Všechny hlavní zákony o ochraně soukromí sdílejí základní zásady: souhlas, průhlednost, minimalizaci dat, zabezpečení a práva uživatelů. Liší se ale rozsahem, vymáháním a sankcemi. Když pochopíte, jak se srovnávají, snáze poznáte, které se týkají vašeho podnikání, a navrhnete strategii souladu, která pokryje více rámců najednou.
Základní zásady všech zákonů o soukromí
Každý významný rámec ochrany soukromí (GDPR, CCPA, LGPD, PIPEDA a další) vyžaduje nějakou verzi těchto věcí: průhlednost při sběru dat, svolení před sběrem většiny osobních údajů, uchovávání jen toho, co je potřeba, ochranu dat před zneužitím a práva jednotlivců na vlastní informace. O tom se nediskutuje. Pokud tyto zásady dodržujete, vyhovujete většině rámců.
Rozdíly, na kterých záleží
Model souhlasu: GDPR vyžaduje výslovný souhlas typu opt-in pro většinu sledování. CCPA používá opt-out u prodeje dat (ale směřuje k opt-in). Většina novějších zákonů sleduje model opt-in z GDPR.
Definice osobních údajů: GDPR a další vymezují osobní údaje široce. CCPA ještě šířeji. Široké vymezení znamená, že požadavky souladu spouští víc dat.
Rozsah působnosti: GDPR se vztahuje na obyvatele EU. CCPA na obyvatele Kalifornie. LGPD na obyvatele Brazílie. Na stejného uživatele se může vztahovat více zákonů podle toho, kde je a kde působí váš byznys.
Sankce: GDPR: až 4% tržeb. CCPA: $2,500-$7,500 za porušení. LGPD: až 2% tržeb. Sankce jsou přísné napříč všemi zákony.
Vymáhání: GDPR má aktivní, tvrdé vymáhací orgány (národní úřady). Vymáhání CCPA sílí (generální prokurátor státu, soukromé žaloby). Vymáhání LGPD sílí. Většina zákonů se aktivně vymáhá.
Podrobné srovnání: GDPR, CCPA, LGPD, PIPEDA
Souhlas
GDPR a LGPD: vyžadován výslovný opt-in. CCPA: opt-out u prodeje dat (ale CPRA směřuje k opt-in u citlivých dat). PIPEDA: opt-in pro většinu účelů. Nejpřísnější: GDPR a LGPD.
Definice osobních údajů
GDPR: cokoli, co identifikuje osobu přímo nebo nepřímo. CCPA: širší, zahrnuje odvozené závěry a predikce. LGPD a PIPEDA: podobné GDPR. Vítěz: CCPA je nejširší.
Práva uživatelů
Všechny vyžadují: přístup, smazání a přenositelnost. GDPR přidává: právo na opravu, právo omezit zpracování, právo vznést námitku. CPRA přidává: právo na opravu, právo omezit použití. PIPEDA je méně výslovná, ale podobná. Všechna práva jsou silná. GDPR/CPRA jsou nejkomplexnější.
Minimalizace dat
GDPR, LGPD, PIPEDA: výslovný požadavek sbírat jen to, co je nutné. CCPA: méně výslovný. GDPR je tu nejpřísnější.
Zabezpečení a oznamování úniků
Všechny vyžadují přiměřené zabezpečení. GDPR: oznámit úřadům do 72 hodin. CCPA: oznámit jednotlivcům do 30 dnů (žádný požadavek na oznámení úřadům, ale oznámení generálnímu prokurátorovi je často vyžadováno). LGPD a PIPEDA podobné GDPR. GDPR je nejpřísnější v lhůtě oznámení.
Zjištění vašich povinností
Krok 1: Zmapujte geografii návštěvníků
Pomocí analytiky zjistěte, odkud váš provoz pochází. Pokud návštěvníci jsou z EU, platí GDPR. Pokud z Kalifornie, platí CCPA. Pokud z Brazílie, platí LGPD. Většina webů má návštěvníky z více jurisdikcí, což spouští více zákonů.
Krok 2: Zkontrolujte provoz firmy
Máte kanceláře, zaměstnance nebo obchodní partnery v regulovaných jurisdikcích? To může zakládat působnost i bez provozu na webu (např. firma se zaměstnanci v EU, která zpracovává data zákazníků, může spadnout pod GDPR bez ohledu na provoz webu).
Krok 3: Určete nejpřísnější platný zákon
Který ze všech zákonů, které se vás týkají, je nejpřísnější? Obvykle GDPR. Postavte soulad na tomto standardu a uplatněte ho všude. Je to jednodušší než soulad pro každou jurisdikci zvlášť.
Krok 4: Přidejte regionální odchylky
Některé regiony vyžadují konkrétní mechanismy (např. lokalizaci dat v některých asijských zemích, výslovná tlačítka pro odmítnutí podle CCPA v Kalifornii). Přidejte je k základnímu přístupu k souladu.
Pragmatický přístup: GDPR jako základ
U většiny firem je praktický postup tento: počítejte s tím, že GDPR platí (obvykle platí, pokud nejste čistě domácí firma v neregulované oblasti), postavte na standardech GDPR a pak přidejte regionální požadavky. Soulad s GDPR téměř vždy překračuje většinu ostatních rámců. Snižuje to složitost a zajišťuje, že nikdy nejste v nesouladu.
Pokud dodržuji GDPR, dodržuji i CCPA?
Většinou ano. Přísnější souhlas a minimalizace dat v GDPR překračují požadavky CCPA. Širší definice dat v CCPA znamená, že musíte ošetřit oba rozsahy. Soulad s GDPR vyřeší většinu povinností podle CCPA.
Který zákon o soukromí je nejdražší dodržovat?
GDPR a LGPD vyžadují rozsáhlou infrastrukturu (správa dat, zabezpečení, práva uživatelů). CCPA je jednodušší. Skutečný náklad je náprava, pokud jste dosud v souladu nebyli, ne samotný soulad.
Mohu používat jedny zásady ochrany soukromí pro všechny jurisdikce?
Ano, pokud uvádějí všechny postupy s daty a vyhovují všem platným zákonům. Některé firmy používají jedny základní zásady plus regionální dodatky. Klíčová je průhlednost o všem, co sbíráte.
Jaký je největší rozdíl mezi GDPR a CCPA?
Model souhlasu: GDPR vyžaduje opt-in, CCPA používalo opt-out (směřuje k opt-in). Vysvětluje to, proč soulad s GDPR obvykle překračuje CCPA. Jeden rozdíl, nepoměrný dopad.
Pokud obsluhuji jen návštěvníky z USA, jaké státní zákony se vztahují?
Všechny státy s významným provozem. Kalifornie (CCPA), Virginie, Colorado, Connecticut, Utah, Montana a Delaware mají své zákony. Většina firem prostě používá soulad na úrovni GDPR všude, aby se vyhnula konfiguraci pro každý stát.
Zpřísňují se zákony o soukromí?
Ano, globálně. CCPA je přísnější než rané zákony, CPRA je přísnější než CCPA, nové mezinárodní zákony sledují přísný model GDPR. Požadavky budou jen přibývat.