Az USA-nak nincs átfogó szövetségi adatvédelmi törvénye, de több állami törvény már megköveteli az adatvédelmi szempontból megfelelő analitikát. A kaliforniai CCPA (és utódja, a CPRA) teremtette meg a precedenst. Hasonló törvények léteznek ma már Virginiában, Coloradóban, Connecticutban, Utahban, Montanában és Delaware-ben. Egy amerikai weboldalnál, ha feltételezzük, hogy több államból vannak látogatóid, valószínűleg egyszerre több ilyen törvénynek kell megfelelned.
Hogyan működik a CCPA/CPRA
A CCPA (California Consumer Privacy Act) azokra a profitorientált cégekre vonatkozik, amelyek kaliforniai lakosok adatait gyűjtik. Előírja az adatgyűjtésről szóló tájékoztatást, annak közzétételét, milyen adatot és miért gyűjtenek, valamint a felhasználók jogát a hozzáférésre, a törlésre és az adateladás letiltására. A CPRA (California Privacy Rights Act), amely módosította a CCPA-t, szigorúbb hozzájárulási követelményeket és a pontatlan adatok helyesbítésének fogyasztói jogát adja hozzá.
Mi váltja ki a CCPA hatályát
A CCPA akkor vonatkozik rád, ha a cégedre igaz ezek bármelyike: 25 millió dollár feletti éves bevétel, 100 ezer feletti személy vagy háztartás adatát veszi, adja el vagy osztja meg, vagy a bevétele 50%-át vagy többet a fogyasztói adatok eladásából szerzi. Sok közepes méretű cég anélkül éri el ezt, hogy észrevenné.
A CCPA a „személyes információra” vonatkozik: olyan adatra, amely azonosít egy konkrét személyt, kapcsolódik hozzá, vagy hozzá köthető. Ez tágabb, mint a GDPR. Idetartoznak a preferenciákra, a tartózkodási helyre, a kereskedelmi viselkedésre és másra vonatkozó következtetések is. Az analitikánál a legtöbb követés beletartozik.
A CCPA jogai, amelyeket tiszteletben kell tartanod
Tájékozódáshoz való jog: A felhasználók kérhetik, milyen személyes információt gyűjtöttél, és hogyan használtad. 45 napon belül kell válaszolnod (90 napra meghosszabbítható). A tájékoztatásnak átfogónak kell lennie.
Törléshez való jog: A felhasználók kérhetik a személyes információik törlését. 45 napon belül eleget kell tenned. Megtarthatod azonban az adatot jogos üzleti célra (például csalásfelderítés) vagy jogi megfelelés miatt.
Az eladás letiltásának joga: A felhasználók kérhetik, hogy hagyd abba az adataik eladását. 15 munkanapon belül eleget kell tenned. Megjegyzés: a CCPA-ban az „eladás” magában foglalja a bármilyen értékért történő megosztást, nem csak a pénzért történőt.
Helyesbítéshez való jog: A CPRA szerint a felhasználók kérhetik a pontatlan adat helyesbítését. Ez új és egyszerű: ha az adat hibás, javítsd.
Opt-in és opt-out
A CCPA az adateladásnál opt-outot használ: a felhasználók adata eladható, kivéve, ha leiratkoznak. A CPRA és az újabb állami törvények az érzékeny adatoknál opt-int használnak: kifejezett engedély kell az érzékeny információ (pontos helymeghatározás, társadalombiztosítási számok, pénzügyi adatok stb.) gyűjtése előtt. Az analitikánál feltételezd, hogy az újabb törvények szerint opt-in hozzájárulás kell.
További állami adatvédelmi törvények
Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Montana (MTDPA) és Delaware (DPDPA) mind elfogadott átfogó adatvédelmi törvényt. A CCPA/CPRA modelljét követik: jogot adnak a felhasználóknak a tájékozódásra, a törlésre és az eladás letiltására. A részletek államonként eltérnek, de az összkép egységes.
Mindegyiknek meg kell felelned?
A közönségedtől függ. Ha elsősorban Kaliforniát szolgálod ki, a CCPA/CPRA-ra fókuszálj. Ha több államot szolgálsz ki, a legtöbb cég GDPR-szintű adatvédelmi szabványt használ (amely meghaladja a legtöbb amerikai állami törvény követelményeit), és minden látogatóra alkalmazza. Ez egyszerűbb, mint államonként megfelelni.
A többállami valóság
A legtöbb weboldalnak több államból vannak látogatói. Néhány mind az 50 államot kiszolgálja. Ahelyett, hogy államonként eltérő analitikai gyakorlatot tartanának fenn, a legtöbb cég a legszigorúbb, rá vonatkozó szabványt veszi át, és mindenkire alkalmazza. Ez csökkenti a bonyolultságot, és biztosítja, hogy soha nem vagy szabálytalan.
CCPA/CPRA-megfelelés a gyakorlatban
A megfeleléshez kell: adatvédelmi tájékoztató, amely elmagyarázza, milyen adatot gyűjtesz és miért; világos leiratkozási mechanizmusok az adateladáshoz (ha van); képesség az adathozzáférési kérelmekre 45 napon belül válaszolni; rendszerek a felhasználói adatok kérésre történő törlésére; és őszinte marketing az adatkezelési gyakorlatodról (ne hazudj arról, mit gyűjtesz, és hogyan használod).
CCPA-büntetések és érvényesítés
A kaliforniai főügyész jogsértésenként akár 2500 dollár bírságot is kiszabhat (szándékos jogsértésenként 7500 dollárt). A fogyasztók magánjogi keresetet indíthatnak adatszivárgás miatt (személyenként és incidensenként 100-750 dollár törvényi kártérítés). A csoportos perek gyakoriak. A gyakorlati hatás: egy CCPA-jogsértés könnyen 1-10 millió dollárba kerülhet, ha sok felhasználót érint.
GDPR, CCPA és az állami törvények összehasonlítása
A GDPR szigorúbb a hozzájárulásnál. A CCPA tágabb abban, mi számít személyes adatnak. Az állami törvények a CCPA modelljét követik, változtatásokkal. Ha megfelelsz a GDPR-nak (hozzájárulásalapú, átláthatóság az első helyen), nagyjából megfelelsz a CCPA-nak és az állami törvényeknek is. Fordítva ez nem mindig igaz: a CCPA-megfelelés nem biztos, hogy elég a GDPR-hoz.
Valóban hatálya alá tartozom a CCPA-nak? Honnan tudom, hogy elérem a 25 millió dolláros küszöböt?
A CCPA hatálya alá tartozol, ha három feltétel bármelyike igaz: 25 millió dollár feletti éves bevétel, 100 ezer feletti személy adatának vétele, eladása vagy megosztása, vagy a bevétel 50%-ának vagy többnek az adateladásból származása. A 25 milliós küszöb egyértelmű (az előző évi bevétel). A 100 ezres feltétel trükkösebb: ha az analitikai szolgáltatód 100 ezernél több látogató adatát dolgozza fel, ez kiválthatja (adatot osztasz meg). Az 50%-os feltétel akkor érvényes, ha az adateladás az elsődleges üzleted (ritka). A legtöbb közepes méretű cégnél a 25 milliós küszöb a lényeg. Ellenőrizd: az előző évi bevételed meghaladta a 25 millió dollárt? Ha igen, a CCPA vonatkozik rád.
Mi számít személyes adatnak a CCPA és a GDPR szerint? Miért tágabb a CCPA?
GDPR: közvetlenül azonosít egy személyt (név, e-mail) vagy közvetve (IP-cím). CCPA: tágabb, mindent magában foglal, amit a GDPR, PLUSZ a következtetéseket és előrejelzéseket. Példa: öt webshop-oldal megtekintése. GDPR = személyes adat (munkamenet-azonosító). CCPA = személyes adat PLUSZ a levont preferencia (az a következtetés, hogy szeretsz vásárolni). A CCPA magában foglalja a viselkedési és előrejelző adatot is, amelyet a GDPR talán nem. Az analitikánál: az oldalmegtekintés mindkét szerint személyes adat. A viselkedési következtetés („a luxuscikkek érdeklik”) biztosan CCPA szerinti személyes adat, a GDPR szerint talán nem. A CCPA szélessége azt jelenti, hogy több adat vált ki megfelelési kötelezettséget, ezért egyes cégeknek nehezebb, mint a GDPR.
Ha egy felhasználó törlést kér, milyen jogos célokra tarthatom meg az adatot?
A CCPA szerinti törlésnek vannak kivételei. Megtarthatod az adatot: (1) Csalásfelderítésre és biztonságra. (2) Jogi megfelelésre (adó, szerződések, perek). (3) Termékfejlesztésre (csak anonimizálva vagy összesítve). (4) Belső analitikára (csak anonimizálva). (5) A felhasználói elvárások teljesítésére (ha megígérted, hogy megtartod). Az analitikánál: biztonsági incidens = megtartod. Jogi zárolás = megtartod. „Később hasznos lehet” = töröld. Teszt: el tudnád magyarázni egy szabályozónak úgy, hogy megálljon? Ha igen, tartsd meg. Ha spekulatív, töröld.
Miért 15 nap a leiratkozási határidő, de 45 nap a hozzáférési?
Eltérő a bonyolultság. Az adateladás letiltása egyszerű: a felhasználót fel kell venni az „ne add el” listára (konfigurációváltoztatás, pár nap munka). A 15 munkanap (3 hét) ésszerű. A hozzáférési kérelmek nehezebbek: minden rendszerből le kell kérni az összes adatot, összeállítani, olvashatóvá formázni, kézbesíteni. Ehhez több adatbázist kell lekérdezni, az érzékeny adatot jelölni, olvasható dokumentumot készíteni. A 45 nap (9 hét) reális erre a munkára. A törvény elismeri a bonyolultságbeli különbséget. Az analitikánál: a leiratkozás 2-3 napot vesz igénybe (felvétel a kizárási listára). A hozzáférési kérelem 30+ napot (lekérés az analitikából, a CRM-ből, az ügyfélszolgálatból stb.).
A magánjogi kereset 100-750 dollár személyenként. Hogyan számolják ki?
Törvényi kártérítés: fix összeg személyenként és incidensenként, nem a tényleges kárra épül. Példa: az incidens 10 000 embert érint. 10 000 × 100 dollár minimum = 1 millió dollár törvényi kártérítés. Személyenként 750 dollárt követelve = 7,5 millió dollár. Az alperes a kettő között egyezik meg. Az „incidensenként” azt jelenti, hogy egy szivárgás = egy incidens (nem 10 000). Több szivárgás kártérítése összeadódik. Valóság: egy 10 000 embert érintő szivárgás könnyen 1-10 millió dollárba kerül törvényi kártérítésben plusz ügyvédi díjakban. Az alperesek a csoportos pereket a követelt törvényi kártérítés 50-70%-áért rendezik. Ezért kulcsfontosságú a megelőzés: a törvényi kártérítés automatikus, amint a szivárgás bizonyított.
Többállami megfeleléshez államspecifikus szabályokat vezessek be, vagy a GDPR-szabványt használjam?
Használd a GDPR-szabványt mindenkire. A GDPR szigorúbb minden amerikai állami törvénynél. Ha megfelelsz a GDPR-nak, automatikusan meghaladod a legtöbb állami követelményt. Az államonkénti szabályok működésileg bonyolultak (államonként más sáv, megőrzés, leiratkozás). A GDPR-szabvány egyszerűbb: egyetlen szabályrendszer lefedi az összes államot. Kivétel: ha csak egy-két államot szolgálsz ki, azokra optimalizálj. De 5+ államnál vagy mind az 50-nél a GDPR-szabvány a könnyebb. Stratégia: építs a GDPR-ra, adj hozzá kaliforniai felületet (leiratkozási link), és állítsd be az analitikát úgy, mintha a GDPR minden államra vonatkozna. A legtöbb államra túlzottan megfelelsz, ami biztonságosabb, mint alulmegfelelni.