CCPA je zákon o ochraně soukromí ve Spojených státech. Pokud vaše firma působí kdekoli v USA, pravděpodobně máte návštěvníky z Kalifornie. Pokud od nich sbíráte data přes formuláře, CCPA se na vás vztahuje. CCPA ale není jediný zákon o ochraně soukromí. Více než tucet amerických států má dnes podobné předpisy a další přibývají.
CCPA a další státní zákony o ochraně soukromí jsou americkým protějškem evropského GDPR. Vědět, které zákony o ochraně soukromí se na vaše formuláře vztahují a co který vyžaduje, je nezbytné pro soulad s předpisy napříč americkými regiony.
Co se dozvíte: co je CCPA a v čem se liší od GDPR, které další americké státy mají zákony o ochraně soukromí, co tyto zákony vyžadují od formulářů, jak poznat, které zákony se týkají vaší firmy, a jak vytvořit formuláře, které splňují více předpisů najednou.
Co je CCPA?
CCPA (California Consumer Privacy Act) je zákon o ochraně soukromí, který se vztahuje na ziskové společnosti sbírající osobní údaje obyvatel Kalifornie. Nabyl účinnosti 1. ledna 2020 a od té doby byl posílen dalšími předpisy.
CCPA se vztahuje na vaše formuláře, pokud:
- Vaše firma sbírá data od lidí v Kalifornii
- Máte roční tržby nad 25 milionů dolarů, nebo
- Sbíráte data od 100 000 a více obyvatel (nebo domácností), nebo
- Prodáváte data spotřebitelů jako součást své podnikatelské praxe
I malé firmy tyto hranice často splní, aniž by si to uvědomovaly. Pokud máte kontaktní formulář a nasbírali jste informace od několika set obyvatel Kalifornie, pravděpodobně se vás to týká.
Hlavní požadavky CCPA na formuláře
Zveřejnění v oznámení o ochraně soukromí
Musíte poskytnout oznámení o ochraně soukromí, které kalifornským návštěvníkům sděluje:
- Jaké kategorie osobních údajů sbíráte (jméno, e-mail, historie nákupů a podobně)
- Proč je sbíráte (abyste odpovídali na dotazy, poskytovali služby, pro marketing)
- Odkud data pocházejí (přímo od spotřebitele ve formuláři, od třetích stran, z analytiky)
- Jak dlouho je uchováváte
- S kým je sdílíte (poskytovatelé služeb, jiné firmy a podobně)
Oznámení o ochraně soukromí musí být snadné najít. Odkaz v patičce nebo zahrabaná stránka se zásadami nestačí. Umístěte ho tam, kde ho návštěvníci uvidí dřív, než formulář vyplní.
Právo vědět
Obyvatelé Kalifornie mohou požádat o informaci, jaké osobní údaje jste o nich nasbírali. Tyto informace musíte být schopni poskytnout do 45 dnů. To znamená, že potřebujete systémy, které sledují, jaká data o každém člověku máte, a postup, jak na tyto žádosti odpovídat.
Právo na výmaz
Obyvatelé Kalifornie vás mohou požádat o smazání svých osobních údajů. Musíte vyhovět, pokud nemáte právní důvod údaje uchovat (například daňové záznamy nebo prevence podvodů). Týká se to všech odeslání formulářů a zákaznických dat, která o nich máte.
Právo odmítnout prodej
Pokud osobní údaje prodáváte jiným společnostem (i když to za „prodej“ nepovažujete), mohou obyvatelé Kalifornie prodej odmítnout. Podle CCPA „prodej“ zahrnuje sdílení dat s třetími stranami za peníze, služby nebo jiné hodnotné výhody. Na svém webu musíte zveřejnit odkaz „Do Not Sell My Personal Information“.
Právo na opravu
Spotřebitelé mohou požádat, abyste opravili nepřesné osobní údaje, které o nich máte. Nemusíte změnit všechno, co žádají, ale musíte mít postup, jak tyto žádosti posoudit a odpovědět na ně.
Žádná diskriminace
Nesmíte diskriminovat někoho za to, že uplatnil svá práva podle CCPA. Pokud někdo požádá o smazání svých dat, nemůžete mu odmítnout poskytnout služby ani mu účtovat za služby víc.
CCPA a GDPR: hlavní rozdíly
CCPA i GDPR chrání osobní údaje, ale mají důležité rozdíly:
| Vlastnost | GDPR | CCPA | |-|-|-| | Vztahuje se na | Data obyvatel EU, od jakékoli společnosti | Data obyvatel Kalifornie, od větších společností | | Souhlas | Vyžaduje výslovný souhlas předem (kromě nezbytných dat) | Model odmítnutí (data se sbírají, pokud neřeknete, že nechcete) | | Právo být zapomenut | Ano | Ano, ale s více výjimkami | | Pokuty | Až 20 milionů eur nebo 4% tržeb | Až 2 500 za porušení, až 7 500 za úmyslné porušení | | Prodej dat | Bez souhlasu není povolen | Povolen, pokud spotřebitel neodmítne |Hlavní rozdíl je v tom, že GDPR vyžaduje, abyste se před sběrem dat zeptali na svolení. CCPA vyžaduje, abyste lidem řekli, že mohou data odmítnout.
Další americké státní zákony o ochraně soukromí
Více než tucet dalších států přijalo zákony o ochraně soukromí podobné CCPA. Tady jsou ty hlavní:
Virginie (VCDPA)
Virginia Consumer Data Protection Act se vztahuje na ziskové společnosti zpracovávající osobní údaje obyvatel Virginie. Vyžaduje práva spotřebitelů na přístup k datům, smazání, opravu a odmítnutí prodeje.
Colorado (CPA)
Colorado Privacy Act se vztahuje na společnosti zpracovávající data obyvatel Colorada. Podobné jako CCPA, ale s některými rozdíly v rozsahu a vymáhání.
Connecticut (CTDPA)
Connecticut Data Privacy Act, účinný od července 2024. Podobná práva spotřebitelů jako CCPA a VCDPA.
Utah (UCPA)
Utah Consumer Privacy Act je výrazně mírnější než ostatní, ale stále vyžaduje práva spotřebitelů na odmítnutí.
Montana, Delaware, Iowa a další
Další státy přijaly nebo zvažují zákony o ochraně soukromí. Většina z nich se řídí modelem CCPA, tedy právy spotřebitelů na odmítnutí, s drobnými odchylkami v požadavcích.
Jak poznat, které zákony se vztahují na vaše formuláře
Abyste zjistili, jaké zákony o ochraně soukromí musíte dodržovat:
- Zjistěte, odkud vaši návštěvníci přicházejí. Pomocí analytiky zjistěte, které státy a regiony jsou zastoupeny.
- Vyhledejte zákon pro každý region. U amerických států se podívejte na web generálního prokurátora státu. U ostatních zemí prozkoumejte jejich zákony o ochraně soukromí.
- Zkontrolujte požadavky na hranice. Splňuje vaše firma hranice velikosti? Máte v daném regionu dost zákazníků?
- Pokud si nejste jistí, poraďte se s právníkem. Právo na ochranu soukromí je složité a liší se podle regionu. Pokud vaše firma sbírá významné množství dat, promluvte si s právníkem.
Tvorba formulářů, které splňují více zákonů o ochraně soukromí
Pokud vaši návštěvníci přicházejí z různých států a zemí, musíte dodržovat nejpřísnější pravidla, která se na vás vztahují.
Předpokládejte pravidla GDPR pro všechny
Pokud máte jakékoli návštěvníky z EU, dodržujte pravidla GDPR. GDPR patří mezi nejpřísnější zákony o ochraně soukromí, takže soulad s GDPR často znamená soulad i s dalšími zákony.
U citlivých dat používejte výslovný souhlas
Místo snahy dodržovat různá pravidla pro různé návštěvníky používejte pro všechno výslovný souhlas (standard GDPR). Je to čistší a ochrannější. Volby souhlasu dělejte jasné, konkrétní a oddělené pro různé způsoby použití dat.
Uveďte oznámení o ochraně soukromí přímo na formuláři
Na stránku s formulářem zařaďte jasné, čitelné shrnutí svých postupů se zpracováním dat. Odkažte na své úplné zásady ochrany soukromí. Tím splníte požadavky na zveřejnění z více zákonů najednou.
Usnadněte odhlášení
Poskytněte lidem způsob, jak se odhlásit z marketingových e-mailů nebo požádat o smazání svých dat. Uveďte to v každém marketingovém e-mailu, který odešlete (vyžaduje to zákon), a na svém webu (dobrá praxe).
Vedte dobré záznamy
Zdokumentujte, jaká data sbíráte, proč je sbíráte, jak dlouho je uchováváte a kdo k nim má přístup. Pomůže vám to rychle odpovídat na žádosti o data a prokáže soulad, pokud se zeptá regulátor.
Pokuty a sankce podle zákonů o ochraně soukromí
CCPA a státní zákony o ochraně soukromí obsahují finanční sankce:
- CCPA (Kalifornie): Až 2 500 dolarů za porušení, 7 500 dolarů za úmyslné porušení. Vymáhá to generální prokurátor státu a spotřebitelé mohou v některých případech žalovat.
- Virginie, Colorado, Connecticut a další: Pokuty se pohybují od 2 500 do 10 000 dolarů za porušení a některé zákony umožňují i žaloby spotřebitelů.
Ačkoli jsou tyto pokuty nižší než pokuty podle GDPR, rychle se sčítají, pokud máte více porušení nebo únik dat zasáhne tisíce lidí.
Co WEMASY dělá pro soulad se zákony o ochraně soukromí
Formuláře WEMASY obsahují nástroje, které vám pomohou dodržet státní a federální zákony o ochraně soukromí. Do formulářů můžete přidat informace o ochraně soukromí, sledovat, kterou verzi podmínek souhlasu každý návštěvník přijal, a dát svému týmu postupy pro vyřizování žádostí o přístup k datům a jejich smazání. WEMASY také zaznamenává, jaká data jsou uložena a kdy byla odeslána, a pomáhá vám tak vést záznamy potřebné pro audity souladu.
Které funkce pro soulad s ochranou soukromí jsou ve vašem tarifu k dispozici, zjistíte na ceníku.