Co to jest CPRA? Kalifornijska ustawa o prawach do prywatności: podstawy i przegląd

CPRA w nadchodzących latach wpłynie na prywatność i prawa konsumentów. W listopadzie 2020 r. wyborcy w Kalifornii zatwierdzili Kalifornijską Ustawę o Prawach Prywatności z 2020 r., znaną również jako CPRA. Jest to poprawka do kalifornijskiej ustawy o ochronie prywatności konsumentów (CCPA), którą wyborcy zatwierdzili w 2018 r.

CPRA zmodyfikowała, rozszerzyła i wyjaśniła prawa do prywatności dla mieszkańców Kalifornii i na różne sposoby czerpie inspirację z unijnej polityki RODO.

Na przykład CPRA tworzy nową agencję egzekwowania prawa. Wcześniej CCPA było egzekwowane przez Kalifornijskie Biuro Prokuratora Generalnego. Jednak w UE RODO jest egzekwowane przez organy ochrony danych – a teraz Kalifornia też ma: Kalifornijska Agencja Ochrony Prywatności (CPPA).

Agencja ta otrzyma uprawnienia dochodzeniowe, wykonawcze i decyzyjne. Co ważniejsze dla firm, ta agencja nie będzie musiała zezwolić na 30-dniowy okres naprawczy, a kary za niektóre naruszenia zasad mogą teraz wynosić do 7500 USD za każde naruszenie. To 3x wzrost.

Co to jest CPRA? Wyjaśnienie CPRA

Celem CPRA jest przedefiniowanie i rozszerzenie California Consumer Privacy Act (CCPA) w celu wzmocnienia praw mieszkańców Kalifornii. Daje konsumentom większe możliwości rezygnacji i wymaga świadomego zarządzania prywatnością danych przez firmy.

Mając tak wiele do zrobienia, możesz się zastanawiać, co się zmieniło i co to oznacza dla Twojej firmy. Nie jesteś sam. Chociaż potencjał wzrósł trzykrotnie, Twoja firma ma czas do 1 stycznia 2023 r., jako czas na przyspieszenie w celu zapewnienia zgodności. Oto, co firmy muszą wiedzieć o CPRA .

Objaśnienie kalifornijskiej ustawy o prawach prywatności: co Twoja firma musi wiedzieć

CCPA była już najsolidniejszym prawem ochrony prywatności w Stanach Zjednoczonych, skoncentrowanym na konsumentach. CPRA idzie o krok dalej – i sprawia, że ​​jest to trudniejsze dla przyszłych leniency, chyba że cała polisa zostanie odwołana.

Innymi słowy, chcesz nadać swojej firmie kształt CPRA. Nie ma cofnięcia czasu na tej polityce prywatności. Zamiast tego jest prawdopodobne, że więcej stanów zacznie stosować podobną politykę.

Omówmy podstawy.

Kiedy musisz przestrzegać CPRA?

Większość przepisów California Privacy Rights Act z 2020 r. nie wejdzie w życie do 2 stycznia 2023 r. Jednak dane osobowe zebrane 1 stycznia 2022 r. lub później będą częścią rozszerzenia sekcji „Prawo do wiedzy”.

Twoja firma będzie musiała umożliwić konsumentom „prawo do informacji”, jakie dane na ich temat zebrałeś i w jaki sposób są one wykorzystywane, z powrotem do wszelkich informacji zebranych od 1 stycznia 2022 r.

Kto musi przestrzegać CPRA?

Nie wszyscy, aw rzeczywistości jest to jeden z obszarów, w których CPRA jest w rzeczywistości bardziej pobłażliwa niż oryginalna CCPA.

Zgodnie z ustawą CCPA firmy, których łączna liczba konsumentów wynosi 50 000 lub więcej, muszą spełnić wymogi. W CPRA liczba ta jest podwojona. CPRA dotyczy tylko firm, których konsumenci przekraczają 100 000.

Jeśli jesteś firmą z więcej niż 100 000 klientów, CPRA będzie obowiązywać, jeśli wygenerujesz co najmniej 50% rocznych przychodów ze sprzedaży lub udostępniania danych osobowych konsumentów (PI). To kolejna aktualizacja CPRA w porównaniu z CCPA. W CCPA uwzględniono jedynie sprzedaż danych osobowych konsumentów. W CPRA zostało to rozszerzone na „udostępnianie”, czyli z osobami trzecimi.

Jakie nowe przepisy wprowadza CPRA?

Wiele CPRA to modyfikacja CCPA, ale jeden obszar wprowadzenia dotyczy „wrażliwych danych osobowych”. Będzie to teraz regulowany zbiór danych w stanie Kalifornia.

Wrażliwe dane osobowe dla CPRA obejmują:

1. Identyfikatory rządowe: Przykłady obejmują numery ubezpieczenia społecznego i prawa jazdy
2. Konto finansowe i dane logowania: Przykłady obejmują numer karty kredytowej lub debetowej wraz z danymi logowania
3. Precyzyjna geolokalizacja
4. Rasa, pochodzenie etniczne, przekonania religijne lub filozoficzne lub przynależność związkowa
5. Treść komunikacji niepublicznej: Przykłady obejmują pocztę, e-mail i wiadomość tekstową
6. Dane genetyczne, informacje biometryczne lub zdrowotne
7. Informacje o życiu seksualnym lub orientacji seksualnej.

Organizacje gromadzące, sprzedające lub udostępniające te informacje będą zobowiązane do ujawnienia, że ​​to robią, oraz umożliwienia konsumentom wyrażenia zgody i rezygnacji.

Zupełnie nowe prawa określone przez CPRA

• Prawo do sprostowania
• Prawo do dostępu do informacji o zautomatyzowanym podejmowaniu decyzji
• Prawo do rezygnacji z technologii automatycznego podejmowania decyzji
• Obowiązki audytowe

Co oznacza CPRA dla twojego programu ochrony danych?

Jeśli prowadzisz firmę z ponad 100 000 klientów lub z danymi dotyczącymi ponad 100 000 konsumentów i wykorzystujesz te dane do celów marketingowych lub reklamowych albo do generowania przychodów dla swojej firmy, CPRA oznacza kilka rzeczy dla Twojego programu ochrony danych.

Zasady dotyczące zgody i bieżącej rezygnacji

Przepisy dotyczące zgody zostały wzmocnione w CPRA, szczególnie dla nieletnich. Oznacza to, że aby zbierać dane użytkownika, musi on wyrazić wyraźną zgodę ze świadomością, w jaki sposób jego dane będą wykorzystywane i przez jaki okres czasu.

Ponadto konsumenci mogą zażądać, a firmy muszą potwierdzić, że rezygnują z określonych programów, w tym usunięcia ich danych, nawet jeśli wyrażono wcześniej zgodę.

Dla organizacji kluczowe będzie korzystanie z narzędzi, takich jak platforma danych klientów (CDP), aby zautomatyzować wybór i rezygnację konsumentów oraz usuwanie danych na żądanie. Ułatwi to również organizacjom zarządzanie obowiązkami audytowymi wprowadzonymi w tej ustawie, ponieważ CDP pomaga spełnić wymagania dotyczące prywatności i zarządzania danymi .

Prawo dostępu do informacji

Zgodnie z CPRA konsumenci mają teraz prawo zobaczyć, jakie informacje na ich temat zebrali i jak wpływa to na ich spersonalizowane doświadczenia z Twoją marką. W rzeczywistości konsumenci mogą poprosić o sensowny opis logiki zaangażowanej w proces podejmowania decyzji dotyczących automatycznych kampanii, reklam i tym podobnych. Niezbędne jest posiadanie planu ochrony danych.

Aby ułatwić to zespołom, ponownie pomocny jest CDP – zwłaszcza taki, który jest zintegrowany z rozwiązaniem CRM. Razem, narzędzia te mogą być używane do tworzenia spersonalizowanych loginów i stron, aby konsumenci mogli zobaczyć wszystkie swoje dane, jakie strumienie są w wyniku, a także zarządzać własnymi preferencjami danych.

Cel i ograniczenia przechowywania

Jak wspomniano wcześniej, CPRA czerpie inspirację z polityki RODO w UE. Obejmują one:

1. Minimalizacja danych
2. Ograniczenie celu
3. Ograniczenie przechowywania

Wymogi te oznaczają, że firmy muszą gromadzić najmniej potrzebnych im informacji i muszą określić cel ich gromadzenia (tj. w jaki sposób będą wykorzystywane) i jak długo będą je przechowywać.

Niezależnie od polityki, na którą zdecyduje się Twoja firma, musisz upewnić się, że zautomatyzujesz to, co mówi polityka prywatności w Twoim systemie. Na przykład, jeśli oświadczysz, że będziesz przechowywać dane w systemie przez dwa lata, będziesz chciał zautomatyzować usuwanie tych informacji, gdy tylko upłyną te 24 miesiące.

Ponownie, będzie to niezwykle pomocne podczas audytów i zapewni brak błędów ręcznych lub zapominania ze strony pracowników.

Proaktywne dalsze kroki w celu zapewnienia zgodności z kalifornijską ustawą o prawach prywatności (CPRA)

Dla organizacji osiągających ponad 25 milionów dolarów rocznych przychodów, gromadzących dane od ponad 100 000 konsumentów i osiągających co najmniej 50% zysków ze sprzedaży lub udostępniania tych danych, nadszedł czas na uzyskanie CDP.

Centralizacja danych klientów ze wszystkich źródeł za pomocą CDP pomoże Twojemu zespołowi zautomatyzować kilka nowych zasad, ułatwić audyty i zapewnić zadowolenie klientów – bez konieczności zwiększania obciążenia zespołu w zakresie marketingu, sprzedaży, reklamy lub innych działów.

Pamiętaj, że CPRA jest zdecydowanie najsolidniejszym prawem ochrony prywatności konsumentów w Stanach Zjednoczonych, ale nie będzie ostatnim – podobnie jak ta poprawka. Ponieważ sieć nastawiona na prywatność wciąż się rozwija i zyskuje na popularności, organizacje będą musiały stać się mądrzejsze i bardziej przejrzyste, jeśli chodzi o to, co gromadzą, komu i jak z tego korzystają. Inwestowanie teraz pozwala zaoszczędzić na karach i bólach głowy w przyszłości.