Τι είναι ο CCPA;

Ο νόμος California Consumer Privacy Act του 2018 (CCPA) αντιπροσωπεύει μια κομβική αλλαγή στη νομοθεσία περί προστασίας προσωπικών δεδομένων, ιδιαίτερα για τις επιχειρήσεις που εδρεύουν στις ΗΠΑ και για τις παγκόσμιες οντότητες που διαχειρίζονται πληροφορίες κατοίκων της Καλιφόρνια. Τα αποτελέσματα πρόσφατων αναλύσεων υποδεικνύουν διάφορα βασικά συμπεράσματα:

• Πεδίο Εφαρμογής και Ισχύς: Ο CCPA ισχύει για κάθε κερδοσκοπική οντότητα που ασκεί επιχειρηματική δραστηριότητα στην Καλιφόρνια και πληροί τουλάχιστον ένα από τα εξής κριτήρια: ετήσια ακαθάριστα έσοδα άνω των 25 εκατομμυρίων δολαρίων, συλλέγει, αγοράζει, λαμβάνει ή πωλεί τις προσωπικές πληροφορίες 50.000 ή περισσότερων καταναλωτών, νοικοκυριών ή συσκευών, αντλεί το 50% ή περισσότερο των ετήσιων εσόδων της από την πώληση προσωπικών πληροφοριών των καταναλωτών (Κείμενο CCPA, Cal. Civ. Code §§ 1798.100–1798.199).

• Διατάξεις για τα Δικαιώματα των Καταναλωτών: Εμπειρικές μελέτες καταδεικνύουν αυξημένη ευαισθητοποίηση και άσκηση των ακόλουθων δικαιωμάτων από τους καταναλωτές:

  • Δικαίωμα στη Γνώση: Οι καταναλωτές μπορούν να ζητήσουν τη γνωστοποίηση των κατηγοριών και των συγκεκριμένων τμημάτων προσωπικών πληροφοριών που συλλέγονται.
  • Δικαίωμα στη Διαγραφή: Οι καταναλωτές μπορούν να ζητήσουν τη διαγραφή των προσωπικών πληροφοριών που έχουν συλλεχθεί.
  • Δικαίωμα στην Εξαίρεση (Opt-Out): Οι καταναλωτές μπορούν να δώσουν εντολή σε μια επιχείρηση να μην πωλεί τις προσωπικές τους πληροφορίες.
  • Απαγόρευση των Διακρίσεων: Απαγορεύεται στις επιχειρήσεις να προβαίνουν σε διακρίσεις εις βάρος των καταναλωτών που ασκούν τα δικαιώματά τους.

• Επιπτώσεις στις Επιχειρήσεις: Μια μελέτη των Schwartz και Peifer (2019) διαπίστωσε ότι «το κόστος συμμόρφωσης για τις καλυπτόμενες επιχειρήσεις έχει αυξηθεί σημαντικά», με αξιοσημείωτες επενδύσεις στη χαρτογράφηση δεδομένων, στους μηχανισμούς αιτημάτων των καταναλωτών και στην εκπαίδευση των εργαζομένων.

  • Οι προκλήσεις εφαρμογής περιλαμβάνουν τεχνικούς περιορισμούς στον εντοπισμό δεδομένων νοικοκυριού έναντι δεδομένων μεμονωμένων συσκευών.
  • Ο ορισμός των προσωπικών πληροφοριών είναι ευρύς, περιλαμβάνοντας αναγνωριστικά όπως η διεύθυνση IP, το ιστορικό περιήγησης και τα συμπεράσματα που προκύπτουν από τα δεδομένα.

• Πώληση και Γνωστοποίηση Δεδομένων: Οι ερευνητές παρατήρησαν ότι οι εταιρείες έχουν αναθεωρήσει τις πολιτικές απορρήτου για να διευκρινίσουν τις πρακτικές σχετικά με την πώληση ή τη γνωστοποίηση προσωπικών πληροφοριών. Οι μηχανισμοί εξαίρεσης (opt-out), όπως οι σύνδεσμοι «Να μην πωληθούν οι προσωπικές μου πληροφορίες» (Do Not Sell My Personal Information), αποτελούν πλέον τυπικό χαρακτηριστικό στους περισσότερους μεγάλους ιστότοπους που απευθύνονται σε κατοίκους της Καλιφόρνια.

• Επιβολή και Κυρώσεις: Η επιβολή από τον Γενικό Εισαγγελέα της Καλιφόρνια ξεκίνησε την 1η Ιουλίου 2020. Οι κυρώσεις περιλαμβάνουν αστικά πρόστιμα έως 2.500 $ ανά παράβαση ή 7.500 $ ανά εκ προθέσεως παράβαση. Ενώ η αρχική επιβολή επικεντρώθηκε αρχικά σε ειδοποιήσεις μη συμμόρφωσης, οι νομικές ενέργειες έκτοτε έχουν αναδείξει την ανάγκη για αυστηρά πλαίσια συμμόρφωσης.

Συνοπτικά, ο CCPA έχει καθιερώσει ένα νέο νομικό πρότυπο για την προστασία της ιδιωτικής ζωής των καταναλωτών στις Ηνωμένες Πολιτείες, επηρεάζοντας τις στρατηγικές διακυβέρνησης δεδομένων και την ευαισθητοποίηση για τα δικαιώματα των καταναλωτών σε όλους τους κλάδους. Τα αποτελέσματα υπογραμμίζουν τόσο την αυξημένη διαφάνεια όσο και τα σημαντικά βάρη συμμόρφωσης για τις επηρεαζόμενες οντότητες.