Οι ΗΠΑ δεν έχουν ολοκληρωμένο ομοσπονδιακό νόμο απορρήτου, αλλά πολλοί νόμοι πολιτειών απαιτούν πλέον στατιστικά που συμμορφώνονται με το απόρρητο. Το CCPA στην Καλιφόρνια (και ο διάδοχός του, το CPRA) έθεσε το προηγούμενο. Παρόμοιοι νόμοι υπάρχουν πλέον στη Βιρτζίνια, το Κολοράντο, το Κονέκτικατ, τη Γιούτα, τη Μοντάνα και το Ντέλαγουερ. Για ιστοσελίδες των ΗΠΑ, αν υποθέσεις ότι έχεις επισκέπτες από πολλές πολιτείες, πιθανότατα πρέπει να συμμορφώνεσαι με αρκετούς από αυτούς τους νόμους ταυτόχρονα.
Πώς λειτουργεί το CCPA/CPRA
Το CCPA (California Consumer Privacy Act) ισχύει για κερδοσκοπικές εταιρείες που συλλέγουν δεδομένα κατοίκων της Καλιφόρνιας. Απαιτεί ειδοποίηση για τη συλλογή δεδομένων, γνωστοποίηση του τι συλλέγεται και γιατί, και δικαιώματα των χρηστών να έχουν πρόσβαση, να διαγράφουν και να αρνούνται την πώληση δεδομένων. Το CPRA (California Privacy Rights Act), που τροποποίησε το CCPA, προσθέτει αυστηρότερες απαιτήσεις συναίνεσης και δικαίωμα των καταναλωτών να διορθώνουν ανακριβή δεδομένα.
Τι ενεργοποιεί το CCPA
Το CCPA ισχύει αν η εταιρεία σου πληροί οποιοδήποτε από αυτά: ετήσια έσοδα $25M+, αγορά/πώληση/μοίρασμα δεδομένων 100.000+ ατόμων ή νοικοκυριών, ή 50%+ των εσόδων από πώληση δεδομένων καταναλωτών. Πολλές μεσαίες εταιρείες το ενεργοποιούν χωρίς να το καταλάβουν.
Το CCPA ισχύει για «προσωπικές πληροφορίες», δηλαδή δεδομένα που ταυτοποιούν, σχετίζονται ή θα μπορούσαν να συνδεθούν με συγκεκριμένο πρόσωπο. Αυτό είναι ευρύτερο από το GDPR. Περιλαμβάνει εικασίες για προτιμήσεις, τοποθεσία, εμπορική συμπεριφορά και άλλα. Για τα στατιστικά, η περισσότερη παρακολούθηση το πληροί.
Τα δικαιώματα του CCPA που πρέπει να τηρείς
Δικαίωμα γνώσης: οι χρήστες μπορούν να ζητήσουν ποιες προσωπικές πληροφορίες έχεις συλλέξει και πώς τις έχεις χρησιμοποιήσει. Πρέπει να απαντήσεις μέσα σε 45 ημέρες (με παράταση έως 90). Η γνωστοποίηση πρέπει να είναι πλήρης.
Δικαίωμα διαγραφής: οι χρήστες μπορούν να ζητήσουν διαγραφή των προσωπικών τους πληροφοριών. Πρέπει να συμμορφωθείς μέσα σε 45 ημέρες. Μπορείς όμως να κρατήσεις δεδομένα για νόμιμους επιχειρηματικούς σκοπούς (π.χ. εντοπισμός απάτης) ή για νομική συμμόρφωση.
Δικαίωμα άρνησης πώλησης: οι χρήστες μπορούν να ζητήσουν να σταματήσεις να πουλάς τα δεδομένα τους. Πρέπει να το τηρήσεις μέσα σε 15 εργάσιμες ημέρες. Σημείωση: η «πώληση» στο CCPA περιλαμβάνει το μοίρασμα για οτιδήποτε έχει αξία, όχι μόνο χρήματα.
Δικαίωμα διόρθωσης: με το CPRA, οι χρήστες μπορούν να ζητήσουν να διορθώσεις ανακριβή δεδομένα. Είναι καινούργιο και απλό: αν τα δεδομένα είναι λάθος, διόρθωσέ τα.
Συναίνεση εκ των προτέρων και εκ των υστέρων
Το CCPA χρησιμοποιεί άρνηση εκ των υστέρων για την πώληση δεδομένων: τα δεδομένα των χρηστών μπορούν να πουληθούν εκτός αν αρνηθούν. Το CPRA και οι νεότεροι νόμοι πολιτειών χρησιμοποιούν συναίνεση εκ των προτέρων για ευαίσθητα δεδομένα: χρειάζεσαι ρητή άδεια πριν συλλέξεις ευαίσθητες πληροφορίες (ακριβή τοποθεσία, αριθμούς κοινωνικής ασφάλισης, οικονομικά δεδομένα κ.λπ.). Για τα στατιστικά, υπόθεσε ότι χρειάζεσαι συναίνεση εκ των προτέρων με τους νεότερους νόμους.
Άλλοι νόμοι απορρήτου πολιτειών
Η Βιρτζίνια (VCDPA), το Κολοράντο (CPA), το Κονέκτικατ (CTDPA), η Γιούτα (UCPA), η Μοντάνα (MTDPA) και το Ντέλαγουερ (DPDPA) ψήφισαν όλες ολοκληρωμένους νόμους απορρήτου. Ακολουθούν το μοντέλο CCPA/CPRA: δίνουν στους χρήστες δικαιώματα γνώσης, διαγραφής και άρνησης. Οι λεπτομέρειες αλλάζουν ανά πολιτεία, αλλά το γενικό μοτίβο είναι συνεπές.
Πρέπει να συμμορφώνεσαι με όλους;
Εξαρτάται από το κοινό σου. Αν εξυπηρετείς κυρίως την Καλιφόρνια, επικεντρώσου στο CCPA/CPRA. Αν εξυπηρετείς πολλές πολιτείες, οι περισσότερες εταιρείες χρησιμοποιούν πρότυπο απορρήτου επιπέδου GDPR (που ξεπερνά τις περισσότερες απαιτήσεις των νόμων των πολιτειών) και το εφαρμόζουν σε όλους τους επισκέπτες. Είναι πιο απλό από τη συμμόρφωση πολιτεία προς πολιτεία.
Η πραγματικότητα των πολλών πολιτειών
Οι περισσότερες ιστοσελίδες έχουν επισκέπτες από πολλές πολιτείες. Κάποιες εξυπηρετούν και τις 50. Αντί να διατηρούν διαφορετικές πρακτικές στατιστικών ανά πολιτεία, οι περισσότερες εταιρείες υιοθετούν το αυστηρότερο πρότυπο στο οποίο υπόκεινται και το εφαρμόζουν παντού. Αυτό μειώνει την πολυπλοκότητα και εξασφαλίζει ότι δεν θα βρεθείς ποτέ εκτός συμμόρφωσης.
Συμμόρφωση με το CCPA/CPRA στην πράξη
Η συμμόρφωση απαιτεί: πολιτική απορρήτου που εξηγεί ποια δεδομένα συλλέγεις και γιατί, καθαρούς μηχανισμούς άρνησης για την πώληση δεδομένων (αν ισχύει), τη δυνατότητα να απαντάς σε αιτήματα πρόσβασης μέσα σε 45 ημέρες, συστήματα που διαγράφουν δεδομένα χρηστών κατόπιν αιτήματος και ειλικρινές marketing για τις πρακτικές δεδομένων σου (χωρίς ψέματα για το τι συλλέγεις ή πώς το χρησιμοποιείς).
Κυρώσεις και επιβολή του CCPA
Ο Γενικός Εισαγγελέας της Καλιφόρνιας μπορεί να επιβάλει πρόστιμο έως $2.500 ανά παράβαση (ή $7.500 ανά εκούσια παράβαση). Οι καταναλωτές μπορούν να καταθέσουν ιδιωτικές αγωγές για διαρροές δεδομένων (νόμιμες αποζημιώσεις $100-$750 ανά άτομο ανά περιστατικό). Οι ομαδικές αγωγές είναι συχνές. Η πρακτική επίδραση: μια παράβαση του CCPA μπορεί εύκολα να κοστίσει $1-10M αν επηρεάζει πολλούς χρήστες.
GDPR, CCPA και νόμοι των πολιτειών
Το GDPR είναι αυστηρότερο στη συναίνεση. Το CCPA είναι ευρύτερο στο τι μετράει ως προσωπικό δεδομένο. Οι νόμοι των πολιτειών ακολουθούν το μοντέλο CCPA με παραλλαγές. Αν συμμορφώνεσαι με το GDPR (βασισμένο στη συναίνεση, με προτεραιότητα στη διαφάνεια), συμμορφώνεσαι στο μεγαλύτερο μέρος με το CCPA και τους νόμους των πολιτειών. Το αντίστροφο δεν ισχύει πάντα: η συμμόρφωση με το CCPA μπορεί να μην αρκεί για το GDPR.
Ενεργοποιώ πραγματικά το CCPA; Πώς ξέρω αν φτάνω το όριο των $25M;
Ενεργοποιείς το CCPA αν πληροίς ΟΠΟΙΑΔΗΠΟΤΕ από τρεις προϋποθέσεις: ετήσια έσοδα $25M+, αγορά/πώληση/μοίρασμα δεδομένων 100.000+ ατόμων, ή 50%+ των εσόδων από πώληση δεδομένων. Το όριο των $25M είναι απλό (τα έσοδα του περασμένου χρόνου). Το όριο των 100.000+ είναι πιο δύσκολο: αν ο πάροχος στατιστικών επεξεργάζεται δεδομένα 100.000+ επισκεπτών, μπορεί να το ενεργοποιήσει (μοιράζεσαι δεδομένα). Το όριο των 50%+ ισχύει αν η πώληση δεδομένων είναι η κύρια δουλειά σου (σπάνιο). Για τις περισσότερες μεσαίες εταιρείες, το όριο των $25M είναι αυτό που μετράει. Έλεγχος: ξεπέρασαν τα έσοδα του περασμένου χρόνου τα $25M; Αν ναι, το CCPA ισχύει.
Τι μετράει ως προσωπικό δεδομένο στο CCPA και στο GDPR; Γιατί το CCPA είναι ευρύτερο;
GDPR: ταυτοποιεί πρόσωπο άμεσα (όνομα, email) ή έμμεσα (διεύθυνση IP). CCPA: ευρύτερο. Περιλαμβάνει όσα καλύπτει το GDPR ΣΥΝ εικασίες και προβλέψεις. Παράδειγμα: πέντε επισκέψεις σε σελίδες e-shop. GDPR = προσωπικό δεδομένο (αναγνωριστικό συνεδρίας). CCPA = προσωπικό δεδομένο ΣΥΝ εικαζόμενη προτίμηση (εικασία ότι σου αρέσουν τα ψώνια). Το CCPA περιλαμβάνει δεδομένα συμπεριφοράς και πρόβλεψης που το GDPR μπορεί να μην καλύπτει. Για τα στατιστικά: η προβολή σελίδας είναι προσωπικό δεδομένο και στα δύο. Η εικασία συμπεριφοράς («ενδιαφέρεται για προϊόντα πολυτελείας») είναι σίγουρα προσωπικό δεδομένο στο CCPA, πιθανώς όχι στο GDPR. Το εύρος του CCPA σημαίνει ότι περισσότερα δεδομένα ενεργοποιούν τη συμμόρφωση, κάτι που το κάνει δυσκολότερο από το GDPR για κάποιες εταιρείες.
Όταν ένας χρήστης ζητά διαγραφή, ποιοι νόμιμοι σκοποί μου επιτρέπουν να κρατήσω δεδομένα;
Η διαγραφή στο CCPA έχει εξαιρέσεις. Κράτα δεδομένα για: (1) Εντοπισμό απάτης/ασφάλεια. (2) Νομική συμμόρφωση (φόροι, συμβάσεις, αγωγές). (3) Βελτίωση προϊόντων (μόνο αν είναι ανωνυμοποιημένα/συγκεντρωτικά). (4) Εσωτερικά στατιστικά (μόνο αν είναι ανωνυμοποιημένα). (5) Εκπλήρωση προσδοκιών του χρήστη (αν υποσχέθηκες να τα κρατήσεις). Για τα στατιστικά: παραβίαση ασφάλειας = κράτα. Νομική δέσμευση = κράτα. «Μπορεί να φανεί χρήσιμο αργότερα» = διέγραψε. Δοκιμή: θα μπορούσες να το εξηγήσεις σε ρυθμιστική αρχή και να στέκει; Αν ναι, κράτα. Αν είναι υποθετικό, διέγραψε.
Γιατί η προθεσμία άρνησης είναι 15 ημέρες αλλά η προθεσμία πρόσβασης 45 ημέρες;
Διαφορετική πολυπλοκότητα. Η άρνηση πώλησης δεδομένων είναι απλή: βάζεις τον χρήστη σε λίστα «μην πουλάς» (αλλαγή ρύθμισης, δουλειά λίγων ημερών). 15 εργάσιμες ημέρες (3 εβδομάδες) είναι λογικό. Τα αιτήματα πρόσβασης είναι δυσκολότερα: ανακτάς όλα τα δεδομένα από όλα τα συστήματα, τα συγκεντρώνεις, τα μορφοποιείς ευανάγνωστα, τα παραδίδεις. Αυτό απαιτεί ερωτήματα σε πολλές βάσεις δεδομένων, σήμανση ευαίσθητων δεδομένων και δημιουργία ευανάγνωστου εγγράφου. 45 ημέρες (9 εβδομάδες) είναι ρεαλιστικό για αυτή τη δουλειά. Ο νόμος αναγνωρίζει τη διαφορά πολυπλοκότητας. Για τα στατιστικά: η άρνηση παίρνει 2-3 ημέρες (προσθήκη σε λίστα αποκλεισμού). Το αίτημα πρόσβασης παίρνει 30+ ημέρες (ανάκτηση από στατιστικά, CRM, υποστήριξη κ.λπ.).
Το ιδιωτικό δικαίωμα αγωγής είναι $100-$750 ανά άτομο. Πώς υπολογίζεται;
Νόμιμες αποζημιώσεις: σταθερό ποσό ανά άτομο ανά περιστατικό, ανεξάρτητα από την πραγματική ζημιά. Παράδειγμα: η διαρροή επηρεάζει 10.000 άτομα. 10.000 × $100 ελάχιστο = $1M νόμιμες αποζημιώσεις. Αίτημα $750 ανά άτομο = $7,5M. Ο εναγόμενος συμβιβάζεται κάπου ανάμεσα. «Ανά περιστατικό» σημαίνει ότι μία διαρροή = ένα περιστατικό (όχι 10.000). Πολλές διαρροές στοιβάζουν αποζημιώσεις. Η πραγματικότητα: μια διαρροή 10.000 ατόμων κοστίζει εύκολα $1-10M σε νόμιμες αποζημιώσεις συν δικηγορικά έξοδα. Οι εναγόμενοι συμβιβάζονται στις ομαδικές αγωγές στο 50-70% των ζητούμενων αποζημιώσεων. Γι' αυτό η πρόληψη είναι κρίσιμη: οι νόμιμες αποζημιώσεις είναι αυτόματες μόλις αποδειχθεί η διαρροή.
Για συμμόρφωση σε πολλές πολιτείες, να εφαρμόσω κανόνες ανά πολιτεία ή το πρότυπο του GDPR;
Χρησιμοποίησε το πρότυπο του GDPR για όλους. Το GDPR είναι αυστηρότερο από όλους τους νόμους των πολιτειών των ΗΠΑ. Αν συμμορφώνεσαι με το GDPR, ξεπερνάς αυτόματα τις περισσότερες απαιτήσεις των πολιτειών. Οι κανόνες ανά πολιτεία είναι λειτουργικά σύνθετοι (διαφορετικά banners, διατήρηση, αρνήσεις ανά πολιτεία). Το πρότυπο του GDPR είναι απλούστερο: ένα σύνολο κανόνων καλύπτει όλες τις πολιτείες. Εξαίρεση: αν εξυπηρετείς μία ή δύο πολιτείες, βελτιστοποίησε για αυτές. Για 5+ πολιτείες ή και τις 50, το πρότυπο του GDPR είναι ευκολότερο. Στρατηγική: χτίσε με βάση το GDPR, πρόσθεσε διεπαφή ειδικά για την Καλιφόρνια (σύνδεσμο άρνησης), ρύθμισε τα στατιστικά σαν να ισχύει το GDPR σε όλες τις πολιτείες. Θα είσαι υπερβολικά συμμορφωμένος για τις περισσότερες πολιτείες, κάτι που είναι ασφαλέστερο από το να είσαι λιγότερο.