιχειρήσεις: εκείνες με ετήσια ακαθάριστα έσοδα άνω των 25 εκατομμυρίων $, εκείνες που αγοράζουν/πωλούν τις προσωπικές πληροφορίες 50.000 ή περισσότερων καταναλωτών/νοικοκυριών/συσκευών, ή που αποκομίζουν τουλάχιστον το 50% των ετήσιων εσόδων τους από την πώληση προσωπικών πληροφοριών καταναλωτών. Ο GDPR ισχύει για οποιονδήποτε οργανισμό (ανεξαρτήτως μεγέθους) που επεξεργάζεται προσωπικά δεδομένα κατοίκων της ΕΕ, εάν πληροί την απαίτηση της νομικής βάσης.

• Τα δικαιώματα των καταναλωτών και στους δύο νόμους είναι ισχυρά αλλά διαφέρουν στην έμφαση. Ο GDPR παρέχει στα άτομα δικαιώματα όπως η πρόσβαση, η διόρθωση, η διαγραφή (“δικαίωμα στη λήθη”), ο περιορισμός της επεξεργασίας, η φορητότητα των δεδομένων και η εναντίωση στην επεξεργασία. Ο CCPA παρέχει δικαιώματα όπως η γνώση των πληροφοριών που συλλέγονται και πωλούνται, η διαγραφή (με εξαιρέσεις), η εξαίρεση από την πώληση προσωπικών πληροφοριών και η προστασία από διακρίσεις κατά την άσκηση αυτών των δικαιωμάτων. Όπως αναφέρει ο CCPA:

  “Μια επιχείρηση δεν μπορεί να κάνει διακρίσεις εις βάρος ενός καταναλωτή επειδή ο καταναλωτής άσκησε οποιοδήποτε από τα δικαιώματά του βάσει αυτού του τίτλου.”

• Όσον αφορά τα ευαίσθητα δεδομένα, ο GDPR είναι πιο συγκεκριμένος. Ορίζει και ρυθμίζει ειδικές κατηγορίες όπως “γενετικά δεδομένα,” “βιομετρικά δεδομένα,” και “δεδομένα υγείας.” Η επεξεργασία αυτών των τύπων δεδομένων απαιτεί ρητή συγκατάθεση ή άλλη συγκεκριμένη νομική βάση. Ο CCPA χρησιμοποιεί έναν ευρύτερο όρο—“προσωπικές πληροφορίες”—ο οποίος καλύπτει ένα ευρύ φάσμα αναγνωριστικών στοιχείων, αλλά δεν ξεχωρίζει τα γενετικά ή βιομετρικά δεδομένα με την ίδια σαφήνεια.

• Η επιβολή και οι κυρώσεις διαφέρουν σημαντικά. Οι παραβιάσεις του GDPR μπορούν να οδηγήσουν σε πρόστιμα έως και 20 εκατομμύρια € ή 4% του παγκόσμιου κύκλου εργασιών (όποιο είναι υψηλότερο). Πρόσφατες ενέργειες επιβολής υποδηλώνουν ότι οι ρυθμιστικές αρχές είναι διατεθειμένες να επιβάλουν σημαντικές κυρώσεις για σοβαρές παραβιάσεις. Ενώ τα νομοθετικά πρόστιμα του CCPA είναι χαμηλότερα (έως 7.500 $ ανά εκ προθέσεως παράβαση), επιτρέπει μοναδικά στους καταναλωτές να ασκούν αστικές αγωγές για ορισμένες παραβιάσεις—οδηγώντας ενδεχομένως σε σημαντικούς διακανονισμούς ή κόστη ομαδικών αγωγών.

• Τα δεδομένα των παιδιών λαμβάνουν επιπλέον προστασία και στους δύο νόμους, αλλά με διαφορετικά όρια ηλικίας: ο GDPR γενικά απαιτεί γονική συναίνεση για την επεξεργασία δεδομένων ατόμων κάτω των 16 ετών (τα κράτη μέλη μπορούν να το μειώσουν στα 13), ενώ ο CCPA απαιτεί γονική συναίνεση για την “πώληση” των δεδομένων παιδιών κάτω των 13 ετών.

• Μια βασική διάκριση είναι η έννοια της “πώλησης” στον CCPA, η οποία δίνει στους καταναλωτές το δικαίωμα να κατευθύνουν τις επιχειρήσεις να μην πωλούν τις προσωπικές τους πληροφορίες. Ο GDPR δεν χρησιμοποιεί αυτή την ορολογία, αλλά ρυθμίζει όλες τις μορφές κοινής χρήσης και μεταφοράς δεδομένων μεταξύ οργανισμών.

Συνοπτικά, ενώ υπάρχουν ομοιότητες —όπως η εστίαση στη διαφάνεια και τα ατομικά δικαιώματα— ο GDPR είναι γενικά ευρύτερος στην εφαρμογή και αυστηρότερος στις απαιτήσεις, ειδικά όσον αφορά τη νομική βάση και την προστασία των ευαίσθητων δεδομένων. Ο CCPA, αν και στενότερος σε πεδίο εφαρμογής, εισάγει μοναδικές έννοιες όπως το δικαίωμα εξαίρεσης από την πώληση δεδομένων και η προστασία από διακρίσεις κατά την άσκηση των δικαιωμάτων απορρήτου. Οι οργανισμοί που υπόκεινται και στους δύο νόμους πρέπει να αναλύουν προσεκτικά τις υποχρεώσεις συμμόρφωσης, αναγνωρίζοντας ότι η συμμόρφωση με τον έναν δεν εγγυάται τη συμμόρφωση με τον άλλο. Καθώς οι κανονισμοί περί απορρήτου συνεχίζουν να εξελίσσονται, η κατανόηση αυτών των βασικών διαφορών είναι κρίσιμη για τη διαχείριση κινδύνων και την οικοδόμηση της εμπιστοσύνης των καταναλωτών.