California Consumer Privacy Act (CCPA)
California Consumer Privacy Act (CCPA) Definisjon
California Consumer Privacy Act (CCPA) er en delstatlig lov som har som hensikt å styrke personvernrettigheter og forbrukervern for innbyggere i California, USA. Loven gir forbrukerne mer kontroll over personlig informasjon som bedrifter samler inn om dem.
CCPA ble signert inn i loven 28. juni 2018, og trådte i kraft 1. januar 2020. Det anses som en av de mest omfattende personvernlovene i USA og har likheter med Den europeiske unionens General Data Protection Regulation (GDPR).
Nøkkelkonsepter og bestemmelser i CCPA
Forbrukerens rett til å vite: CCPA gir forbrukerne rett til å vite hvilken personlig informasjon bedrifter samler inn om dem og hvordan denne informasjonen brukes. Bedrifter er pålagt å oppgi kategoriene av personlig informasjon de samler inn, kildene hvorfra informasjonen er samlet, formålene informasjonen brukes til, og kategoriene av tredjeparter som informasjonen deles med.
Forbrukerens rett til å slette: Forbrukerne har rett til å be om at bedrifter sletter deres personlige informasjon, med visse unntak. Ved mottak av en verifisert forespørsel, må bedrifter slette forbrukerens personlige informasjon fra sine opptegnelser og instruere sine tjenesteleverandører om å gjøre det samme, med mindre et unntak gjelder.
Forbrukerens rett til å velge bort: Bedrifter som selger personlig informasjon er forpliktet til å gi en "Do Not Sell My Personal Information"-lenke på sine nettsteder, som tillater forbrukerne å velge bort salget av deres personlige informasjon. Forbrukere kan utøve denne retten når som helst, og bedrifter har forbud mot å diskriminere mot forbrukere som utøver denne retten.
Forbrukerens rett til ikke-diskriminering: CCPA forbyr bedrifter fra å diskriminere mot forbrukere som utøver sine rettigheter i henhold til CCPA. Bedrifter kan ikke nekte varer eller tjenester, belaste forskjellige priser, eller gi et annet nivå eller kvalitet på tjenester til forbrukere som utøver sine personvernrettigheter.
Barnevern: CCPA inkluderer spesifikke beskyttelser for barn under 16 år. Bedrifter må innhente samtykke fra foreldre eller foresatte før de selger personlig informasjon om barn under 13 år. For barn mellom 13 og 16 år, må barnet selv gi samtykke.
Forpliktelser for bedrifter: I tillegg til forbrukerrettighetene, pålegger CCPA visse forpliktelser på bedrifter. Bedrifter må implementere rimelige sikkerhetstiltak for å beskytte den personlige informasjonen de samler inn fra uautorisert tilgang, ødeleggelse, bruk, modifikasjon, eller avsløring. De må også gi forbrukerne minst to metoder for å sende inn forespørsel om å utøve sine personvernrettigheter, inkludert et gratis telefonnummer og en nettadresse.
Overholdelse av CCPA
Bedrifter bør sikre at de overholder CCPA ved å forstå lovens krav og implementere nødvendige endringer i sine personvernregler og databehandlingspraksis. Her er noen tips for bedrifter for å forhindre eventuelle brudd:
Forstå lovens omfang: Bedrifter bør vurdere om CCPA gjelder for dem basert på deres årlige bruttoinntekter, mengden av data fra californiske forbrukere de håndterer, og om de oppfyller noen andre terskler beskrevet i loven.
Oppdatere personvernregler: Bedrifter må gjennomgå og oppdatere sine personvernregler for å inkludere de nødvendige opplysningene om kategoriene av personlig informasjon som samles inn, formålene som informasjonen brukes til, og rettighetene tilgjengelige for forbrukerne.
Implementere databeskyttelsestiltak: Bedrifter må implementere rimelige sikkerhetstiltak for å beskytte den personlige informasjonen de samler inn. Dette kan inkludere kryptering, tilgangskontroller, regelmessige data backup-er, og opplæring av ansatte i beste praksis for datasikkerhet.
Gi forbrukerrettighetsmekanismer: Bedrifter bør etablere prosesser for å håndtere forbrukerforespørsler om å vite, slette, og velge bort. Dette kan innebære å opprette dedikerte e-postadresser eller gratisnummer for å motta og behandle forbrukerforespørsler.
Trene ansatte: Bedrifter bør utdanne og trene sine ansatte om kravene i CCPA, inkludert hvordan man håndterer forbrukerforespørsler, beskytter personlig informasjon, og overholder lovens bestemmelser.
Forhold til GDPR
CCPA deler likheter med Den europeiske unionens General Data Protection Regulation (GDPR), som ble implementert i mai 2018. Begge regelverkene har som mål å styrke individers personvernrettigheter og pålegge bedrifter som samler og behandler personlig informasjon. Imidlertid er det viktige forskjeller mellom de to:
Territoriell rekkevidde: GDPR gjelder for bedrifter som behandler personopplysninger til individer i Den europeiske union, uavhengig av bedriftens plassering. I kontrast gjelder CCPA for bedrifter som samler personlig informasjon fra innbyggere i California, uavhengig av hvor bedriften er lokalisert.
Samtykkekrav: GDPR vektlegger innhenting av uttrykkelig samtykke fra individer for behandlingen av deres personopplysninger, mens CCPA fokuserer på å gi forbrukerne rett til å velge bort salget av deres personlige informasjon.
Straffer og håndhevelse: GDPR tillater betydelige bøter for manglende overholdelse, med straffer som kan nå opp til 4 % av selskapets årlige globale omsetning. CCPA gir for sivile bøter på opptil $2,500, eller opptil $7,500 for forsettlige brudd.
Til tross for forskjellene, er det viktig for bedrifter å forstå og overholde begge regelverkene hvis de håndterer personlig informasjon fra individer i både California og EU.
Relaterte begreper
- General Data Protection Regulation (GDPR): En regulering i Den europeiske union som adresserer databeskyttelse og personvern for individer innenfor EU og Det europeiske økonomiske samarbeidsområdet.
- Personlig informasjon: Enhver informasjon som identifiserer, relaterer til, beskriver, eller er i stand til å bli assosiert med en bestemt individ.