California Consumer Privacy Act и его требования к компаниям

Закон California Consumer Privacy Act регулирует правила работы со сведениями пользователей из Калифорнии, создавая серьезные обязательства для иностранных компаний. Если ваш онлайн-сервис или интернет-магазин взаимодействует с американским рынком, невыполнение этих норм может заблокировать работу на перспективном направлении.

Многие предприниматели ошибочно считают, что местное американское законодательство не распространяется на бизнес за пределами США. Однако несоблюдение стандартов конфиденциальности приводит к крупным штрафам и потере доверия клиентов, поэтому важно своевременно оценить собственные риски.

Кого касается California Consumer Privacy Act и его критерии

California Consumer Privacy Act распространяется на любой коммерческий бизнес, который осуществляет деятельность в Калифорнии и соответствует хотя бы одному из установленных финансовых или количественных порогов. Даже если компания зарегистрирована в другой стране, работа с американскими пользователями обязывает соблюдать эти правила.

Для многих компаний становится неожиданным, что действие закона выходит далеко за пределы США. Главным фактором является не место регистрации юридического лица, а территория проживания потребителей, информацию которых вы собираете или используете для получения прибыли.

Згідно з California Consumer Privacy Act: «The California Consumer Privacy Act (CCPA) is a state law that gives California residents more control over the collection and sale of their personal data, similar to the European Union’s General Data Protection Regulation (GDPR).»

Финансовые и количественные пороги для бизнеса

Закон устанавливает четкие границы, по которым определяется необходимость комплаенса. Обязанности возникают, если годовой валовой доход компании превышает 25 миллионов долларов США, или если бизнес ежегодно покупает, получает, продает или распространяет информацию о 100 000 или более потребителей, домохозяйств или устройств в Калифорнии. Также под действие подпадают предприятия, которые получают более половины своего годового дохода от продажи или совместного использования сведений пользователей.

Обновления CPRA и понятие распространения информации

Изменения, вступившие в силу в рамках CPRA, существенно расширили сферу контроля. В частности, было введено новое понятие «sharing» (совместное использование), которое касается передачи информации для кросс-контекстной поведенческой рекламы. Это означает, что даже если вы прямо не продаете данные за деньги, а лишь передаете их рекламным сетям для ретаргетинга, ваш бизнес автоматически подпадает под требования закона.

Какие права есть у потребителей в соответствии с нормами CCPA

Пользователи из Калифорнии имеют право знать, какие именно сведения о них собирает компания, требовать их удаления или исправления, а также ограничивать использование чувствительной информации. Кроме того, закон запрещает любую дискриминацию потребителей, которые решили воспользоваться своими законными правами.

Практическая реализация этих прав требует от компании создания удобных и доступных каналов для подачи запросов. Потребитель не должен проходить сложные процедуры авторизации или платить деньги за получение информации о себе.

Право на удаление и исправление сведений

Пользователь может обратиться с требованием стереть все собранные о нем сведения. Однако бизнес имеет право отказать в удалении, если информация необходима для завершения транзакции, выполнения контракта, обеспечения безопасности или исполнения иных предусмотренных законом обязанностей. Новое право на исправление позволяет потребителям требовать корректировки неточных данных, которые хранятся в системах компании.

Запрет дискриминации за использование прав приватности

Компании строго запрещено ухудшать условия обслуживания, менять цены или отказывать в предоставлении услуг клиентам, которые воспользовались своими правами по CCPA. Например, если клиент запретил продажу своих сведений, вы не имеете права ограничивать его доступ к функционалу сайта. Когда возникают подобные конфликты, действенная защита прав потребителей в суде помогает восстановить баланс интересов сторон.

Обязательный механизм opt-out и правила его реализации

Механизм opt-out требует от бизнеса предоставить пользователям четкую возможность отказаться от продажи или распространения их личной информации. Для этого на вебсайте должно быть размещено заметное ссылочное указание с названием Do Not Sell or Share My Personal Information, которое работает без обязательной авторизации.

Ошибки в интерфейсе, такие как сокрытие ссылки в глубине настроек или требование обязательного входа в учетную запись для отказа, считаются серьезным нарушением. Регуляторные органы Калифорнии уделяют особое внимание доступности этой опции для каждого посетителя сайта.

Требования к размещению ссылки на сайте

Ссылка должна быть размещена на главной странице вебсайта, обычно в футере, и быть четкой и заметной. Пользователь должен иметь возможность нажать ее и мгновенно отказаться от передачи своих сведений рекламным партнерам. Помимо текстовой ссылки, компания может использовать технические решения, которые автоматически распознают намерения посетителя.

Распознавание сигналов Global Privacy Control

Современные стандарты требуют от бизнеса автоматически обрабатывать сигналы предпочтений пользователей, такие как Global Privacy Control (GPC). Если браузер посетителя отправляет такой сигнал, система сайта должна расценивать его как действительный запрос на opt-out и автоматически отключать отслеживание и передачу информации третьим лицам без дополнительных действий со стороны человека.

Как правильно оформить контракты с подрядчиками и провайдерами

Чтобы избежать квалификации передачи данных как продажи или распространения, компания должна заключить письменные договоры со всеми подрядчиками, определив их как service provider или contractor. Такие соглашения должны содержать четкий запрет на использование полученных сведений за пределами определенных бизнес-целей.

Если договор не содержит обязательных оговорок, любой обмен информацией с хостинг-провайдерами, CRM-системами или аналитическими сервисами может быть расценен как продажа. Это автоматически накладывает на компанию обязанность внедрять сложные механизмы отказа для пользователей.

Разница между категориями service provider и contractor

Закон четко разграничивает поставщиков услуг (service providers) и подрядчиков (contractors). Подрядчики обязаны предоставить дополнительные сертификации о понимании требований закона и предоставить компании право проводить регулярный аудит их систем безопасности. Чтобы избежать юридической неопределенности, стоит включать в договоры оговорки, которые покрывают требования обеих категорий.

Критические оговорки в соглашениях с обработчиками

В контракте обязательно должна быть прописана запрет на продажу или совместное использование информации, запрет на сохранение либо использование сведений для любых целей, кроме предоставления услуг по договору, а также требование обеспечить аналогичный уровень защиты всеми субподрядчиками (flow-down obligations).

Штрафы за нарушения и алгоритм действий для комплаенса

Штрафы за нарушение правил CCPA составляют до 2500 долларов за каждый случай непреднамеренного нарушения и до 7500 долларов за умышленное игнорирование требований закона. Помимо административных санкций, потребители имеют право обращаться в суд за возмещением убытков в гражданском порядке.

Хотя защита персональных данных в Украине имеет собственные стандарты, американский подход значительно строже в вопросе коммерциализации информации. Также стоит различать, где заканчивается конфиденциальная информация и коммерческая тайна предприятия и где начинаются права потребителей.

Во многих спорах, где фигурируют взаимные претензии сторон, надлежащее взыскание задолженности и доказательства исполнения договорных обязательств становятся решающими факторами успеха.

Административная и гражданская ответственность

Штрафы накладываются за каждый отдельный случай нарушения, что при большом количестве пользователей может привести к катастрофическим финансовым последствиям для бизнеса. Кроме того, в случае утечки информации из-за хакерских атак или небрежности пользователи могут требовать компенсации убытков в размере от 100 до 750 долларов за каждый инцидент без необходимости доказывать реальный ущерб.

Шаги для подготовки украинского бизнеса

Для минимизации рисков компаниям необходимо провести детальный аудит информационных потоков, обновить политику конфиденциальности, внедрить технические решения для обработки запросов и настроить систему ведения журналов учета обращений. Все записи о запросах пользователей и действиях в отношении них необходимо хранить не менее 24 месяцев для возможной проверки контролирующими органами.

Прочитати на: мові