CCPA – co to jest i jak wpływa na Twoją stronę, jeśli masz użytkowników z Kalifornii?

1 stycznia 2020 roku zaczęła obowiązywać ustawa o ochronie danych osobowych CCPA. To pierwsza ustawa z USA, która kompleksowo reguluje ochronę prywatności kalifornijskich użytkowników. Co oznacza CCPA (ang. California Consumer Privacy Act) dla Twojej strony internetowej, jeśli masz użytkowników z Kalifornii? Tego dowiesz się w tym artykule. 

Jakich danych dotyczy CCPA?

CCPA chroni dane osobowe konsumentów jako informacje, które identyfikują osobę lub które można z konkretną osobą powiązać. Konsumentów rozumie się jako możliwe do zidentyfikowania osoby fizyczne, które są rezydentami Kalifornii. 

Ochronie podlegają dane bezpośrednio odnoszące się do konkretnego konsumenta bądź też gospodarstwa domowego albo takie, które mogą być z nimi połączone. Są to:

• identyfikatory bezpośrednie: imię i nazwisko, numer telefonu, numer prawa jazdy, numer ubezpieczenia społecznego, numer paszportu, identyfikator internetowy, adres, adres e-mail,
• identyfikatory pośrednie: adres IP, dane biometryczne, dane geolokalizacyjne, rejestry zakupów, dane dotyczące zdrowia, nagrania audio, informacje o zatrudnieniu, wnioski wyciągnięte na podstawie zebranych danych (np. nawyki zakupowe, poglądy polityczne) oraz inne szczegóły, które umożliwiają identyfikację konsumenta.

Co ważne, California Consumer Privacy Act nie reguluje przetwarzania zagregowanych informacji. Czyli takich, które odnoszą się do grupy bądź też kategorii użytkowników (takich, których nie można połączyć z konkretnym gospodarstwem domowym bądź też konsumentem). 

Zdj. 1. Kalifornijski akt prawny opisany szczegółowo na oficjalnej stronie Biura Prokuratora Generalnego stanu Kalifornia (California Department of Justice — Office of the Attorney General)

Źródło: https://oag.ca.gov/privacy/ccpa

Kiedy CCPA znajduje zastosowanie?

California Consumer Privacy Act obejmuje zakresem działalności oraz dostawców usług, którzy administrują procesem przetwarzania danych osobowych użytkowników z Kalifornii. 

Wbrew pozorom łatwo spełnić przesłanki, które powodują, że biznes podlega pod kalifornijską ustawę. CCPA dotyczy zatem na przykład przedsiębiorców, którzy:

• prowadzą biznes e-commerce oraz sprzedają także poza granicami,

• zajmują się digital marketingiem — również reklamą targetowaną,

• tworzą oprogramowanie, w którym znajdą się dane osobowe rezydentów Kalifornii.

Przykładów działalności online, które zobligowane są do przestrzegania zapisów CCPA jest znacznie więcej.

Jakie obowiązki wprowadza CCPA?

CCPA wprowadza przede wszystkim obowiązki informacyjne po stronie podmiotów przetwarzających dane. Najważniejsza jest transparentność wobec konsumentów. Ustawodawca amerykański kładzie nacisk na informowanie użytkowników oraz wdrożenie mechanizmów umożliwiających realizację podstawowych praw użytkowników. W praktyce oznacza to konieczność zapewnienia dostępu do danych osobowych, możliwości ich usunięcia, prawa do żądania zaprzestania sprzedaży danych oraz gwarancji równego traktowania.

CCPA i RODO funkcjonują równolegle – nie są aktami komplementarnymi, lecz niezależnymi systemami prawnymi. Każdy z nich nakłada na administratorów danych odrębne zestawy obowiązków i wymaga osobnego podejścia do zgodności. 

Jakie działania należy wdrożyć, aby uzyskać zgodność z CCPA

Jeżeli w Twojej działalności ma zastosowanie kalifornijska ustawa, rekomendujemy przede wszystkim: 

• zaktualizowanie polityki prywatności (zwłaszcza pod kątem klarownego opisu praw, które przysługują konsumentom oraz sposobów ich realizacji),
• zagwarantowanie skutecznej realizacji praw konsumentów,
• zarządzanie procesami przetwarzania danych, wdrażając adekwatne środki techniczne i organizacyjne zapewniające kontrolę nad ich przebiegiem,
• udostępnienie podstrony lub odpowiedniego odnośnika, który umożliwia konsumentom proste wysłanie wniosku “Do Not Sell My Personal Information”.
• prowadzenie działań compliance — między innymi śledzenie zmian w przepisach oraz monitorowanie stanowiska, wytycznych i decyzji odpowiednich organów. 

Zdj. 2. Przykład podstrony “Do Not Sell Personal Information”

Źródło: https://www.talroo.com/ccpa-dns/

W pracy nad SEO oraz w działaniach związanych z reklamą PPC (ang. Pay Per Click) nie można bagatelizować znaczenia ani RODO, ani CCPA.