O que é CPRA? Lei de Direitos de Privacidade da Califórnia: Noções básicas e visão geral

O CPRA afetará a privacidade e os direitos do consumidor nos próximos anos. Em novembro de 2020, os eleitores da Califórnia aprovaram a Lei de Direitos de Privacidade da Califórnia de 2020, também conhecida como CPRA. Esta é uma emenda à Lei de Privacidade do Consumidor da Califórnia (CCPA) que os eleitores aprovaram em 2018.

O CPRA modificou, expandiu e esclareceu os direitos de privacidade para os residentes da Califórnia e se inspira na política GDPR da UE de várias maneiras.

Por exemplo, o CPRA cria uma nova agência de fiscalização. Anteriormente, a CCPA era aplicada pelo Gabinete do Procurador-Geral da Califórnia. No entanto, na UE, o GDPR é aplicado pelas autoridades de proteção de dados – e agora, a Califórnia também tem uma: a Agência de Proteção à Privacidade da Califórnia (CPPA).

Esta agência terá poderes de investigação, aplicação e regulamentação. Mais importante para as empresas, esta agência não será obrigada a permitir um período de cura de 30 dias, e as penalidades para algumas violações da política agora podem chegar a US$ 7.500 por violação. Isso é um aumento de 3x.

O que é CPRA? CPRA explicado

O objetivo da CPRA é redefinir e expandir a Lei de Privacidade do Consumidor da Califórnia (CCPA) para fortalecer os direitos dos residentes da Califórnia. Ele oferece aos consumidores uma maior oportunidade de optar por não participar e exige o gerenciamento deliberado da privacidade de dados das empresas.

Com tanto em jogo, você pode ficar se perguntando o que mudou e o que isso significa para o seu negócio. Você não está sozinho. Embora o potencial de multa tenha aumentado 3x, sua empresa tem até 1º de janeiro de 2023, como tempo de aceleração para conformidade. Veja o que as empresas precisam saber sobre o CPRA .

A Lei de Direitos de Privacidade da Califórnia explicou: O que sua empresa precisa saber

A CCPA já era a lei de privacidade focada no consumidor mais robusta dos Estados Unidos. O CPRA leva tudo um passo adiante – e torna mais desafiador para qualquer clemência futura, a menos que toda a política seja revogada.

Em outras palavras, você deseja colocar seu negócio no formato CPRA. Não há como voltar atrás nesta política de privacidade. Em vez disso, é provável que mais estados comecem a adotar políticas semelhantes.

Vamos cobrir o básico.

Quando você precisa cumprir o CPRA?

A maioria das disposições da Lei de Direitos de Privacidade da Califórnia de 2020 não entrará em vigor até 2 de janeiro de 2023. No entanto, as informações pessoais coletadas em ou após 1º de janeiro de 2022 farão parte da expansão da seção "Direito de saber".

Sua empresa será obrigada a permitir aos consumidores o “Direito de saber” quais dados você coletou sobre eles e como eles estão sendo usados ​​para qualquer informação coletada a partir de 1º de janeiro de 2022.

Quem precisa cumprir o CPRA?

Nem todos, e de fato, esta é uma das áreas em que o CPRA é realmente mais brando do que o CCPA original.

Na CCPA, as empresas com um número total de consumidores de 50.000 ou mais precisavam estar em conformidade. No CPRA, esse número é duplicado. A CPRA aplica-se apenas a empresas com mais de 100.000 consumidores.

Se você for uma empresa com mais de 100.000 clientes, o CPRA se aplicará a você se você gerar pelo menos 50% da receita anual com a venda ou compartilhamento de informações pessoais do consumidor (PI). Esta é outra atualização do CPRA em comparação com o CCPA. Na CCPA, apenas a venda de informações pessoais do consumidor foi coberta. No CPRA, isso foi expandido para “compartilhamento”, ou seja, com terceiros.

Que novos regulamentos o CPRA introduz?

Muito do CPRA é uma modificação do CCPA, mas uma área de introdução é em torno de “informações pessoais confidenciais”. Este agora será um conjunto de dados regulamentado no estado da Califórnia.

Informações pessoais confidenciais para CPRA incluem:

1. Identificadores governamentais: exemplos incluem números de seguro social e carteiras de motorista
2. Conta financeira e informações de login: exemplos incluem número de cartão de crédito ou débito junto com credenciais de login
3. Geolocalização precisa
4. Raça, etnia, crenças religiosas ou filosóficas ou filiação sindical
5. Conteúdo de comunicações não públicas: exemplos incluem correio, e-mail e mensagem de texto
6. Dados genéticos, biométricos ou informações de saúde
7. Informações sobre a vida sexual ou orientação sexual.

As organizações que coletam, vendem ou compartilham essas informações serão obrigadas a divulgar que estão fazendo isso e permitir que os consumidores aceitem e desativem.

Os novos direitos estabelecidos pelo CPRA

• Direito à correção
• Direito de acesso a informações sobre a tomada de decisão automatizada
• Direito de recusar a tecnologia de tomada de decisão automatizada
• Obrigações de auditoria

O que o CPRA significa para o seu programa de privacidade de dados?

Se você é uma empresa com mais de 100.000 clientes ou com dados de mais de 100.000 consumidores e usa esses dados para marketing ou publicidade ou para gerar receita para sua empresa, o CPRA significa várias coisas para seu programa de privacidade de dados.

Políticas de consentimento e desativação contínua

Os regulamentos de consentimento foram reforçados no CPRA, especificamente para menores. Isso significa que, para coletar os dados de um usuário, ele precisa dar consentimento explícito com o conhecimento de como seus dados serão usados ​​e por quanto tempo.

Além disso, os consumidores podem solicitar, e as empresas são obrigadas a confirmar, a desativação de programas específicos, incluindo a exclusão de seus dados, mesmo que o consentimento prévio tenha sido dado.

Para as organizações, será crucial usar ferramentas como uma plataforma de dados do cliente (CDP) para automatizar o que os consumidores aceitam, o que eles recusam e a exclusão de dados quando solicitados. Isso também tornará as obrigações de auditoria introduzidas neste projeto de lei muito mais fáceis para as organizações gerenciarem porque o CDP ajuda a cumprir os requisitos de privacidade e governança de dados .

Direito de acesso à informação

Sob o CPRA, os consumidores agora têm o direito de ver quais informações você coletou sobre eles e como isso está afetando sua experiência personalizada com sua marca. Na verdade, os consumidores podem solicitar uma descrição significativa da lógica envolvida no processo de tomada de decisão para campanhas automatizadas, anúncios e similares. É essencial ter um plano de privacidade de dados.

Para facilitar isso para as equipes, mais uma vez, um CDP é útil – especialmente um integrado a uma solução de CRM. Juntas, essas ferramentas podem ser usadas para criar logins e páginas personalizadas para que os consumidores vejam todos os seus dados, em quais fluxos eles estão e gerenciem suas próprias preferências de dados.

Finalidade e limitações de armazenamento

Como mencionado anteriormente, o CPRA se inspira na política GDPR na UE. Esses incluem:

1. Minimização de dados
2. Limitação de propósito
3. Limitação de armazenamento

Esses requisitos significam que as empresas precisam coletar a menor quantidade de informações de que precisam e precisam declarar a finalidade da coleta dos dados (ou seja, como serão usados) e por quanto tempo os manterão.

Qualquer que seja a política que sua empresa decida, você deve certificar-se de automatizar o que sua política de privacidade diz em seu sistema. Por exemplo, se você declarar que manterá os dados no sistema por dois anos, você desejará automatizar a remoção dessas informações assim que esses 24 meses terminarem.

Novamente, isso será incrivelmente útil para auditorias e garantirá que não haja erros manuais ou esquecimentos por parte dos funcionários.

Próximos passos proativos para cumprir a Lei de Direitos de Privacidade da Califórnia (CPRA)

Para organizações que ganham mais de US$ 25 milhões em receita anual, coletam dados de mais de 100.00 consumidores e obtêm pelo menos 50% dos lucros com a venda ou compartilhamento desses dados, agora é hora de obter um CDP.

A centralização de dados de clientes de todas as fontes usando um CDP ajudará sua equipe a automatizar várias das novas políticas, facilitar as auditorias e manter os clientes satisfeitos – sem precisar aumentar a carga de trabalho da equipe para marketing, vendas, publicidade ou qualquer outro departamento.

Lembre-se, o CPRA é de longe a lei de privacidade do consumidor mais robusta nos EUA, mas não será a última – nem esta emenda. À medida que a web que prioriza a privacidade continua avançando e ganhando força, as organizações precisarão se tornar mais inteligentes e transparentes sobre o que coletam, para quem e como o usam. Investir agora economiza multas e dores de cabeça no futuro.