California Consumer Privacy Act (CCPA)
California Consumer Privacy Act (CCPA) Definition
California Consumer Privacy Act (CCPA) är en delstatlig lag som syftar till att förbättra integritetsrättigheter och konsumentskydd för invånare i Kalifornien, USA. Den ger konsumenter mer kontroll över den personliga information som företag samlar in om dem.
CCPA skrevs under till lag den 28 juni 2018 och trädde i kraft den 1 januari 2020. Den anses vara en av de mest omfattande integritetslagarna i USA och har likheter med Europeiska unionens General Data Protection Regulation (GDPR).
Viktiga koncept och bestämmelser i CCPA
Konsumentens rätt att veta: CCPA ger konsumenter rätt att veta vilken personlig information företag samlar in om dem och hur den informationen används. Företag måste avslöja de kategorier av personlig information de samlar in, de källor som informationen samlas in från, ändamålen för vilka informationen används, och de kategorier av tredje parter med vilka informationen delas.
Konsumentens rätt att radera: Konsumenter har rätt att begära att företag raderar deras personliga information, med vissa undantag. Vid mottagande av en verifierad begäran måste företag radera konsumentens personliga information från sina register och instruera sina tjänsteleverantörer att göra detsamma, om inte ett undantag gäller.
Konsumentens rätt att välja bort: Företag som säljer personlig information är skyldiga att tillhandahålla en länk "Sälj inte min personliga information" på sina webbplatser, vilket tillåter konsumenter att välja bort försäljningen av deras personliga information. Konsumenter kan utöva denna rätt när som helst, och företag är förbjudna från att diskriminera konsumenter som utövar denna rätt.
Konsumentens rätt till icke-diskriminering: CCPA förbjuder företag från att diskriminera konsumenter som utövar sina rättigheter enligt CCPA. Företag kan inte neka varor eller tjänster, ta ut olika priser, eller erbjuda olika nivåer eller kvalitet av tjänster till konsumenter som utövar sina integritetsrättigheter.
Barns integritet: CCPA innehåller särskilda skydd för barn under 16 år. Företag måste få inhämtat samtycke från föräldrar eller vårdnadshavare innan de säljer personlig information om barn under 13 år. För barn mellan 13 och 16 år måste ett uttryckligt samtycke ges av barnet självt.
Företags skyldigheter: Utöver konsumenträttigheterna ålägger CCPA vissa skyldigheter på företag. Företag måste implementera rimliga säkerhetsåtgärder för att skydda den personliga information de samlar in från obehörig åtkomst, förstörelse, användning, ändring eller avslöjande. De måste också tillhandahålla konsumenter med minst två metoder för att lämna in begäran om att utöva sina integritetsrättigheter, inklusive ett avgiftsfritt telefonnummer och en webbplatsadress.
Efterlevnad av CCPA
Företag bör se till att de följer CCPA genom att förstå dess krav och genomföra nödvändiga förändringar i sina integritetspolicyer och dataskötselrutiner. Här är några tips för företag för att förhindra överträdelser:
Förstå lagens omfattning: Företag bör bedöma om CCPA gäller för dem baserat på deras årliga bruttointäkter, mängden kalifornisk konsumentdata de hanterar, och om de uppfyller några andra trösklar som anges i lagen.
Uppdatera integritetspolicyer: Företag måste granska och uppdatera sina integritetspolicyer för att inkludera de nödvändiga upplysningarna om de kategorier av personlig information som samlas in, ändamålen för vilka informationen används, och vilka rättigheter som är tillgängliga för konsumenter.
Införa dataskyddsåtgärder: Företag måste implementera rimliga säkerhetsåtgärder för att skydda den personliga information de samlar in. Detta kan innefatta kryptering, åtkomstkontroller, regelbundna datakopior och medarbetarutbildning om bästa praxis för datasäkerhet.
Tillhandahålla mekanismer för konsumenträttigheter: Företag bör etablera processer för att hantera konsumenters begäran att veta, radera och välja bort. Detta kan innebära att skapa dedikerade e-postadresser eller avgiftsfria nummer för att ta emot och behandla konsumentbegäran.
Träna anställda: Företag bör utbilda och träna sina anställda om kraven i CCPA, inklusive hur man hanterar konsumentförfrågningar, skyddar personlig information och följer lagens bestämmelser.
Förhållande till GDPR
CCPA delar likheter med Europeiska unionens General Data Protection Regulation (GDPR), som implementerades i maj 2018. Båda regleringarna syftar till att förbättra individers integritetsrättigheter och ålägga skyldigheter på företag som samlar in och bearbetar personlig information. Det finns dock viktiga skillnader mellan de två:
Territoriellt omfång: GDPR gäller för företag som bearbetar personuppgifter för individer inom Europeiska unionen, oavsett företagets plats. CCPA gäller i kontrast för företag som samlar in personlig information om invånare i Kalifornien, oavsett var företaget befinner sig.
Samtyckeskrav: GDPR betonar att få uttryckligt samtycke från individer för behandling av deras personuppgifter, medan CCPA fokuserar på att ge konsumenter rätt att välja bort försäljningen av deras personliga information.
Böter och verkställighet: GDPR tillåter betydande böter för bristande efterlevnad, med straff som kan uppgå till 4% av ett företags årliga globala omsättning. CCPA föreskriver civila straff upp till $2,500, eller upp till $7,500 för avsiktliga överträdelser.
Trots skillnaderna är det viktigt för företag att förstå och följa båda regleringarna om de hanterar personlig information för individer i både Kalifornien och Europeiska unionen.
Relaterade termer
- General Data Protection Regulation (GDPR): En förordning inom Europeiska unionen som adresserar dataskydd och integritet för individer inom EU och Europeiska ekonomiska samarbetsområdet.
- Personlig information: All information som identifierar, relaterar till, beskriver eller kan associeras med en specifik individ.