‘Chia sẻ’ trong CPRA là gì?

Đạo luật về Quyền riêng tư của California (CPRA) định nghĩa lại và mở rộng khái niệm “chia sẻ” thông tin cá nhân, chủ yếu trong bối cảnh quảng cáo hành vi theo ngữ cảnh chéo. Ngôn ngữ luật định quy định rằng “chia sẻ, đã chia sẻ, hoặc đang chia sẻ” có nghĩa là: “cho thuê, phát hành, tiết lộ, phổ biến, cung cấp, chuyển giao hoặc truyền đạt bằng lời nói, bằng văn bản, hoặc bằng phương tiện điện tử hoặc phương tiện khác, thông tin cá nhân của người tiêu dùng bởi doanh nghiệp cho một bên thứ ba để quảng cáo hành vi theo ngữ cảnh chéo, cho dù có vì tiền tệ hoặc các giá trị quý giá khác hay không” (Cal. Civ. Code § 1798.140(ah)(1)). Điều này đánh dấu một sự mở rộng đáng kể so với Đạo luật Quyền riêng tư của Người tiêu dùng California (CCPA), vốn chủ yếu tập trung vào việc “bán” như là việc chuyển giao dữ liệu để đổi lấy tiền.

Phân tích định nghĩa của CPRA cho thấy rằng:

• “Chia sẻ” bao gồm mọi hình thức truyền đạt hoặc chuyển giao thông tin cá nhân cho bên thứ ba.
• Mục đích của việc chuyển giao—cụ thể là cho quảng cáo hành vi theo ngữ cảnh chéo—là trọng tâm. Loại quảng cáo này được định nghĩa là nhắm mục tiêu đến người tiêu dùng dựa trên hoạt động của họ trên các doanh nghiệp, trang web, ứng dụng hoặc dịch vụ khác nhau.
• Không có yêu cầu về giá trị tiền tệ; bất kỳ giá trị quý giá nào hoặc thậm chí không có gì cả đều đủ điều kiện.
• Thực thể nhận dữ liệu được coi là “bên thứ ba” nếu người tiêu dùng không cố ý tương tác với họ (Cal. Civ. Code § 1798.140(ai)).

Kết quả từ việc xem xét các tác động hoạt động cho thấy rằng:

• Các doanh nghiệp phải coi việc tiết lộ thông tin cho quảng cáo nhắm mục tiêu là “chia sẻ”, bất kể có trao đổi thanh toán hay không.
• Quyền của người tiêu dùng bị ảnh hưởng trực tiếp; các cá nhân có thể từ chối việc “chia sẻ” như vậy theo CPRA (Cal. Civ. Code § 1798.120(a)).
• Việc tuân thủ đòi hỏi các doanh nghiệp phải cung cấp thông báo rõ ràng và cơ chế từ chối cho người tiêu dùng về các hoạt động dữ liệu đó.

Sự khác biệt giữa “bán” và “chia sẻ” theo CPRA trở nên rõ ràng trong thực tế: “bán” liên quan đến dữ liệu được trao đổi để lấy giá trị, trong khi “chia sẻ” bao gồm một tập hợp rộng hơn các hoạt động tiết lộ thông tin cụ thể cho quảng cáo hành vi theo ngữ cảnh chéo. Các thực thể không thể tránh các nghĩa vụ bằng cách cấu trúc các giao dịch dưới dạng phi tiền tệ nếu chúng liên quan đến quảng cáo của bên thứ ba.

Tóm lại, cách xử lý của CPRA đối với việc “chia sẻ” phản ánh sự chuyển dịch sang việc bảo vệ người tiêu dùng và tăng cường tính minh bạch trong các hệ sinh thái quảng cáo kỹ thuật số. Việc chuyển dữ liệu cho các bên thứ ba cho quảng cáo nhắm mục tiêu—dù có trao đổi tiền bạc hay không—đều nằm trong phạm vi giám sát của quy định. Điều này buộc các tổ chức phải đánh giá lại luồng dữ liệu của mình và điều chỉnh các chiến lược tuân thủ cho phù hợp (IAPP, 2023; Cal. Civ. Code § 1798.140).