Що таке 'Sale' в CCPA?

Каліфорнійський закон про захист прав споживачів (CCPA) встановлює широке визначення поняття “продаж” у контексті персональної інформації споживачів. Згідно із законом, продаж — це будь-яка дія “продажу, оренди, видачі, розкриття, поширення, надання доступу, передачі або іншого способу повідомлення” персональної інформації споживача іншій компанії або третій стороні “за грошову чи іншу цінну винагороду” (Cal. Civ. Code § 1798.140(t)(1)). Формулювання закону значно виходить за межі традиційних уявлень про продаж, охоплюючи будь-яку передачу чи обмін інформацією в обмін на цінність, включно з негрошовими вигодами.

Аналіз тексту закону виявляє кілька ключових моментів:

• Термін “продаж” включає передачі, де винагорода не обов'язково є грошовою, а може бути “іншою цінною винагородою”.
• Одержувач—який вважається “третьою стороною”—це будь-яка юридична особа, крім самої компанії, що збирає дані.
• Закон не обмежує “продаж” лише прямими транзакціями; він також охоплює непрямі передачі та розкриття інформації.

Відсутність чіткого визначення терміна “винагорода” в CCPA залишає його тлумачення залежним від загальних принципів договірного права та Цивільного кодексу Каліфорнії. Ця неоднозначність призвела до розбіжностей у впровадженні та оцінці ризиків серед компаній, особливо щодо постачальників послуг цифрової реклами та аналітики.

Емпіричний огляд практик дотримання вимог демонструє наступне:

• Багато компаній інтерпретують обмін даними з рекламними мережами або брокерами даних як “продаж”, враховуючи обмін даними користувачів на доступ до маркетингових інструментів або аналітики, навіть якщо прямої оплати не відбувається.
• Юрисконсульти часто радять перестраховуватися, надаючи механізми відмови, коли відбувається будь-який обмін цінностями, пов'язаний з передачею інформації.
• CCPA вимагає, щоб компанії надавали споживачам чітке право відмовитися від такого продажу, найпомітніше через посилання “Не продавати мою особисту інформацію” або еквівалентний механізм (Cal. Civ. Code § 1798.135(a)(1)).

Реакція зацікавлених сторін включала:

• Впровадження спеціальних веб-сторінок для відмови та банерів про файли cookie.
• Посилений договірний контроль у відносинах з третіми сторонами щодо використання та подальшої передачі персональної інформації.
• Покращене внутрішнє відстеження потоків даних для виявлення випадків, які можуть кваліфікуватися як продаж згідно з визначенням CCPA.

Загалом, визначення продажу в CCPA поширюється на численні поширені практики обробки даних, які включають доступ третіх сторін, незалежно від того, чи здійснюються прямі платежі. Акцент закону на виборі споживача через обов'язкові механізми відмови суттєво вплинув на діяльність компаній та стратегії дотримання конфіденційності. Оскільки судові та регуляторні тлумачення розвиваються, обсяг того, що є продажем згідно з CCPA, залишається сферою активного юридичного розвитку.