Content Màrqueting

L'aplicació de la CCPA comença ara i la majoria de les empreses no estan preparades

La Llei de privadesa del consumidor de Califòrnia (CCPA) va entrar en vigor l'1 de gener de 2020 amb un període de gràcia de sis mesos. Aquesta data final és ara aquí.

Els bàsics. Com a actualització, la CCPA s'aplica explícitament a les empreses que compleixen un o més dels criteris legals següents:  

  • Tenir ingressos anuals bruts superiors a 25 milions de dòlars;
  • Posseir la informació personal de 50,000 o més consumidors, llars o dispositius; o
  • Guanyeu més de la meitat dels seus ingressos anuals venent la informació personal dels consumidors

Diverses categories d'empreses estan explícitament exemptes del compliment de la CCPA, incloses determinades indústries cobertes per regulacions federals. Tanmateix, la majoria dels editors hauran d'estar preparats per permetre als consumidors dels Estats Units que es deixin de fer les transferències de dades de tercers i demostrar el compliment als reguladors en cas d'una investigació o una queixa.

L'advocat Aaron Tantleff, soci del despatx d'advocats Foley & Lardner, ofereix una mica d'esperança que CCPA no s'aplica a tothom, alhora que adverteix que la llei té pocs límits geogràfics. "Hem parlat amb molts clients que han trucat en pànic per descobrir que CCPA no s'aplica. L'aplicabilitat de la CCPA, com el GDPR, no es limita només a les organitzacions amb seu a Califòrnia. Es pot aplicar a les organitzacions que no tinguin presència física a l'Estat".

Àmplia aplicació per a empreses a nivell mundial. Com a qüestió pràctica, l'estatut s'aplicarà àmpliament a la majoria d'empreses comercials, tant si es dirigeixen o no explícitament als residents de Califòrnia. Per exemple, una anàlisi inicial de la legislació per part de l'IAPP diu:

Les empreses poden superar el llindar [la informació personal de 50,000 consumidors] més ràpidament del previst perquè l'abast de la informació personal és ampli. La majoria de les empreses operen llocs web i, inevitablement, capturen adreces IP. En particular, les empreses han de complir, independentment de si el lloc web es dirigeix ​​a empreses o clients individuals a Califòrnia, ja que el terme "consumidor" es defineix com a qualsevol "resident". Fins i tot els blocaires individuals i les empreses relativament petites fora de Califòrnia poden tenir dificultats per assegurar-se que no rebin informació personal de més de 50,000 visitants residents a Califòrnia al seu lloc web anualment, simplement perquè sigui accessible de manera passiva des d'allà i, dins de Califòrnia, la majoria. Els minoristes, els estudis de fitness, els locals de música i altres negocis assoliran aquest llindar.

Riscos d'incompliment. El fiscal general de Califòrnia pot imposar sancions financeres de fins a 2,500 dòlars per violacions no voluntàries i 7,500 dòlars per violacions intencionades. Però aquestes xifres es poden multiplicar ràpidament si hi ha milers o milions d'usuaris implicats. En la majoria dels casos, no hi haurà cap responsabilitat quan la infracció es "cura" dins dels 30 dies següents a la recepció de l'avís. També hi ha un dret d'acció privat o individual quan la informació personal es divulga de manera incorrecta en virtut de CCPA. (La primera demanda col·lectiva de la CCPA [.pdf] es va presentar al febrer contra Hanna Andersson i Salesforce.)

Segons una enquesta recent d'Ethyca a 218 consellers generals d'empreses tecnològiques, el 56% va dir que "no estaven preparats per a les noves regulacions de privadesa que arribin a tot el món", que inclou CCPA. Durant els mesos previs a la data límit d'execució, el 43% dels enquestats van dir que havien desprioritzat la preparació de la privadesa a causa de la COVID-19. L'enquesta també va trobar que la manca de recursos o de cost era el major repte per complir.

Què fer ara. "Per a les empreses que encara busquen reforçar el compliment, el primer pas essencial, i únic, és esbrinar les dades personals que teniu i on viuen", diu Cillian Kieran, director general d'Ethyca. "Després d'haver creat un mapa de dades que tingui un registre exhaustiu i complet de les dades que tens, i on viuen, pots preocupar-te de posar les estructures al seu lloc per fer front a diverses tasques de compliment. Però tot comença amb el mapa".

L'advocat Tantleff afegeix: "Documenta-ho tot. A hores d'ara, les organitzacions haurien de disposar d'un conjunt robust de mesures de seguretat. Tanmateix, segons la CCPA, una organització ha de demostrar que ha implementat mesures de seguretat raonables dissenyades per protegir la informació personal en funció de la naturalesa i la sensibilitat d'aquesta informació.

Segons Lisa Rapp, vicepresidenta d'ètica de dades de LiveRamp, "Cap empresa hauria d'intentar fer-ho per si sola. El millor és obtenir la màxima informació possible llegint el que diuen els líders del sector, mantenint-se al dia sobre els materials que col·laboren grups com l'IAPP i l'IAB i posant-se en contacte amb destacats despatxos d'advocats que tracten amb la privadesa de les dades per obtenir el seu assessorament legal i interpretacions de la llei".

Julie Rubash, vicepresidenta legal de Nativo, recomana als editors que llegiu les regulacions finals del fiscal general "per assegurar-se que els plans [de privadesa] actuals estiguin en línia amb la interpretació del fiscal general". Afegeix que "Eines com el Marc CCPA de l'IAB són un pas en la direcció correcta per preparar-se per a una consulta i limitar les interrupcions dels ingressos. És poc probable que els editors que aprofitin l'eina del marc de compliment CCPA de l'IAB i signin l'acord de proveïdor de serveis limitat tinguin un impacte significatiu en els seus models de negoci".

Abby Matchett, responsable d'anàlisi d'empreses de Bounteous, diu: "Com que CCPA té una visió molt més àmplia de les dades personals que les directrius GDPR d'Europa, la majoria de les empreses han de fer un inventari intern important de qualsevol dada que pugui estar enllaçada, directament o indirectament, amb un consumidor. o de la llar. La realització d'aquest inventari suposa una gran càrrega per a les organitzacions de TI, els departaments legals i els analistes de dades que ja poden estar dedicats a altres prioritats internes. Superar aquest obstacle és un dels primers passos cap al compliment, però sovint és el més difícil de coordinar i documentar-se completament".

Matchett explica a més: "Si us preocupa que no tingueu temps de crear una solució digital pròpia per a aquest propòsit, considereu posar-vos en contacte amb empreses de programari de Cookie Consent Manager de tercers especialitzades en mantenir solucions preparades per CCPA i GDPR. Alguns gestors de consentiment habituals inclouen TrustArc, OneTrust i Quantcast, entre d'altres".

Aquí ve CPRA. Tot i que moltes empreses estan lluitant per complir amb la CCPA, una nova iniciativa electoral de novembre de Califòrnia podria imposar normes de privadesa encara més dures si s'aprova. Segons Katelyn Ringrose del Future of Privacy Forum, "Si bé les empreses poden haver començat i, en alguns casos, han finalitzat programes de compliment i esforços sòlids per abordar la CCPA, la Llei de drets de privadesa de Califòrnia (CPRA), recentment certificada per a la votació de 2020, podria haver una data de promulgació tan aviat com el 2023, que imposa obligacions addicionals a les entitats cobertes. La CPRA crearia una classificació de dades sensibles, imposaria obligacions addicionals als processadors i requeriria l'establiment d'una Agència de Protecció de Privadesa de Califòrnia".

Per què ens importa? Un gran nombre de consumidors han expressat la seva preocupació sobre com es gestionen les seves dades en línia. Però hi ha evidències que les empreses "avançant en la privadesa" estan veient beneficis tant de marca com financers, en termes d'una major confiança dels consumidors i fins i tot un creixement més fort dels ingressos.

És una tonteria retardar la presa de les mesures necessàries per prioritzar la privadesa i la seguretat de les dades. Com va dir Tom O'Regan, director general de Madison Logic, "en última instància, complir amb els controls de la CCPA serà molt menys costós que les sancions per incompliment".

El Live de dijous amb Search Engine Land serà un debat especial sobre CCPA i privadesa Lisa Rapp, VP d'ètica de dades, LiveRamp, Abby Matchett, Responsable d'anàlisi empresarial, Bounteous, Katelyn Ringrose, advocat, Fòrum del futur de la privadesa.

Comença a les 1:00 EDT i permetrà que fins a 100 persones entrin a la reunió per viure la discussió en directe i fer preguntes. Si sou un màrqueting digital, no us podeu perdre el luxe. Registra't aquí.

Articles Relacionats

답글 남기기

이메일 주소는 공개되지 않습니다.

Torna al botó superior