Czym jest CCPA?

California Consumer Privacy Act of 2018 (CCPA) stanowi przełomową zmianę w przepisach dotyczących prywatności danych, w szczególności dla firm z siedzibą w USA i podmiotów globalnych przetwarzających dane mieszkańców Kalifornii. Wyniki ostatnich analiz wskazują na kilka kluczowych wniosków:

• Zakres i stosowanie: CCPA ma zastosowanie do każdego podmiotu nastawionego na zysk, prowadzącego działalność w Kalifornii, który spełnia co najmniej jedno z następujących kryteriów: roczne przychody brutto przekraczają 25 milionów dolarów; gromadzi, kupuje, otrzymuje lub sprzedaje dane osobowe 50 000 lub więcej konsumentów, gospodarstw domowych lub urządzeń; uzyskuje 50% lub więcej swoich rocznych przychodów ze sprzedaży danych osobowych konsumentów (Tekst CCPA, Cal. Civ. Code §§ 1798.100–1798.199).

• Prawa konsumentów: Badania empiryczne wykazują zwiększoną świadomość konsumentów i korzystanie przez nich z następujących praw:

  • Prawo do informacji: Konsumenci mogą zażądać ujawnienia kategorii i konkretnych zebranych danych osobowych.
  • Prawo do usunięcia danych: Konsumenci mogą zażądać usunięcia zebranych danych osobowych.
  • Prawo do rezygnacji: Konsumenci mogą nakazać firmie, aby nie sprzedawała ich danych osobowych.
  • Niedyskryminacja: Firmy mają zakaz dyskryminowania konsumentów, którzy korzystają ze swoich praw.

• Wpływ na przedsiębiorstwa: Badanie przeprowadzone przez Schwartz i Peifer (2019) wykazało, że „koszty zapewnienia zgodności dla objętych regulacją firm znacznie wzrosły”, co wiązało się ze znacznymi inwestycjami w mapowanie danych, mechanizmy obsługi wniosków konsumentów i szkolenia pracowników.

  • Wyzwania wdrożeniowe obejmują ograniczenia techniczne w identyfikacji danych gospodarstwa domowego w odróżnieniu od danych z poszczególnych urządzeń.
  • Definicja danych osobowych jest szeroka, obejmując identyfikatory takie jak adres IP, historia przeglądania i wnioski wyciągnięte z danych.

• Sprzedaż i ujawnianie danych: Badacze zaobserwowali, że firmy zrewidowały swoje polityki prywatności, aby wyjaśnić praktyki dotyczące sprzedaży lub ujawniania danych osobowych. Mechanizmy rezygnacji, takie jak linki „Do Not Sell My Personal Information”, są obecnie standardową funkcją na większości głównych stron internetowych skierowanych do mieszkańców Kalifornii.

• Egzekwowanie i kary: Egzekwowanie przepisów przez Prokuratora Generalnego Kalifornii rozpoczęło się 1 lipca 2020 r. Kary obejmują grzywny cywilne do 2500 USD za naruszenie lub 7500 USD za naruszenie umyślne. Chociaż początkowe działania egzekucyjne koncentrowały się na powiadomieniach o niezgodności, późniejsze działania prawne podkreśliły potrzebę rygorystycznych ram zgodności.

Podsumowując, CCPA ustanowiła nowy standard prawny w zakresie prywatności konsumentów w Stanach Zjednoczonych, wpływając na strategie zarządzania danymi i świadomość praw konsumentów w różnych branżach. Wyniki podkreślają zarówno zwiększoną przejrzystość, jak i znaczne obciążenia związane z zapewnieniem zgodności dla podmiotów, których dotyczą przepisy.