CCPA to prawo o prywatności w Stanach Zjednoczonych. Jeśli Twoja firma działa gdziekolwiek w USA, prawdopodobnie masz odwiedzających z Kalifornii. Jeśli zbierasz ich dane przez formularze, CCPA ma zastosowanie. Ale CCPA nie jest jedynym prawem o prywatności. Ponad tuzin stanów USA ma obecnie podobne regulacje, a kolejne są w drodze.
CCPA i inne stanowe przepisy o prywatności to amerykańskie odpowiedniki europejskiego RODO (GDPR). Zrozumienie, które przepisy o prywatności dotyczą Twoich formularzy i czego każdy z nich wymaga, jest niezbędne, by zachować zgodność w różnych regionach USA.
Czego się dowiesz: czym jest CCPA i czym różni się od RODO, które inne stany USA mają przepisy o prywatności, czego te przepisy wymagają od formularzy, jak ustalić, które przepisy dotyczą Twojej firmy, i jak budować formularze zgodne z wieloma regulacjami naraz.
Czym jest CCPA?
CCPA (California Consumer Privacy Act) to prawo o prywatności, które dotyczy firm nastawionych na zysk zbierających dane osobowe od mieszkańców Kalifornii. Weszło w życie 1 stycznia 2020 roku i od tego czasu zostało wzmocnione dodatkowymi regulacjami.
CCPA dotyczy Twoich formularzy, jeśli:
- Twoja firma zbiera dane od osób w Kalifornii
- Generujesz roczne przychody powyżej 25 milionów dolarów, lub
- Zbierasz dane od 100 000 lub więcej mieszkańców (lub gospodarstw domowych), lub
- Sprzedajesz dane konsumentów w ramach działalności biznesowej
Nawet małe firmy często spełniają te progi, nie zdając sobie z tego sprawy. Jeśli masz formularz kontaktowy i zebrano informacje od kilkuset mieszkańców Kalifornii, prawdopodobnie firma jest objęta przepisami.
Kluczowe wymogi CCPA dla formularzy
Ujawnienie w informacji o prywatności
Musisz udostępnić informację o prywatności, która informuje odwiedzających z Kalifornii o:
- Jakie kategorie danych osobowych zbierasz (imię i nazwisko, e-mail, historia zakupów itd.)
- Dlaczego je zbierasz (aby odpowiadać na zapytania, świadczyć usługi, w celach marketingowych)
- Skąd pochodzą dane (bezpośrednio od konsumenta w formularzu, od stron trzecich, z analityki)
- Jak długo je przechowujesz
- Komu je udostępniasz (dostawcom usług, innym firmom itd.)
Informacja o prywatności musi być łatwa do znalezienia. Link w stopce albo schowana strona z polityką nie wystarczą. Umieść ją tam, gdzie odwiedzający zobaczą ją, zanim wypełnią formularz.
Prawo do informacji
Mieszkańcy Kalifornii mogą zażądać informacji, jakie dane osobowe o nich zgromadzono. Musisz być w stanie przekazać te informacje w ciągu 45 dni. Oznacza to, że potrzebujesz systemów do śledzenia, jakie dane masz o każdej osobie, i procesu reagowania na takie prośby.
Prawo do usunięcia
Mieszkańcy Kalifornii mogą poprosić o usunięcie swoich danych osobowych. Musisz się do tego zastosować, chyba że masz prawny powód, by je zachować (jak dokumentacja podatkowa lub zapobieganie oszustwom). Dotyczy to wszystkich zgłoszeń z formularzy i danych klientów, które o nich masz.
Prawo do rezygnacji ze sprzedaży danych
Jeśli sprzedajesz dane osobowe innym firmom (nawet jeśli nie myślisz o tym jako o „sprzedaży"), mieszkańcy Kalifornii mogą z tego zrezygnować. Według CCPA „sprzedaż" obejmuje udostępnianie danych stronom trzecim za pieniądze, usługi lub inne wartościowe korzyści. Musisz zamieścić na swojej stronie link „Do Not Sell My Personal Information" („Nie sprzedawaj moich danych osobowych").
Prawo do sprostowania
Konsumenci mogą żądać sprostowania nieprawidłowych danych osobowych, które ich dotyczą. Nie musisz zmieniać wszystkiego, o co proszą, ale musisz mieć proces rozpatrywania takich próśb i odpowiadania na nie.
Zakaz dyskryminacji
Nie możesz dyskryminować osoby za skorzystanie z jej praw wynikających z CCPA. Jeśli ktoś prosi o usunięcie swoich danych, nie możesz odmówić mu obsługi ani pobierać od niego wyższej opłaty za swoje usługi.
CCPA a RODO: kluczowe różnice
CCPA i RODO oba chronią dane osobowe, ale mają istotne różnice:
| Cecha | RODO (GDPR) | CCPA | |-|-|-| | Dotyczy | Danych mieszkańców UE, od każdej firmy | Danych mieszkańców Kalifornii, od większych firm | | Zgoda | Wymagana wyraźna zgoda z góry (opt-in), poza danymi niezbędnymi | Model rezygnacji (opt-out): dane są zbierane, dopóki ktoś nie poprosi o zaprzestanie | | Prawo do bycia zapomnianym | Tak | Tak, ale z większą liczbą wyjątków | | Kary | Do 20 milionów euro lub 4% przychodu | Do 2500 za naruszenie, do 7500 za naruszenie umyślne | | Sprzedaż danych | Niedozwolona bez zgody | Dozwolona, chyba że konsument zrezygnuje |Kluczowa różnica jest taka, że RODO wymaga prośby o zgodę przed zbieraniem danych. CCPA wymaga poinformowania ludzi, że mogą zrezygnować.
Inne stanowe przepisy o prywatności w USA
Ponad tuzin innych stanów uchwalił przepisy o prywatności podobne do CCPA. Oto najważniejsze z nich:
Wirginia (VCDPA)
Virginia Consumer Data Protection Act dotyczy firm nastawionych na zysk przetwarzających dane osobowe mieszkańców Wirginii. Wymaga zapewnienia konsumentom praw do dostępu do danych, ich usunięcia, sprostowania i rezygnacji ze sprzedaży.
Kolorado (CPA)
Colorado Privacy Act obejmuje firmy przetwarzające dane mieszkańców Kolorado. Podobny do CCPA, ale z pewnymi różnicami w zakresie i egzekwowaniu.
Connecticut (CTDPA)
Connecticut Data Privacy Act, obowiązujący od lipca 2024 roku. Podobne prawa konsumentów jak w CCPA i VCDPA.
Utah (UCPA)
Utah Consumer Privacy Act jest wyraźnie mniej surowy niż pozostałe, ale nadal wymaga praw konsumentów do rezygnacji.
Montana, Delaware, Iowa i inne
Kolejne stany uchwaliły lub rozważają przepisy o prywatności. Większość idzie za modelem CCPA z prawami konsumentów do rezygnacji, z pewnymi różnicami w wymaganiach.
Jak ustalić, które przepisy dotyczą Twoich formularzy
Aby ustalić, z jakimi przepisami o prywatności musisz spełniać:
- Ustal, skąd pochodzą Twoi odwiedzający. Użyj analityki, by zobaczyć, jakie stany i regiony są reprezentowane.
- Sprawdź prawo dla każdego regionu. W przypadku stanów USA sprawdź stronę prokuratora generalnego stanu. W przypadku innych krajów zbadaj ich przepisy o prywatności.
- Sprawdź wymagane progi. Czy Twoja firma spełnia progi wielkości? Czy masz wystarczająco dużo klientów w danym regionie?
- Skonsultuj się z prawnikiem, jeśli nie masz pewności. Prawo o prywatności jest złożone i różni się w zależności od regionu. Jeśli Twoja firma zbiera duże ilości danych, porozmawiaj z prawnikiem.
Budowanie formularzy zgodnych z wieloma przepisami o prywatności
Jeśli Twoi odwiedzający pochodzą z różnych stanów i krajów, musisz stosować najsurowsze obowiązujące zasady.
Przyjmij zasady RODO dla wszystkich
Jeśli masz jakichkolwiek odwiedzających z UE, stosuj zasady RODO. RODO należy do najsurowszych przepisów o prywatności, więc zgodność z RODO często oznacza zgodność także z innymi przepisami.
Używaj wyraźnej zgody dla danych wrażliwych
Zamiast próbować stosować różne zasady dla różnych odwiedzających, używaj wyraźnej zgody (standard RODO) dla wszystkiego. To czystsze i bardziej chroniące. Spraw, by wybory dotyczące zgody były jasne, konkretne i osobne dla różnych sposobów wykorzystania danych.
Zamieść informację o prywatności w formularzu
Umieść na stronie formularza jasne, czytelne podsumowanie swoich praktyk dotyczących danych. Zalinkuj pełną politykę prywatności. To spełnia wymogi ujawnienia wielu przepisów naraz.
Ułatw rezygnację
Zapewnij ludziom sposób na wypisanie się z e-maili marketingowych lub zażądanie usunięcia ich danych. Dodaj to do każdego wysyłanego e-maila marketingowego (wymóg prawny) i na swojej stronie (dobra praktyka).
Prowadź dobrą dokumentację
Dokumentuj, jakie dane zbierasz, dlaczego je zbierasz, jak długo je przechowujesz i kto ma do nich dostęp. To pomaga szybko odpowiadać na prośby o dane i dowodzi zgodności, jeśli zapyta o to organ nadzorczy.
Kary za naruszenie przepisów o prywatności
CCPA i stanowe przepisy o prywatności przewidują kary finansowe:
- CCPA (Kalifornia): do 2500 dolarów za naruszenie, 7500 dolarów za naruszenie umyślne. Egzekwuje to prokurator generalny stanu, a w pewnych przypadkach konsumenci mogą też pozywać.
- Wirginia, Kolorado, Connecticut itd.: kary wahają się od 2500 do 10 000 dolarów za naruszenie, a niektóre stany pozwalają także konsumentom na pozwy.
Choć te kary są niższe niż kary z RODO, szybko się sumują, gdy masz wiele naruszeń albo wyciek danych dotyka tysięcy osób.
Co WEMASY robi dla zgodności z przepisami o prywatności
Formularze WEMASY zawierają narzędzia, które pomagają zachować zgodność ze stanowymi i federalnymi przepisami o prywatności. Możesz dodawać informacje o prywatności do formularzy, śledzić, którą wersję warunków zgody zaakceptował każdy odwiedzający, i zapewnić zespołowi procesy obsługi próśb o dostęp do danych i ich usunięcie. WEMASY zapisuje też, jakie dane są przechowywane i kiedy zostały przesłane, co pomaga prowadzić dokumentację potrzebną do audytów zgodności.
Zobacz, jakie funkcje zgodności z przepisami o prywatności są dostępne w Twoim pakiecie, na stronie z cennikiem.