Τι είναι μια 'Πώληση' στον CCPA;

Ο Νόμος της Καλιφόρνια για την Προστασία της Ιδιωτικότητας των Καταναλωτών (CCPA) καθορίζει έναν ευρύ ορισμό της “πώλησης” στο πλαίσιο των προσωπικών πληροφοριών των καταναλωτών. Σύμφωνα με το καταστατικό, πώληση είναι κάθε πράξη “πώλησης, ενοικίασης, αποδέσμευσης, αποκάλυψης, διάδοσης, διάθεσης, μεταβίβασης ή άλλης κοινοποίησης” των προσωπικών πληροφοριών ενός καταναλωτή σε άλλη επιχείρηση ή τρίτο μέρος “έναντι χρηματικού ή άλλου πολύτιμου ανταλλάγματος” (Cal. Civ. Code § 1798.140(t)(1)). Η διατύπωση του νόμου επεκτείνεται αισθητά πέρα από τις παραδοσιακές έννοιες της πώλησης, περιλαμβάνοντας οποιαδήποτε μεταβίβαση ή κοινοποίηση με αντάλλαγμα αξίας, συμπεριλαμβανομένων μη χρηματικών οφελών.

Η ανάλυση της νομοθετικής γλώσσας αποκαλύπτει διάφορα βασικά σημεία:

• Ο όρος “πώληση” περιλαμβάνει μεταβιβάσεις όπου το αντάλλαγμα δεν είναι απαραίτητα χρηματικό, αλλά μπορεί να είναι “άλλο πολύτιμο αντάλλαγμα”.
• Ο αποδέκτης—που θεωρείται “τρίτο μέρος”—είναι οποιαδήποτε οντότητα εκτός από την ίδια την επιχείρηση που συλλέγει τα δεδομένα.
• Ο νόμος δεν περιορίζει την “πώληση” σε άμεσες συναλλαγές· καλύπτει επίσης έμμεσες μεταβιβάσεις και αποκαλύψεις.

Η έλλειψη ρητού ορισμού για το “αντάλλαγμα” εντός του CCPA αφήνει την ερμηνεία του να εξαρτάται από τις γενικές αρχές του δικαίου των συμβάσεων και τον Αστικό Κώδικα της Καλιφόρνια. Αυτή η ασάφεια έχει οδηγήσει σε αποκλίνουσες εφαρμογές και εκτιμήσεις κινδύνου μεταξύ των επιχειρήσεων, ιδιαίτερα όσον αφορά τους παρόχους υπηρεσιών ψηφιακής διαφήμισης και ανάλυσης δεδομένων.

Η εμπειρική επισκόπηση των πρακτικών συμμόρφωσης αποδεικνύει τα εξής:

• Πολλές επιχειρήσεις ερμηνεύουν την κοινοποίηση δεδομένων σε διαφημιστικά δίκτυα ή μεσίτες δεδομένων ως “πώληση”, δεδομένης της ανταλλαγής δεδομένων χρηστών για πρόσβαση σε εργαλεία μάρκετινγκ ή ανάλυσης, ακόμη και αν δεν εμπλέκεται άμεση πληρωμή.
• Οι νομικοί σύμβουλοι συχνά συμβουλεύουν να προτιμάται η παροχή μηχανισμών εξαίρεσης (opt-out) όταν υπάρχει οποιαδήποτε ανταλλαγή αξίας που σχετίζεται με την κοινοποίηση πληροφοριών.
• Ο CCPA απαιτεί από τις επιχειρήσεις να προσφέρουν στους καταναλωτές ένα σαφές δικαίωμα εξαίρεσης από αυτές τις πωλήσεις, κυρίως μέσω ενός συνδέσμου “Do Not Sell My Personal Information” ή ισοδύναμου μηχανισμού (Cal. Civ. Code § 1798.135(a)(1)).

Οι απαντήσεις των ενδιαφερόμενων μερών περιλάμβαναν:

• Εφαρμογή αποκλειστικών ιστοσελίδων εξαίρεσης (opt-out) και banner για τα cookies.
• Αυξημένος συμβατικός έλεγχος με τρίτα μέρη σχετικά με τη χρήση και την περαιτέρω μεταβίβαση προσωπικών πληροφοριών.
• Ενισχυμένη εσωτερική παρακολούθηση των ροών δεδομένων για τον εντοπισμό περιπτώσεων που ενδέχεται να χαρακτηριστούν ως πώληση σύμφωνα με τον ορισμό του CCPA.

Συνολικά, ο ορισμός της πώλησης του CCPA επεκτείνεται σε πολλές κοινές πρακτικές δεδομένων που περιλαμβάνουν πρόσβαση από τρίτους, ανεξάρτητα από το αν πραγματοποιούνται άμεσες πληρωμές. Η έμφαση του νόμου στην επιλογή του καταναλωτή μέσω των απαιτούμενων μηχανισμών εξαίρεσης (opt-out) έχει επηρεάσει ουσιαστικά τις επιχειρηματικές λειτουργίες και τις στρατηγικές συμμόρφωσης με την προστασία της ιδιωτικότητας. Καθώς οι δικαστικές και κανονιστικές ερμηνείες εξελίσσονται, το εύρος του τι συνιστά πώληση σύμφωνα με τον CCPA παραμένει ένας τομέας ενεργού νομικής εξέλιξης.