'Bán' trong CCPA là gì?

Đạo luật Quyền riêng tư của Người tiêu dùng California (CCPA) thiết lập một định nghĩa rộng về “bán” trong bối cảnh thông tin cá nhân của người tiêu dùng. Theo quy chế, bán là bất kỳ hành động “bán, cho thuê, phát hành, tiết lộ, phổ biến, cung cấp, chuyển giao, hoặc truyền đạt theo cách khác” thông tin cá nhân của người tiêu dùng cho một doanh nghiệp khác hoặc bên thứ ba “để đổi lấy tiền hoặc các giá trị khác” (Cal. Civ. Code § 1798.140(t)(1)). Ngôn ngữ pháp lý này đặc biệt mở rộng ra ngoài các khái niệm truyền thống về bán hàng, bao gồm bất kỳ việc chuyển giao hoặc chia sẻ nào để đổi lấy giá trị, kể cả các lợi ích phi tiền tệ.

Phân tích ngôn ngữ pháp lý cho thấy một số điểm chính:

• Thuật ngữ “bán” bao gồm các trường hợp chuyển giao mà trong đó sự đền bù không nhất thiết phải là tiền tệ mà có thể là “các giá trị khác”.
• Bên nhận—được coi là “bên thứ ba”—là bất kỳ thực thể nào khác ngoài chính doanh nghiệp thu thập.
• Luật không giới hạn “bán” ở các giao dịch trực tiếp; nó cũng bao gồm cả việc chuyển giao và tiết lộ gián tiếp.

Việc thiếu định nghĩa rõ ràng cho “sự đền bù” trong CCPA khiến việc diễn giải nó phụ thuộc vào các nguyên tắc chung của luật hợp đồng và Bộ luật Dân sự California. Sự mơ hồ này đã dẫn đến các cách thực hiện và đánh giá rủi ro khác nhau giữa các doanh nghiệp, đặc biệt là đối với các nhà cung cấp dịch vụ quảng cáo kỹ thuật số và phân tích.

Đánh giá thực nghiệm về các thực tiễn tuân thủ cho thấy những điều sau:

• Nhiều doanh nghiệp diễn giải việc chia sẻ dữ liệu với các mạng quảng cáo hoặc nhà môi giới dữ liệu là một hành vi “bán”, do có sự trao đổi dữ liệu người dùng để lấy quyền truy cập vào các công cụ tiếp thị hoặc phân tích, ngay cả khi không có thanh toán trực tiếp.
• Cố vấn pháp lý thường khuyên nên thận trọng bằng cách cung cấp cơ chế từ chối khi có bất kỳ sự trao đổi giá trị nào liên quan đến việc chia sẻ thông tin.
• CCPA yêu cầu các doanh nghiệp phải cung cấp cho người tiêu dùng quyền rõ ràng để từ chối các hoạt động bán này, rõ ràng nhất là thông qua liên kết “Không bán thông tin cá nhân của tôi” hoặc cơ chế tương đương (Cal. Civ. Code § 1798.135(a)(1)).

Các phản hồi từ các bên liên quan bao gồm:

• Triển khai các trang web từ chối chuyên dụng và biểu ngữ cookie.
• Tăng cường giám sát hợp đồng với các bên thứ ba về việc sử dụng và chuyển tiếp thông tin cá nhân.
• Tăng cường theo dõi nội bộ các luồng dữ liệu để xác định các trường hợp có thể được coi là bán theo định nghĩa của CCPA.

Nhìn chung, định nghĩa về bán của CCPA mở rộng đến nhiều hoạt động dữ liệu phổ biến liên quan đến việc truy cập của bên thứ ba, bất kể có thanh toán trực tiếp hay không. Việc luật pháp nhấn mạnh vào sự lựa chọn của người tiêu dùng thông qua các cơ chế từ chối bắt buộc đã ảnh hưởng đáng kể đến hoạt động kinh doanh và chiến lược tuân thủ quyền riêng tư. Khi các diễn giải của tòa án và cơ quan quản lý phát triển, phạm vi của những gì cấu thành một hành vi bán theo CCPA vẫn là một lĩnh vực phát triển pháp lý tích cực.