USA nemají komplexní federální zákon o ochraně soukromí, ale několik státních zákonů dnes vyžaduje analytiku v souladu s pravidly soukromí. Precedens vytvořil CCPA v Kalifornii (a jeho nástupce CPRA). Podobné zákony dnes existují ve Virginii, Coloradu, Connecticutu, Utahu, Montaně a Delaware. Pokud máte americký web s návštěvníky z více států, pravděpodobně musíte dodržovat několik z těchto zákonů současně.
Jak CCPA/CPRA funguje
CCPA (California Consumer Privacy Act) se vztahuje na výdělečné firmy, které sbírají data obyvatel Kalifornie. Vyžaduje oznámení o sběru dat, zveřejnění, jaká data se sbírají a proč, a práva uživatelů na přístup, smazání a odmítnutí prodeje dat. CPRA (California Privacy Rights Act), který CCPA doplnil, přidává přísnější požadavky na souhlas a právo spotřebitelů na opravu nepřesných dat.
Co spouští CCPA
CCPA se vztahuje na vaši firmu, pokud splňuje kteroukoli z těchto podmínek: roční tržby $25M+, nákup, prodej nebo sdílení dat od 100k+ lidí či domácností, nebo 50%+ tržeb z prodeje dat spotřebitelů. Mnoho středně velkých firem tuto hranici překročí, aniž by o tom vědělo.
CCPA se vztahuje na „osobní informace“: data, která identifikují konkrétní osobu, týkají se jí nebo by s ní mohla být spojena. To je širší než u GDPR. Zahrnuje to odvozené závěry o preferencích, poloze, nákupním chování a další. U analytiky tomu odpovídá většina sledování.
Práva podle CCPA, která musíte dodržet
Právo vědět: Uživatelé si mohou vyžádat, jaké osobní informace jste sebrali a jak jste je použili. Musíte odpovědět do 45 dnů (s možností prodloužení na 90). Zveřejnění musí být úplné.
Právo na smazání: Uživatelé mohou požádat o smazání svých osobních informací. Musíte vyhovět do 45 dnů. Data si ale můžete ponechat z oprávněných obchodních důvodů (např. odhalování podvodů) nebo kvůli dodržení zákona.
Právo odmítnout prodej: Uživatelé mohou požádat, abyste přestali jejich data prodávat. Musíte to respektovat do 15 pracovních dnů. Pozor: „prodej“ podle CCPA zahrnuje sdílení za cokoli hodnotného, nejen za peníze.
Právo na opravu: Podle CPRA mohou uživatelé požádat o opravu nepřesných dat. Je to novinka a je to přímočaré: pokud jsou data špatně, opravte je.
Opt-in a opt-out
CCPA používá u prodeje dat opt-out: uživatelova data lze prodávat, pokud se neodhlásí. CPRA a novější státní zákony používají opt-in u citlivých dat: před sběrem citlivých informací (přesná poloha, čísla sociálního pojištění, finanční údaje a podobně) potřebujete výslovné svolení. U analytiky počítejte s tím, že podle novějších zákonů potřebujete souhlas typu opt-in.
Další státní zákony o soukromí
Virginie (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Montana (MTDPA) a Delaware (DPDPA) přijaly komplexní zákony o ochraně soukromí. Sledují model CCPA/CPRA: dávají uživatelům právo vědět, mazat a odmítnout. Podrobnosti se v jednotlivých státech liší, ale celkový vzorec je shodný.
Máte dodržovat všechny?
Záleží na vašem publiku. Pokud obsluhujete hlavně Kalifornii, soustřeďte se na CCPA/CPRA. Pokud obsluhujete více států, většina firem používá standard ochrany soukromí na úrovni GDPR (který přesahuje požadavky většiny amerických státních zákonů) a uplatňuje ho na všechny návštěvníky. Je to jednodušší než soulad stát po státu.
Realita více států
Většina webů má návštěvníky z více států. Některé obsluhují všech 50 států. Místo různých postupů analytiky pro každý stát většina firem přijme nejpřísnější standard, kterému podléhá, a uplatňuje ho všude. Snižuje to složitost a zajišťuje, že nikdy nejste v nesouladu.
Soulad s CCPA/CPRA v praxi
Soulad vyžaduje: zásady ochrany soukromí, které vysvětlují, jaká data sbíráte a proč, jasné mechanismy odmítnutí prodeje dat (pokud se vás týká), schopnost odpovědět na žádosti o přístup k datům do 45 dnů, systémy pro smazání dat na žádost a poctivý marketing o vašich postupech s daty (nelhat o tom, co sbíráte a jak to používáte).
Sankce a vymáhání CCPA
Generální prokurátor Kalifornie může uložit pokutu až $2,500 za porušení (nebo $7,500 za úmyslné porušení). Spotřebitelé mohou podat soukromé žaloby kvůli únikům dat (zákonná náhrada škody $100-$750 na osobu a incident). Hromadné žaloby jsou běžné. Praktický dopad: porušení CCPA může snadno stát $1-10M, pokud se týká mnoha uživatelů.
GDPR, CCPA a státní zákony
GDPR je přísnější u souhlasu. CCPA je širší v tom, co se počítá jako osobní údaj. Státní zákony sledují model CCPA s odchylkami. Pokud dodržujete GDPR (založené na souhlasu, s průhledností na prvním místě), jste většinou v souladu i s CCPA a státními zákony. Naopak to neplatí vždy: soulad s CCPA nemusí pro GDPR stačit.
Vztahuje se na mě CCPA opravdu? Jak poznám, že splňuji hranici $25M?
CCPA se vás týká, pokud splňujete KTERÝKOLI ze tří požadavků: roční tržby $25M+, nákup, prodej nebo sdílení dat od 100k+ lidí, nebo 50%+ tržeb z prodeje dat. Hranice $25M je přímočará (loňské tržby). Podmínka 100k+ je záludnější: pokud váš dodavatel analytiky zpracovává data od 100k+ návštěvníků, může se to spustit (data sdílíte). Podmínka 50%+ platí, pokud je prodej dat vaše hlavní podnikání (vzácné). U většiny středních firem je rozhodující hranice $25M. Zkontrolujte: byly vaše loňské tržby $25M+? Pokud ano, CCPA se vás týká.
Co se považuje za osobní údaj podle CCPA a podle GDPR? Proč je CCPA širší?
GDPR: identifikuje osobu přímo (jméno, e-mail) nebo nepřímo (IP adresa). CCPA: širší, zahrnuje všechno, co GDPR, PLUS odvozené závěry a predikce. Příklad: pět návštěv stránek e-shopu. GDPR = osobní údaj (ID relace). CCPA = osobní údaj PLUS odvozená preference (závěr, že rádi nakupujete). CCPA zahrnuje behaviorální a prediktivní data, která GDPR nemusí. U analytiky: zobrazení stránky je osobní údaj podle obou. Behaviorální závěr („zajímá se o luxusní zboží“) je podle CCPA určitě osobní údaj, podle GDPR možná ne. Šíře CCPA znamená, že povinnost spouští víc dat, takže je pro některé firmy těžší než GDPR.
Když uživatel požádá o smazání, z jakých oprávněných důvodů si smím data ponechat?
Smazání podle CCPA má výjimky. Data si ponechte kvůli: (1) Odhalování podvodů a zabezpečení. (2) Dodržení zákona (daně, smlouvy, soudní spory). (3) Zlepšování produktů (jen pokud jsou anonymizovaná nebo agregovaná). (4) Interní analytice (jen pokud je anonymizovaná). (5) Naplnění očekávání uživatele (pokud jste slíbili data uchovat). U analytiky: narušení bezpečnosti = ponechat. Zákonná blokace = ponechat. „Mohlo by se to někdy hodit“ = smazat. Test: dokázali byste to vysvětlit úřadu tak, aby to obstálo? Pokud ano, ponechte. Pokud je to spekulace, smažte.
Proč je lhůta na odmítnutí 15 dnů, ale na přístup 45 dnů?
Jiná složitost. Odmítnutí prodeje dat je jednoduché: přidáte uživatele na seznam „neprodávat“ (změna konfigurace, práce na pár dní). 15 pracovních dnů (3 týdny) je přiměřené. Žádosti o přístup jsou těžší: vyhledat všechna data ve všech systémech, sestavit je, čitelně zformátovat a doručit. To vyžaduje dotazy do více databází, označení citlivých dat a vytvoření čitelného dokumentu. 45 dnů (9 týdnů) je pro tuto práci realistických. Zákon složitostní rozdíl uznává. U analytiky: odmítnutí trvá 2 až 3 dny (přidání na seznam potlačení). Žádost o přístup trvá 30 a více dnů (data z analytiky, CRM, podpory a dalších).
Soukromá žaloba je $100-$750 na osobu, jak se to počítá?
Zákonná náhrada škody: pevná částka na osobu a incident, nezávisle na skutečné újmě. Příklad: únik se týká 10,000 lidí. 10,000 × $100 minimum = $1M zákonné náhrady. Žaloba na $750 na osobu = $7.5M. Žalovaný se vyrovná někde mezi. „Na incident“ znamená, že jeden únik = jeden incident (ne 10,000). Více úniků náhrady sčítá. Realita: únik u 10,000 lidí snadno stojí $1-10M na zákonných náhradách plus náklady na právníky. Žalovaní uzavírají hromadné žaloby vyrovnáním na 50-70% požadované zákonné náhrady. Proto je prevence zásadní: zákonná náhrada je automatická, jakmile je únik prokázán.
Mám při souladu ve více státech zavést pravidla pro jednotlivé státy, nebo použít standard GDPR?
Použijte standard GDPR pro všechny. GDPR je přísnější než všechny americké státní zákony. Pokud dodržujete GDPR, automaticky překračujete většinu státních požadavků. Pravidla pro jednotlivé státy jsou provozně složitá (jiné lišty, uchovávání a odmítnutí pro každý stát). Standard GDPR je jednodušší: jedna sada pravidel pokryje všechny státy. Výjimka: pokud obsluhujete jen jeden nebo dva státy, optimalizujte pro ně. Ale pro 5 a více států nebo všech 50 je standard GDPR snazší. Strategie: stavějte na GDPR, přidejte uživatelské rozhraní specifické pro Kalifornii (odkaz pro odmítnutí) a nastavte analytiku, jako by GDPR platilo ve všech státech. U většiny států budete plnit víc, než je nutné, a to je bezpečnější než plnit méně.