A CCPA az Egyesült Államok adatvédelmi törvénye. Ha a vállalkozásod bárhol működik az Egyesült Államokban, valószínűleg vannak kaliforniai látogatóid. Ha űrlapokon keresztül gyűjtöd az adataikat, a CCPA vonatkozik rád. De a CCPA nem az egyetlen adatvédelmi törvény. Már több mint egy tucat amerikai államban vannak hasonló adatvédelmi szabályozások, és újak is érkeznek.
A CCPA és más állami adatvédelmi törvények az amerikai megfelelői az európai GDPR-nak. Elengedhetetlen megérteni, mely adatvédelmi törvények vonatkoznak az űrlapjaidra, és mit követel meg mindegyik, hogy megfelelő maradj az amerikai régiókban.
Mit fogsz megtanulni: mi a CCPA, és miben különbözik a GDPR-tól, mely más amerikai államokban vannak adatvédelmi törvények, mit követelnek ezek az űrlapoktól, honnan tudod, mely törvények vonatkoznak a vállalkozásodra, és hogyan építs olyan űrlapokat, amelyek egyszerre több szabályozásnak is megfelelnek.
Mi a CCPA?
A CCPA (California Consumer Privacy Act, kaliforniai fogyasztói adatvédelmi törvény) olyan adatvédelmi törvény, amely a kaliforniai lakosoktól személyes adatokat gyűjtő, profitorientált cégekre vonatkozik. 2020. január 1-jén lépett hatályba, és azóta további szabályozásokkal erősítették.
A CCPA akkor vonatkozik az űrlapjaidra, ha:
- A vállalkozásod kaliforniai emberektől gyűjt adatot
- Az éves bevételed meghaladja a 25 millió dollárt, vagy
- 100 000 vagy több lakostól (vagy háztartástól) gyűjtesz adatot, vagy
- A fogyasztói adatok eladása az üzleti gyakorlatod része
Még a kisvállalkozások is gyakran teljesítik ezeket a küszöböket anélkül, hogy tudnának róla. Ha van egy kapcsolatfelvételi űrlapod, és néhány száz kaliforniai lakostól gyűjtöttél információt, valószínűleg érint.
A CCPA legfontosabb követelményei az űrlapokhoz
Közzététel az adatvédelmi tájékoztatóban
Adatvédelmi tájékoztatót kell biztosítanod, amely tájékoztatja a kaliforniai látogatókat:
- Milyen kategóriájú személyes adatokat gyűjtesz (név, e-mail-cím, vásárlási előzmények stb.)
- Miért gyűjtöd (megkeresések megválaszolására, szolgáltatásnyújtásra, marketingre)
- Honnan származik az adat (közvetlenül a fogyasztótól egy űrlapon, harmadik felektől, analitikából)
- Mennyi ideig tartod meg
- Kikkel osztod meg (szolgáltatók, más vállalkozások stb.)
Az adatvédelmi tájékoztatónak könnyen megtalálhatónak kell lennie. A lábléc linkje vagy egy eldugott szabályzat oldal nem elég. Tedd oda, ahol a látogatók látják, mielőtt kitöltik az űrlapodat.
A tájékozódáshoz való jog
A kaliforniai lakosok kérhetik, hogy tudják meg, milyen személyes adatokat gyűjtöttél róluk. Ezt az információt 45 napon belül kell tudnod megadni. Ez azt jelenti, hogy szükséged van olyan rendszerekre, amelyek követik, milyen adatod van az egyes emberekről, és egy folyamatra e kérések megválaszolásához.
A törléshez való jog
A kaliforniai lakosok kérhetik, hogy töröld a személyes adataikat. Teljesítened kell, hacsak nincs jogi okod megtartani (például adónyilvántartás vagy csalásmegelőzés). Ez az összes űrlap-beküldésre és ügyféladatra vonatkozik, ami róluk van.
Az értékesítésből való kilépés joga
Ha személyes adatokat adsz el más cégeknek (még ha nem is gondolsz rá "eladásként"), a kaliforniai lakosok kiléphetnek. A CCPA szerint az "eladás" magában foglalja az adatok megosztását harmadik felekkel pénzért, szolgáltatásért vagy más értékes előnyért. A weboldaladon biztosítanod kell egy "Do Not Sell My Personal Information" (Ne add el a személyes adataimat) linket.
A helyesbítéshez való jog
A fogyasztók kérhetik, hogy helyesbítsd a róluk szóló pontatlan személyes adatokat. Nem kell mindent megváltoztatnod, amit kérnek, de kell lennie folyamatnak e kérések felülvizsgálatára és megválaszolására.
Megkülönböztetés tilalma
Nem különböztethetsz meg senkit azért, mert gyakorolja a CCPA szerinti jogait. Ha valaki kéri az adatai törlését, nem tagadhatod meg a kiszolgálását, és nem számíthatsz fel neki többet a szolgáltatásaidért.
CCPA és GDPR: a legfontosabb különbségek
A CCPA és a GDPR is védi a személyes adatokat, de fontos különbségek vannak köztük:
| Jellemző | GDPR | CCPA | |-|-|-| | Kire vonatkozik | EU-lakosok adatai, bármely cégtől | Kaliforniai lakosok adatai, nagyobb cégektől | | Hozzájárulás | Kifejezett opt-in szükséges (az alapvető adatok kivételével) | Opt-out modell (az adatot gyűjtik, hacsak nem kéred, hogy ne) | | Elfeledtetéshez való jog | Igen | Igen, de több kivétellel | | Bírságok | Legfeljebb 20 millió euró vagy a bevétel 4%-a | Jogsértésenként legfeljebb 2500, szándékos jogsértésenként legfeljebb 7500 | | Adatértékesítés | Hozzájárulás nélkül nem megengedett | Megengedett, hacsak a fogyasztó nem lép ki |A legfontosabb különbség, hogy a GDPR megköveteli, hogy engedélyt kérj az adatgyűjtés előtt. A CCPA megköveteli, hogy tájékoztasd az embereket, hogy kiléphetnek.
Más amerikai állami adatvédelmi törvények
Több mint egy tucat másik állam fogadott el a CCPA-hoz hasonló adatvédelmi törvényt. Íme a főbbek:
Virginia (VCDPA)
A Virginia Consumer Data Protection Act a virginiai lakosok személyes adatait feldolgozó, profitorientált cégekre vonatkozik. Fogyasztói jogokat ír elő az adathozzáféréshez, törléshez, helyesbítéshez és az értékesítésből való kilépéshez.
Colorado (CPA)
A Colorado Privacy Act a coloradói lakosok adatait feldolgozó cégeket fedi le. A CCPA-hoz hasonló, de a hatókörben és a végrehajtásban vannak különbségek.
Connecticut (CTDPA)
A Connecticut Data Privacy Act 2024 júliusában lépett hatályba. A CCPA-hoz és a VCDPA-hoz hasonló fogyasztói jogokat ad.
Utah (UCPA)
A Utah Consumer Privacy Act észrevehetően kevésbé szigorú, mint a többi, de így is megköveteli a fogyasztói kilépési jogokat.
Montana, Delaware, Iowa és mások
További államok fogadtak el vagy fontolgatnak adatvédelmi törvényeket. A legtöbb a CCPA fogyasztói kilépési jogokra épülő modelljét követi, a követelményekben némi eltéréssel.
Honnan tudod, mely törvények vonatkoznak az űrlapjaidra
Annak kiderítéséhez, mely adatvédelmi törvényeknek kell megfelelned:
- Azonosítsd, honnan jönnek a látogatóid. Az analitikával nézd meg, mely államok és régiók vannak képviselve.
- Nézd meg az egyes régiók törvényét. Az amerikai államoknál nézd meg az állam főügyészének weboldalát. Más országoknál kutasd fel az adatvédelmi törvényeiket.
- Ellenőrizd a küszöbkövetelményeket. Eléri a céged a méretküszöböket? Van elég ügyfeled abban a régióban?
- Konzultálj jogi tanácsadóval, ha bizonytalan vagy. Az adatvédelmi jog összetett, és régiónként változik. Ha a vállalkozásod jelentős mennyiségű adatot gyűjt, beszélj ügyvéddel.
Hogyan építs több adatvédelmi törvénynek is megfelelő űrlapokat
Ha a látogatóid különböző államokból és országokból érkeznek, a legszigorúbb vonatkozó szabályokat kell követned.
Feltételezd mindenkire a GDPR-szabályokat
Ha vannak EU-s látogatóid, kövesd a GDPR-szabályokat. A GDPR az egyik legszigorúbb adatvédelmi törvény, ezért a GDPR-nak való megfelelés gyakran azt jelenti, hogy más törvényeknek is megfelelsz.
Használj kifejezett hozzájárulást az érzékeny adatokhoz
Ahelyett, hogy különböző látogatókra különböző szabályokat próbálnál követni, használj kifejezett hozzájárulást (a GDPR-szabványt) mindenhez. Ez tisztább és védőbb. Tedd a hozzájárulási lehetőségeket világossá, konkrétan és külön az adatok különböző felhasználásaihoz.
Biztosíts adatvédelmi tájékoztatót az űrlapon
Tegyél az űrlapoldalra egy világos, olvasható összefoglalót az adatkezelési gyakorlatodról. Linkelj a teljes adatvédelmi szabályzatodra. Ez egyszerre több törvény közzétételi követelményeit teljesíti.
Tedd könnyűvé a kilépést
Biztosíts módot arra, hogy az emberek leiratkozzanak a marketing e-mailekről, vagy kérjék az adataik törlését. Tedd ezt minden küldött marketing e-mailbe (jogilag kötelező) és a weboldaladra (jó gyakorlat).
Vezess jó nyilvántartást
Dokumentáld, milyen adatot gyűjtesz, miért gyűjtöd, mennyi ideig tartod meg, és kinek van hozzáférése. Ez segít gyorsan válaszolni az adatkérésekre, és bizonyítja a megfelelésedet, ha egy szabályozó megkérdezi.
Adatvédelmi törvények bírságai és szankciói
A CCPA és az állami adatvédelmi törvények pénzügyi szankciókkal járnak:
- CCPA (Kalifornia): Jogsértésenként legfeljebb 2500 dollár, szándékos jogsértésenként 7500 dollár. Az állam főügyésze érvényesíti, és bizonyos esetekben a fogyasztók is perelhetnek.
- Virginia, Colorado, Connecticut stb.: A bírságok jogsértésenként 2500 és 10 000 dollár között mozognak, és egyes államok a fogyasztóknak is engedik a perlést.
Bár ezek a bírságok alacsonyabbak a GDPR-bírságoknál, gyorsan összeadódnak, ha több jogsértés van, vagy ha egy adatvédelmi incidens emberek ezreit érinti.
Mit tesz a WEMASY az adatvédelmi törvényeknek való megfelelésért
A WEMASY űrlapjai olyan eszközöket tartalmaznak, amelyek segítenek megfelelni az állami és szövetségi adatvédelmi törvényeknek. Adatvédelmi tájékoztatókat adhatsz az űrlapjaidhoz, követheted, hogy az egyes látogatók a hozzájárulási feltételeid melyik verzióját fogadták el, és folyamatokat biztosíthatsz a csapatodnak az adathozzáférési és törlési kérések kezelésére. A WEMASY azt is naplózza, mely adatok vannak tárolva, és mikor küldték be őket, így segít vezetni a megfelelőségi auditokhoz szükséges nyilvántartásokat.
Nézd meg, mely adatvédelmi megfelelési funkciók érhetők el a csomagodban az árazási oldalon.