CPRA là gì?

Đạo luật Quyền Riêng tư California (CPRA) là một sự mở rộng và tăng cường của Đạo luật Quyền riêng tư của Người tiêu dùng California (CCPA), có hiệu lực từ ngày 1 tháng 1 năm 2023. Các kết quả và tác động chính được quan sát sau khi CPRA’s được thực thi được tóm tắt dưới đây:

• Mở rộng Quyền của Người tiêu dùng:
  CPRA giới thiệu bốn quyền mới cho người tiêu dùng:

  1. Quyền sửa chữa thông tin cá nhân không chính xác
  2. Quyền hạn chế việc sử dụng và tiết lộ thông tin cá nhân nhạy cảm
  3. Quyền từ chối Công nghệ ra quyết định tự động
  4. Quyền truy cập thông tin về việc ra quyết định tự động
     Các quyền này giúp chế độ riêng tư của California gần hơn với GDPR của EU, tăng cường quyền kiểm soát của cá nhân đối với dữ liệu của họ.

• Mở rộng phạm vi các doanh nghiệp bị điều chỉnh:
  CPRA giảm ngưỡng áp dụng cho các doanh nghiệp phải tuân thủ bằng cách:

  • Giảm mức tối thiểu về xử lý dữ liệu người tiêu dùng hàng năm
  • Bao gồm các doanh nghiệp tạo doanh thu từ việc chia sẻ (không chỉ bán) thông tin cá nhân
  • Mở rộng định nghĩa về “doanh nghiệp” để bao gồm một số liên doanh và hợp danh
    Sự mở rộng này làm tăng số lượng các đơn vị phải thực hiện các biện pháp kiểm soát quyền riêng tư mạnh mẽ.

• Tăng cường trách nhiệm giải trình đối với việc sử dụng bên thứ ba:
  Luật này áp đặt các yêu cầu hợp đồng mới và nghĩa vụ thẩm định đối với các doanh nghiệp chia sẻ dữ liệu cá nhân với các bên thứ ba, nhà cung cấp dịch vụ và nhà thầu. Các doanh nghiệp phải đảm bảo các bên này duy trì các biện pháp bảo vệ quyền riêng tư tương đương, tạo ra hiệu ứng tuân thủ theo tầng.

• Hạng mục thông tin cá nhân nhạy cảm:
  Một hạng mục mới cho “thông tin cá nhân nhạy cảm” (SPI) được giới thiệu, bao gồm các dữ liệu như số An sinh xã hội, vị trí địa lý chính xác, sức khỏe và sinh trắc học. Người tiêu dùng có quyền rõ ràng để hạn chế việc sử dụng và tiết lộ SPI, đánh dấu một sự thay đổi đáng kể hướng tới các biện pháp kiểm soát quyền riêng tư chi tiết hơn.

• Các yêu cầu về sự đồng thuận và minh bạch giống GDPR:
  CPRA yêu cầu các cơ chế đồng thuận rõ ràng hơn, cải thiện tính minh bạch trong các thông báo về quyền riêng tư và tăng cường nghĩa vụ đối với việc xử lý dữ liệu nhạy cảm. Những yêu cầu này phản ánh các tiêu chuẩn hội tụ giữa luật của California và các nguyên tắc của GDPR.

Nhìn chung, CPRA buộc các doanh nghiệp hoạt động tại California phải thực hiện các biện pháp quản lý quyền riêng tư chặt chẽ hơn, áp dụng các biện pháp kiểm soát nâng cao cho người tiêu dùng và chuẩn bị cho sự giám sát chặt chẽ hơn từ cơ quan quản lý. Các yếu tố giống GDPR của luật này báo hiệu một xu hướng hướng tới sự hài hòa hóa các khuôn khổ về quyền riêng tư của Hoa Kỳ và Châu Âu.