USA nie mają kompleksowej federalnej ustawy o prywatności, ale liczne przepisy stanowe wymagają już analityki zgodnej z zasadami prywatności. CCPA w Kalifornii (i jej następczyni CPRA) wyznaczyła precedens. Podobne przepisy obowiązują w Wirginii, Kolorado, Connecticut, Utah, Montanie i Delaware. Jeśli Twoja strona jest w USA i zakładasz odwiedzających z wielu stanów, prawdopodobnie musisz przestrzegać kilku z tych przepisów jednocześnie.
Jak działa CCPA/CPRA
CCPA (California Consumer Privacy Act) dotyczy firm nastawionych na zysk, które zbierają dane mieszkańców Kalifornii. Wymaga informowania o zbieraniu danych, ujawniania, jakie dane są zbierane i po co, oraz zapewnienia użytkownikom prawa dostępu, usunięcia danych i rezygnacji ze sprzedaży danych. CPRA (California Privacy Rights Act), która zmieniła CCPA, dodaje surowsze wymogi dotyczące zgody i prawo konsumentów do poprawiania nieprawidłowych danych.
Co uruchamia CCPA
CCPA dotyczy Twojej firmy, jeśli spełnia którykolwiek z warunków: roczne przychody od 25 mln dolarów, kupowanie, sprzedawanie lub udostępnianie danych 100 tysięcy lub więcej osób albo gospodarstw domowych, albo uzyskiwanie 50% lub więcej przychodów ze sprzedaży danych konsumentów. Wiele firm ze średniego segmentu spełnia te warunki, nawet o tym nie wiedząc.
CCPA dotyczy „informacji osobistych”, czyli danych, które identyfikują konkretną osobę, odnoszą się do niej lub można je z nią powiązać. To szerzej niż w RODO. Obejmuje wnioski o preferencjach, lokalizacji, zachowaniach zakupowych i nie tylko. W analityce większość śledzenia się kwalifikuje.
Prawa z CCPA, które musisz respektować
Prawo do informacji: Użytkownicy mogą zażądać informacji, jakie dane osobiste zebrano i jak je wykorzystano. Musisz odpowiedzieć w ciągu 45 dni (z możliwością przedłużenia do 90). Informacje muszą być pełne.
Prawo do usunięcia: Użytkownicy mogą zażądać usunięcia swoich danych osobistych. Musisz to zrobić w ciągu 45 dni. Możesz jednak zachować dane dla uzasadnionych celów biznesowych (np. wykrywania oszustw) lub w celu zgodności z prawem.
Prawo do rezygnacji ze sprzedaży: Użytkownicy mogą zażądać, byś przestał sprzedawać ich dane. Musisz to uwzględnić w ciągu 15 dni roboczych. Uwaga: „sprzedaż” w CCPA obejmuje udostępnianie za cokolwiek wartościowego, nie tylko za pieniądze.
Prawo do poprawiania: Na mocy CPRA użytkownicy mogą zażądać poprawienia nieprawidłowych danych. To nowość i sprawa prosta: jeśli dane są błędne, popraw je.
Opt-in i opt-out
CCPA stosuje opt-out dla sprzedaży danych: dane mogą być sprzedawane, dopóki użytkownik nie zrezygnuje. CPRA i nowsze przepisy stanowe stosują opt-in dla danych wrażliwych: potrzebujesz wyraźnej zgody, zanim zbierzesz informacje wrażliwe (dokładna lokalizacja, numery ubezpieczenia społecznego, dane finansowe itp.). W analityce zakładaj, że w świetle nowszych przepisów potrzebujesz zgody opt-in.
Inne stanowe przepisy o prywatności
Wirginia (VCDPA), Kolorado (CPA), Connecticut (CTDPA), Utah (UCPA), Montana (MTDPA) i Delaware (DPDPA) uchwaliły kompleksowe przepisy o prywatności. Idą za modelem CCPA/CPRA: dają użytkownikom prawo do informacji, usunięcia danych i rezygnacji. Szczegóły różnią się w zależności od stanu, ale ogólny schemat jest spójny.
Czy przestrzegać ich wszystkich?
To zależy od odbiorców. Jeśli obsługujesz głównie Kalifornię, skup się na CCPA/CPRA. Jeśli obsługujesz wiele stanów, większość firm stosuje standard prywatności na poziomie RODO (który przekracza wymogi większości stanowych przepisów USA) wobec wszystkich odwiedzających. To prostsze niż zgodność stan po stanie.
Rzeczywistość wielu stanów
Większość stron ma odwiedzających z wielu stanów. Niektóre obsługują wszystkie 50 stanów. Zamiast utrzymywać różne praktyki analityczne dla każdego stanu, większość firm przyjmuje najsurowszy standard, któremu podlega, i stosuje go wszędzie. To zmniejsza złożoność i gwarantuje, że nigdy nie naruszysz przepisów.
Zgodność z CCPA/CPRA w praktyce
Zgodność wymaga: polityki prywatności wyjaśniającej, jakie dane zbierasz i po co; jasnych mechanizmów rezygnacji ze sprzedaży danych (jeśli dotyczy); możliwości odpowiadania na żądania dostępu do danych w ciągu 45 dni; systemów usuwania danych użytkowników na żądanie; oraz uczciwego marketingu dotyczącego praktyk w zakresie danych (bez kłamstw o tym, co zbierasz i jak wykorzystujesz).
Kary i egzekwowanie CCPA
Prokurator generalny Kalifornii może nałożyć karę do 2500 dolarów za naruszenie (lub 7500 dolarów za naruszenie umyślne). Konsumenci mogą wnosić prywatne pozwy po wyciekach danych (odszkodowania ustawowe od 100 do 750 dolarów na osobę za incydent). Pozwy zbiorowe są częste. Praktyczny skutek: naruszenie CCPA może łatwo kosztować 1-10 mln dolarów, jeśli dotyczy wielu użytkowników.
RODO, CCPA i przepisy stanowe
RODO jest surowsze w kwestii zgody. CCPA jest szersze w kwestii tego, co uznaje się za dane osobowe. Przepisy stanowe idą za modelem CCPA z odmianami. Jeśli spełniasz RODO (oparte na zgodzie, z przejrzystością na pierwszym miejscu), w większości spełniasz też CCPA i przepisy stanowe. Odwrotnie nie zawsze: zgodność z CCPA może nie wystarczyć dla RODO.
Czy naprawdę podlegam CCPA? Skąd mam wiedzieć, czy przekraczam próg 25 mln dolarów?
CCPA obejmuje Cię, jeśli spełniasz DOWOLNY z trzech warunków: roczne przychody od 25 mln dolarów, kupowanie, sprzedawanie lub udostępnianie danych 100 tysięcy lub więcej osób albo uzyskiwanie 50% lub więcej przychodów ze sprzedaży danych. Próg 25 mln dolarów jest prosty (przychody z zeszłego roku). Warunek 100 tysięcy jest bardziej zawiły: jeśli Twój dostawca analityki przetwarza dane 100 tysięcy lub więcej odwiedzających, może to go uruchomić (udostępniasz dane). Warunek 50% dotyczy firm, których głównym biznesem jest sprzedaż danych (rzadkie). U większości firm ze średniego segmentu haczykiem jest próg 25 mln dolarów. Sprawdź: czy przychody z zeszłego roku przekroczyły 25 mln dolarów? Jeśli tak, CCPA Cię obejmuje.
Co jest danymi osobowymi w CCPA, a co w RODO? Dlaczego CCPA jest szersze?
RODO: identyfikuje osobę bezpośrednio (imię, e-mail) lub pośrednio (adres IP). CCPA: szerzej, obejmuje wszystko, co RODO, PLUS wnioski i prognozy. Przykład: pięć odwiedzin stron w sklepie internetowym. RODO = dane osobowe (identyfikator sesji). CCPA = dane osobowe PLUS wywnioskowana preferencja (wniosek, że lubisz zakupy). CCPA obejmuje dane behawioralne i predykcyjne, których RODO może nie obejmować. W analityce: odsłona strony to dane osobowe w obu przypadkach. Wnioskowanie o zachowaniu („zainteresowany towarami luksusowymi”) to na pewno dane osobowe w CCPA, a niekoniecznie w RODO. Szeroki zakres CCPA oznacza, że więcej danych uruchamia obowiązki, co dla niektórych firm czyni je trudniejszym niż RODO.
Gdy użytkownik żąda usunięcia danych, jakie uzasadnione cele pozwalają mi je zachować?
Usunięcie w CCPA ma wyjątki. Zachowaj dane na potrzeby: (1) Wykrywania oszustw i bezpieczeństwa. (2) Zgodności z prawem (podatki, umowy, spory sądowe). (3) Ulepszania produktów (tylko jeśli zanonimizowane lub zagregowane). (4) Wewnętrznej analityki (tylko jeśli zanonimizowane). (5) Spełnienia oczekiwań użytkownika (jeśli obiecano przechowywanie). W analityce: naruszenie bezpieczeństwa = zachowaj. Wstrzymanie usunięcia z powodów prawnych = zachowaj. „Może się później przydać” = usuń. Test: czy możesz to wyjaśnić regulatorowi tak, by się obroniło? Jeśli tak, zachowaj. Jeśli to spekulacja, usuń.
Dlaczego termin rezygnacji wynosi 15 dni, a termin dostępu 45 dni?
Złożoność jest inna. Rezygnacja ze sprzedaży danych jest prosta: dodajesz użytkownika do listy „nie sprzedawać” (zmiana konfiguracji, kilka dni pracy). 15 dni roboczych (3 tygodnie) to rozsądny termin. Żądania dostępu są trudniejsze: trzeba pobrać wszystkie dane ze wszystkich systemów, zebrać je, sformatować czytelnie i dostarczyć. To wymaga zapytań do wielu baz danych, oznaczenia danych wrażliwych i przygotowania czytelnego dokumentu. 45 dni (9 tygodni) jest realistyczne dla tej pracy. Prawo uwzględnia różnicę w złożoności. W analityce: rezygnacja zajmuje 2-3 dni (dodanie do listy wykluczeń). Żądanie dostępu zajmuje 30 i więcej dni (pobranie z analityki, CRM, obsługi klienta itd.).
Prywatne roszczenia to 100-750 dolarów na osobę. Jak się to oblicza?
Odszkodowania ustawowe: stała kwota na osobę za incydent, niezależnie od faktycznej szkody. Przykład: wyciek dotyczy 10 000 osób. 10 000 × 100 dolarów minimum = 1 mln dolarów odszkodowania ustawowego. Żądanie 750 dolarów na osobę = 7,5 mln dolarów. Pozwany ugadza się gdzieś pomiędzy. „Za incydent” oznacza, że jeden wyciek to jeden incydent (nie 10 000). Wiele wycieków kumuluje odszkodowania. Rzeczywistość: wyciek dotyczący 10 000 osób łatwo kosztuje 1-10 mln dolarów odszkodowań ustawowych plus koszty prawników. Pozwani zawierają ugody w pozwach zbiorowych na poziomie 50-70% żądanych odszkodowań ustawowych. Dlatego prewencja jest kluczowa: odszkodowania ustawowe należą się automatycznie po udowodnieniu wycieku.
Przy zgodności w wielu stanach: wdrażać zasady stanowe czy użyć standardu RODO?
Użyj standardu RODO dla wszystkich. RODO jest surowsze niż wszystkie przepisy stanowe USA. Jeśli spełniasz RODO, automatycznie przekraczasz większość wymogów stanowych. Zasady dla każdego stanu osobno są operacyjnie złożone (różne banery, okresy przechowywania i rezygnacje dla każdego stanu). Standard RODO jest prostszy: jeden zestaw reguł obejmuje wszystkie stany. Wyjątek: jeśli obsługujesz tylko jeden lub dwa stany, zoptymalizuj pod nie. Ale przy 5 i więcej stanach lub wszystkich 50 standard RODO jest łatwiejszy. Strategia: buduj według RODO, dodaj interfejs specyficzny dla Kalifornii (link rezygnacji), skonfiguruj analitykę tak, jakby RODO dotyczyło wszystkich stanów. W większości stanów spełnisz więcej, niż trzeba, co jest bezpieczniejsze niż spełnienie za mało.