USA har ingen heltäckande federal integritetslag, men flera delstatslagar kräver nu analys som följer integritetsreglerna. CCPA i Kalifornien (och efterföljaren CPRA) skapade prejudikatet. Liknande lagar finns nu i Virginia, Colorado, Connecticut, Utah, Montana och Delaware. För amerikanska webbplatser, om du har besökare från flera delstater, behöver du sannolikt följa flera av lagarna samtidigt.
Så fungerar CCPA/CPRA
CCPA (California Consumer Privacy Act) gäller vinstdrivande företag som samlar in data om invånare i Kalifornien. Den kräver information om datainsamling, redovisning av vilken data som samlas in och varför samt användarrättigheter att få tillgång till data, radera den och tacka nej till försäljning av data. CPRA (California Privacy Rights Act), som ändrade CCPA, lägger till strängare krav på samtycke och konsumenträtt att få felaktig data rättad.
Vad som utlöser CCPA
CCPA gäller om ditt företag uppfyller något av följande: över 25 miljoner dollar i årlig omsättning, köper, säljer eller delar data om 100 000 eller fler personer eller hushåll, eller får minst 50 % av intäkterna från försäljning av konsumentdata. Många medelstora företag omfattas utan att inse det.
CCPA gäller "personlig information", data som identifierar, avser eller kan kopplas till en viss person. Det är bredare än GDPR. Det omfattar slutsatser om preferenser, plats, köpbeteende och mer. För analys räknas det mesta av spårningen.
CCPA-rättigheter du måste respektera
Rätt att få veta: Användare kan begära att få veta vilken personlig information du har samlat in och hur du har använt den. Du måste svara inom 45 dagar (kan förlängas till 90). Redovisningen måste vara heltäckande.
Rätt att radera: Användare kan begära att deras personliga information raderas. Du måste följa begäran inom 45 dagar. Du får dock behålla data för legitima affärsändamål (till exempel bedrägeriupptäckt) eller för att följa lag.
Rätt att tacka nej till försäljning: Användare kan begära att du slutar sälja deras data. Du måste följa det inom 15 arbetsdagar. Obs: "försäljning" enligt CCPA omfattar delning mot allt av värde, inte bara pengar.
Rätt till rättelse: Enligt CPRA kan användare begära att du rättar felaktig data. Det är nytt och enkelt: om datan är fel, rätta den.
Aktivt samtycke jämfört med att tacka nej
CCPA använder att tacka nej för försäljning av data: användarnas data kan säljas om de inte tackar nej. CPRA och nyare delstatslagar kräver aktivt samtycke för känslig data: du behöver uttryckligt tillstånd innan du samlar in känslig information (exakt plats, personnummer, finansiell data och liknande). För analys bör du utgå från att du behöver aktivt samtycke enligt de nyare lagarna.
Andra delstaters integritetslagar
Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Montana (MTDPA) och Delaware (DPDPA) har alla antagit heltäckande integritetslagar. De följer CCPA/CPRA-modellen: de ger användare rätt att få veta, radera och tacka nej. Detaljerna varierar mellan delstaterna, men det övergripande mönstret är detsamma.
Ska du följa alla?
Det beror på din målgrupp. Om du främst vänder dig till Kalifornien, fokusera på CCPA/CPRA. Om du vänder dig till flera delstater använder de flesta företag en integritetsstandard på GDPR-nivå (som går längre än kraven i de flesta amerikanska delstatslagar) och tillämpar den på alla besökare. Det är enklare än efterlevnad delstat för delstat.
Verkligheten med flera delstater
De flesta webbplatser har besökare från flera delstater. Vissa vänder sig till alla 50. I stället för att ha olika analysrutiner per delstat väljer de flesta företag den strängaste standarden de omfattas av och tillämpar den överallt. Det minskar komplexiteten och gör att du aldrig bryter mot någon regel.
CCPA/CPRA-efterlevnad i praktiken
Efterlevnad kräver: en integritetspolicy som förklarar vilken data du samlar in och varför, tydliga sätt att tacka nej till försäljning av data (om det är aktuellt), möjlighet att besvara begäran om tillgång till data inom 45 dagar, system för att radera användardata på begäran och ärlig marknadsföring om hur du hanterar data (ljug inte om vad du samlar in eller hur du använder det).
CCPA-påföljder och tillsyn
Kaliforniens justitieminister (Attorney General) kan döma ut böter på upp till 2 500 dollar per överträdelse (eller 7 500 dollar per avsiktlig överträdelse). Konsumenter kan väcka egna talan vid dataintrång (lagstadgat skadestånd på 100 till 750 dollar per person och händelse). Grupptalan är vanlig. Den praktiska effekten: en CCPA-överträdelse kan lätt kosta 1 till 10 miljoner dollar om den drabbar många användare.
GDPR jämfört med CCPA och delstatslagar
GDPR är strängare när det gäller samtycke. CCPA är bredare när det gäller vad som räknas som personuppgifter. Delstatslagarna följer CCPA-modellen med variationer. Om du följer GDPR (samtyckesbaserat, öppenhet först) följer du för det mesta också CCPA och delstatslagarna. Det omvända stämmer inte alltid: att följa CCPA räcker kanske inte för GDPR.
Omfattas jag verkligen av CCPA? Hur vet jag om jag når gränsen på 25 miljoner dollar?
Du omfattas av CCPA om du uppfyller NÅGOT av tre villkor: över 25 miljoner dollar i årlig omsättning, köper, säljer eller delar data om 100 000 eller fler personer, eller får minst 50 % av intäkterna från försäljning av data. Gränsen på 25 miljoner dollar är enkel (förra årets omsättning). Gränsen på 100 000 är knepigare: om din analysleverantör behandlar data från 100 000 eller fler besökare kan det räcka (du delar data). Gränsen på 50 % gäller om försäljning av data är din huvudverksamhet (sällsynt). För de flesta medelstora företag är det gränsen på 25 miljoner dollar som slår till. Kontrollera: var förra årets omsättning över 25 miljoner dollar? Om ja, gäller CCPA.
Vad räknas som personuppgifter enligt CCPA jämfört med GDPR? Varför är CCPA bredare?
GDPR: identifierar en person direkt (namn, e-post) eller indirekt (IP-adress). CCPA: bredare, omfattar allt GDPR täcker PLUS slutsatser och förutsägelser. Exempel: fem besök på webbutikssidor. GDPR = personuppgift (sessions-ID). CCPA = personuppgift PLUS härledd preferens (slutsatsen att du gillar att shoppa). CCPA omfattar beteende- och prediktionsdata som GDPR kanske inte gör. För analys: sidvisning är personuppgift enligt båda. Beteendeslutsatser ("intresserad av lyxvaror") är definitivt personuppgifter enligt CCPA, kanske inte enligt GDPR. CCPA:s bredd gör att mer data utlöser krav, vilket gör den svårare än GDPR för vissa företag.
När en användare begär radering, vilka legitima ändamål låter mig behålla data?
CCPA:s radering har undantag. Behåll data för: (1) Bedrägeriupptäckt och säkerhet. (2) Efterlevnad av lag (skatt, avtal, rättstvister). (3) Produktförbättring (bara om anonymiserad eller aggregerad). (4) Intern analys (bara om anonymiserad). (5) Uppfylla användarens förväntningar (om du lovat att behålla den). För analys: intrång i säkerheten = behåll. Rättslig spärr = behåll. "Kan vara användbart senare" = radera. Test: kan du förklara det för en tillsynsmyndighet så att det håller? Om ja, behåll. Om det är spekulativt, radera.
Varför är fristen för att tacka nej 15 dagar men fristen för tillgång 45 dagar?
Olika komplexitet. Att tacka nej till försäljning av data är enkelt: lägg användaren på listan över dem som inte får säljas (en konfigurationsändring, några dagars arbete). 15 arbetsdagar (3 veckor) är rimligt. Begäran om tillgång är svårare: hämta all data från alla system, sammanställ, formatera läsbart och leverera. Det kräver frågor mot flera databaser, flaggning av känslig data och ett läsbart dokument. 45 dagar (9 veckor) är realistiskt för det arbetet. Lagen erkänner skillnaden i komplexitet. För analys: att tacka nej tar 2 till 3 dagar (lägg till på spärrlistan). En begäran om tillgång tar 30 dagar eller mer (hämta från analys, CRM, support och så vidare).
Rätten till egen talan är 100 till 750 dollar per person. Hur beräknas det?
Lagstadgat skadestånd: ett fast belopp per person och händelse, inte baserat på faktisk skada. Exempel: ett intrång drabbar 10 000 personer. 10 000 × 100 dollar minimum = 1 miljon dollar i lagstadgat skadestånd. Yrkar du 750 dollar per person blir det 7,5 miljoner dollar. Svaranden förliks någonstans emellan. "Per händelse" betyder att ett intrång är en händelse (inte 10 000). Flera intrång lägger skadeståndet på hög. Verkligheten: ett intrång som drabbar 10 000 personer kostar lätt 1 till 10 miljoner dollar i lagstadgat skadestånd plus advokatkostnader. Svarande förliks i grupptalan för 50 till 70 % av yrkat skadestånd. Därför är förebyggande så viktigt: det lagstadgade skadeståndet utgår automatiskt när intrånget är bevisat.
Vid efterlevnad i flera delstater, ska jag införa delstatsspecifika regler eller använda GDPR-standarden?
Använd GDPR-standarden för alla. GDPR är strängare än alla amerikanska delstatslagar. Följer du GDPR överträffar du automatiskt de flesta delstatskrav. Regler per delstat är krångliga i driften (olika banners, lagringstider och val att tacka nej per delstat). GDPR-standarden är enklare: ett regelverk täcker alla delstater. Undantag: om du bara vänder dig till en eller två delstater, optimera för dem. Men för fem eller fler delstater eller alla 50 är GDPR-standarden enklare. Strategi: bygg efter GDPR, lägg till kalifornienspecifikt gränssnitt (länk för att tacka nej) och konfigurera analysen som om GDPR gällde alla delstater. Du blir överefterlevande i de flesta delstater, vilket är säkrare än att vara underefterlevande.