Что такое CCPA?
В США нет единого федерального закона о защите персональных данных. Федеральные законы о защите персональных данных исторически были специфичными для отдельных отраслей; к распространенным примерам относятся такие отрасли, как здравоохранение, финансы и образование, где действуют HIPAA (Закон о переносимости и подотчетности медицинского страхования), GLBA (Закон Грэмма-Лича-Блейли) и FERPA (Закон о правах на образование и конфиденциальность семьи) соответственно.
На уровне штатов действует несколько законов о защите конфиденциальности потребителей, принятых в 2018 году, таких как Закон Иллинойса о защите биометрической информации (BIPA) и Закон Флориды о защите информации. Калифорния приняла Закон Калифорнии о защите конфиденциальности потребителей («CCPA») 28 июня 2019 года, который вступил в силу 1 января 2020 года. CCPA является первым в стране всеобъемлющим законом штата о защите данных.
Закон CCPA предоставляет потребителям из Калифорнии ряд новых прав в отношении их персональных данных, в том числе:
- Запрос информации о собранных персональных данных, таких как источники и цели сбора персональных данных, а также третьи стороны, с которыми осуществляется обмен персональными данными;
- Запрос на удаление персональных данных и;
- Отказаться от «продажи» своих персональных данных.
Какая информация защищена?
Цель закона — защита прав потребителей Калифорнии на их личную информацию. В связи с этим, «личная информация» определяется как информация, собираемая и используемая от пользователей, которая относится к их личности или личным данным. То есть, любая информация, которая идентифицирует или может быть обоснованно связана с конкретным потребителем (т.е., жителем Калифорнии) или домохозяйством. Это включает в себя:
- Имя и фамилия потребителя;
- Биометрические данные;
- Интернет-активность;
- Геолокация (GPS);
- Адрес электронной почты;
- Номер социального страхования;
- История коммерческого потребления;
- Информация о домохозяйстве.
Общедоступная информация, полученная из государственных архивов, не включена в определение, содержащееся в законе.
Кто обязан соблюдать закон?
Закон CCPA распространяется на любое предприятие, работающее в Калифорнии и удовлетворяющее одному из трех условий:
- Имеющий годовой доход в размере 25 000 000 долларов США или более;
- Обработка персональных данных более чем 50 000 «потребителей, домохозяйств или устройств»; или
- Более 50% своей годовой выручки компания получает от продажи персональных данных потребителей.
Это также относится к компаниям, расположенным за пределами штата, которые: являются коммерческими предприятиями; ведут бизнес в Калифорнии; и собирают данные от потребителей. Исходя из критериев, установленных законом, предполагается, что к 2020 году примерно 500 000 компаний должны будут соблюдать требования CCPA.
Какие права предоставляются потребителям?
Как уже обсуждалось ранее, к числу прав, предоставляемых потребителям, относятся следующие:
- Право на получение информации и доступ к ней – виды собранной информации;
- Право потребовать удаления любой информации, которую человек не желает передавать компании;
- Право отказаться от продажи информации – компанией, которая продает информацию о пользователях другим компаниям;
- Право на уведомление о финансовых стимулах – в случаях, когда компания предлагает вознаграждения за сбор персональных данных пользователей;
- Право подавать частные или коллективные иски – предусмотрены установленные законом компенсации.
- Право на наличие кнопки «Не продавать мою информацию».
Как организации могут соответствовать требованиям?
Операционные последствия для соблюдения требований CCPA делятся на четыре (4) категории:
- Уведомления о конфиденциальности;
- Сопоставление данных;
- Контракты;
- Запросы потребителей на предоставление данных.
Что касается уведомлений о конфиденциальности, организациям следует обновлять свои уведомления о конфиденциальности таким образом, чтобы они были заметны потребителям (также определяемым как «ресурсы и услуги, ориентированные на потребителя»). Распространенным примером являются четкие и заметные ссылки для отказа от сбора данных.
Картирование данных, аналогичное требованиям GDPR ЕС, требует от организаций определить, какие системы обрабатывают информацию о потребителях, и оценить, для каких целей используются эти данные, например, для продажи персональных данных. Распространенный метод картирования данных заключается в детальном описании потоков данных, демонстрирующих жизненный цикл информации, включая: сбор, обработку, хранение, передачу и уничтожение.
Что касается договоров, организациям следует определить, какие категории персональных данных передаются третьим сторонам, и обновить свои договоры с поставщиками и генеральные соглашения об оказании услуг. К числу часто пересматриваемых положений относятся процедуры уведомления о нарушениях.
В отношении запросов потребителей – то есть запросов от потребителей относительно использования и сбора их данных – организациям следует внедрить решения, которые отслеживают запросы о защите прав потребителей и обрабатывают их в течение 45 дней с момента получения запроса. Хорошим решением является предоставление бесплатного телефонного номера и/или веб-сайтов для связи с организацией.
Какие риски связаны с несоблюдением требований?
Нарушения CCPA могут иметь кумулятивный характер и представлять собой дорогостоящие риски для предприятий, подпадающих под действие закона. Некоторые из рисков, связанных с несоблюдением требований, включают:
- Потеря деловых отношений;
- Частные иски или судебные разбирательства;
- Меры принудительного исполнения и штрафы, наложенные генеральным прокурором Калифорнии.
Потеря деловых отношений означает потерю отношений с другими организациями, которые подпадают под действие CCPA. Эти организации могут быть лишены возможности вести бизнес с другими сторонами, которые либо не соблюдают, либо просто игнорируют требования CCPA.
Частные иски — это иски потребителей, которым в соответствии с CCPA предоставлено право на подачу частного иска, и они могут требовать возмещения ущерба в размере до 750 долларов США за каждое нарушение, или фактического ущерба, включая судебный запрет и/или деклараторное решение, или любое другое средство правовой защиты, которое суд сочтет целесообразным. Кроме того, если потребитель отказался от продажи данных, но его данные были умышленно и сознательно проданы компанией без его согласия, может быть присуждена компенсация в размере от 1,000 до 3,000 долларов США или фактический ущерб, в зависимости от того, какая сумма больше.
Меры принудительного исполнения относятся к полномочиям, предоставленным Генеральному прокурору штата и/или муниципалитетам, которые могут обеспечивать соблюдение закона. В таких случаях они могут возбудить гражданский иск против любого предприятия, компании или стороны, которые не будут соблюдать правила CCPA по истечении 30 дней с момента уведомления о нарушении. После этого у предприятий будет 30 дней на устранение предполагаемого несоответствия в течение 30 дней с момента уведомления от штата, в противном случае они будут обязаны выплатить штрафы в размере до 7,500 долларов за каждое нарушение.
