Η Καλιφόρνια έχει GDPR?

Πρόστιμα και οικονομική έκθεση. Οι εταιρείες δεν πρέπει να ξεχνούν ότι σε περίπτωση μη συμμόρφωσης, ενδέχεται να αντιμετωπίσουν πρόσθετες αποζημιώσεις, συμπληρώνοντας εκείνες που παρέχονται από το GDPR. Στο CCPA, η επιβολή της εκτέλεσης στηρίζεται στον Γενικό Εισαγγελέα της Καλιφόρνια, ο οποίος μπορεί να φέρει σε εταιρείες που διατάζουν την πολιτική δράση να καταβάλουν αποζημίωση ύψους έως και 7500 δολαρίων ανά σκόπιμη παραβίαση οποιασδήποτε διάταξης του νόμου. Οι ακούσιες παραβιάσεις που δεν έχουν αποκατασταθεί εντός 30 ημερών από την ειδοποίηση μπορούν να ισοδυναμούν με αποζημίωση μέχρι 2500 $ ανά παραβίαση. Μόνο σε περίπτωση κλοπής δεδομένων ή παραβίαση της ασφάλειας δεδομένων, οι ίδιοι οι καταναλωτές έχουν δικαίωμα ιδιωτικής δράσης για νόμιμες αποζημιώσεις μεταξύ $ 100 και $ 750 ανά καταναλωτή και περιστατικό ή πραγματικές ζημίες, όποιο από τα δύο είναι μεγαλύτερη, καθώς και οποιαδήποτε άλλη ανακούφιση ένα δικαστήριο θεωρεί σωστό. Εκτός από αυτό το μάλλον περιορισμένο δικαίωμα καταναλωτών, ο νόμος εξουσιοδοτεί επίσης τον Γενικό Εισαγγελέα να ασκήσει δράση πολιτικής τάξης. Εάν σε συνδυασμό με τα διοικητικά πρόστιμα ύψους έως και 20 εκατ. Ευρώ ή 4 % του συνολικού ετήσιου κύκλου εργασιών (όποιο από τα δύο είναι υψηλότερο) που παρέχεται από το GDPR, το πραγματικό ποσό που καταβάλλεται για παραβίαση ή/και παραβίαση δεδομένων μπορεί να καταλήξει σε μια υπαρξιακή απειλή για πολλές εταιρείες.

California Consumer Privacy Act (CCPA)

1. Τι δικαιώματα έχω κάτω από το CCPA?

• Δικαίωμα να γνωρίζετε: Μπορείτε να ζητήσετε από μια επιχείρηση να σας αποκαλύψει: (1) τις κατηγορίες ή/και συγκεκριμένα κομμάτια προσωπικών πληροφοριών που έχουν συλλέξει για εσάς, (2) τις κατηγορίες πηγών για τις προσωπικές πληροφορίες, (3) οι σκοποί για τους οποίους η επιχείρηση χρησιμοποιεί αυτές τις πληροφορίες, (4) Οι κατηγορίες τρίτων με τις οποίες οι επιχειρήσεις αποκαλύπτουν τις πληροφορίες και (5). Μπορείτε να υποβάλετε ένα αίτημα για να μάθετε μέχρι δύο φορές το χρόνο, δωρεάν.
• Δικαίωμα για διαγραφή: Μπορείτε να ζητήσετε από τις επιχειρήσεις να διαγράψουν προσωπικά στοιχεία που συγκέντρωσαν από εσάς και να ενημερώσουν τους παρόχους υπηρεσιών τους να κάνουν το ίδιο, υπόκεινται σε ορισμένες εξαιρέσεις (όπως εάν η επιχείρηση απαιτείται νόμιμα για να διατηρήσει τις πληροφορίες).
• Δικαίωμα εξαίρεσης πώλησης ή κοινής χρήσης: Μπορείτε να ζητήσετε από τις επιχειρήσεις να σταματήσουν να πωλούν ή να μοιράζονται τα προσωπικά σας στοιχεία (“opt-out”), συμπεριλαμβανομένου μέσω ενός παγκόσμιου ελέγχου απορρήτου με δυνατότητα χρήστη. Οι επιχειρήσεις δεν μπορούν να πουλήσουν ή να μοιραστούν τα προσωπικά σας στοιχεία αφού λάβουν το αίτημά σας για εξαίρεση, εκτός αν αργότερα εξουσιοδοτήσετε να το κάνετε ξανά.
• Δικαίωμα για διόρθωση: Μπορείτε να ζητήσετε από τις επιχειρήσεις να διορθώσουν ανακριβείς πληροφορίες που έχουν για εσάς.
• Δικαίωμα για τον περιορισμό της χρήσης και της αποκάλυψης ευαίσθητων προσωπικών πληροφοριών: Μπορείτε να κατευθύνετε τις επιχειρήσεις για να χρησιμοποιήσετε μόνο τα ευαίσθητα προσωπικά σας στοιχεία (για παράδειγμα, τον αριθμό κοινωνικής ασφάλισης, τα στοιχεία του χρηματοοικονομικού λογαριασμού, τα ακριβή σας δεδομένα γεωγραφικής γραμμής ή τα γενετικά σας δεδομένα) για περιορισμένους σκοπούς, όπως σας παρέχοντας τις υπηρεσίες που ζητήσατε.

Έχετε επίσης το δικαίωμα να ειδοποιηθείτε, πριν ή στο σημείο που οι επιχειρήσεις συλλέγουν τα προσωπικά σας στοιχεία, για τους τύπους προσωπικών πληροφοριών που συλλέγουν και τι μπορούν να κάνουν με αυτές τις πληροφορίες. Γενικά, οι επιχειρήσεις δεν μπορούν να κάνουν διακρίσεις εναντίον σας για την άσκηση των δικαιωμάτων σας στο πλαίσιο του CCPA. Οι επιχειρήσεις δεν μπορούν να σας κάνουν να παραιτηθείτε από αυτά τα δικαιώματα και οποιαδήποτε διάταξη της σύμβασης που λέει ότι παραιτείτε αυτά τα δικαιώματα είναι μη εκτελεστή.

2. Τι γίνεται αν δεν είμαι κάτοικος της Καλιφόρνια?

Μόνο οι κάτοικοι της Καλιφόρνια έχουν δικαιώματα στο πλαίσιο του CCPA. Ένας κάτοικος της Καλιφόρνια είναι φυσικό άτομο (σε αντίθεση με μια εταιρεία ή άλλη επιχειρηματική οντότητα) που κατοικεί στην Καλιφόρνια, ακόμη και αν το άτομο είναι προσωρινά έξω από το κράτος.

3. Τι θεωρείται προσωπικές πληροφορίες και ευαίσθητα προσωπικά στοιχεία στο πλαίσιο του CCPA?

Προσωπικές πληροφορίες είναι πληροφορίες που προσδιορίζουν, σχετίζονται ή θα μπορούσαν εύλογα να συνδεθούν με εσάς ή το νοικοκυριό σας. Για παράδειγμα, θα μπορούσε να περιλαμβάνει το όνομά σας, τον αριθμό κοινωνικής ασφάλισης, τη διεύθυνση ηλεκτρονικού ταχυδρομείου, τα αρχεία των προϊόντων που αγοράζονται, το ιστορικό περιήγησης στο διαδίκτυο, τα δεδομένα γεωγραφικής γραμμής, τα δακτυλικά αποτυπώματα και τα συμπεράσματα άλλων προσωπικών πληροφοριών που θα μπορούσαν να δημιουργήσουν ένα προφίλ σχετικά με τις προτιμήσεις και τα χαρακτηριστικά σας.

Ευαίσθητα προσωπικά στοιχεία είναι ένα συγκεκριμένο υποσύνολο προσωπικών πληροφοριών που περιλαμβάνει ορισμένους κυβερνητικούς αναγνωριστικούς (όπως αριθμούς κοινωνικής ασφάλισης). σύνδεση λογαριασμού, οικονομικός λογαριασμός, χρεωστική κάρτα ή αριθμός πιστωτικής κάρτας με οποιονδήποτε απαιτούμενο κωδικό ασφαλείας, κωδικό πρόσβασης ή διαπιστευτήρια που επιτρέπουν πρόσβαση σε λογαριασμό. ακριβής γεωγραφική θέση. Περιεχόμενα αλληλογραφίας, ηλεκτρονικού ταχυδρομείου και μηνυμάτων κειμένου. γενετικά δεδομένα · βιομετρικές πληροφορίες που υποβάλλονται σε επεξεργασία για τον εντοπισμό ενός καταναλωτή · πληροφορίες σχετικά με την υγεία, τη σεξουαλική ζωή ή τον σεξουαλικό προσανατολισμό του καταναλωτή. ή πληροφορίες σχετικά με τη φυλετική ή εθνοτική προέλευση, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή την ένωση της Ένωσης. Οι καταναλωτές έχουν το δικαίωμα να περιορίσουν επίσης τη χρήση και την αποκάλυψη των ευαίσθητων προσωπικών πληροφοριών τους.

Οι προσωπικές πληροφορίες δεν περιλαμβάνουν διαθέσιμες στο κοινό πληροφορίες (συμπεριλαμβανομένων των δημόσιων αρχείων ακινήτων/ακινήτων) και ορισμένων τύπων πληροφοριών.

4. Τι δεν θεωρείται προσωπικές πληροφορίες στο πλαίσιο του CCPA?

Οι προσωπικές πληροφορίες δεν περιλαμβάνουν διαθέσιμες στο κοινό πληροφορίες που προέρχονται από ομοσπονδιακά, κρατικά ή τοπικά κυβερνητικά αρχεία, όπως επαγγελματικές άδειες και δημόσια αρχεία ακινήτων/ακινήτων. Ο ορισμός των διαθέσιμων στο κοινό πληροφοριών

Η Καλιφόρνια έχει GDPR

Πρόστιμα και οικονομική έκθεση. Οι εταιρείες δεν πρέπει να ξεχνούν ότι σε περίπτωση μη συμμόρφωσης, ενδέχεται να αντιμετωπίσουν πρόσθετες αποζημιώσεις, συμπληρώνοντας εκείνες που παρέχονται από το GDPR. Στο CCPA, η επιβολή της εκτέλεσης στηρίζεται στον Γενικό Εισαγγελέα της Καλιφόρνια, ο οποίος μπορεί να φέρει σε εταιρείες που διατάζουν την πολιτική δράση να καταβάλουν αποζημίωση ύψους έως και 7500 δολαρίων ανά σκόπιμη παραβίαση οποιασδήποτε διάταξης του νόμου. Οι ακούσιες παραβιάσεις που δεν έχουν αποκατασταθεί εντός 30 ημερών από την ειδοποίηση μπορούν να ισοδυναμούν με αποζημίωση μέχρι 2500 $ ανά παραβίαση. Μόνο σε περίπτωση κλοπής δεδομένων ή παραβίαση της ασφάλειας δεδομένων, οι ίδιοι οι καταναλωτές έχουν δικαίωμα ιδιωτικής δράσης για νόμιμες αποζημιώσεις μεταξύ $ 100 και $ 750 ανά καταναλωτή και περιστατικό ή πραγματικές ζημίες, όποιο από τα δύο είναι μεγαλύτερη, καθώς και οποιαδήποτε άλλη ανακούφιση ένα δικαστήριο θεωρεί σωστό. Εκτός από αυτό το μάλλον περιορισμένο δικαίωμα καταναλωτών, ο νόμος εξουσιοδοτεί επίσης τον Γενικό Εισαγγελέα να ασκήσει δράση πολιτικής τάξης. Εάν σε συνδυασμό με τα διοικητικά πρόστιμα ύψους έως και 20 εκατ. Ευρώ ή 4 % του συνολικού ετήσιου κύκλου εργασιών (όποιο από τα δύο είναι υψηλότερο) που παρέχεται από το GDPR, το πραγματικό ποσό που καταβάλλεται για παραβίαση ή/και παραβίαση δεδομένων μπορεί να καταλήξει σε μια υπαρξιακή απειλή για πολλές εταιρείες.

California Consumer Privacy Act (CCPA)

Αυτές οι συχνές ερωτήσεις παρέχουν γενικές πληροφορίες για τους καταναλωτές σχετικά με το CCPA και πώς μπορείτε να ασκήσετε τα δικαιώματά σας στο πλαίσιο του CCPA. Δεν είναι νομικές συμβουλές, κανονιστική καθοδήγηση ή γνώμη του Γενικού Εισαγγελέα. Θα ενημερώσουμε περιοδικά αυτές τις πληροφορίες.

ΕΝΑ. Γενικές πληροφορίες για το CCPA

1. Τι δικαιώματα έχω κάτω από το CCPA?

• Δικαίωμα να γνωρίζετε: Μπορείτε να ζητήσετε από μια επιχείρηση να σας αποκαλύψει: (1) τις κατηγορίες ή/και συγκεκριμένα κομμάτια προσωπικών πληροφοριών που έχουν συλλέξει για εσάς, (2) τις κατηγορίες πηγών για τις προσωπικές πληροφορίες, (3) οι σκοποί για τους οποίους η επιχείρηση χρησιμοποιεί αυτές τις πληροφορίες, (4) Οι κατηγορίες τρίτων με τις οποίες οι επιχειρήσεις αποκαλύπτουν τις πληροφορίες και (5). Μπορείτε να υποβάλετε ένα αίτημα για να μάθετε μέχρι δύο φορές το χρόνο, δωρεάν.
• Δικαίωμα για διαγραφή: Μπορείτε να ζητήσετε από τις επιχειρήσεις να διαγράψουν προσωπικά στοιχεία που συγκέντρωσαν από εσάς και να ενημερώσουν τους παρόχους υπηρεσιών τους να κάνουν το ίδιο, υπόκεινται σε ορισμένες εξαιρέσεις (όπως εάν η επιχείρηση απαιτείται νόμιμα για να διατηρήσει τις πληροφορίες).
• Δικαίωμα εξαίρεσης πώλησης ή κοινής χρήσης: Μπορείτε να ζητήσετε από τις επιχειρήσεις να σταματήσουν να πωλούν ή να μοιράζονται τα προσωπικά σας στοιχεία (“εξαίρεση”), συμπεριλαμβανομένου μέσω ενός παγκόσμιου ελέγχου απορρήτου με δυνατότητα χρήστη. Οι επιχειρήσεις δεν μπορούν να πουλήσουν ή να μοιραστούν τα προσωπικά σας στοιχεία αφού λάβουν το αίτημά σας για εξαίρεση, εκτός αν αργότερα εξουσιοδοτήσετε να το κάνετε ξανά.
• Δικαίωμα για διόρθωση: Μπορείτε να ζητήσετε από τις επιχειρήσεις να διορθώσουν ανακριβείς πληροφορίες που έχουν για εσάς.
• Δικαίωμα για τον περιορισμό της χρήσης και της αποκάλυψης ευαίσθητων προσωπικών πληροφοριών: Μπορείτε να κατευθύνετε τις επιχειρήσεις για να χρησιμοποιήσετε μόνο τα ευαίσθητα προσωπικά σας στοιχεία (για παράδειγμα, τον αριθμό κοινωνικής ασφάλισης, τα στοιχεία του χρηματοοικονομικού λογαριασμού, τα ακριβή σας δεδομένα γεωγραφικής γραμμής ή τα γενετικά σας δεδομένα) για περιορισμένους σκοπούς, όπως σας παρέχοντας τις υπηρεσίες που ζητήσατε.

Έχετε επίσης το δικαίωμα να ειδοποιηθείτε, πριν ή στο σημείο που οι επιχειρήσεις συλλέγουν τα προσωπικά σας στοιχεία, για τους τύπους προσωπικών πληροφοριών που συλλέγουν και τι μπορούν να κάνουν με αυτές τις πληροφορίες. Γενικά, οι επιχειρήσεις δεν μπορούν να κάνουν διακρίσεις εναντίον σας για την άσκηση των δικαιωμάτων σας στο πλαίσιο του CCPA. Οι επιχειρήσεις δεν μπορούν να σας κάνουν να παραιτηθείτε από αυτά τα δικαιώματα και οποιαδήποτε διάταξη της σύμβασης που λέει ότι παραιτείτε αυτά τα δικαιώματα είναι μη εκτελεστή.

2. Τι γίνεται αν δεν είμαι κάτοικος της Καλιφόρνια?

Μόνο οι κάτοικοι της Καλιφόρνια έχουν δικαιώματα στο πλαίσιο του CCPA. Ένας κάτοικος της Καλιφόρνια είναι φυσικό άτομο (σε αντίθεση με μια εταιρεία ή άλλη επιχειρηματική οντότητα) που κατοικεί στην Καλιφόρνια, ακόμη και αν το άτομο είναι προσωρινά έξω από το κράτος.

3. Τι θεωρείται προσωπικές πληροφορίες και ευαίσθητα προσωπικά στοιχεία στο πλαίσιο του CCPA?

Προσωπικές πληροφορίες είναι πληροφορίες που προσδιορίζουν, σχετίζονται ή θα μπορούσαν εύλογα να συνδεθούν με εσάς ή το νοικοκυριό σας. Για παράδειγμα, θα μπορούσε να περιλαμβάνει το όνομά σας, τον αριθμό κοινωνικής ασφάλισης, τη διεύθυνση ηλεκτρονικού ταχυδρομείου, τα αρχεία των προϊόντων που αγοράζονται, το ιστορικό περιήγησης στο διαδίκτυο, τα δεδομένα γεωγραφικής γραμμής, τα δακτυλικά αποτυπώματα και τα συμπεράσματα άλλων προσωπικών πληροφοριών που θα μπορούσαν να δημιουργήσουν ένα προφίλ σχετικά με τις προτιμήσεις και τα χαρακτηριστικά σας.

Ευαίσθητα προσωπικά στοιχεία είναι ένα συγκεκριμένο υποσύνολο προσωπικών πληροφοριών που περιλαμβάνει ορισμένους κυβερνητικούς αναγνωριστικούς (όπως αριθμούς κοινωνικής ασφάλισης). σύνδεση λογαριασμού, οικονομικός λογαριασμός, χρεωστική κάρτα ή αριθμός πιστωτικής κάρτας με οποιονδήποτε απαιτούμενο κωδικό ασφαλείας, κωδικό πρόσβασης ή διαπιστευτήρια που επιτρέπουν πρόσβαση σε λογαριασμό. ακριβής γεωγραφική θέση. Περιεχόμενα αλληλογραφίας, ηλεκτρονικού ταχυδρομείου και μηνυμάτων κειμένου. γενετικά δεδομένα · βιομετρικές πληροφορίες που υποβάλλονται σε επεξεργασία για τον εντοπισμό ενός καταναλωτή · πληροφορίες σχετικά με έναν καταναλωτή’η υγεία, η σεξουαλική ζωή ή ο σεξουαλικός προσανατολισμός. ή πληροφορίες σχετικά με τη φυλετική ή εθνοτική προέλευση, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή την ένωση της Ένωσης. Οι καταναλωτές έχουν το δικαίωμα να περιορίσουν επίσης μια επιχείρηση’τη χρήση και την αποκάλυψη των ευαίσθητων προσωπικών τους πληροφοριών.

Οι προσωπικές πληροφορίες δεν περιλαμβάνουν διαθέσιμες στο κοινό πληροφορίες (συμπεριλαμβανομένων των δημόσιων αρχείων ακινήτων/ακινήτων) και ορισμένων τύπων πληροφοριών.

4. Τι δεν θεωρείται προσωπικές πληροφορίες στο πλαίσιο του CCPA?

Οι προσωπικές πληροφορίες δεν περιλαμβάνουν διαθέσιμες στο κοινό πληροφορίες που προέρχονται από ομοσπονδιακά, κρατικά ή τοπικά κυβερνητικά αρχεία, όπως επαγγελματικές άδειες και δημόσια αρχεία ακινήτων/ακινήτων. Ο ορισμός των διαθέσιμων πληροφοριών στο κοινό περιλαμβάνει επίσης πληροφορίες ότι μια επιχείρηση έχει εύλογη βάση για να πιστέψει ότι είναι νόμιμα διαθέσιμη στο ευρύ κοινό από τον καταναλωτή ή από ευρέως κατανεμημένα μέσα ενημέρωσης ή ορισμένες πληροφορίες που αποκαλύπτονται από έναν καταναλωτή και διατίθενται εάν ο καταναλωτής δεν περιορίζει τις πληροφορίες σε συγκεκριμένο κοινό.

Το CCPA απαλλάσσει επίσης ορισμένους τύπους πληροφοριών, όπως ορισμένες ιατρικές πληροφορίες και πληροφορίες αναφοράς πίστωσης καταναλωτών.

5. Τι επιχειρήσεις ισχύει για το CCPA?

• Έχουν ένα ακαθάριστο ετήσιο έσοδα άνω των 25 εκατομμυρίων δολαρίων ·
• Αγοράστε, πωλούν ή μοιράζονται τα προσωπικά στοιχεία των 100.000 ή περισσότερων κατοίκων της Καλιφόρνια, νοικοκυριών ή συσκευών. ή
• Αποκομίζουν 50% ή περισσότερο από τα ετήσια έσοδά τους από την πώληση κατοίκων της Καλιφόρνια’ προσωπικές πληροφορίες.

6. Το CCPA ισχύει για μη κερδοσκοπικούς οργανισμούς ή κυβερνητικούς οργανισμούς?

Το CCPA γενικά δεν ισχύει για μη κερδοσκοπικούς οργανισμούς ή κυβερνητικούς οργανισμούς.

7. Τι μπορώ να κάνω αν νομίζω ότι μια επιχείρηση παραβίασε το CCPA?

Δεν μπορείτε να μηνύσετε επιχειρήσεις για τις περισσότερες παραβιάσεις CCPA. Μπορείτε να μηνύσετε μόνο μια επιχείρηση στο πλαίσιο του CCPA εάν υπάρχει παραβίαση δεδομένων, και ακόμη και τότε, μόνο υπό περιορισμένες συνθήκες. Μπορείτε να μηνύσετε μια επιχείρηση εάν τα μη κρυπτογραφημένα και μη αναδυόμενα προσωπικά σας στοιχεία έχουν κλαπεί σε παραβίαση δεδομένων ως αποτέλεσμα της επιχείρησης’αποτυχία διατήρησης λογικών διαδικασιών και πρακτικών ασφαλείας για την προστασία του. Εάν συμβεί αυτό, μπορείτε να μηνύσετε για το ποσό των νομισματικών ζημιών που πραγματικά υποφέρετε από την παραβίαση ή “νόμιμες αποζημιώσεις” έως και 750 $ ανά περιστατικό. Πριν από την αίτησή του, πρέπει να δώσετε στην επιχειρηματική γραπτή ειδοποίηση σχετικά με τα τμήματα CCPA που παραβίασε και να επιτρέψει 30 ημέρες να απαντήσουν γραπτώς ότι έχει θεραπεύσει τις παραβιάσεις και ότι δεν θα συμβούν περαιτέρω παραβιάσεις. Εάν η επιχείρηση είναι σε θέση να θεραπεύσει πραγματικά την παραβίαση και σας δίνει τη γραπτή δήλωσή της ότι το έχει κάνει, δεν μπορείτε να μηνύσετε την επιχείρηση, εκτός αν συνεχίσει να παραβιάζει το CCPA αντίθετο με τη δήλωσή της.

Για όλες τις άλλες παραβιάσεις του CCPA, μόνο ο Γενικός Εισαγγελέας ή η Υπηρεσία Προστασίας Προστασίας Προσωπικών Δεδομένων της Καλιφόρνια μπορούν να αναλάβουν νομικές ενέργειες κατά των μη συμμορφούμενων οντοτήτων. Ο Γενικός Εισαγγελέας δεν αντιπροσωπεύει μεμονωμένους καταναλωτές της Καλιφόρνια. Χρησιμοποιώντας καταγγελίες καταναλωτών και άλλες πληροφορίες, ο Γενικός Εισαγγελέας μπορεί να εντοπίσει πρότυπα παραπτώματος που μπορεί να οδηγήσει σε έρευνες και ενέργειες για λογαριασμό των συλλογικών νομικών συμφερόντων του λαού της Καλιφόρνια. Εάν πιστεύετε ότι μια επιχείρηση έχει παραβιάσει το CCPA, μπορείτε να υποβάλετε καταγγελία καταναλωτών στο Γραφείο του Γενικού Εισαγγελέα. Εάν επιλέξετε να υποβάλετε καταγγελία στο γραφείο μας, εξηγήστε ακριβώς πώς η επιχείρηση παραβίασε το CCPA και περιγράψτε πότε και πώς συνέβη η παραβίαση. Λάβετε υπόψη ότι ο Γενικός Εισαγγελέας δεν μπορεί να σας εκπροσωπήσει ή να σας δώσει νομικές συμβουλές σχετικά με τον τρόπο επίλυσης της ατομικής σας καταγγελίας. Ξεκινώντας από την 1η Ιουλίου 2023, θα μπορείτε επίσης να υποβάλετε καταγγελίες στην Υπηρεσία Προστασίας Προστασίας Προσωπικών Δεδομένων της Καλιφόρνια για παραβιάσεις του CCPA, όπως τροποποιήθηκε, που συμβαίνει την ή μετά από αυτή την ημερομηνία.

8. Τι είδους παραβίαση δεδομένων μπορώ να μηνύσω μια επιχείρηση για το CCPA?

• Ο αριθμός κοινωνικής ασφάλισης
• Ο οδηγός σας’S Αριθμός άδειας S, αριθμός αναγνώρισης φόρου, αριθμός διαβατηρίου, αριθμός στρατιωτικής αναγνώρισης ή άλλος μοναδικός αριθμός αναγνώρισης που εκδίδεται σε κυβερνητικό έγγραφο που χρησιμοποιείται συνήθως για τον εντοπισμό της ταυτότητας ενός ατόμου
• Ο αριθμός οικονομικού λογαριασμού σας, ο αριθμός της πιστωτικής κάρτας ή ο αριθμός χρεωστικής κάρτας εάν συνδυάζονται με οποιονδήποτε απαιτούμενο κωδικό ασφαλείας, κωδικό πρόσβασης ή κωδικό πρόσβασης που θα επέτρεπε σε κάποιον πρόσβαση στον λογαριασμό σας
• Τα ιατρικά σας στοιχεία ασφάλισης ή ασφάλισης υγείας
• Το δακτυλικό αποτύπωμα, η εικόνα του αμφιβληστροειδούς ή της ίριδας ή άλλα μοναδικά βιομετρικά δεδομένα που χρησιμοποιούνται για τον εντοπισμό της ταυτότητας ενός ατόμου (αλλά δεν συμπεριλαμβάνονται φωτογραφίες εκτός εάν χρησιμοποιούνται ή αποθηκεύονται για σκοπούς αναγνώρισης προσώπου)

Αυτά τα προσωπικά στοιχεία πρέπει να έχουν κλαπεί σε μη κρυπτογραφημένη και μη αναδυόμενη μορφή. Επιπλέον, τα προσωπικά στοιχεία πρέπει να έχουν κλαπεί σε παραβίαση δεδομένων ως αποτέλεσμα της επιχείρησης’αποτυχία διατήρησης λογικών διαδικασιών και πρακτικών ασφαλείας για την προστασία του. Εάν συμβεί αυτό, μπορείτε να μηνύσετε για το ποσό των νομισματικών ζημιών που πραγματικά υποφέρετε από την παραβίαση ή “νόμιμες αποζημιώσεις” έως και 750 $ ανά περιστατικό. Πριν από την αίτησή του, πρέπει να δώσετε στην επιχειρηματική γραπτή ειδοποίηση σχετικά με τα τμήματα CCPA που παραβίασε και να επιτρέψει 30 ημέρες να απαντήσουν γραπτώς ότι έχει θεραπεύσει τις παραβιάσεις και ότι δεν θα συμβούν περαιτέρω παραβιάσεις. Εάν η επιχείρηση είναι σε θέση να θεραπεύσει πραγματικά την παραβίαση και σας δίνει τη γραπτή δήλωσή της ότι το έχει κάνει, δεν μπορείτε να μηνύσετε την επιχείρηση, εκτός αν συνεχίσει να παραβιάζει το CCPA αντίθετο με τη δήλωσή της.

9. Οι επιχειρήσεις πρέπει να συμμορφώνονται με τις τροποποιήσεις του νόμου CPRA στο CCPA που τέθηκαν σε ισχύ την 1η Ιανουαρίου 2023?

Ναί. Από την 1η Ιανουαρίου 2023, το CPRA’Οι τροποποιήσεις του CCPA ισχύουν και οι επιχειρήσεις υποχρεούνται να συμμορφώνονται με όλες τις ρητές νόμιμες απαιτήσεις. Οι επιχειρήσεις υποχρεούνται επίσης να συμμορφώνονται με αυτούς τους κανονισμούς CCPA που ισχύουν επί του παρόντος.

10. Υπάρχουν κανονισμοί CCPA που ισχύουν επί του παρόντος?

Ναί. Το Υπουργείο Δικαιοσύνης της Καλιφόρνια δημοσίευσε έναν αρχικό γύρο κανονισμών που εφαρμόζουν το CCPA στις 14 Αυγούστου 2020 και τροποποιήθηκε περαιτέρω στις 15 Μαρτίου 2021. Οι κανονισμοί αυτοί ενημερώθηκαν πρόσφατα από την Υπηρεσία Προστασίας Προστασίας Προσωπικών Δεδομένων της Καλιφόρνια. Αυτοί οι κανονισμοί εμφανίζονται στον Τίτλο 11, Τμήμα 6, Τμήμα 7001 και επόμενα. του Κώδικα Κανονισμών της Καλιφόρνια και τέθηκε σε ισχύ στις 29 Μαρτίου 2023.

11. Είναι οι νόμιμες εξαιρέσεις για τα δεδομένα των εργαζομένων και τις συναλλαγές επιχειρήσεων σε επιχειρήσεις που εξακολουθούν να ισχύουν?

Οχι. Οι εξαιρέσεις για προσωπικές πληροφορίες που σχετίζονται με την απασχόληση και προσωπικές πληροφορίες που αντικατοπτρίζουν τις συναλλαγές επιχειρήσεων που περιγράφονται στον αστικό κώδικα SEC. 1798.145 (m)-(n) Έληξε στις 31 Δεκεμβρίου 2022.

12. Μπορώ να χρησιμοποιήσω έναν εξουσιοδοτημένο πράκτορα για να υποβάλω ένα αίτημα?

Ναί. Μπορείτε να εξουσιοδοτήσετε άλλο άτομο να υποβάλετε ένα αίτημα CCPA για λογαριασμό σας. Μπορείτε επίσης να εξουσιοδοτήσετε μια επιχειρηματική οντότητα που έχει εγγραφεί στον υπουργό Εξωτερικών της Καλιφόρνια για να υποβάλετε αίτημα για λογαριασμό σας.

Λάβετε υπόψη ότι εάν χρησιμοποιείτε έναν εξουσιοδοτημένο πράκτορα, οι επιχειρήσεις ενδέχεται να απαιτούν περισσότερες πληροφορίες είτε από τον εξουσιοδοτημένο πράκτορα είτε από εσάς για να επαληθεύσετε ότι είστε το άτομο που κατευθύνει τον πράκτορα. Για παράδειγμα, για αιτήματα για να γνωρίσετε ή να διαγράψετε τα προσωπικά σας στοιχεία, η επιχείρηση ενδέχεται να απαιτήσει από τον εξουσιοδοτημένο πράκτορα να παράσχει απόδειξη ότι δώσατε στον πράκτορα υπογεγραμμένο άδεια να υποβάλει το αίτημα. Οι επιχειρήσεις ενδέχεται επίσης να σας ζητήσουν να επαληθεύσετε την ταυτότητά σας απευθείας με την επιχείρηση ή να επιβεβαιώσετε άμεσα με την επιχείρηση που δώσατε στον εξουσιοδοτημένο πράκτορα άδεια να υποβάλετε το αίτημα.

σι. Δικαίωμα εξαίρεσης πώλησης ή κοινής χρήσης

1. Ποιο είναι το δικαίωμα να αποχωρήσουμε?

Μπορείτε να ζητήσετε από τις επιχειρήσεις να σταματήσουν να πωλούν ή να μοιράζονται τα προσωπικά σας στοιχεία (“εξαίρεση”·. Σημειώστε ότι η κοινή χρήση αναφέρεται ειδικά στην κοινή χρήση για διαφήμιση συμπεριφοράς διασταυρούμενου κέντρου, η οποία είναι η στόχευση της διαφήμισης σε έναν καταναλωτή με βάση τον καταναλωτή’προσωπικά στοιχεία που λαμβάνονται από τον καταναλωτή’S online δραστηριότητα σε πολυάριθμους ιστότοπους. Με κάποιες εξαιρέσεις, οι επιχειρήσεις δεν μπορούν να πουλήσουν ή να μοιραστούν τα προσωπικά σας στοιχεία αφού λάβουν το αίτημά σας για εξαίρεση, εκτός αν αργότερα παρέχετε την εξουσιοδότηση επιτρέποντάς τους να το κάνουν ξανά. Οι επιχειρήσεις πρέπει να περιμένουν τουλάχιστον 12 μήνες πριν σας ζητήσουν να επιλέξετε την πώληση ή την κοινή χρήση των προσωπικών σας στοιχείων.

2. Μπορούν οι επιχειρήσεις να πουλήσουν ένα παιδί’προσωπικά στοιχεία?

Οι επιχειρήσεις μπορούν να πουλήσουν μόνο τα προσωπικά στοιχεία ενός παιδιού που γνωρίζουν ότι είναι κάτω των 16 ετών εάν λάβουν καταφατική εξουσιοδότηση (“opt-in”) για την πώληση του παιδιού’προσωπικά στοιχεία. Για παιδιά ηλικίας κάτω των 13 ετών, αυτό το opt-in πρέπει να προέρχεται από το παιδί’S γονέας ή κηδεμόνας. Για παιδιά ηλικίας τουλάχιστον 13 ετών, αλλά κάτω των 16 ετών, το opt-in μπορεί να προέλθει από το παιδί.

3. Πώς μπορώ να υποβάλω το αίτημά μου για εξαίρεση?

Οι επιχειρήσεις που πωλούν προσωπικά στοιχεία υπόκεινται στην απαίτηση της CCPA να παρέχει σαφή και εμφανή “Μην πουλάτε ή μοιράζεστε τα προσωπικά μου στοιχεία” σύνδεσμος στον ιστότοπό τους που σας επιτρέπει να υποβάλετε ένα αίτημα εξαίρεσης. Οι επιχειρήσεις δεν μπορούν να απαιτήσουν από εσάς να δημιουργήσετε λογαριασμό για να υποβάλετε το αίτημά σας. Οι επιχειρήσεις επίσης δεν πρέπει να απαιτούν από εσάς να επαληθεύσετε την ταυτότητά σας, αν και μπορούν να σας ζητήσουν βασικές ερωτήσεις για να προσδιορίσετε ποιες προσωπικές πληροφορίες σχετίζονται μαζί σας.

Μπορείτε επίσης να υποβάλετε ένα αίτημα εξαίρεσης μέσω ενός παγκόσμιου ελέγχου απορρήτου με δυνατότητα χρήστη, όπως το GPC, που συζητήθηκε στις Συχνές Ερωτήσεις 8 & 9 παρακάτω. Αν μπορείς’να βρει μια επιχείρηση’μικρό “Μην πουλάτε ή μοιράζεστε τα προσωπικά μου στοιχεία” σύνδεσμος, αναθεωρήστε την πολιτική απορρήτου για να διαπιστώσει εάν πωλεί ή μοιράζεται προσωπικά στοιχεία. Εάν η επιχείρηση κάνει, πρέπει επίσης να περιλαμβάνει αυτόν τον σύνδεσμο στην πολιτική απορρήτου της.

Εάν μια επιχείρηση’μικρό “Μην πουλάτε τα προσωπικά μου στοιχεία” Ο σύνδεσμος ή άλλη καθορισμένη μέθοδος υποβολής αιτήσεων εξαίρεσης δεν λειτουργεί ή είναι δύσκολο να βρεθεί, ενημερώστε την επιχείρηση γραπτώς χρησιμοποιώντας το εργαλείο απορρήτου των καταναλωτών (https: // oag.περίπου.Gov/Consumer-Privacy Tool). Ή, μπορείτε να αναφέρετε την επιχείρηση στο γραφείο μας (https: // oag.περίπου.Gov/Contact/Consumer-Complaint-Against-Business-or-Company).

4. Πόσο καιρό πρέπει να ανταποκριθεί η επιχείρηση στο αίτημά μου για εξαίρεση?

Οι επιχειρήσεις πρέπει να ανταποκριθούν το συντομότερο δυνατόν εφικτό στο αίτημά σας, έως και 15 εργάσιμες ημέρες από την ημερομηνία που έλαβαν το αίτημά σας για εξαίρεση.

5. Γιατί η επιχείρηση μου ζητά περισσότερες πληροφορίες?

Ενώ οι επιχειρήσεις δεν υποχρεούνται να επαληθεύσουν ότι το άτομο που υποβάλλει ένα αίτημα εξαίρεσης είναι πραγματικά ο καταναλωτής για τον οποίο η επιχείρηση έχει προσωπικά στοιχεία, ίσως χρειαστεί να σας ζητήσει πρόσθετες πληροφορίες για να βεβαιωθείτε ότι σταματούν να πωλούν το σωστό άτομο’προσωπικά στοιχεία. Εάν η επιχείρηση ζητήσει προσωπικά στοιχεία για την επαλήθευση της ταυτότητάς σας, μπορεί να χρησιμοποιήσει μόνο αυτές τις πληροφορίες για αυτόν τον σκοπό επαλήθευσης.

6. Γιατί η επιχείρηση αρνήθηκε το αίτημά μου για εξαίρεση?

• Η πώληση ή η κοινή χρήση είναι απαραίτητη για την επιχείρηση να συμμορφώνεται με νομικές υποχρεώσεις, να ασκεί νομικές αξιώσεις ή δικαιώματα ή να υπερασπιστεί νομικές αξιώσεις
• Οι πληροφορίες είναι διαθέσιμες στο κοινό, ορισμένες ιατρικές πληροφορίες, πληροφορίες αναφοράς καταναλωτικών πιστωτικών ή άλλων τύπων πληροφοριών που απαλλάσσονται από το CCPA.

Εάν δεν γνωρίζετε γιατί μια επιχείρηση αρνήθηκε το αίτημά σας για εξαίρεση, ακολουθήστε την επιχείρηση για να την ζητήσετε για τους λόγους της.

7. Γιατί έλαβα μια απάντηση ότι η επιχείρηση είναι ένας πάροχος υπηρεσιών που δεν χρειάζεται να ενεργεί κατόπιν αιτήματός μου?

Πολλές επιχειρήσεις χρησιμοποιούν άλλες επιχειρήσεις για να τους παρέχουν υπηρεσίες. Για παράδειγμα, ένας λιανοπωλητής μπορεί να συρρικνωθεί με έναν επεξεργαστή κάρτας πληρωμής για την επεξεργασία συναλλαγών πιστωτικής κάρτας πελατών ή μια ναυτιλιακή εταιρεία για την παράδοση παραγγελιών. Αυτές οι οντότητες μπορούν να πληρούν τις προϋποθέσεις ως “πάροχοι υπηρεσιών” Κάτω από το CCPA.

Το CCPA αντιμετωπίζει τους παρόχους υπηρεσιών διαφορετικά από τις επιχειρήσεις που εξυπηρετούν. Είναι η επιχείρηση που είναι υπεύθυνη για την ανταπόκριση στα αιτήματα των καταναλωτών. Εάν υποβάλετε ένα αίτημα εξαίρεσης σε έναν πάροχο υπηρεσιών μιας επιχείρησης αντί της ίδιας της επιχείρησης, ο πάροχος υπηρεσιών μπορεί να αρνηθεί το αίτημα. Πρέπει να υποβάλετε το αίτημά σας στην ίδια την επιχείρηση.

Εάν ένας πάροχος υπηρεσιών έχει πει ότι δεν έχει ή δεν μπορεί να ενεργήσει κατόπιν αιτήματός σας επειδή είναι πάροχος υπηρεσιών, μπορείτε να ακολουθήσετε για να ρωτήσετε ποια είναι η επιχείρηση. Ωστόσο, μερικές φορές ο πάροχος υπηρεσιών δεν θα είναι σε θέση να παρέχει αυτές τις πληροφορίες. Μπορεί να είστε σε θέση να καθορίσετε ποια είναι η επιχείρηση βασίζεται στις υπηρεσίες που παρέχει ο πάροχος υπηρεσιών, αν και μερικές φορές αυτό μπορεί να είναι δύσκολο ή αδύνατο.

8. Τι είναι το GPC?

Οι επιχειρήσεις που πωλούν ή μοιράζονται προσωπικά στοιχεία πρέπει να προσφέρουν δύο ή περισσότερες μεθόδους για τους καταναλωτές να υποβάλλουν αιτήματα για την εξαίρεση της πώλησης των προσωπικών τους πληροφοριών. Για τις επιχειρήσεις που συλλέγουν προσωπικά στοιχεία από τους καταναλωτές στο διαδίκτυο, μια αποδεκτή μέθοδος για τους καταναλωτές για την εξαίρεση των πωλήσεων ή της κοινής χρήσης είναι μέσω ενός παγκόσμιου ελέγχου απορρήτου με δυνατότητα χρήστη, όπως το GPC. Αναπτύχθηκε ως απάντηση στο CCPA και για την ενίσχυση των δικαιωμάτων απορρήτου των καταναλωτών, το GPC είναι α ‘Σταματήστε να πωλούν ή να μοιράζονται τον διακόπτη δεδομένων μου’ Αυτό είναι διαθέσιμο σε ορισμένα προγράμματα περιήγησης στο διαδίκτυο, όπως το Mozilla Firefox, το Duck Duck Go, και το Brave, ή ως επέκταση του προγράμματος περιήγησης. Πρόκειται για ένα προτεινόμενο τεχνικό πρότυπο που αντικατοπτρίζει αυτό που προβλέπονται οι κανονισμοί CCPA-ορισμένοι καταναλωτές θέλουν μια ολοκληρωμένη επιλογή που σηματοδοτεί ευρέως το αίτημά τους για εξαίρεση, σε αντίθεση με την υποβολή αιτήσεων σε πολλαπλούς ιστότοπους σε διαφορετικά προγράμματα περιήγησης ή συσκευές. Η αποχώρηση από την πώληση ή την ανταλλαγή προσωπικών πληροφοριών πρέπει να είναι εύκολη για τους καταναλωτές και το GPC είναι μια επιλογή για τους καταναλωτές που θέλουν να υποβάλουν αιτήματα για την απόσυρση της πώλησης ή της ανταλλαγής προσωπικών πληροφοριών μέσω ενός παγκόσμιου ελέγχου απορρήτου με δυνατότητα χρήστη. Σύμφωνα με το νόμο, πρέπει να τιμηθεί από τις καλυμμένες επιχειρήσεις ως έγκυρο αίτημα καταναλωτή για να σταματήσει η πώληση ή η ανταλλαγή προσωπικών πληροφοριών.

9. Πώς μπορώ να υποβάλω το αίτημά μου για την εξαίρεση χρησιμοποιώντας το GPC?

Για να μάθετε περισσότερα σχετικά με το GPC, μπορείτε να επισκεφθείτε την ιστοσελίδα της εδώ. Οι προγραμματιστές έχουν αρχίσει να καινοτομούν γύρω από το GPC και δημιούργησαν διαφορετικούς μηχανισμούς για τους καταναλωτές, όπως το EFF’S Επέκταση Badger ή το γενναίο πρόγραμμα περιήγησης απορρήτου.

Ο νόμος για την προστασία της ιδιωτικής ζωής της Καλιφόρνια και το GDPR: Δύο από ένα είδος?

Ενώ η σκόνη της ισχύος της Ευρωπαϊκής Ένωσης’S (ΕΕ) Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR) δεν έχει εγκατασταθεί, ένας νέος, κάπως παρόμοιος νόμος περί ιδιωτικού απορρήτου έχει εισαχθεί στο εξωτερικό. Ο νόμος περί ιδιωτικού απορρήτου της Καλιφόρνια (CCPA), που υιοθετήθηκε στις 28 Ιουνίου 2018, καθιερώνει έναν από τους πιο ολοκληρωμένους κανονισμούς απορρήτου δεδομένων στις ΗΠΑ. Ως εκ τούτου, θα μπορούσε να θεωρηθεί ως το αμερικανικό αντίστοιχο του GDPR.

Δεδομένου ότι πολλές παγκόσμιες εταιρείες εξακολουθούν να εργάζονται πυρετωδώς στη συμμόρφωσή τους στο GDPR, σωστά αναρωτιούνται αν η παγκόσμια εφαρμογή του GDPR’Η προστασία της ιδιωτικής ζωής θα είναι επαρκής για να συμμορφωθούν με το CCPA ή παρόμοιους νόμους σε όλο τον κόσμο.

Δεν αποτελεί έκπληξη το γεγονός ότι η απάντηση σε αυτήν την ερώτηση είναι όχι. Αν και το CCPA’Η εστίαση στα δικαιώματα δεδομένων των καταναλωτών έχει καταλήξει σε συγκρίσεις με το GDPR, η συμμόρφωση με το τελευταίο δεν σημαίνει απαραίτητα συμμόρφωση με το πρώτο. Ως εκ τούτου, θα παρουσιαστούν μερικές από τις βασικές διαφορές και ομοιότητες μεταξύ του CCPA και του GDPR, με σκοπό να δοθεί η πρώτη ματιά σε ποιες πρόσθετες προσπάθειες θα πρέπει να εξετάσουν οι εταιρείες κατά την εκτέλεση του νόμου’ουσία σε ισχύ την 1η Ιανουαρίου 2020.

Εφαρμοστέο. Πρώτα απ ‘όλα, οι παγκόσμιες εταιρείες θα πρέπει να επαληθεύσουν εάν, εκτός από το GDPR, το CCPA ισχύει για αυτούς. Το GDPR εφαρμόζεται στην επεξεργασία προσωπικών δεδομένων από ελεγκτές και επεξεργαστές που δημιουργούνται εντός της Ευρωπαϊκής Ένωσης καθώς και για εκείνους που έχουν καθιερωθεί εκτός της Ευρωπαϊκής Ένωσης που επεξεργάζονται προσωπικά δεδομένα θεμάτων εντός της Ένωσης. Το CCPA, ωστόσο, ρυθμίζει μόνο τις εταιρείες “κάνοντας δουλειές” στην πολιτεία της Καλιφόρνια. Ως εκ τούτου, η CCPA δεν επεκτείνει το πεδίο εφαρμογής της σε εταιρείες των οποίων “Όλη η εμπορική συμπεριφορά πραγματοποιείται έξω από την Καλιφόρνια”. Επιπλέον, το CCPA διέπει μόνο την επεξεργασία προσωπικών πληροφοριών από μια οντότητα που αποφασίζει για τα μέσα και τους σκοπούς της επεξεργασίας, i.μι., ένα ‘ελεγκτής δεδομένων’ με την έννοια του GDPR. Το πιο σημαντικό είναι ότι οι εταιρείες που επεξεργάζονται προσωπικές πληροφορίες για τους κατοίκους της Καλιφόρνια δεν υπόκεινται στη νέα πράξη, εκτός εάν ικανοποιούν ένα (ή περισσότερο) από τα ακόλουθα όρια: (i) έχουν ετήσια ακαθάριστα έσοδα ύψους 25 εκατομμυρίων δολαρίων · (ii) έχουν λάβει τα προσωπικά στοιχεία των 50 χιλιάδων ή περισσότερων κατοίκων, νοικοκυριών ή συσκευών της Καλιφόρνιας ετησίως. ή (iii) έχουν αποκτήσει 50 % ή περισσότερα από τα ετήσια έσοδά τους από την πώληση κατοίκων της Καλιφόρνια’ προσωπικές πληροφορίες.

Έννοια των προσωπικών δεδομένων. Επιπλέον, η έννοια των προσωπικών δεδομένων/προσωπικών πληροφοριών δεν ορίζεται με τον ίδιο ακριβώς τρόπο σύμφωνα με τους δύο νόμους. Αν και καθένας από αυτούς αναφέρεται σε πληροφορίες ‘σχετικά με’ Ένα άτομο/καταναλωτής, το CCPA περιλαμβάνει επίσης ρητά πληροφορίες “που μπορεί να συνδεθεί λογικά με ένα νοικοκυριό”. Κατά συνέπεια, όχι μόνο ένας καταναλωτής’Η διεύθυνση IP, αλλά και τα τιμολόγια χρησιμότητας ενός νοικοκυριού της Καλιφόρνιας, αποτελούν προσωπικές πληροφορίες στο πλαίσιο του CCPA. Τούτου λεχθέντος, μπορεί κανείς να υποστηρίξει ότι το GDPR περιλαμβάνει σιωπηρά αυτές τις πληροφορίες που σχετίζονται με το νοικοκυριό, καθώς σχετίζεται και με τα μέλη του νοικοκυριού.

Δικαιώματα χρήστη. Όσον αφορά τα δικαιώματα που απονέμονται στον καταναλωτή, το CCPA και το GDPR παρουσιάζουν αξιοσημείωτες διαφορές. Το CCPA, σε αντίθεση με το GDPR, δεν καθορίζει κανένα νομικό λόγο για επεξεργασία, ούτε απαιτεί ρητή συγκατάθεση. Ωστόσο, ο νόμος στοχεύει στην προώθηση των Καλιφορνέων’ Δικαίωμα στην ιδιωτική ζωή δίνοντας στους καταναλωτές αποτελεσματικούς τρόπους για τον έλεγχο των προσωπικών τους πληροφοριών. Κατά συνέπεια, το CCPA αποδίδει μεγάλη σημασία στο δικαίωμα των καταναλωτών να γνωρίζουν ποιες κατηγορίες προσωπικών πληροφοριών συλλέγονται γι ‘αυτούς και τους χορηγούν ένα ευρύ δικαίωμα πρόσβασης σε αντίγραφο των προσωπικών τους πληροφοριών που συλλέγονται. Αν και αυτά τα δικαιώματα μπορεί να φαίνονται παρόμοια με αυτά που βρέθηκαν στο GDPR, το CCPA προχωράει περαιτέρω, συμπεριλαμβάνοντας ορισμένες πολύ συνταγογραφούμενες υποχρεώσεις, όπως το καθήκον να διατίθενται στους καταναλωτές έναν αριθμό τηλεφώνου χωρίς χρέωση και διεύθυνση ιστότοπου για την υποβολή αιτήσεων πληροφοριών.

Εμπορική χρήση. Μια άλλη βασική παροχή του CCPA που φαίνεται να ξεπερνά το επίπεδο προστασίας που παρέχεται από το GDPR αφορά την ανταλλαγή προσωπικών πληροφοριών για εμπορικούς σκοπούς. Ενώ η ανταλλαγή προσωπικών πληροφοριών σχετικά με τους κατοίκους της Καλιφόρνια με τρίτους δεν απαγορεύεται ως τέτοιοι, οι Καλιφόρνιοι έχουν το δικαίωμα να αποχωρήσουν από την πώληση των προσωπικών τους πληροφοριών. Για να ενισχύσουν αυτό το δικαίωμα, οι επιχειρήσεις είναι υποχρεωμένες να παρέχουν έναν σαφή σύνδεσμο στην αρχική τους σελίδα με τίτλο ‘Μην πουλάτε τα προσωπικά μου στοιχεία’, που επιτρέπει στον καταναλωτή να εξαιρεθεί. Αυτός ο σύνδεσμος πρέπει επίσης να ενσωματωθεί στην πολιτική απορρήτου στο διαδίκτυο, μαζί με μια περιγραφή του ίδιου του δικαιώματος. Λαμβάνοντας υπόψη επίσης το GDPR’είναι γενικότερο δικαίωμα να περιορίσουμε ή να αντιταχθούν στην επεξεργασία των προσωπικών δεδομένων, οι εταιρείες ενδέχεται να βιώσουν την ανταλλαγή προσωπικών δεδομένων για να γίνουν όλο και πιο δύσκολες.

Ισα δικαιώματα. Το CCPA ορίζει ότι οι Καλιφορνέζοι έχουν το δικαίωμα στην ίση υπηρεσία και τιμή, ακόμη και αν ασκούν τα δικαιώματα απορρήτου τους. Αυτό σημαίνει ότι οι εταιρείες απαγορεύονται να αρνείται αγαθά ή υπηρεσίες, να χρεώνουν διαφορετικές τιμές ή να παρέχουν διαφορετικά επίπεδα ή ποιότητα υπηρεσιών σε όσους ασκούν τα δικαιώματα απορρήτου τους. Από την άλλη πλευρά, οι επιχειρήσεις επιτρέπεται να προσφέρουν οικονομικά κίνητρα για τη συλλογή ή πώληση προσωπικών πληροφοριών και μπορεί ακόμη και να διαφοροποιήσουν την τιμή ή την ποιότητα των αγαθών και των υπηρεσιών, εάν η διαφορά αυτή σχετίζεται άμεσα με την αξία που παρέχεται στον καταναλωτή με τα δεδομένα της. Δεδομένου ότι αυτές οι τελευταίες εξαιρέσεις φαίνεται να καταπιούν τον κανόνα, είναι ακόμα αβέβαιο πώς οι επιτρεπόμενες διαφορές τιμολόγησης θα λειτουργούν στην πράξη. Ωστόσο, δεδομένου ότι το CCPA είναι κατανοητό ως έργο σε εξέλιξη, οι διατάξεις αυτές αναμένεται να αποτελούν αντικείμενο μελλοντικών τροποποιήσεων.

Μερικές κοινότητες. Εκτός από τις διαφορές, το CCPA και το GDPR έχουν πολλά κοινά. Και οι δύο νόμοι ασχολούνται με τα ίδια ευρεία θέματα, όπως η διαφάνεια, και καθένας από αυτούς καθορίζει ένα παρόμοιο δικαίωμα για τη διαγραφή προσωπικών δεδομένων (‘Δικαίωμα να ξεχαστεί’) καθώς και το δικαίωμα στη φορητότητα δεδομένων.

Ασφάλεια δεδομένων. Όταν πρόκειται για την ασφάλεια των δεδομένων και την απόκριση παραβίασης δεδομένων, το CCPA τείνει να είναι λιγότερο αυστηρό από το GDPR. Παρόλο που οι εταιρείες έχουν καθήκον να εφαρμόζουν και να διατηρούν εύλογες διαδικασίες και πρακτικές ασφαλείας που είναι κατάλληλες για τη φύση των πληροφοριών, δεν υποχρεούνται να αναφέρουν παραβιάσεις δεδομένων όταν συμβαίνουν αυτές. Κατά συνέπεια, εάν μια επιχείρηση συμμορφώνεται με το GDPR όσον αφορά την εξασφάλιση δεδομένων, είναι πιθανό ότι δεν θα πρέπει να αναλάβει περαιτέρω μέτρα για να συμμορφωθεί με το CCPA από την άποψη αυτή.

Πρόστιμα και οικονομική έκθεση. Οι εταιρείες δεν πρέπει να ξεχνούν ότι σε περίπτωση μη συμμόρφωσης, ενδέχεται να αντιμετωπίσουν πρόσθετες αποζημιώσεις, συμπληρώνοντας εκείνες που παρέχονται από το GDPR. Στο CCPA, η επιβολή της εκτέλεσης στηρίζεται στον Γενικό Εισαγγελέα της Καλιφόρνια, ο οποίος μπορεί να φέρει σε εταιρείες που διατάζουν την πολιτική δράση να καταβάλουν αποζημίωση ύψους έως και 7500 δολαρίων ανά σκόπιμη παραβίαση οποιασδήποτε διάταξης του νόμου. Οι ακούσιες παραβιάσεις που δεν έχουν αποκατασταθεί εντός 30 ημερών από την ειδοποίηση μπορούν να ισοδυναμούν με αποζημίωση μέχρι 2500 $ ανά παραβίαση. Μόνο σε περίπτωση κλοπής δεδομένων ή παραβίαση της ασφάλειας δεδομένων, οι ίδιοι οι καταναλωτές έχουν δικαίωμα ιδιωτικής δράσης για νόμιμες αποζημιώσεις μεταξύ $ 100 και $ 750 ανά καταναλωτή και περιστατικό ή πραγματικές ζημίες, όποιο από τα δύο είναι μεγαλύτερη, καθώς και οποιαδήποτε άλλη ανακούφιση ένα δικαστήριο θεωρεί σωστό. Εκτός από αυτό το μάλλον περιορισμένο δικαίωμα καταναλωτών, ο νόμος εξουσιοδοτεί επίσης τον Γενικό Εισαγγελέα να ασκήσει δράση πολιτικής τάξης. Εάν σε συνδυασμό με τα διοικητικά πρόστιμα ύψους έως και 20 εκατ. Ευρώ ή 4 % του συνολικού ετήσιου κύκλου εργασιών (όποιο από τα δύο είναι υψηλότερο) που παρέχεται από το GDPR, το πραγματικό ποσό που καταβάλλεται για παραβίαση ή/και παραβίαση δεδομένων μπορεί να καταλήξει σε μια υπαρξιακή απειλή για πολλές εταιρείες.

συμπέρασμα

Είναι σαφές ότι ανεξάρτητα από τις προηγούμενες υλοποιήσεις GDPR, οι εταιρείες θα πρέπει να καταβάλλουν μεγάλη προσπάθεια για την επίτευξη της συμμόρφωσης με τα δικαιώματα και τις υποχρεώσεις που παρέχονται από τον νόμο περί ιδιωτικότητας των καταναλωτών της Καλιφόρνια. Στην ουσία, οι εταιρείες θα πρέπει να επανεξετάσουν τα επιχειρηματικά μοντέλα δημιουργίας εσόδων από τη δημιουργία δεδομένων, να προσαρμόσουν τις πολιτικές απορρήτου τους, να βελτιώσουν τα εσωτερικά τους συστήματα και διαδικασίες για να φιλοξενήσουν τα δικαιώματα των καταναλωτών και να διατηρήσουν εκτεταμένα αρχεία των προσωπικών πληροφοριών που επεξεργάζονται.

Για τις εταιρείες που λειτουργούν παγκοσμίως, η πλοήγηση στους νόμους περί προστασίας δεδομένων μπορεί επίσης να αποδειχθεί δύσκολη. Είτε μπορούν να αποφασίσουν να μεταρρυθμίσουν ολόκληρες τις πρακτικές διαχείρισης δεδομένων τους για να συμμορφωθούν τόσο με το CCPA όσο και με το GDPR, ή μπορούν να δημιουργήσουν μια προσέγγιση προστασίας δεδομένων συνονιδίων που διαφοροποιεί τους Καλιφορνέζους και άλλους καταναλωτές. Σε κάθε περίπτωση, είναι σκόπιμο να καλέσετε νομικό σύμβουλο που κατανοεί τις ανάγκες της εταιρείας και είναι έμπειρος και στους δύο νόμους. Μόνο τότε μπορεί να επιτευχθεί μια καλά-παραγεμισμένη στρατηγική συμμόρφωσης.

Ο Geert Somers είναι συνεργάτης και ο Liesa Boghaert ένας δικηγόρος στο νόμο.λεξικό. Ο κ. Somers μπορεί να έρθει σε επαφή με +32 (0) 474 89 04 20 ή μέσω ηλεκτρονικού ταχυδρομείου: Geert.Somers@timelex.ΕΕ. Η κ. Boghaert μπορεί να επικοινωνήσει με το +32 (0) 479 10 36 38 ή μέσω ηλεκτρονικού ταχυδρομείου: Liesa.boghaert@timelex.ΕΕ.

California Consumer Privacy Act (CCPA) VS. GDPR

Οι νόμοι περί ιδιωτικής ζωής δεδομένων γίνονται γρήγορα ένα πρωταρχικό στοιχείο σε οποιαδήποτε συνομιλία ασφάλειας δεδομένων: από την ΕΕ’S GDPR στον Νόμο περί Προστασίας Προσωπικών Δεδομένων της Καλιφόρνια στην Ιαπωνία’S Δράση για την προστασία των προσωπικών πληροφοριών, η δυνατότητα προστασίας των δεδομένων των καταναλωτών είναι κορυφαία. Για τις εταιρείες που είναι χτισμένες γύρω από τα δεδομένα των καταναλωτών, η εμπιστοσύνη των καταναλωτών γίνεται ζωτικής σημασίας μέρος του επιχειρηματικού τους μοντέλου.

Στις 25 Μαΐου 2018, τέθηκε σε ισχύ ο κανονισμός για την προστασία των δεδομένων της ΕΕ (GDPR). Και μετά την ΕΕ’Το S GDPR ήρθε μια άλλη μετατόπιση της ιδιωτικής ζωής των δεδομένων – ο νόμος περί ιδιωτικού απορρήτου της Καλιφόρνια (CCPA). Στις 28 Ιουνίου 2018, ο κυβερνήτης Jerry Brown υπέγραψε το CCPA, το οποίο θα θεσπίσει κάποια από τη χώρα’είναι οι πιο ισχυρές προστασίες απορρήτου δεδομένων καταναλωτών στο νόμο.

Αποκτήστε τον ελεύθερο βασικό οδηγό για τη συμμόρφωση και τους κανονισμούς για την προστασία δεδομένων των ΗΠΑ

Με την καταστροφική σειρά συμβάντων παραβίασης δεδομένων τα τελευταία δύο χρόνια, προέκυψαν πολλά ερωτήματα και ανησυχίες σχετικά με τον τρόπο χειρισμού των δεδομένων των καταναλωτών. Το 2017 ήταν η χρονιά της παραβίασης των δεδομένων με το μέγεθος των συμβάντων υψηλού προφίλ σε εταιρείες όπως το Equifax και το Yahoo. Οι επιθέσεις όπως αυτές κάνουν τις παραβιάσεις δεδομένων φαίνονται μέρος της κανονικής ζωής – όχι μόνο στις Ηνωμένες Πολιτείες, αλλά σε όλο τον κόσμο.

Ενώ το GDPR δημιουργήθηκε για να προστατεύσει τους πολίτες της ΕΕ, ο αντίκτυπός της καλύπτει πολύ πιο μακριά. Το CCPA είναι αποτέλεσμα του GDPR’να φτάνει στην επιρροή, να μετατοπίσει τις κυβερνητικές προτεραιότητες και να τους καθιστά πιο πρόθυμους να προστατεύσουν την ατομική ιδιωτική ζωή. Αν και το CCPA δεν τεθεί σε ισχύ μέχρι την 1η Ιανουαρίου 2020, αυτό’είναι σημαντικό να γνωρίζετε τις πολιτικές και τις διαδικασίες που είναι απαραίτητες για τη συμμόρφωση και να αναλύσετε τις τρέχουσες και μελλοντικές επιπτώσεις που θα έχει σε σύγκριση με το GDPR.

Επισκόπηση CCPA

Οι επιχειρήσεις έχουν ένα ιστορικό χρήσης προσωπικών πληροφοριών για να ωφελήσουν τη δική τους ατζέντα: Ο νόμος περί ιδιωτικού απορρήτου της Καλιφόρνια (CCPA) θα χρησιμεύσει για την προστασία των δικαιωμάτων των καταναλωτών της Καλιφόρνια και θα ενθαρρύνει την ισχυρότερη ιδιωτικότητα και τη μεγαλύτερη διαφάνεια συνολικά. Θα δώσει στους καταναλωτές την ιδιοκτησία, τον έλεγχο και την ασφάλεια στα προσωπικά τους στοιχεία – και οι καταναλωτές θα έχουν τη δυνατότητα να ζητήσουν κάθε επιχείρηση να αποκαλύψει (και να διαγράψει) τις προσωπικές πληροφορίες που συλλέγει και να ζητήσει να μην πωληθούν τα δεδομένα τους σε τρίτους.

Αυτές οι προστασίες δεδομένων δίνουν στους Καλιφορνέζους το δικαίωμα:

• Γνωρίστε ποιες προσωπικές πληροφορίες συλλέγονται
• Πρόσβαση στα προσωπικά στοιχεία που συλλέγονται και ζητήστε να διαγραφεί
• Μάθετε εάν μοιράζονται τα προσωπικά τους στοιχεία και αν ναι, με ποιον
• Εξαίρεση της πώλησης των προσωπικών τους πληροφοριών
• Έχουν ίσες υπηρεσίες και τιμή, ανεξάρτητα από το αν επιλέγουν ή όχι να ασκήσουν τα δικαιώματα απορρήτου τους ή όχι

Οι επιχειρήσεις θα απαγορευτούν επίσης να πωλούν τα προσωπικά στοιχεία των καταναλωτών ηλικίας 13-16 ετών (εκτός εάν ο καταναλωτής επιλέξει). Για τους καταναλωτές ηλικίας κάτω των 13 ετών, θα απαιτηθεί συγκατάθεση από γονέα ή κηδεμόνα. Αυτές οι νέες προστασίες δεν επηρεάζουν μόνο τους καταναλωτές της Καλιφόρνια αλλά και τις επιχειρήσεις της Καλιφόρνια.

Που ισχύει για το CCPA?

Ο νόμος για την προστασία της ιδιωτικής ζωής της Καλιφόρνια ορίζει μια επιχείρηση ως κερδοσκοπική οντότητα που συλλέγει προσωπικά δεδομένα των καταναλωτών. Έτσι, αν εσείς’ΕΙΣΑΓΩΓΗ ΕΠΙΧΕΙΡΗΣΕΙΣ ΣΤΗΝ ΚΡΑΤΗ ΤΗΣ Καλιφόρνια που συναντά τουλάχιστον ένα από τα ακόλουθα όρια, ενδέχεται να υπόκεινται σε συμμόρφωση:

• Οι επιχειρήσεις που κερδίζουν 25.000.000 δολάρια ή περισσότερα έσοδα σε έσοδα
• Οι επιχειρήσεις που αγοράζουν ετησίως, λαμβάνουν, πωλούν ή μοιράζονται προσωπικά στοιχεία για 50.000 ή περισσότερους καταναλωτές, νοικοκυριά ή συσκευές για εμπορικούς σκοπούς
• Οι επιχειρήσεις που αντλούν το 50% ή περισσότερο από τα ετήσια έσοδά της από την πώληση προσωπικών πληροφοριών καταναλωτών

Σύμφωνα με το CCPA, οι πολίτες της Καλιφόρνια θα έχουν τη δυνατότητα να φέρουν αγωγή αστικής αγωγής εναντίον εταιρειών που δεν συμμορφώνονται με το νόμο. Το κράτος μπορεί επίσης να φέρει αυτές τις χρεώσεις απευθείας σε μια εταιρεία – χρεώνοντας πρόστιμο 7.500 $ για οποιαδήποτε παραβίαση που δεν αντιμετωπίζεται εντός 30 ημερών.

Γιατί η Καλιφόρνια’Το νέο νόμο έχει σημασία για όλους τους άλλους? Το’μέρος μιας παγκόσμιας τάσης που πιέζει τις εταιρείες προς μεγαλύτερη λογοδοσία όσον αφορά την προστασία των δεδομένων των καταναλωτών. Επιπλέον, έχει δώσει σε άλλες χώρες και τα κράτη ώθηση προς τη σημασία της λήψης προσωπικών δεδομένων και των δικαιωμάτων των καταναλωτών στην ιδιωτικότητα των δεδομένων. Ο επικεφαλής υποστηρικτής του CCPA Alastair MacTaggart δήλωσε ότι, “Ενώ ο νόμος αυτός καλύπτει μόνο την Καλιφόρνια, οι μεγάλες εταιρείες θα πρέπει σύντομα να προσφέρουν παρόμοια δικαιώματα στους Αμερικανούς.”

CCPA VS. GDPR

Ο ευρωπαϊκός κανονισμός για την προστασία των δεδομένων είναι μια εξέλιξη της ΕΕ’Οι υπάρχοντες κανόνες δεδομένων, η οδηγία προστασίας δεδομένων (DPD). Απευθύνεται σε πολλές από τις αδυναμίες της DPD, συμπεριλαμβανομένης της προσθήκης απαιτήσεων για την τεκμηρίωση των διαδικασιών πληροφορικής, την εκτέλεση αξιολογήσεων κινδύνου υπό ορισμένες προϋποθέσεις, ειδοποιώντας τον καταναλωτή και τις αρχές όταν υπάρχει παραβίαση και ενίσχυση των κανόνων για την ελαχιστοποίηση των δεδομένων. Οι άνθρωποι που είναι εξοικειωμένοι με το GDPR θα παρατηρήσουν κάποιες ισχυρές ομοιότητες με το CCPA.

Το CCPA λέγεται ότι είναι πρότυπο του GDPR. Και, με το πρόσφατο πέρασμα του CCPA, πολλοί άνθρωποι αναρωτιούνται πώς συγκρίνεται με το GDPR – με μερικούς ακόμη και να την αποκαλούν αμερικανική έκδοση του κανονισμού. Ανεξάρτητα από το πόσο επηρέασε το CCPA μπορεί να ήταν από το GDPR, υπάρχουν κάποιες σαφείς διαφορές που αξίζει να σημειωθεί σε κάθε νομοθεσία.

Τόσο το CCPA όσο και το GDPR δίνουν στα άτομα ορισμένα δικαιώματα στον τρόπο με τον οποίο συλλέγονται και χρησιμοποιούνται τα προσωπικά τους στοιχεία, ωστόσο, υπάρχουν αρκετές σημαντικές αντιθέσεις που πρέπει να γνωρίζετε. Επειδή η Καλιφόρνια έχει πολύ μεγαλύτερη οικονομία από το Ηνωμένο Βασίλειο, οι επιπτώσεις των κυρώσεων μπορεί να είναι ακόμη πιο σοβαρές από αυτές του GDPR. Παρόλο που το CCPA δεν τεθεί σε ισχύ μέχρι το 2020, εμείς’Το να το βλέπει ήδη να επηρεάζει την ομοσπονδιακή νομοθεσία.

Ελέγξτε το διαδραστικό μας διάγραμμα Venn παρακάτω για να κατανοήσετε καλύτερα τις ομοιότητες και τις διαφορές μεταξύ του GDPR και του CCPA.

California Consumer Privacy Act (CCPA): Τι πρέπει να γνωρίζετε ότι συμμορφώνεστε

Στα τέλη Ιουνίου 2018, η Καλιφόρνια πέρασε το AB 375, ένα νόμο περί προστασίας της ιδιωτικής ζωής των καταναλωτών που θα μπορούσε να έχει περισσότερες επιπτώσεις σε εσάς.μικρό. εταιρείες από την Ευρωπαϊκή Ένωση’S Γενική Κανονισμός Προστασίας Δεδομένων (GDPR) που τέθηκε σε ισχύ τον Μάιο του 2018. Ο νόμος της Καλιφόρνια δεν έχει μερικές από τις πιο επαχθείς απαιτήσεις του GDPR, όπως το στενό παράθυρο 72 ωρών στο οποίο μια εταιρεία πρέπει να αναφέρει παραβίαση. Από άλλες απόψεις, ωστόσο, πηγαίνει ακόμα πιο μακριά.

Το CCPA λαμβάνει μια ευρύτερη άποψη από το GDPR για το τι συνιστά ιδιωτικά δεδομένα. Η πρόκληση για την ασφάλεια, λοιπόν, είναι να εντοπίσετε και να εξασφαλίσετε αυτά τα ιδιωτικά δεδομένα.

Τι είναι το CCPA?

Ο νόμος για την προστασία της ιδιωτικής ζωής των καταναλωτών της Καλιφόρνια (CCPA) είναι ένας νόμος που επιτρέπει σε κάθε καταναλωτή της Καλιφόρνια να ζητήσει να δει όλες τις πληροφορίες που έχει εξοικονομήσει μια εταιρεία, καθώς και έναν πλήρη κατάλογο όλων των τρίτων μερών που μοιράζονται τα δεδομένα. Επιπλέον, ο νόμος της Καλιφόρνια επιτρέπει στους καταναλωτές να μηνύσουν εταιρείες εάν παραβιάζονται οι οδηγίες απορρήτου, ακόμη και αν δεν υπάρχει παραβίαση.

Ποιες εταιρείες επηρεάζουν το CCPA?

Όλες οι εταιρείες που εξυπηρετούν τους κατοίκους της Καλιφόρνια και έχουν τουλάχιστον 25 εκατομμύρια δολάρια σε ετήσια έσοδα πρέπει να συμμορφώνονται με το νόμο. Επιπλέον, οι εταιρείες οποιουδήποτε μεγέθους έχουν προσωπικά δεδομένα σε τουλάχιστον 50.000 άτομα ή που συλλέγουν περισσότερα από τα μισά έσοδα από την πώληση προσωπικών δεδομένων, εμπίπτουν επίσης στο νόμο. Οι εταιρείες δεν χρειάζεται να βασίζονται στην Καλιφόρνια ή να έχουν φυσική παρουσία εκεί για να πέσουν κάτω από το νόμο. Δεν χρειάζεται καν να βασίζονται στις Ηνωμένες Πολιτείες.

Μια τροπολογία που έγινε τον Απρίλιο “Ασφαλιστικά ιδρύματα, πράκτορες και οργανώσεις υποστήριξης” Δεδομένου ότι υπόκεινται ήδη σε παρόμοιους κανονισμούς στο πλαίσιο της Καλιφόρνια’S Ασφαλιστικών Πληροφοριών και Προστασίας Προστασίας Προσωπικών Δεδομένων (IIPPA).

Πότε πρέπει η εταιρεία μου να συμμορφώνεται με το CCPA?

Ο νόμος τέθηκε σε ισχύ την 1η Ιανουαρίου 2020, αλλά η επιβολή άρχισε την 1η Ιουλίου.

Τι συμβαίνει εάν η εταιρεία μου δεν συμμορφώνεται με το CCPA?

Οι εταιρείες έχουν 30 ημέρες για να συμμορφωθούν με το νόμο μόλις οι ρυθμιστικές αρχές τους ενημερώνουν για παραβίαση. Εάν το ζήτημα δεν επιλυθεί, υπάρχει πρόστιμο έως και 7.500 $ ανά ρεκόρ. “Αν σκεφτείτε πόσα αρχεία επηρεάζονται σε παραβίαση, πραγματικά αυξάνεται πολύ γρήγορα”, λέει ο Debra Farber, ανώτερος διευθυντής της στρατηγικής απορρήτου στο Bigid. Δεδομένου ότι το νομοσχέδιο συγκεντρώθηκε και πέρασε σε μόλις μία εβδομάδα, πιθανότατα θα δει κάποιες τροποποιήσεις, προσθέτει. “Πράγματα όπως τα πρόστιμα είναι πιθανό να αλλάξουν.«

Υπάρχει επίσης ένας άλλος πιθανός οικονομικός κίνδυνος, λέει ο Farber. “Το νομοσχέδιο προβλέπει το δικαίωμα ενός ατόμου να μηνύσει για πρώτη φορά” λέει. “Και επιτρέπει αγωγές κατηγορίας δράσης για αποζημίωση.«

Και πάλι, υπάρχει ένα παράθυρο 30 ημερών που ξεκινά όταν οι καταναλωτές δίνουν γραπτή ειδοποίηση σε μια εταιρεία ότι πιστεύουν ότι τα δικαιώματα απορρήτου τους έχουν παραβιαστεί. “Εάν δεν θεραπεύεται και ο Γενικός Εισαγγελέας αρνείται να ασκήσει δίωξη, τότε μπορούν να φέρουν ένα κοστούμι κατηγορίας”, λέει ο Farber. “Και δεν είναι μόνο γύρω από παραβιάσεις.«

Για παράδειγμα, ο νόμος καθορίζει ότι οι εταιρείες πρέπει να έχουν ένα σαφώς ορατό υποσέλιδο σε ιστότοπους που προσφέρουν στους καταναλωτές τη δυνατότητα να αποχωρήσουν από την κοινή χρήση δεδομένων. Εάν λείπει αυτό το υποσέλιδο, οι καταναλωτές μπορούν να μηνύσουν. Μπορούν επίσης να μηνύσουν εάν δεν μπορούν να μάθουν πώς έχουν συλλεχθεί οι πληροφορίες τους ή να λάβουν αντίγραφα αυτών των πληροφοριών. “Μπορεί να είναι γύρω από οτιδήποτε, “λέει ο Farber.

Ο νόμος αναθέτει συγκεκριμένες κυρώσεις θα πρέπει να προκύψει μη εξουσιοδοτημένη πρόσβαση, είτε μέσω παραβίασης, εξάσκησης, κλοπής ή “αποκάλυψη ως αποτέλεσμα της επιχείρησης’ παραβίαση του καθήκοντος εφαρμογής και διατήρησης εύλογων διαδικασιών και πρακτικών ασφαλείας,” Όπως γράφτηκε επί του παρόντος, το AB 375 επιτρέπει ποινές από $ 100 έως $ 750 ανά καταναλωτή ανά περιστατικό ή πραγματικές ζημιές, όποιο είναι μεγαλύτερο.

“Προσθέστε όλα τα άλλα έξοδα που σχετίζονται με την παραβίαση – την απάντηση, την εγκληματολογία και την ανάκαμψη, τη νομική, την κοινοποίηση και ούτω καθεξής – και αυτό θα μπορούσε να ωθήσει μια παραβίαση στη σφαίρα μιας υπαρξιακής απειλής για πολλές επιχειρήσεις”, λέει ο Chris Prevost, επικεφαλής της αρχιτεκτονικής Solutions Security Runtime στο Imperva.

Σε γενικές γραμμές, εάν μια εταιρεία έλαβε τα βήματα που απαιτούνται για να συμμορφωθούν με το GDPR, τότε είναι το μεγαλύτερο μέρος του τρόπου εκεί για τον νόμο περί ιδιωτικού απορρήτου της Καλιφόρνια. Τουλάχιστον, είναι πιο κοντά από ό, τι αν δεν είναι έτοιμο για το GDPR, λέει ο Eric Dieterich, επικεφαλής της πρακτικής προστασίας της ιδιωτικής ζωής σε Data at Rocish Risk Rink, LLC, LLC. “Ορισμένες πολυεθνικές αλλαγές για τις ευρωπαϊκές αγορές τους, αλλά ίσως δεν το έβαλαν σε εσάς.μικρό.-βασισμένες στις δραστηριότητες, έτσι μπορεί να υπάρξει αλλαγή πεδίου “, λέει.

Ποια δεδομένα καλύπτουν το κάλυμμα CCPA?

Ο νόμος της Καλιφόρνια υιοθετεί μια ευρύτερη προσέγγιση σε αυτά που συνιστά ευαίσθητα δεδομένα από το GDPR. Για παράδειγμα, καλύπτονται οι οσφρητικές πληροφορίες, καθώς και η ιστορία περιήγησης και τα αρχεία των αλληλεπιδράσεων ενός επισκέπτη με έναν ιστότοπο ή μια εφαρμογή. Εδώ’S τι θεωρεί το AB 375 “προσωπικές πληροφορίες”:

• Αναγνωριστικά όπως ένα πραγματικό όνομα, ψευδώνυμο, ταχυδρομική διεύθυνση, μοναδικό προσωπικό αναγνωριστικό, online αναγνωριστικό αναγνωριστικό IP, διεύθυνση ηλεκτρονικού ταχυδρομείου, όνομα λογαριασμού, αριθμός κοινωνικής ασφάλισης, πρόγραμμα οδήγησης’S Αριθμός άδειας S, αριθμός διαβατηρίου ή άλλα παρόμοια αναγνωριστικά
• Χαρακτηριστικά προστατευόμενων ταξινομήσεων σύμφωνα με την Καλιφόρνια ή τον ομοσπονδιακό νόμο
• Εμπορικές πληροφορίες, συμπεριλαμβανομένων αρχείων προσωπικών ιδιοκτησιών, προϊόντων ή υπηρεσιών που αγοράζονται, αποκτήθηκαν ή εξετάζονται ή άλλες ιστορίες ή καταναλωτικές ιστορίες ή τάσεις
• Βιομετρικές πληροφορίες
• Internet ή άλλες πληροφορίες ηλεκτρονικού δικτύου, συμπεριλαμβανομένων, αλλά δεν περιορίζονται σε, ιστορικό περιήγησης, ιστορικό αναζήτησης και πληροφορίες σχετικά με έναν καταναλωτή’αλληλεπίδραση με ιστότοπο, εφαρμογή ή διαφήμιση
• Δεδομένα γεωγραφικής γραμμής
• Ήχος, ηλεκτρονικός, οπτικός, θερμικός, οσφρητικός ή παρόμοιων πληροφοριών
• Επαγγελματικές πληροφορίες ή πληροφορίες σχετικά με την απασχόληση
• Πληροφορίες εκπαίδευσης, που ορίζονται ως πληροφορίες που δεν είναι διαθέσιμες στο κοινό προσωπικά αναγνωρίσιμες πληροφορίες (PII) όπως ορίζονται στον νόμο για τα οικογενειακά εκπαιδευτικά δικαιώματα και την προστασία της ιδιωτικής ζωής (20 U.μικρό.ντο. Τμήμα 1232G, 34 C.φά.R. Μέρος 99)
• Συμπεράσματα που προέρχονται από οποιαδήποτε από τις πληροφορίες που προσδιορίζονται σε αυτή την υποδιαίρεση για να δημιουργήσουν ένα προφίλ σχετικά με έναν καταναλωτή που αντικατοπτρίζει τον καταναλωτή’προτιμήσεις, χαρακτηριστικά, ψυχολογικές τάσεις, προτιμήσεις, προδιαθέσεις, συμπεριφορά, στάσεις, νοημοσύνη, ικανότητες και ικανότητες

Μια τροπολογία, AB 874, που περιμένει επί του παρόντος την υπογραφή του κυβερνήτη θα απαλλάσσει από το κοινό, θα αποκαταστήσει και θα συγκεντρώσει πληροφορίες καταναλωτών από την ταξινόμηση ως PII. Οι διαθέσιμες δημόσιες πληροφορίες ορίζονται ως διαθέσιμα δεδομένα και διατηρούνται από κυβερνητικά αρχεία.

Το CCPA κάλυψε αρχικά τους υπαλλήλους καθώς και τα δεδομένα των καταναλωτών. Ωστόσο, μια τροπολογία που ψηφίστηκε τον Απρίλιο, απαλλάσσει τα στοιχεία των εργαζομένων από τον κανονισμό. Μια άλλη τροποποίηση, AB 25, απαλλάσσει εν μέρει προσωπικές πληροφορίες που συλλέγονται από τους αιτούντες εργασίας, τους ιδιοκτήτες, τους διευθυντές, τους αξιωματικούς, το ιατρικό προσωπικό και τους εργολάβους. Αυτή η απαλλαγή θα λήξει την 1η Ιανουαρίου 2021. Ο AB 25 περίμενε την υπογραφή του κυβερνήτη σε αυτό το γράψιμο.

Ποιες είναι οι βασικές διατάξεις απορρήτου στο CCPA?

Οι εταιρείες πρέπει να επιτρέπουν στους καταναλωτές να επιλέξουν να μην μοιραστούν τα δεδομένα τους με τρίτους. Αυτό σημαίνει ότι οι εταιρείες θα πρέπει τώρα να είναι σε θέση να διαχωρίσουν τα δεδομένα που συλλέγουν σύμφωνα με τις επιλογές απορρήτου των χρηστών.

Επιπλέον, ενώ μια εταιρεία δεν μπορεί να αρνηθεί τους χρήστες ίσες υπηρεσίες, μπορεί να προσφέρει κίνητρα σε χρήστες που παρέχουν προσωπικά στοιχεία. “Αυτή η διάταξη μπορεί να υπόκειται σε αλλαγές, αλλά όπως αναφέρεται σήμερα, σας δίνει τη δυνατότητα να προσφέρετε εκπτώσεις σε άτομα που είναι πρόθυμοι να μοιραστούν ή να πωληθούν τα δεδομένα τους σε τρίτους”, λέει ο Dieterich, λέει ο Dieterich. “Παραδοσιακά, τα συστήματα δεν έχουν σχεδιαστεί έτσι ώστε η δομή τιμολόγησης να αλλάζει ανάλογα με τις επιλογές απορρήτου σας. Αυτή είναι μια νέα ιδέα που έχει πολύ τεχνικές επιπτώσεις.«

Μια άλλη σημαντική διαφορά με το GDPR είναι ότι ο νόμος της Καλιφόρνια επιτρέπει στους πελάτες πολύ μεγαλύτερη πρόσβαση στα αρχεία τους, λέει ο Subra Ramesh, SVP προϊόντων στο Dataguise. Ένας καταναλωτής της Καλιφόρνια έχει το δικαίωμα να μάθει ποιες πληροφορίες συλλέγει μια εταιρεία γι ‘αυτούς. Οι περισσότερες εταιρείες θα έχουν πρόβλημα να τραβήξουν αυτές τις πληροφορίες μαζί. “Πρώτον, το ποσό των δεδομένων που συλλέγουν είναι ήδη τεράστιο και συνεχίζει να αυξάνεται, συχνά σε εκατοντάδες έως χιλιάδες αξίας terabytes, και με οργανώσεις σε επίπεδο επιχειρήσεων που επεξεργάζονται petabytes δεδομένων”, λέει.

Αυτά τα δεδομένα περιέχονται σε πολλαπλές πλατφόρμες αποθήκευσης, σε διαφορετικούς χρόνους αρχείων. “Τα περισσότερα εργαλεία αναζήτησης αρχείων δεν έχουν τη δυνατότητα αναζήτησης σε όλα τα σύγχρονα οικοσυστήματα αποθετηρίων αρχείων τόσο διαδεδομένα σήμερα,” λέει ο Aaron Ganek, Διευθύνων Σύμβουλος της Cloudtenna. “Η διαχείριση αρχείων Cross-Silo είναι μια σημαντική πρόκληση. Είναι δύσκολο να κατανοήσουμε το πλαίσιο για κάθε αρχείο εάν είναι διάσπαρτα μέσα σε διαφορετικά αποθετήρια.”Επιπλέον, τα ζητήματα συμμόρφωσης συνδέονται με τη σύλληψη δεδομένων, λέει. “Τα εργαλεία επιχειρήσεων Legacy αγωνίζονται να παρατηρήσουν τα διαφορετικά δικαιώματα και μοντέλα ασφαλείας, παραβιάζοντας τους ίδιους τους νόμους και τους κανονισμούς’χρησιμοποιείται για να ικανοποιήσει.”

Τότε υπάρχει το χρονικό όριο. “Μετά το αίτημα πρόσβασης, μια εταιρεία έχει 45 ημέρες για να τους παράσχει μια ολοκληρωμένη αναφορά σχετικά με το είδος των πληροφοριών που έχουν, ήταν που πωλήθηκε και σε ποιον και αν πωλήθηκε σε τρίτους τους τελευταίους 12 μήνες, πρέπει να δώσει τα ονόματα και τις διευθύνσεις των τρίτων που πωλούνται τα δεδομένα”, λέει ο John Tsopanis, Privacy Product Manager στο 1touch.IO. “Δεν μπορείς να το κάνεις αυτό στην Ευρώπη.«

Δεδομένου ότι ο κανόνας καλύπτει τους προηγούμενους 12 μήνες αρχείων, οι εταιρείες πρέπει να αρχίσουν να συμμορφώνονται έξι μήνες από τώρα, λέει. Στη συνέχεια, την 1η Ιανουαρίου 2020, κάθε εταιρεία πρέπει να αποκαλύψει κάθε άλλη εταιρεία που πωλούν δεδομένα. “Θα αλλάξει το τοπίο της ιδιωτικής ζωής στην Αμερική για πάντα”, λέει ο Tsopanis.

Τι σημαίνει το CCPA για την ασφάλεια?

Το AB 375 είναι ελαφρύ στις απαιτήσεις γύρω από την ασφάλεια και την απόκριση παραβίασης σε σύγκριση με το GDPR. Όπως αναφέρθηκε προηγουμένως, ο νόμος καθορίζει κυρώσεις για εταιρείες που εκθέτουν δεδομένα καταναλωτών λόγω παραβίασης ή ασφαλείας. Επιτρέπει επίσης στα δικαστήρια να προσφέρουν “ανασταλτική ή δηλωτική ανακούφιση,” ή “Οποιαδήποτε άλλη απαλλαγή το δικαστήριο κρίνει κατάλληλο.”

Οι επιχειρήσεις δεν υποχρεούνται να αναφέρουν παραβιάσεις σύμφωνα με το AB 375 και οι καταναλωτές πρέπει να υποβάλλουν καταγγελίες πριν τα πρόστιμα είναι δυνατά. Η καλύτερη πορεία δράσης για την ασφάλεια, λοιπόν, είναι να γνωρίζετε ποια δεδομένα AB 375 ορίζει ως ιδιωτικά δεδομένα και λαμβάνουν μέτρα για να το μυστικοποιήσετε. Και πάλι, κάθε οργανισμός που συμμορφώνεται με το GDPR πιθανότατα δεν χρειάζεται να αναλάβει περαιτέρω δράση για να συμμορφωθεί με το AB 375 όσον αφορά την εξασφάλιση δεδομένων.

Οι απαιτήσεις AB 375 γύρω από την παρακολούθηση, την πρόσβαση και την αποθήκευση δεδομένων σημαίνουν ομάδες ασφαλείας θα πρέπει να συνεργαστούν στενά με τους διαχειριστές βάσεων δεδομένων, λέει ο Terry Ray, ανώτερος αντιπρόεδρος και συνεργάτης της Imperva, πωλητής στον κυβερνοχώρο. Οποιαδήποτε εργαλεία που επιλέγονται για να βοηθήσουν στην αντιμετώπιση του AB 375 δεν θα χρειαστεί μόνο να έχουν πλήρη ορατότητα σε δεδομένα που είναι αποθηκευμένα σε ολόκληρο το ετερογενές εταιρικό περιβάλλον, αλλά και να εξασφαλίσουν ότι η πρόσβαση σε αυτά τα δεδομένα είναι σωστά εξασφαλισμένη. “Τέλος, θα χρειαστούν αυτά τα εργαλεία για να συνεργαστούν με τη νέα πύλη καταναλωτών, μοιράζοντας συγκεκριμένα δεδομένα καταναλωτών με τον επαληθεύσιμο καταναλωτή που το ζητάει”, λέει.

Εάν τα δεδομένα αποθηκεύονται με παρόχους σύννεφων, το πρόβλημα χειροτερεύει. Για παράδειγμα, οι εργαζόμενοι ενδέχεται να δημιουργήσουν λογαριασμό κοινής χρήσης αρχείων για να παρακολουθούν τις επαφές μάρκετινγκ ή πωλήσεων. “Το’Δεν προκαλεί έκπληξη τις μεγάλες εταιρείες τεχνολογίας όπως το Google και το Facebook αντιτάχθηκαν στο νομοσχέδιο “, λέει ο Kevin Bocek, αντιπρόεδρος της στρατηγικής ασφαλείας και της απειλής Intelligence στο Venafi. “Ο έλεγχος της ιδιωτικής ζωής και των προσωπικών πληροφοριών που ρέει μεταξύ των μηχανών είναι απίστευτα δύσκολη και μια σημαντική πρόκληση για όλες τις επιχειρήσεις.«

Ένα έργο σε εξέλιξη

Το νομοσχέδιο συγκεντρώθηκε σε μόλις επτά ημέρες, επειδή οι νομοθέτες ήθελαν να αποφύγουν μια πρωτοβουλία ψηφοφορίας για να περάσουν έναν ακόμη αυστηρότερο νόμο που αντιτάχθηκε από πολλές εταιρείες τεχνολογίας. “Αυτή τη στιγμή, πολλές από τις διατάξεις και τους ορισμούς έρχονται σε σύγκρουση μεταξύ τους”, λέει ο Andy Dale, γενικός σύμβουλος και αντιπρόεδρος της παγκόσμιας ιδιωτικής ζωής στη συνεδρίαση.

Ένας προβληματικός τομέας είναι αν μια εταιρεία μπορεί να χρεώσει καταναλωτές διαφορετικές τιμές με βάση τις ρυθμίσεις απορρήτου τους. Για παράδειγμα, πολλές εταιρείες έχουν μια επιλογή όπου ο καταναλωτής μπορεί να αναβαθμίσει σε μια πληρωμένη βαθμίδα όπου δεν βλέπουν καμία διαφήμιση. Εδώ, ο νόμος όπως γράφτηκε σήμερα είναι λίγο αντιφατικός.

“Εάν ο καταναλωτής ασκεί τα δικαιώματά του σύμφωνα με τον κανονισμό, οι επιχειρήσεις δεν μπορούν να παράσχουν διαφορετικό επίπεδο ή ποιότητα προϊόντων, αγαθών ή υπηρεσιών στον καταναλωτή”, λέει ο Pravin Kothari, Διευθύνων Σύμβουλος της Ciphercloud. “Από την άλλη πλευρά του νομίσματος, σύμφωνα με τον κανονισμό, οι επιχειρήσεις δεν απαγορεύονται να χρεώνουν έναν καταναλωτή μια διαφορετική τιμή ή επιτόκιο ή να παρέχει διαφορετικό επίπεδο ή ποιότητα αγαθών ή υπηρεσιών στον καταναλωτή, εάν η διαφορά αυτή σχετίζεται λογικά με την αξία που παρέχεται στον καταναλωτή από τον καταναλωτή από τον καταναλωτή’δεδομένα.«

Φαίνεται ότι η Καλιφόρνια προσπαθεί να καθορίσει ένα πλαίσιο όπου οι καταναλωτές μπορούν να πληρώσουν για να μοιραστούν τα δεδομένα τους, λέει ο Kothari. “Σε αυτόν τον τομέα η νομοθεσία είναι λίγο οραματική”, λέει. “Θα δούμε στην πράξη πώς λειτουργεί πραγματικά αυτό.«

Περισσότερα για το CCPA:

• 9 Ερωτήσεις CCPA Κάθε CISO πρέπει να είναι έτοιμη να απαντήσει
• Το CCPA είναι μια ευκαιρία για να πάρετε το σπίτι ασφαλείας δεδομένων σας με τη σειρά
• Τι είναι “λογική ασφάλεια”? Και πώς να ικανοποιήσετε την απαίτηση
• Γίνετε σοβαρά για την προστασία των καταναλωτών δεδομένων
• Πώς η ιδιοκτησία των πολιτών των δεδομένων επηρεάζει τις επιχειρήσεις που προχωρούν προς τα εμπρός

• Οι 10 πιο ισχυρές εταιρείες στον κυβερνοχώρο
• 7 Τάσεις καυτών στον κυβερνοχώρο (και 2 πηγαίνουν κρύα)
• Τα τρωτά σημεία Apache log4j: ένα χρονοδιάγραμμα
• Χρήση του πλαισίου NIST Cybersecurity για την αντιμετώπιση του οργανωτικού κινδύνου
• 11 Εργαλεία δοκιμής διείσδυσης Η χρήση των επαγγελματιών