Wat is ‘share’ in de CPRA?

De California Privacy Rights Act (CPRA) herdefinieert en breidt het concept van het “delen” van persoonlijke informatie uit, voornamelijk in de context van contextoverschrijdende gedragsgerichte reclame. De wettelijke tekst specificeert dat “delen, gedeeld of deling” betekent: “het verhuren, vrijgeven, openbaar maken, verspreiden, beschikbaar stellen, overdragen of anderszins mondeling, schriftelijk, elektronisch of op andere wijze communiceren van de persoonlijke informatie van een consument door het bedrijf aan een derde partij voor contextoverschrijdende gedragsgerichte reclame, al dan niet tegen een monetaire of andere waardevolle vergoeding” (Cal. Civ. Code § 1798.140(ah)(1)). Dit is een aanzienlijke uitbreiding ten opzichte van de California Consumer Privacy Act (CCPA), die zich voornamelijk richtte op “verkoop” als de overdracht van gegevens tegen een monetaire vergoeding.

Analyse van de definitie van de CPRA toont aan dat:

• “Delen” omvat elke communicatie of overdracht van persoonlijke informatie aan een derde partij.
• Het doel van de overdracht—specifiek voor contextoverschrijdende gedragsgerichte reclame—is van cruciaal belang. Dergelijke reclame wordt gedefinieerd als het richten op consumenten op basis van hun activiteiten bij verschillende bedrijven, websites, applicaties of diensten.
• Er is geen vereiste voor een monetaire waarde; elke waardevolle vergoeding of zelfs helemaal geen vergoeding is voldoende.
• De entiteit die de gegevens ontvangt, wordt beschouwd als een “derde partij” als de consument niet opzettelijk met hen interacteert (Cal. Civ. Code § 1798.140(ai)).

Resultaten uit de beoordeling van de operationele implicaties tonen aan dat:

• Bedrijven moeten openbaarmakingen voor gerichte reclame behandelen als “delen”, ongeacht of er een betaling wordt uitgewisseld.
• Consumentenrechten zijn direct betrokken; individuen kunnen zich afmelden voor dergelijk “delen” onder de CPRA (Cal. Civ. Code § 1798.120(a)).
• Naleving vereist dat bedrijven duidelijke kennisgevingen en opt-outmechanismen bieden aan consumenten met betrekking tot dergelijke gegevenspraktijken.

Het onderscheid tussen “verkoop” en “delen” onder de CPRA wordt in de praktijk duidelijk: “verkoop” heeft betrekking op gegevens die worden uitgewisseld voor waarde, terwijl “delen” een bredere reeks openbaarmakingen omvat, specifiek voor contextoverschrijdende gedragsgerichte reclame. Entiteiten kunnen verplichtingen niet omzeilen door transacties als niet-monetair te structureren als er sprake is van reclame door derden.

Samenvattend weerspiegelt de behandeling van “delen” door de CPRA een verschuiving naar meer consumentenbescherming en transparantie in digitale reclame-ecosystemen. Gegevensoverdrachten aan derden voor gerichte advertenties—ongeacht of er geld wordt uitgewisseld—vallen volledig onder het toezicht van de regelgeving. Dit dwingt organisaties om hun gegevensstromen opnieuw te beoordelen en hun nalevingsstrategieën dienovereenkomstig aan te passen (IAPP, 2023; Cal. Civ. Code § 1798.140).