Apa itu CPRA? Undang-Undang Hak Privasi California: Dasar-dasar dan Ikhtisar

CPRA akan berdampak pada privasi dan hak konsumen untuk tahun-tahun mendatang. Pada November 2020, pemilih California menyetujui California Privacy Rights Act of 2020, atau dikenal sebagai CPRA. Ini adalah amandemen Undang-Undang Privasi Konsumen California (CCPA) yang disetujui pemilih pada tahun 2018.

CPRA telah memodifikasi, memperluas, dan memperjelas hak privasi untuk penduduk California, dan ini mengambil inspirasi dari kebijakan GDPR UE dalam berbagai cara.

Misalnya, CPRA menciptakan lembaga penegakan baru. Sebelumnya CCPA diberlakukan oleh Kantor Kejaksaan Agung California. Namun, di UE, GDPR diberlakukan oleh otoritas perlindungan data –– dan sekarang, California juga memilikinya: Badan Perlindungan Privasi California (CPPA).

Badan ini akan diberikan kewenangan investigasi, penegakan, dan pembuatan peraturan. Lebih penting lagi untuk bisnis, agensi ini tidak akan diharuskan untuk mengizinkan periode pemulihan 30 hari, dan hukuman untuk beberapa pelanggaran kebijakan sekarang dapat mencapai $7.500 per pelanggaran. Itu peningkatan 3x.

Apa itu CPRA? CPRA menjelaskan

Tujuan CPRA adalah untuk mendefinisikan kembali dan memperluas California Consumer Privacy Act (CCPA) untuk memperkuat hak-hak penduduk California. Ini memberi konsumen peluang lebih besar untuk memilih keluar dan membutuhkan manajemen privasi data yang disengaja dari bisnis.

Dengan begitu banyak hal yang dipertaruhkan, Anda mungkin bertanya-tanya apa yang telah berubah dan apa artinya bagi bisnis Anda. Anda tidak sendirian. Meskipun potensi bagus telah meningkat 3x, bisnis Anda memiliki waktu hingga 1 Januari 2023, sebagai waktu peningkatan kepatuhan. Inilah yang perlu diketahui perusahaan tentang CPRA .

California Privacy Rights Act menjelaskan: Apa yang perlu diketahui bisnis Anda

CCPA sudah menjadi undang-undang privasi yang berfokus pada konsumen yang paling kuat di Amerika Serikat. CPRA mengambil semuanya selangkah lebih maju - dan membuatnya lebih menantang untuk keringanan hukuman di masa depan kecuali seluruh kebijakan dicabut.

Dengan kata lain, Anda ingin membuat bisnis Anda dalam bentuk CPRA. Tidak ada kata mundur pada kebijakan privasi ini. Sebaliknya, kemungkinan lebih banyak negara bagian akan mulai mengadopsi kebijakan serupa.

Mari kita bahas dasar-dasarnya.

Kapan Anda harus mematuhi CPRA?

Sebagian besar ketentuan Undang-Undang Hak Privasi California tahun 2020 tidak akan berlaku hingga 2 Januari 2023. Namun, informasi pribadi yang dikumpulkan pada atau setelah 1 Januari 2022, akan menjadi bagian dari perluasan bagian “Hak untuk Tahu”.

Bisnis Anda akan diwajibkan untuk memberi konsumen “Hak untuk Mengetahui” data apa yang telah Anda kumpulkan dari mereka dan bagaimana data tersebut digunakan kembali ke informasi apa pun yang Anda kumpulkan mulai 1 Januari 2022.

Siapa yang perlu mematuhi CPRA?

Tidak semua orang, dan pada kenyataannya, ini adalah salah satu area di mana CPRA sebenarnya lebih lunak daripada CCPA asli.

Di CCPA, bisnis dengan jumlah total konsumen 50.000 atau lebih tinggi harus mematuhinya. Di CPRA, jumlah itu menjadi dua kali lipat. CPRA hanya berlaku untuk bisnis dengan konsumen lebih dari 100.000.

Jika Anda adalah perusahaan dengan lebih dari 100.000 pelanggan, CPRA akan berlaku untuk Anda jika Anda menghasilkan setidaknya 50% pendapatan tahunan dari penjualan atau berbagi informasi pribadi konsumen (PI). Ini adalah pembaruan lain di CPRA dibandingkan dengan CCPA. Di CCPA, hanya penjualan informasi pribadi konsumen yang tercakup. Dalam CPRA, itu diperluas menjadi “sharing”, artinya dengan pihak ketiga.

Peraturan baru apa yang diperkenalkan CPRA?

Banyak CPRA adalah modifikasi dari CCPA, tetapi satu area pengenalan adalah seputar “informasi pribadi yang sensitif.” Ini sekarang akan menjadi kumpulan data yang diatur di negara bagian California.

Informasi pribadi yang sensitif untuk CPRA meliputi:

1. Pengenal pemerintah: Contohnya termasuk nomor Jaminan Sosial dan SIM
2. Akun keuangan dan informasi login: Contohnya termasuk nomor kartu kredit atau debit bersama dengan kredensial login
3. Geolokasi yang tepat
4. Ras, etnis, keyakinan agama atau filosofis, atau keanggotaan serikat pekerja
5. Konten komunikasi nonpublik: Contohnya termasuk surat, email, dan pesan teks
6. Data genetik, biometrik, atau informasi kesehatan
7. Kehidupan seks atau informasi orientasi seksual.

Organisasi yang mengumpulkan, menjual, atau membagikan informasi ini akan diminta untuk mengungkapkan bahwa mereka melakukannya, dan mengizinkan konsumen untuk ikut serta dan tidak ikut serta.

Hak baru yang ditetapkan oleh CPRA

• Hak untuk Koreksi
• Hak untuk Mengakses Informasi Tentang Pengambilan Keputusan Otomatis
• Hak untuk Menyisih dari Teknologi Pengambilan Keputusan Otomatis
• Kewajiban Audit

Apa arti CPRA untuk program privasi data Anda?

Jika Anda adalah bisnis dengan lebih dari 100.000 pelanggan atau dengan data lebih dari 100.000 konsumen, dan Anda menggunakan data tersebut untuk pemasaran atau periklanan, atau untuk menghasilkan pendapatan bagi bisnis Anda, maka CPRA berarti beberapa hal untuk program privasi data Anda.

Persetujuan dan kebijakan penyisihan yang sedang berlangsung

Peraturan persetujuan telah diperkuat di CPRA, khusus untuk anak di bawah umur. Ini berarti bahwa untuk mengumpulkan data pengguna, mereka perlu memberikan persetujuan eksplisit dengan pengetahuan tentang bagaimana data mereka akan digunakan dan untuk jangka waktu berapa lama.

Selain itu, konsumen dapat meminta, dan bisnis diminta untuk mengonfirmasi, pilihan mereka untuk tidak mengikuti program tertentu, termasuk penghapusan data mereka, bahkan jika persetujuan sebelumnya telah diberikan.

Untuk organisasi, sangat penting untuk menggunakan alat seperti platform data pelanggan (CDP) untuk mengotomatiskan pilihan konsumen, pilihan mereka, dan penghapusan data saat diminta. Ini juga akan membuat kewajiban audit yang diperkenalkan dalam undang-undang ini jauh lebih mudah untuk dikelola oleh organisasi karena CDP membantu mematuhi privasi data dan persyaratan tata kelola .

Hak untuk mengakses informasi

Di bawah CPRA, konsumen sekarang memiliki hak untuk melihat informasi apa yang telah Anda kumpulkan tentang mereka, dan bagaimana hal itu memengaruhi pengalaman pribadi mereka dengan merek Anda. Bahkan, konsumen dapat meminta deskripsi yang bermakna tentang logika yang terlibat dalam proses pengambilan keputusan untuk kampanye otomatis, iklan, dan sejenisnya. Sangat penting untuk memiliki rencana privasi data.

Untuk mempermudah hal ini dalam tim, sekali lagi CDP sangat membantu –– terutama yang terintegrasi dengan solusi CRM. Bersama-sama, alat-alat ini dapat digunakan untuk membuat login dan halaman yang dipersonalisasi bagi konsumen untuk melihat semua data mereka, aliran apa yang mereka masuki, dan mengelola preferensi data mereka sendiri.

Keterbatasan tujuan dan penyimpanan

Seperti disebutkan sebelumnya, CPRA mengambil beberapa inspirasi dari kebijakan GDPR di UE. Ini termasuk:

1. Minimalkan data
2. Batasan tujuan
3. Batasan penyimpanan

Persyaratan ini berarti bahwa bisnis perlu mengumpulkan paling sedikit informasi yang mereka butuhkan, dan mereka perlu menyatakan tujuan pengumpulan data mereka (yaitu bagaimana data itu akan digunakan) dan untuk berapa lama mereka akan menyimpannya.

Kebijakan apa pun yang diputuskan oleh perusahaan Anda, Anda pasti ingin memastikan untuk mengotomatiskan apa yang dikatakan oleh kebijakan privasi Anda dengan sistem Anda. Misalnya, jika Anda menyatakan bahwa Anda akan menyimpan data dalam sistem selama dua tahun, Anda akan ingin mengotomatiskan penghapusan informasi itu segera setelah 24 bulan itu habis.

Sekali lagi, ini akan sangat membantu untuk audit dan memastikan tidak ada kesalahan manual atau kelupaan dari pihak karyawan.

Langkah proaktif selanjutnya untuk mematuhi California Privacy Rights Act (CPRA)

Untuk organisasi yang menghasilkan pendapatan tahunan lebih dari $25 juta, mengumpulkan data dari lebih dari 100,00 konsumen, dan menghasilkan setidaknya 50% keuntungan dari penjualan atau pembagian data tersebut, sekarang saatnya untuk mendapatkan CDP.

Memusatkan data pelanggan dari semua sumber menggunakan CDP akan membantu tim Anda mengotomatiskan beberapa kebijakan baru, mempermudah audit, dan membuat pelanggan senang – tanpa harus menambah beban kerja tim untuk pemasaran, penjualan, periklanan, atau departemen lainnya.

Ingat, CPRA sejauh ini merupakan undang-undang privasi konsumen yang paling kuat di AS, tetapi ini bukan yang terakhir – juga amandemen ini. Karena web yang mengutamakan privasi terus bergerak maju dan mendapatkan daya tarik, organisasi perlu menjadi lebih cerdas dan lebih transparan tentang apa yang mereka kumpulkan, tentang siapa, dan bagaimana mereka menggunakannya. Berinvestasi sekarang menghemat denda dan sakit kepala di masa depan.