Ο CCPA είναι ο νόμος απορρήτου των Ηνωμένων Πολιτειών. Αν η επιχείρησή σου δραστηριοποιείται οπουδήποτε στις ΗΠΑ, πιθανότατα έχεις επισκέπτες από την Καλιφόρνια. Αν συλλέγεις τα δεδομένα τους μέσω φορμών, ισχύει ο CCPA. Ο CCPA όμως δεν είναι ο μόνος νόμος απορρήτου. Πάνω από δώδεκα πολιτείες των ΗΠΑ έχουν πλέον παρόμοιους κανονισμούς και έρχονται κι άλλοι.
Ο CCPA και οι άλλοι νόμοι απορρήτου των πολιτειών είναι το αντίστοιχο του ευρωπαϊκού GDPR στις ΗΠΑ. Το να καταλαβαίνεις ποιοι νόμοι απορρήτου ισχύουν για τις φόρμες σου και τι απαιτεί ο καθένας είναι απαραίτητο για να μένεις συμμορφωμένος σε διαφορετικές περιοχές των ΗΠΑ.
Τι θα μάθεις: τι είναι ο CCPA και πώς διαφέρει από τον GDPR, ποιες άλλες πολιτείες των ΗΠΑ έχουν νόμους απορρήτου, τι απαιτούν αυτοί οι νόμοι από τις φόρμες, πώς θα καταλάβεις ποιοι νόμοι ισχύουν για την επιχείρησή σου και πώς θα φτιάξεις φόρμες που συμμορφώνονται με πολλούς κανονισμούς ταυτόχρονα.
Τι είναι ο CCPA;
Ο CCPA (California Consumer Privacy Act) είναι νόμος απορρήτου που ισχύει για κερδοσκοπικές εταιρείες που συλλέγουν προσωπικές πληροφορίες από κατοίκους της Καλιφόρνιας. Τέθηκε σε ισχύ την 1η Ιανουαρίου 2020 και έκτοτε έχει ενισχυθεί με πρόσθετους κανονισμούς.
Ο CCPA ισχύει για τις φόρμες σου αν:
- Η επιχείρησή σου συλλέγει δεδομένα από ανθρώπους στην Καλιφόρνια
- Έχεις ετήσια έσοδα πάνω από 25 εκατομμύρια δολάρια, ή
- Συλλέγεις δεδομένα από 100.000 ή περισσότερους κατοίκους (ή νοικοκυριά), ή
- Πουλάς δεδομένα καταναλωτών ως επιχειρηματική πρακτική
Ακόμα και μικρές επιχειρήσεις συχνά πληρούν αυτά τα όρια χωρίς να το καταλαβαίνουν. Αν έχεις φόρμα επικοινωνίας και έχεις συλλέξει πληροφορίες από μερικές εκατοντάδες κατοίκους της Καλιφόρνιας, πιθανότατα καλύπτεσαι.
Βασικές απαιτήσεις του CCPA για φόρμες
Ενημέρωση σε δήλωση απορρήτου
Πρέπει να παρέχεις δήλωση απορρήτου που ενημερώνει τους επισκέπτες από την Καλιφόρνια για:
- Ποιες κατηγορίες προσωπικών πληροφοριών συλλέγεις (όνομα, email, ιστορικό αγορών κ.λπ.)
- Γιατί τις συλλέγεις (για να απαντάς σε αιτήματα, για να παρέχεις υπηρεσίες, για μάρκετινγκ)
- Από πού προέρχονται τα δεδομένα (απευθείας από τον καταναλωτή σε φόρμα, από τρίτους, από analytics)
- Πόσο καιρό τα κρατάς
- Με ποιους τα μοιράζεσαι (πάροχοι υπηρεσιών, άλλες επιχειρήσεις κ.λπ.)
Η δήλωση απορρήτου πρέπει να βρίσκεται εύκολα. Ένας σύνδεσμος στο υποσέλιδο ή μια θαμμένη σελίδα πολιτικής δεν αρκεί. Βάλ' την εκεί που οι επισκέπτες θα τη δουν πριν συμπληρώσουν τη φόρμα σου.
Το δικαίωμα ενημέρωσης
Οι κάτοικοι της Καλιφόρνιας μπορούν να ζητήσουν να μάθουν ποιες προσωπικές πληροφορίες έχεις συλλέξει για αυτούς. Πρέπει να μπορείς να δώσεις αυτές τις πληροφορίες μέσα σε 45 ημέρες. Αυτό σημαίνει ότι χρειάζεσαι συστήματα που παρακολουθούν ποια δεδομένα έχεις για κάθε άνθρωπο και διαδικασία για να απαντάς σε αυτά τα αιτήματα.
Το δικαίωμα διαγραφής
Οι κάτοικοι της Καλιφόρνιας μπορούν να σου ζητήσουν να διαγράψεις τις προσωπικές τους πληροφορίες. Πρέπει να συμμορφωθείς, εκτός αν έχεις νόμιμο λόγο να τις κρατήσεις (όπως φορολογικά αρχεία ή πρόληψη απάτης). Αυτό ισχύει για όλες τις αποστολές φορμών και τα δεδομένα πελατών που έχεις για αυτούς.
Το δικαίωμα εξαίρεσης από πωλήσεις
Αν πουλάς προσωπικά δεδομένα σε άλλες εταιρείες (ακόμα κι αν δεν το θεωρείς "πώληση"), οι κάτοικοι της Καλιφόρνιας μπορούν να εξαιρεθούν. Σύμφωνα με τον CCPA, η "πώληση" περιλαμβάνει τη διαμοίραση δεδομένων με τρίτους για χρήματα, υπηρεσίες ή άλλα πολύτιμα οφέλη. Πρέπει να παρέχεις στην ιστοσελίδα σου σύνδεσμο "Do Not Sell My Personal Information".
Το δικαίωμα διόρθωσης
Οι καταναλωτές μπορούν να ζητήσουν να διορθώσεις ανακριβείς προσωπικές πληροφορίες για αυτούς. Δεν είσαι υποχρεωμένος να αλλάξεις όλα όσα ζητούν, αλλά πρέπει να έχεις διαδικασία για να εξετάζεις και να απαντάς σε αυτά τα αιτήματα.
Καμία διάκριση
Δεν μπορείς να κάνεις διακρίσεις εις βάρος κάποιου επειδή άσκησε τα δικαιώματά του βάσει του CCPA. Αν κάποιος ζητήσει να διαγραφούν τα δεδομένα του, δεν μπορείς να αρνηθείς να τον εξυπηρετήσεις ή να του χρεώσεις περισσότερα για τις υπηρεσίες σου.
CCPA και GDPR: βασικές διαφορές
Ο CCPA και ο GDPR προστατεύουν και οι δύο προσωπικά δεδομένα, αλλά έχουν σημαντικές διαφορές:
| Χαρακτηριστικό | GDPR | CCPA | |-|-|-| | Ισχύει για | Δεδομένα κατοίκων της ΕΕ, από οποιαδήποτε εταιρεία | Δεδομένα κατοίκων της Καλιφόρνιας, από μεγαλύτερες εταιρείες | | Συναίνεση | Απαιτείται ρητή συναίνεση opt-in (εκτός από απαραίτητα δεδομένα) | Μοντέλο opt-out (τα δεδομένα συλλέγονται εκτός αν ζητήσεις να μη συλλέγονται) | | Δικαίωμα στη λήθη | Ναι | Ναι, αλλά με περισσότερες εξαιρέσεις | | Πρόστιμα | Έως 20 εκατομμύρια ευρώ ή 4% των εσόδων | Έως 2.500 ανά παράβαση, έως 7.500 ανά εσκεμμένη παράβαση | | Πώληση δεδομένων | Δεν επιτρέπεται χωρίς συναίνεση | Επιτρέπεται εκτός αν ο καταναλωτής εξαιρεθεί |Η βασική διαφορά είναι ότι ο GDPR απαιτεί να ζητάς άδεια πριν συλλέξεις δεδομένα. Ο CCPA απαιτεί να λες στον κόσμο ότι μπορεί να εξαιρεθεί.
Άλλοι νόμοι απορρήτου πολιτειών των ΗΠΑ
Πάνω από δώδεκα άλλες πολιτείες έχουν περάσει νόμους απορρήτου παρόμοιους με τον CCPA. Να οι κυριότεροι:
Βιρτζίνια (VCDPA)
Ο Virginia Consumer Data Protection Act ισχύει για κερδοσκοπικές εταιρείες που επεξεργάζονται προσωπικά δεδομένα κατοίκων της Βιρτζίνια. Απαιτεί δικαιώματα καταναλωτή για πρόσβαση, διαγραφή, διόρθωση δεδομένων και εξαίρεση από πωλήσεις.
Κολοράντο (CPA)
Ο Colorado Privacy Act καλύπτει εταιρείες που επεξεργάζονται δεδομένα κατοίκων του Κολοράντο. Παρόμοιος με τον CCPA, αλλά με κάποιες διαφορές στο εύρος και στην επιβολή.
Κοννέκτικατ (CTDPA)
Ο Connecticut Data Privacy Act, σε ισχύ από τον Ιούλιο του 2024. Παρόμοια δικαιώματα καταναλωτή με τον CCPA και τον VCDPA.
Γιούτα (UCPA)
Ο Utah Consumer Privacy Act είναι αισθητά λιγότερο αυστηρός από τους άλλους, αλλά εξακολουθεί να απαιτεί δικαιώματα εξαίρεσης για τους καταναλωτές.
Μοντάνα, Ντελαγουέρ, Άιοβα και άλλες
Επιπλέον πολιτείες έχουν περάσει ή εξετάζουν νόμους απορρήτου. Οι περισσότεροι ακολουθούν το μοντέλο του CCPA με δικαιώματα εξαίρεσης για τους καταναλωτές, με κάποιες παραλλαγές στις απαιτήσεις.
Πώς καταλαβαίνεις ποιοι νόμοι ισχύουν για τις φόρμες σου
Για να βρεις με ποιους νόμους απορρήτου πρέπει να συμμορφωθείς:
- Βρες από πού έρχονται οι επισκέπτες σου. Χρησιμοποίησε στατιστικά για να δεις ποιες πολιτείες και περιοχές εκπροσωπούνται.
- Αναζήτησε τον νόμο για κάθε περιοχή. Για πολιτείες των ΗΠΑ, δες την ιστοσελίδα του γενικού εισαγγελέα της πολιτείας. Για άλλες χώρες, ψάξε τους νόμους απορρήτου τους.
- Έλεγξε τις απαιτήσεις ορίων. Πληροί η εταιρεία σου τα όρια μεγέθους; Έχεις αρκετούς πελάτες σε αυτή την περιοχή;
- Συμβουλέψου νομικό σύμβουλο αν δεν είσαι σίγουρος. Ο νόμος απορρήτου είναι σύνθετος και διαφέρει ανά περιοχή. Αν η επιχείρησή σου συλλέγει σημαντικό όγκο δεδομένων, μίλα με δικηγόρο.
Φτιάχνοντας φόρμες που συμμορφώνονται με πολλούς νόμους απορρήτου
Αν οι επισκέπτες σου έρχονται από διαφορετικές πολιτείες και χώρες, πρέπει να ακολουθείς τους αυστηρότερους κανόνες που ισχύουν.
Υπόθεσε κανόνες GDPR για όλους
Αν έχεις οποιουσδήποτε επισκέπτες από την ΕΕ, ακολούθησε τους κανόνες του GDPR. Ο GDPR είναι από τους αυστηρότερους νόμους απορρήτου, οπότε η συμμόρφωση με αυτόν συχνά σημαίνει ότι συμμορφώνεσαι και με άλλους νόμους.
Χρησιμοποίησε ρητή συναίνεση για ευαίσθητα δεδομένα
Αντί να προσπαθείς να ακολουθείς διαφορετικούς κανόνες για διαφορετικούς επισκέπτες, χρησιμοποίησε ρητή συναίνεση (το πρότυπο του GDPR) για όλα. Είναι πιο καθαρό και πιο προστατευτικό. Κάνε τις επιλογές συναίνεσης σαφείς, συγκεκριμένες και ξεχωριστές για διαφορετικές χρήσεις των δεδομένων.
Δώσε δήλωση απορρήτου στη φόρμα
Συμπεριέλαβε μια σαφή, ευανάγνωστη σύνοψη των πρακτικών σου για τα δεδομένα στη σελίδα της φόρμας. Βάλε σύνδεσμο προς την πλήρη πολιτική απορρήτου σου. Αυτό καλύπτει τις απαιτήσεις ενημέρωσης πολλών νόμων ταυτόχρονα.
Κάνε εύκολη την εξαίρεση
Δώσε τρόπο στον κόσμο να διαγραφεί από τα marketing email ή να ζητήσει διαγραφή των δεδομένων του. Συμπεριέλαβέ το σε κάθε marketing email που στέλνεις (απαιτείται από τον νόμο) και στην ιστοσελίδα σου (καλή πρακτική).
Κράτα καλά αρχεία
Τεκμηρίωσε ποια δεδομένα συλλέγεις, γιατί τα συλλέγεις, πόσο καιρό τα κρατάς και ποιος έχει πρόσβαση σε αυτά. Αυτό σε βοηθά να απαντάς γρήγορα σε αιτήματα δεδομένων και αποδεικνύει ότι συμμορφώνεσαι αν ρωτήσει μια ρυθμιστική αρχή.
Πρόστιμα και κυρώσεις των νόμων απορρήτου
Ο CCPA και οι νόμοι απορρήτου των πολιτειών έχουν οικονομικές κυρώσεις:
- CCPA (Καλιφόρνια): Έως 2.500 δολάρια ανά παράβαση, 7.500 δολάρια ανά εσκεμμένη παράβαση. Την επιβολή την κάνει ο γενικός εισαγγελέας της πολιτείας και σε ορισμένες περιπτώσεις μπορούν να μηνύσουν και οι καταναλωτές.
- Βιρτζίνια, Κολοράντο, Κοννέκτικατ κ.λπ.: Τα πρόστιμα κυμαίνονται από 2.500 έως 10.000 δολάρια ανά παράβαση και κάποιες επιτρέπουν και σε καταναλωτές να μηνύσουν.
Παρότι αυτά τα πρόστιμα είναι χαμηλότερα από του GDPR, αθροίζονται γρήγορα όταν έχεις πολλές παραβάσεις ή όταν μια παραβίαση δεδομένων επηρεάζει χιλιάδες ανθρώπους.
Φόρμες στο WEMASY
Στον Δημιουργό ιστοσελίδων του WEMASY μπορείς να προσθέσεις φόρμα στην ιστοσελίδα σου. Η συμμόρφωση με τους νόμους απορρήτου παραμένει δική σου ευθύνη, γι' αυτό ρώτα νομικό σύμβουλο αν δεν είσαι σίγουρος.
Δες τι περιλαμβάνει κάθε πακέτο στη σελίδα τιμών.