Yhdysvalloissa ei ole kattavaa liittovaltion tietosuojalakia, mutta useat osavaltiolait edellyttävät nykyään tietosuojan mukaista analytiikkaa. Kalifornian CCPA (ja sen seuraaja CPRA) loi ennakkotapauksen. Vastaavat lait ovat nyt voimassa Virginiassa, Coloradossa, Connecticutissa, Utahissa, Montanassa ja Delawaressa. Yhdysvaltalaisilla verkkosivuilla, joilla on kävijöitä useista osavaltioista, joudut todennäköisesti noudattamaan useita näistä laeista samanaikaisesti.
Miten CCPA/CPRA toimii
CCPA (California Consumer Privacy Act) koskee voittoa tavoittelevia yrityksiä, jotka keräävät kalifornialaisten asukkaiden dataa. Se edellyttää ilmoitusta datan keruusta, kerrottua tietoa siitä, mitä dataa kerätään ja miksi, sekä käyttäjien oikeuksia nähdä tietonsa, poistaa ne ja kieltäytyä datan myynnistä. CPRA (California Privacy Rights Act), joka muutti CCPA:ta, lisää tiukempia suostumusvaatimuksia ja kuluttajien oikeuden oikaista virheellisiä tietoja.
Mikä aktivoi CCPA:n
CCPA koskee yritystäsi, jos se täyttää minkä tahansa seuraavista: vuosiliikevaihto yli 25 miljoonaa dollaria, yritys ostaa, myy tai jakaa dataa vähintään 100 000 ihmisestä tai taloudesta, tai yritys saa vähintään 50 % liikevaihdostaan kuluttajadatan myynnistä. Monet keskikokoiset yritykset täyttävät tämän huomaamattaan.
CCPA koskee "henkilötietoja": dataa, joka tunnistaa tietyn henkilön, liittyy häneen tai voidaan yhdistää häneen. Tämä on laajempi kuin GDPR. Se kattaa päätelmät mieltymyksistä, sijainnista, kaupallisesta käyttäytymisestä ja muusta. Analytiikassa suurin osa seurannasta kuuluu tähän.
CCPA-oikeudet, joita sinun pitää kunnioittaa
Oikeus tietää: Käyttäjät voivat pyytää tietoa siitä, mitä henkilötietoja olet kerännyt ja miten olet käyttänyt niitä. Sinun pitää vastata 45 päivän kuluessa (jatkettavissa 90 päivään). Tietojen pitää olla kattavat.
Oikeus poistaa: Käyttäjät voivat pyytää henkilötietojensa poistamista. Sinun pitää noudattaa pyyntöä 45 päivän kuluessa. Voit kuitenkin säilyttää dataa oikeutetuista liiketoimintatarkoituksista (esim. petosten havaitseminen) tai lakisääteisen vaatimustenmukaisuuden vuoksi.
Oikeus kieltäytyä myynnistä: Käyttäjät voivat pyytää, että lopetat heidän datansa myynnin. Sinun pitää noudattaa pyyntöä 15 arkipäivän kuluessa. Huomaa: CCPA:ssa "myynti" kattaa jakamisen minkä tahansa arvokkaan vastineeksi, ei vain rahan.
Oikeus oikaista: CPRA:n mukaan käyttäjät voivat pyytää virheellisten tietojen oikaisua. Tämä on uutta ja yksinkertaista: jos data on väärin, korjaa se.
Suostumus vai kieltäytyminen
CCPA käyttää datan myynnissä kieltäytymismallia (opt-out): datan voi myydä, ellei käyttäjä kieltäydy. CPRA ja uudemmat osavaltiolait käyttävät arkaluonteisessa datassa suostumusmallia (opt-in): tarvitset nimenomaisen luvan ennen arkaluonteisten tietojen (tarkka sijainti, sosiaaliturvatunnukset, taloustiedot jne.) keräämistä. Analytiikassa oleta, että tarvitset suostumuksen uudempien lakien mukaan.
Muut osavaltioiden tietosuojalait
Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Montana (MTDPA) ja Delaware (DPDPA) ovat kaikki hyväksyneet kattavat tietosuojalait. Ne noudattavat CCPA/CPRA-mallia: ne antavat käyttäjille oikeuden tietää, poistaa ja kieltäytyä. Yksityiskohdat vaihtelevat osavaltioittain, mutta kokonaiskuva on yhdenmukainen.
Pitääkö kaikkia noudattaa?
Se riippuu yleisöstäsi. Jos palvelet pääasiassa Kaliforniaa, keskity CCPA/CPRA:han. Jos palvelet useita osavaltioita, useimmat yritykset käyttävät GDPR-tasoista tietosuojastandardia (joka ylittää useimpien Yhdysvaltain osavaltioiden lakivaatimukset) ja soveltavat sitä kaikkiin kävijöihin. Se on yksinkertaisempaa kuin osavaltiokohtainen vaatimustenmukaisuus.
Usean osavaltion todellisuus
Useimmilla verkkosivuilla on kävijöitä useista osavaltioista. Jotkin palvelevat kaikkia 50 osavaltiota. Sen sijaan että ylläpitäisivät eri analytiikkakäytäntöjä osavaltioittain, useimmat yritykset omaksuvat tiukimman standardin, jonka piirissä ne ovat, ja soveltavat sitä kaikkialla. Se vähentää monimutkaisuutta ja varmistaa, ettet koskaan toimi vaatimusten vastaisesti.
CCPA/CPRA-vaatimustenmukaisuus käytännössä
Vaatimustenmukaisuus edellyttää: tietosuojaselostetta, joka selittää, mitä dataa keräät ja miksi; selkeitä kieltäytymismekanismeja datan myyntiin (jos sovellettavissa); kykyä vastata tietojen tarkastuspyyntöihin 45 päivän kuluessa; järjestelmiä käyttäjädatan poistamiseksi pyynnöstä; sekä rehellistä markkinointia datakäytännöistäsi (ei valehtelua siitä, mitä keräät tai miten käytät sitä).
CCPA:n seuraamukset ja valvonta
Kalifornian oikeusministeri voi määrätä sakon enintään 2 500 dollaria rikkomusta kohden (tai 7 500 dollaria tahalliselta rikkomukselta). Kuluttajat voivat nostaa yksityisiä kanteita tietomurroista (lakisääteinen vahingonkorvaus 100-750 dollaria henkilöä kohden tapausta kohden). Ryhmäkanteet ovat yleisiä. Käytännön vaikutus: CCPA-rikkomus voi helposti maksaa 1-10 miljoonaa dollaria, jos se vaikuttaa moniin käyttäjiin.
GDPR, CCPA ja osavaltiolait vertailussa
GDPR on tiukempi suostumuksessa. CCPA on laajempi sen suhteen, mikä lasketaan henkilötiedoksi. Osavaltiolait seuraavat CCPA-mallia vaihtelevin yksityiskohdin. Jos noudatat GDPR:ää (suostumuspohjainen, läpinäkyvyys edellä), noudatat suurelta osin myös CCPA:ta ja osavaltiolakeja. Päinvastoin ei aina päde: CCPA:n noudattaminen ei välttämättä riitä GDPR:lle.
Koskeeko CCPA minua oikeasti? Miten tiedän, täyttyykö 25 miljoonan dollarin raja?
CCPA koskee sinua, jos täytät MINKÄ TAHANSA kolmesta ehdosta: vuosiliikevaihto yli 25 miljoonaa dollaria, ostat, myyt tai jaat dataa vähintään 100 000 ihmisestä, tai saat vähintään 50 % liikevaihdosta datan myynnistä. 25 miljoonan dollarin raja on suoraviivainen (viime vuoden liikevaihto). 100 000 ihmisen ehto on hankalampi: jos analytiikkatoimittajasi käsittelee vähintään 100 000 kävijän dataa, se voi täyttää ehdon (jaat dataa). 50 prosentin ehto koskee tilannetta, jossa datan myynti on pääliiketoimintasi (harvinaista). Useimmille keskikokoisille yrityksille ratkaisevaa on 25 miljoonan dollarin raja. Tarkista: oliko viime vuoden liikevaihtosi yli 25 miljoonaa dollaria? Jos kyllä, CCPA koskee sinua.
Mikä lasketaan henkilötiedoksi CCPA:ssa verrattuna GDPR:ään? Miksi CCPA on laajempi?
GDPR: tunnistaa henkilön suoraan (nimi, sähköposti) tai epäsuorasti (IP-osoite). CCPA: laajempi, kattaa kaiken, mitä GDPR kattaa, SEKÄ päätelmät ja ennusteet. Esimerkki: viisi verkkokaupan sivukäyntiä. GDPR = henkilötieto (istuntotunnus). CCPA = henkilötieto SEKÄ päätelty mieltymys (päätelmä siitä, että pidät ostoksilla käymisestä). CCPA kattaa käyttäytymiseen ja ennusteisiin perustuvaa dataa, jota GDPR ei välttämättä kata. Analytiikassa: sivunäyttö on henkilötieto kummassakin. Käyttäytymispäätelmä ("kiinnostunut ylellisyystuotteista") on varmasti CCPA:n henkilötieto, mahdollisesti ei GDPR:n. CCPA:n laajuus tarkoittaa, että vaatimustenmukaisuus aktivoituu useammasta datasta, mikä tekee siitä joillekin yrityksille GDPR:ää vaikeamman.
Kun käyttäjä pyytää poistoa, mitkä oikeutetut syyt sallivat datan säilyttämisen?
CCPA:n poistovelvoitteessa on poikkeuksia. Säilytä dataa: (1) petosten havaitsemiseen tai tietoturvaan. (2) Lakisääteiseen vaatimustenmukaisuuteen (verotus, sopimukset, oikeudenkäynnit). (3) Tuotteiden parantamiseen (vain jos anonymisoitu tai koottu). (4) Sisäiseen analytiikkaan (vain jos anonymisoitu). (5) Käyttäjien odotusten täyttämiseen (jos olet luvannut säilyttää sen). Analytiikassa: tietoturvarikkomus = säilytä. Oikeudellinen säilytysvelvoite = säilytä. "Voi olla hyödyllistä myöhemmin" = poista. Testi: voisitko selittää tämän viranomaiselle niin, että perustelu kestää? Jos kyllä, säilytä. Jos se on spekulatiivista, poista.
Miksi kieltäytymisen määräaika on 15 päivää mutta tarkastuksen 45 päivää?
Monimutkaisuus on erilainen. Datan myynnistä kieltäytyminen on yksinkertaista: lisää käyttäjä myyntikieltolistalle (asetusmuutos, muutaman päivän työ). 15 arkipäivää (kolme viikkoa) on kohtuullinen. Tarkastuspyynnöt ovat vaikeampia: kaikki data haetaan kaikista järjestelmistä, kootaan, muotoillaan luettavaksi ja toimitetaan. Se edellyttää useiden tietokantojen kyselyä, arkaluonteisen datan merkitsemistä ja luettavan asiakirjan luomista. 45 päivää (9 viikkoa) on realistinen tähän työhön. Laki tunnistaa monimutkaisuuden eron. Analytiikassa: kieltäytyminen vie 2-3 päivää (lisäys estolistalle). Tarkastuspyyntö vie yli 30 päivää (haku analytiikasta, CRM:stä, tuesta jne.).
Yksityinen kanneoikeus on 100-750 dollaria henkilöä kohden. Miten se lasketaan?
Lakisääteinen vahingonkorvaus: kiinteä summa henkilöä kohden tapausta kohden, ei todellisen vahingon perusteella. Esimerkki: tietomurto koskee 10 000 ihmistä. 10 000 × 100 dollaria vähimmäismäärä = 1 miljoonan dollarin lakisääteinen vahingonkorvaus. Vaatimus 750 dollaria henkilöä kohden = 7,5 miljoonaa dollaria. Vastaaja sopii jostain siltä väliltä. "Tapausta kohden" tarkoittaa, että yksi tietomurto = yksi tapaus (ei 10 000). Useat tietomurrot kasaavat korvauksia. Todellisuus: 10 000 ihmisen tietomurto maksaa helposti 1-10 miljoonaa dollaria lakisääteisinä vahingonkorvauksina sekä asianajajakulut. Vastaajat sopivat ryhmäkanteet 50-70 prosentilla vaaditusta lakisääteisestä korvauksesta. Siksi ennaltaehkäisy on ratkaisevaa: lakisääteinen vahingonkorvaus tulee automaattisesti, kun tietomurto on todistettu.
Pitäisikö usean osavaltion vaatimustenmukaisuudessa toteuttaa osavaltiokohtaiset säännöt vai käyttää GDPR-standardia?
Käytä GDPR-standardia kaikille. GDPR on tiukempi kuin kaikki Yhdysvaltain osavaltiolait. Jos noudatat GDPR:ää, ylität automaattisesti useimmat osavaltioiden vaatimukset. Osavaltiokohtaiset säännöt ovat toiminnallisesti monimutkaisia (eri bannerit, säilytysajat ja kieltäytymiset osavaltioittain). GDPR-standardi on yksinkertaisempi: yksi sääntökokonaisuus kattaa kaikki osavaltiot. Poikkeus: jos palvelet vain yhtä tai kahta osavaltiota, optimoi niitä varten. Viidelle tai useammalle osavaltiolle tai kaikille 50:lle GDPR-standardi on kuitenkin helpompi. Strategia: rakenna GDPR:n mukaan, lisää Kaliforniaan oma käyttöliittymä (kieltäytymislinkki) ja määritä analytiikka niin kuin GDPR koskisi kaikkia osavaltioita. Olet silloin ylivaatimustenmukainen useimmille osavaltioille, mikä on turvallisempaa kuin alivaatimustenmukaisuus.