Что такое КПРА? Закон штата Калифорния о правах на неприкосновенность частной жизни: основы и обзор

CPRA повлияет на конфиденциальность и права потребителей на долгие годы. В ноябре 2020 года избиратели Калифорнии одобрили Закон Калифорнии о правах на неприкосновенность частной жизни от 2020 года, также известный как CPRA. Это поправка к Калифорнийскому закону о конфиденциальности потребителей (CCPA), которую избиратели одобрили в 2018 году.

CPRA изменил, расширил и разъяснил права на неприкосновенность частной жизни для жителей Калифорнии, и он во многом черпает вдохновение из политики GDPR ЕС.

Например, CPRA создает новое правоприменительное агентство. Ранее соблюдение CCPA обеспечивала Генеральная прокуратура Калифорнии. Однако в ЕС за соблюдением GDPR следят органы по защите данных, а теперь и в Калифорнии есть такой: Калифорнийское агентство по защите конфиденциальности (CPPA).

Этому агентству будут предоставлены следственные, правоприменительные и нормотворческие полномочия. Что еще более важно для бизнеса, это агентство не будет обязано предоставлять 30-дневный период исправления, а штрафы за некоторые нарушения политики теперь могут составлять до 7500 долларов за нарушение. Это увеличение в 3 раза.

Что такое КПРА? CPRA объяснил

Целью CPRA является переопределение и расширение Калифорнийского закона о конфиденциальности потребителей (CCPA), чтобы укрепить права жителей Калифорнии. Он предоставляет потребителям больше возможностей для отказа и требует от компаний преднамеренного управления конфиденциальностью данных.

Когда на карту поставлено так много, вам может быть интересно, что изменилось и что это значит для вашего бизнеса. Вы не одиноки. Хотя штрафной потенциал увеличился в 3 раза, у вашего бизнеса есть время до 1 января 2023 года — время, необходимое для обеспечения соответствия требованиям. Вот что компании должны знать о CPRA .

Калифорнийский закон о правах на неприкосновенность частной жизни объяснил: что нужно знать вашему бизнесу

CCPA уже был самым надежным законом США о конфиденциальности, ориентированным на потребителя. CPRA делает еще один шаг вперед и усложняет любую будущую снисходительность, если только вся политика не будет отменена.

Другими словами, вы хотите привести свой бизнес в форму CPRA. Эта политика конфиденциальности не может повернуть время вспять. Вместо этого, скорее всего, больше штатов начнут проводить аналогичную политику.

Давайте рассмотрим основы.

Когда вам нужно соблюдать CPRA?

Большинство положений Калифорнийского закона о правах на неприкосновенность частной жизни от 2020 г. вступят в силу только 2 января 2023 г. Однако личная информация, собранная 1 января 2022 г. или после этой даты, будет частью расширения раздела «Право знать».

Ваш бизнес должен будет предоставить потребителям «право знать», какие данные вы о них собрали и как они используются для любой информации, которую вы собрали, начиная с 1 января 2022 года.

Кто должен соблюдать CPRA?

Не все, и на самом деле это одна из областей, в которых CPRA на самом деле более снисходителен, чем первоначальный CCPA.

В соответствии с CCPA предприятия с общим числом потребителей 50 000 и более должны были соблюдать требования. В CPRA это число удваивается. CPRA применяется только к предприятиям с числом потребителей более 100 000 человек.

Если вы являетесь компанией с более чем 100 000 клиентов, CPRA будет применяться к вам, если вы получаете не менее 50% годового дохода от продажи или обмена личной информацией потребителей (PI). Это еще одно обновление в CPRA по сравнению с CCPA. В CCPA охватывалась только продажа личной информации потребителей. В CPRA это было расширено до «обмена», то есть с третьими лицами.

Какие новые правила вводит CPRA?

Большая часть CPRA является модификацией CCPA, но одна область введения касается «конфиденциальной личной информации». Теперь это будет регулируемый набор данных в штате Калифорния.

Конфиденциальная личная информация для CPRA включает:

1. Правительственные идентификаторы: примеры включают номера социального страхования и водительские права.
2. Финансовая учетная запись и информация для входа: примеры включают номер кредитной или дебетовой карты вместе с учетными данными для входа.
3. Точная геолокация
4. Раса, этническая принадлежность, религиозные или философские убеждения или членство в профсоюзе
5. Содержание закрытых сообщений: Примеры включают почту, электронное письмо и текстовое сообщение.
6. Генетические данные, биометрические данные или информация о состоянии здоровья
7. Информация о сексуальной жизни или сексуальной ориентации.

Организации, собирающие, продающие или распространяющие эту информацию, должны будут раскрывать информацию о том, что они делают это, и разрешать потребителям соглашаться и отказываться от нее.

Совершенно новые права, установленные CPRA

• Право на исправление
• Право на доступ к информации об автоматизированном принятии решений
• Право на отказ от автоматизированной технологии принятия решений
• Обязательства по аудиту

Что означает CPRA для вашей программы конфиденциальности данных?

Если у вас есть бизнес с более чем 100 000 клиентов или с данными о более чем 100 000 потребителей, и вы используете эти данные для маркетинга или рекламы или для получения дохода для своего бизнеса, то CPRA означает несколько вещей для вашей программы конфиденциальности данных.

Согласие и действующая политика отказа

Правила согласия были усилены в CPRA, особенно для несовершеннолетних. Это означает, что для сбора данных пользователя им необходимо дать явное согласие, зная, как их данные будут использоваться и в течение какого периода времени.

Более того, потребители могут запросить, а компании должны подтвердить свой отказ от определенных программ, включая удаление их данных, даже если было дано предварительное согласие.

Для организаций будет крайне важно использовать такие инструменты, как платформа данных клиентов (CDP), для автоматизации того, что потребители выбирают, от чего они отказываются, а также удаления данных по запросу. Это также значительно упростит для организаций выполнение аудиторских обязательств, введенных в этом законопроекте, поскольку CDP помогает соблюдать требования конфиденциальности данных и управления .

Право на доступ к информации

В соответствии с CPRA потребители теперь имеют право видеть, какую информацию вы о них собрали, и как это влияет на их персонализированный опыт взаимодействия с вашим брендом. Фактически, потребители могут запросить осмысленное описание логики, связанной с процессом принятия решений для автоматизированных кампаний, рекламы и т.п. Очень важно иметь план конфиденциальности данных.

Чтобы упростить работу команд, опять же полезен CDP, особенно тот, который интегрирован с CRM-решением. Вместе эти инструменты можно использовать для создания персонализированных логинов и страниц, чтобы потребители могли видеть все свои данные, в каких потоках они находятся в результате, и управлять своими предпочтениями данных.

Назначение и ограничения хранения

Как упоминалось ранее, CPRA частично вдохновлен политикой GDPR в ЕС. К ним относятся:

1. Минимизация данных
2. Ограничение цели
3. Ограничение хранения

Эти требования означают, что предприятия должны собирать наименьшее количество информации, в которой они нуждаются, и они должны указать цель сбора данных (т.е., как они будут использоваться) и как долго они будут хранить их.

Какую бы политику ни выбрала ваша компания, вы должны автоматизировать то, что говорит ваша политика конфиденциальности в вашей системе. Например, если вы заявляете, что будете хранить данные в системе в течение двух лет, вы захотите автоматизировать удаление этой информации, как только эти 24 месяца истекут.

Опять же, это будет невероятно полезно для аудита и обеспечит отсутствие ошибок или забывчивости со стороны сотрудников.

Упреждающие дальнейшие шаги по соблюдению Закона о правах на неприкосновенность частной жизни штата Калифорния (CPRA)

Для организаций с годовым доходом более 25 миллионов долларов, собирающих данные от более чем 100 000 потребителей и получающих не менее 50% прибыли от продажи или обмена этими данными, пришло время получить CDP.

Централизация данных о клиентах из всех источников с помощью CDP поможет вашей команде автоматизировать некоторые из новых политик, упростить аудит и удовлетворить клиентов — без необходимости увеличивать рабочую нагрузку на отделы маркетинга, продаж, рекламы или любого другого отдела.

Помните, что CPRA на сегодняшний день является самым надежным законом о конфиденциальности потребителей в США, но он не будет последним, как и эта поправка. Поскольку сеть, ориентированная на конфиденциальность, продолжает развиваться и набирать обороты, организациям необходимо будет стать умнее и прозрачнее в отношении того, что они собирают, от кого и как они это используют. Инвестируя сейчас, вы избавляетесь от штрафов и головной боли в будущем.