CCPA on Yhdysvaltain yksityisyyslaki. Jos yrityksesi toimii missä tahansa Yhdysvalloissa, sinulla on todennäköisesti kävijöitä Kaliforniasta. Jos keräät heidän tietojaan lomakkeilla, CCPA koskee sinua. CCPA ei kuitenkaan ole ainoa yksityisyyslaki. Yli tusinassa Yhdysvaltain osavaltiossa on nyt vastaavat säännökset, ja uusia on tulossa.
CCPA ja muut osavaltioiden yksityisyyslait ovat Yhdysvaltain vastine Euroopan GDPR:lle. Sen ymmärtäminen, mitkä yksityisyyslait koskevat lomakkeitasi ja mitä kukin vaatii, on olennaista vaatimustenmukaisuuden säilyttämiseksi eri Yhdysvaltain alueilla.
Tästä oppaasta opit: mitä CCPA on ja miten se eroaa GDPR:stä, missä muissa Yhdysvaltain osavaltioissa on yksityisyyslakeja, mitä nämä lait vaativat lomakkeilta, miten tiedät, mitkä lait koskevat yritystäsi, ja miten rakennat lomakkeita, jotka noudattavat useita säännöksiä yhtä aikaa.
Mikä CCPA on?
CCPA (California Consumer Privacy Act) on yksityisyyslaki, joka koskee voittoa tavoittelevia yrityksiä, jotka keräävät henkilötietoja Kalifornian asukkailta. Se tuli voimaan 1. tammikuuta 2020, ja sitä on sittemmin vahvistettu lisäsäännöksillä.
CCPA koskee lomakkeitasi, jos:
- Yrityksesi kerää dataa Kaliforniassa olevilta ihmisiltä
- Vuosittainen liikevaihtosi ylittää 25 miljoonaa dollaria, tai
- Keräät dataa 100 000 tai useammalta asukkaalta (tai kotitaloudelta), tai
- Myyt kuluttajadataa liiketoimintakäytäntönä
Jopa pienet yritykset täyttävät nämä rajat usein tietämättään. Jos sinulla on yhteydenottolomake ja olet kerännyt tietoja muutamalta sadalta Kalifornian asukkaalta, todennäköisesti kuulut lain piiriin.
CCPA:n keskeiset vaatimukset lomakkeille
Tietojen ilmoittaminen tietosuojaselosteessa
Sinulla täytyy olla tietosuojaseloste, joka kertoo kalifornialaisille kävijöille:
- Mitä henkilötietoryhmiä keräät (nimi, sähköpostiosoite, ostohistoria ja niin edelleen)
- Miksi keräät ne (tiedusteluihin vastaamiseen, palvelujen tarjoamiseen, markkinointiin)
- Mistä data tulee (suoraan kuluttajalta lomakkeella, kolmansilta osapuolilta, analytiikasta)
- Kuinka kauan säilytät sitä
- Kenen kanssa jaat sitä (palveluntarjoajat, muut yritykset ja niin edelleen)
Tietosuojaselosteen täytyy olla helppo löytää. Linkki alatunnisteessa tai piilotettu käytäntösivu ei riitä. Aseta se paikkaan, jossa kävijät näkevät sen ennen lomakkeesi täyttämistä.
Oikeus tietää
Kalifornian asukkaat voivat pyytää tietoa siitä, mitä henkilötietoja olet heistä kerännyt. Sinun täytyy pystyä antamaan nämä tiedot 45 päivän kuluessa. Tämä tarkoittaa, että tarvitset järjestelmät sen seuraamiseen, mitä dataa sinulla on kustakin henkilöstä, sekä prosessin näihin pyyntöihin vastaamiseen.
Oikeus poistaa
Kalifornian asukkaat voivat pyytää sinua poistamaan henkilötietonsa. Sinun täytyy noudattaa pyyntöä, ellei sinulla ole laillista syytä säilyttää niitä (kuten verotiedot tai petosten estäminen). Tämä koskee kaikkia lomakelähetyksiä ja asiakasdataa, joka sinulla on heistä.
Oikeus kieltäytyä myynnistä
Jos myyt henkilötietoja muille yrityksille (vaikka et ajattelisi sitä "myyntinä"), Kalifornian asukkaat voivat kieltäytyä. CCPA:n mukaan "myyntiin" kuuluu datan jakaminen kolmansille osapuolille rahasta, palveluista tai muusta arvokkaasta hyödystä. Sivustollasi täytyy olla "Do Not Sell My Personal Information" -linkki.
Oikeus oikaista
Kuluttajat voivat pyytää sinua oikaisemaan heistä olevat virheelliset henkilötiedot. Sinun ei tarvitse muuttaa kaikkea, mitä he pyytävät, mutta sinulla täytyy olla prosessi näiden pyyntöjen arviointiin ja niihin vastaamiseen.
Ei syrjintää
Et saa syrjiä ketään CCPA-oikeuksiensa käyttämisestä. Jos joku pyytää datansa poistamista, et voi kieltäytyä palvelemasta häntä tai veloittaa häneltä palveluistasi enemmän.
CCPA vs. GDPR: keskeiset erot
CCPA ja GDPR suojaavat molemmat henkilötietoja, mutta niillä on tärkeitä eroja:
| Ominaisuus | GDPR | CCPA | |-|-|-| | Koskee | EU:n asukkaiden dataa, mitä tahansa yritystä | Kalifornian asukkaiden dataa, suurempia yrityksiä | | Suostumus | Vaatii nimenomaisen opt-in-suostumuksen (paitsi välttämättömän datan osalta) | Opt-out-malli (dataa kerätään, ellei pyydä olemaan keräämättä) | | Oikeus tulla unohdetuksi | Kyllä | Kyllä, mutta useammilla poikkeuksilla | | Sakot | Enintään 20 miljoonaa euroa tai 4 % liikevaihdosta | Enintään 2 500 dollaria rikkomusta kohden, enintään 7 500 dollaria tahallista rikkomusta kohden | | Datan myynti | Ei sallittu ilman suostumusta | Sallittu, ellei kuluttaja kieltäydy |Keskeinen ero on, että GDPR vaatii luvan kysymistä ennen datan keräämistä. CCPA vaatii kertomaan ihmisille, että he voivat kieltäytyä.
Muut Yhdysvaltain osavaltioiden yksityisyyslait
Yli tusina muuta osavaltiota on hyväksynyt CCPA:n kaltaisia yksityisyyslakeja. Tässä tärkeimmät:
Virginia (VCDPA)
Virginian Consumer Data Protection Act koskee voittoa tavoittelevia yrityksiä, jotka käsittelevät Virginian asukkaiden henkilötietoja. Se edellyttää kuluttajan oikeuksia datan saantiin, poistoon, oikaisuun ja myynnistä kieltäytymiseen.
Colorado (CPA)
Colorado Privacy Act kattaa yritykset, jotka käsittelevät Coloradon asukkaiden dataa. Samanlainen kuin CCPA, mutta soveltamisalassa ja täytäntöönpanossa on joitakin eroja.
Connecticut (CTDPA)
Connecticut Data Privacy Act, voimassa heinäkuusta 2024. Samanlaiset kuluttajan oikeudet kuin CCPA:ssa ja VCDPA:ssa.
Utah (UCPA)
Utah Consumer Privacy Act on selvästi muita lievempi, mutta vaatii silti kuluttajan kieltäytymisoikeudet.
Montana, Delaware, Iowa ja muut
Lisää osavaltioita on hyväksynyt tai harkitsee yksityisyyslakeja. Useimmat noudattavat CCPA-mallia, jossa kuluttajalla on kieltäytymisoikeudet, ja vaatimuksissa on jonkin verran vaihtelua.
Miten tiedät, mitkä lait koskevat lomakkeitasi
Selvitä, mitä yksityisyyslakeja sinun täytyy noudattaa, näin:
- Selvitä, mistä kävijäsi tulevat. Käytä analytiikkaa nähdäksesi, mitkä osavaltiot ja alueet ovat edustettuina.
- Etsi kunkin alueen laki. Yhdysvaltain osavaltioissa tarkista osavaltion oikeusministerin (attorney general) verkkosivusto. Muissa maissa selvitä niiden yksityisyyslait.
- Tarkista kynnysvaatimukset. Täyttääkö yrityksesi kokorajat? Onko sinulla tarpeeksi asiakkaita kyseisellä alueella?
- Kysy lakimieheltä, jos olet epävarma. Yksityisyyslaki on monimutkainen ja vaihtelee alueittain. Jos yrityksesi kerää merkittäviä määriä dataa, puhu lakimiehen kanssa.
Lomakkeiden rakentaminen niin, että ne noudattavat useita yksityisyyslakeja
Jos kävijäsi tulevat eri osavaltioista ja maista, sinun täytyy noudattaa tiukimpia sääntöjä, jotka koskevat sinua.
Oleta GDPR:n säännöt kaikille
Jos sinulla on yhtään EU-kävijää, noudata GDPR:n sääntöjä. GDPR on yksi tiukimmista yksityisyyslaeista, joten GDPR:n noudattaminen tarkoittaa usein, että noudatat myös muita lakeja.
Käytä nimenomaista suostumusta arkaluonteiselle datalle
Sen sijaan, että yrittäisit noudattaa eri sääntöjä eri kävijöille, käytä nimenomaista suostumusta (GDPR-standardi) kaikelle. Se on selkeämpää ja suojaavampaa. Tee suostumusvalinnoista selkeitä, täsmällisiä ja erillisiä datan eri käyttötarkoituksille.
Anna tietosuojaseloste lomakkeella
Sisällytä lomakesivulle selkeä, luettava yhteenveto tietojenkäsittelykäytännöistäsi. Linkitä koko tietosuojakäytäntöösi. Tämä täyttää useiden lakien ilmoitusvaatimukset kerralla.
Tee kieltäytymisestä helppoa
Tarjoa ihmisille keino perua markkinointisähköpostien tilaus tai pyytää datansa poistamista. Sisällytä tämä jokaiseen lähettämääsi markkinointisähköpostiin (laki vaatii) ja verkkosivustollesi (hyvä käytäntö).
Pidä hyvät kirjaukset
Dokumentoi, mitä dataa keräät, miksi keräät sitä, kuinka kauan säilytät sitä ja kenellä on siihen pääsy. Tämä auttaa vastaamaan datapyyntöihin nopeasti ja todistaa noudattavasi lakia, jos viranomainen kysyy.
Yksityisyyslakien sakot ja seuraamukset
CCPA ja osavaltioiden yksityisyyslait sisältävät rahallisia seuraamuksia:
- CCPA (Kalifornia): Enintään 2 500 dollaria rikkomusta kohden, 7 500 dollaria tahallista rikkomusta kohden. Osavaltion oikeusministeri valvoo lakia, ja kuluttajat voivat tietyissä tapauksissa haastaa oikeuteen.
- Virginia, Colorado, Connecticut ja niin edelleen: Sakot vaihtelevat 2 500 ja 10 000 dollarin välillä rikkomusta kohden, ja osa sallii kuluttajien haastaa oikeuteen.
Vaikka nämä sakot ovat pienempiä kuin GDPR-sakot, ne kertyvät nopeasti, kun rikkomuksia on useita tai tietomurto koskee tuhansia ihmisiä.
Mitä WEMASY tekee yksityisyyslakien noudattamisen eteen
WEMASY-lomakkeissa on työkaluja, jotka auttavat noudattamaan osavaltioiden ja liittovaltion yksityisyyslakeja. Voit lisätä lomakkeisiisi tietosuojailmoituksia, seurata, minkä version suostumusehdoistasi kukin kävijä hyväksyi, ja antaa tiimillesi prosessit datan käyttö- ja poistopyyntöjen käsittelyyn. WEMASY myös kirjaa, mitä dataa on tallennettu ja milloin se on lähetetty, mikä auttaa ylläpitämään tarvitsemiasi tietoja vaatimustenmukaisuustarkastuksia varten.
Katso, mitkä yksityisyyden vaatimustenmukaisuusominaisuudet kuuluvat pakettiisi hinnastosivulla.