Kalifornian kuluttajien tietosuojalaki (CCPA)
California Consumer Privacy Act (CCPA) -määritelmä
California Consumer Privacy Act (CCPA) on osavaltion laki, jonka tarkoituksena on parantaa Kalifornian, Yhdysvaltojen, asukkaiden yksityisyyden suojaa ja kuluttajansuojaa. Se antaa kuluttajille enemmän hallintaa yritysten keräämiin henkilötietoihin.
CCPA allekirjoitettiin laiksi 28. kesäkuuta 2018 ja se tuli voimaan 1. tammikuuta 2020. Sitä pidetään yhtenä Yhdysvaltojen laajimmista yksityisyyttä koskevista laeista, ja sillä on samankaltaisuuksia Euroopan unionin yleisen tietosuoja-asetuksen (GDPR) kanssa.
CCPA:n keskeiset käsitteet ja säännökset
Kuluttajan oikeus tietää: CCPA antaa kuluttajille oikeuden tietää, mitä henkilötietoja yritykset keräävät heistä ja miten näitä tietoja käytetään. Yritysten on ilmoitettava keräämiensä henkilötietojen luokat, tiedonlähteet, käyttötarkoitukset sekä kolmansien osapuolten luokat, joille tiedot jaetaan.
Kuluttajan oikeus poistaa: Kuluttajilla on oikeus vaatia, että yritykset poistavat heidän henkilötietonsa, poikkeuksin. Saatuaan varmennetun pyynnön, yritysten on poistettava kuluttajan henkilötiedot tiedoistaan ja ohjattava palveluntarjoajiaan tekemään samoin, ellei poikkeus sovellu.
Kuluttajan oikeus kieltäytyä: Henkilötietoja myyvien yritysten on tarjottava verkkosivuillaan "Älä myy henkilötietojani" -linkki, jonka avulla kuluttajat voivat estää henkilötietojensa myynnin. Kuluttajat voivat käyttää tätä oikeutta milloin tahansa, eivätkä yritykset saa syrjiä kuluttajia, jotka käyttävät tätä oikeutta.
Kuluttajan oikeus syrjimättömyyteen: CCPA kieltää yrityksiä syrjimästä kuluttajia, jotka käyttävät oikeuksiaan CCPA:n nojalla. Yritykset eivät saa kieltäytyä tavaroista tai palveluista, veloittaa eri hintoja tai tarjota eritasoista tai laatuista palvelua kuluttajille, jotka käyttävät yksityisyyden suojansa oikeuksia.
Lasten yksityisyys: CCPA sisältää erityiset suojat alle 16-vuotiaille lapsille. Yritysten on hankittava vanhempien tai huoltajien suostumus ennen alle 13-vuotiaiden lasten henkilötietojen myymistä. 13–16-vuotiaiden lasten osalta lapsen itsensä on annettava vahvistava suostumus.
Yritysten velvollisuudet: Kuluttajien oikeuksien lisäksi CCPA asettaa yrityksille tiettyjä velvollisuuksia. Yritysten on toteutettava kohtuulliset tietoturvatoimenpiteet suojatakseen keräämänsä henkilötiedot luvattomalta käytöltä, tuhoutumiselta, käytöltä, muokkaukselta tai paljastamiselta. Niiden on myös tarjottava kuluttajille vähintään kaksi tapaa esittää pyyntöjä yksityisyyden suojan oikeuksiensa käyttämiseksi, mukaan lukien maksuton puhelinnumero ja verkkosivun osoite.
CCPA:n noudattaminen
Yritysten tulisi varmistaa CCPA:n noudattaminen ymmärtämällä sen vaatimukset ja toteuttamalla tarvittavat muutokset yksityisyyden suoja -käytäntöihinsä ja tietojenkäsittelytapoihinsa. Tässä on muutamia vinkkejä yrityksille, jotta ne voivat estää mahdolliset rikkomukset:
Ymmärrä lain soveltamisala: Yritysten tulisi arvioida, koskeeko CCPA niitä, perustuen niiden vuotuisiin liikevaihtoihin, käsittelemäänsä Kalifornian kuluttajatietojen määrään ja siihen, täyttävätkö ne muut laissa määritellyt kriteerit.
Päivitä tietosuojakäytännöt: Yritysten on tarkistettava ja päivitettävä tietosuojakäytäntönsä sisällyttääkseen vaaditut ilmoitukset kerättyjen henkilötietojen luokista, tietojen käyttötarkoituksista ja kuluttajille tarjolla olevista oikeuksista.
Toteuta tietosuojatoimenpiteet: Yritysten on toteutettava kohtuulliset tietoturvatoimenpiteet suojaamaan keräämiään henkilötietoja. Tämä voi sisältää salauksen, pääsyn valvonnat, säännölliset tietojen varmuuskopiot ja työntekijöiden koulutuksen tietoturvakäytännöistä.
Tarjoa kuluttajan oikeuksien mekanismit: Yritysten tulisi perustaa prosesseja kuluttajien tietopyyntöjen käsittelyyn, poistamiseen ja kieltäytymiseen. Tämä voi sisältää erityisten sähköpostiosoitteiden tai maksuttomien numeroiden luomisen kuluttajapyyntöjen vastaanottamiseen ja käsittelyyn.
Kouluta työntekijöitä: Yritysten tulisi kouluttaa ja ohjeistaa työntekijöitään CCPA:n vaatimuksista, mukaan lukien kuluttajapyyntöjen käsittely, henkilötietojen suojaaminen ja lain säännösten noudattaminen.
Yhteys GDPR:ään
CCPA:lla on samankaltaisuuksia Euroopan unionin yleisen tietosuoja-asetuksen (GDPR) kanssa, joka otettiin käyttöön toukokuussa 2018. Molemmat säädökset pyrkivät parantamaan yksilöiden yksityisyyden suojan oikeuksia ja asettavat velvoitteita henkilötietoja käsitteleville yrityksille. Kuitenkin niiden välillä on keskeisiä eroja:
Alueellinen soveltamislaajuus: GDPR koskee yrityksiä, jotka käsittelevät Euroopan unionin alueella olevien henkilöiden henkilötietoja, riippumatta yrityksen sijainnista. CCPA puolestaan koskee yrityksiä, jotka keräävät Kalifornian asukkaiden henkilötietoja, riippumatta siitä, missä yritys sijaitsee.
Suostumusvaatimukset: GDPR korostaa yksilöiltä saadun nimenomaisen suostumuksen saantia henkilötietojen käsittelylle, kun taas CCPA keskittyy antamaan kuluttajille oikeuden kieltäytyä henkilötietojensa myynnistä.
Sakot ja täytäntöönpano: GDPR mahdollistaa merkittävät sakot noudattamatta jättämisestä, rangaistusten noustessa jopa 4 % yrityksen vuotuisesta maailmanlaajuisesta liikevaihdosta. CCPA tarjoaa siviilioikeudellisia sakkoja korkeintaan 2 500 dollaria tai jopa 7 500 dollaria tahallisista rikkomuksista.
Huolimatta eroista, on tärkeää, että yritykset ymmärtävät ja noudattavat molempia säädöksiä, jos ne käsittelevät yksilöiden henkilötietoja sekä Kaliforniassa että Euroopan unionissa.
Liittyvät termit
- General Data Protection Regulation (GDPR): Euroopan unionin asetus, joka käsittelee tietojen suojaa ja yksityisyyttä EU:n ja Euroopan talousalueen alueella oleville henkilöille.
- Henkilötiedot: Kaikki tiedot, jotka tunnistavat, liittyvät tai ovat yhdistettävissä tiettyyn yksilöön.