CCPA är integritetslagen i USA. Om din verksamhet finns någonstans i USA har du sannolikt besökare från Kalifornien. Om du samlar in deras data via formulär gäller CCPA. Men CCPA är inte den enda integritetslagen. Fler än ett dussin amerikanska delstater har nu liknande regler, och nya är på väg.
CCPA och andra delstatliga integritetslagar är USA:s motsvarighet till Europas GDPR. Att förstå vilka integritetslagar som gäller dina formulär och vad var och en kräver är avgörande för att följa reglerna i olika delar av USA.
Det här lär du dig: Vad CCPA är och hur den skiljer sig från GDPR, vilka andra delstater som har integritetslagar, vad lagarna kräver av formulär, hur du vet vilka lagar som gäller din verksamhet och hur du bygger formulär som följer flera regelverk samtidigt.
Vad är CCPA?
CCPA (California Consumer Privacy Act) är en integritetslag som gäller vinstdrivande företag som samlar in personuppgifter från invånare i Kalifornien. Den trädde i kraft den 1 januari 2020 och har sedan dess stärkts genom ytterligare regler.
CCPA gäller dina formulär om:
- Din verksamhet samlar in data från personer i Kalifornien
- Du har en årsomsättning över 25 miljoner dollar, eller
- Du samlar in data från 100 000 eller fler invånare (eller hushåll), eller
- Du säljer konsumentdata som en del av verksamheten
Även småföretag når ofta de här gränserna utan att inse det. Om du har ett kontaktformulär och har samlat in uppgifter från några hundra invånare i Kalifornien omfattas du sannolikt.
De viktigaste CCPA-kraven för formulär
Information i en integritetspolicy
Du måste tillhandahålla en integritetspolicy som berättar för besökare från Kalifornien om:
- Vilka kategorier av personuppgifter du samlar in (namn, e-post, köphistorik och så vidare)
- Varför du samlar in dem (för att svara på förfrågningar, för att tillhandahålla tjänster, för marknadsföring)
- Var datan kommer ifrån (direkt från konsumenten i ett formulär, från tredje part, från analys)
- Hur länge du sparar dem
- Vem du delar dem med (tjänsteleverantörer, andra företag och så vidare)
Integritetspolicyn måste vara lätt att hitta. En länk i sidfoten eller en undangömd policysida räcker inte. Placera den där besökare ser den innan de fyller i ditt formulär.
Rätten att få veta
Invånare i Kalifornien kan begära att få veta vilka personuppgifter du har samlat in om dem. Du måste kunna lämna den informationen inom 45 dagar. Det betyder att du behöver system som håller reda på vilka data du har om varje person och en process för att svara på de här förfrågningarna.
Rätten att radera
Invånare i Kalifornien kan be dig radera sina personuppgifter. Du måste följa begäran om du inte har ett juridiskt skäl att behålla dem (som skatteunderlag eller bedrägeriförebyggande). Det gäller alla formulärinskick och kunddata du har om dem.
Rätten att välja bort försäljning
Om du säljer personuppgifter till andra företag (även om du inte tänker på det som "försäljning") kan invånare i Kalifornien välja bort det. Enligt CCPA omfattar "försäljning" att dela data med tredje part mot pengar, tjänster eller andra värdefulla förmåner. Du måste ha en länk med texten "Do Not Sell My Personal Information" på din webbplats.
Rätten att få uppgifter rättade
Konsumenter kan begära att du rättar felaktiga personuppgifter om dem. Du är inte skyldig att ändra allt de ber om, men du måste ha en process för att granska och svara på de här förfrågningarna.
Ingen diskriminering
Du får inte diskriminera någon för att hen använder sina CCPA-rättigheter. Om någon ber om att få sin data raderad får du inte vägra att betjäna hen eller ta mer betalt för dina tjänster.
CCPA och GDPR: de viktigaste skillnaderna
CCPA och GDPR skyddar båda personuppgifter, men de har viktiga skillnader:
| Funktion | GDPR | CCPA | |-|-|-| | Gäller | Data om invånare i EU, från alla företag | Data om invånare i Kalifornien, från större företag | | Samtycke | Uttryckligt opt-in krävs (utom för nödvändig data) | Opt-out-modell (data samlas in om du inte ber om att slippa) | | Rätten att bli glömd | Ja | Ja, men med fler undantag | | Böter | Upp till 20 miljoner euro eller 4 % av omsättningen | Upp till 2 500 per överträdelse, upp till 7 500 per avsiktlig överträdelse | | Försäljning av data | Tillåts inte utan samtycke | Tillåts om inte konsumenten väljer bort det |Den viktigaste skillnaden är att GDPR kräver att du ber om tillåtelse innan du samlar in data. CCPA kräver att du talar om för folk att de kan välja bort det.
Andra delstatliga integritetslagar i USA
Fler än ett dussin andra delstater har antagit integritetslagar som liknar CCPA. Här är de viktigaste:
Virginia (VCDPA)
Virginia Consumer Data Protection Act gäller vinstdrivande företag som behandlar personuppgifter om invånare i Virginia. Den kräver konsumenträttigheter för åtkomst till data, radering, rättelse och att välja bort försäljning.
Colorado (CPA)
Colorado Privacy Act omfattar företag som behandlar data om invånare i Colorado. Liknar CCPA men med vissa skillnader i omfattning och tillsyn.
Connecticut (CTDPA)
Connecticut Data Privacy Act, i kraft från juli 2024. Liknande konsumenträttigheter som CCPA och VCDPA.
Utah (UCPA)
Utah Consumer Privacy Act är märkbart mindre sträng än de andra men kräver fortfarande konsumenternas rätt att välja bort.
Montana, Delaware, Iowa och andra
Ytterligare delstater har antagit eller överväger integritetslagar. De flesta följer CCPA-modellen med konsumenternas rätt att välja bort, med viss variation i kraven.
Så vet du vilka lagar som gäller dina formulär
För att ta reda på vilka integritetslagar du måste följa:
- Identifiera var dina besökare kommer ifrån. Använd analys för att se vilka delstater och regioner som finns representerade.
- Ta reda på lagen för varje region. För amerikanska delstater, kolla delstatens justitieministers webbplats. För andra länder, undersök deras integritetslagar.
- Kontrollera tröskelkraven. Når ditt företag storleksgränserna? Har du tillräckligt många kunder i regionen?
- Rådgör med en jurist om du är osäker. Integritetslagstiftning är komplex och varierar mellan regioner. Om din verksamhet samlar in stora mängder data, prata med en advokat.
Bygg formulär som följer flera integritetslagar
Om dina besökare kommer från olika delstater och länder behöver du följa de strängaste regler som gäller.
Utgå från GDPR-reglerna för alla
Om du har några besökare från EU, följ GDPR-reglerna. GDPR är bland de strängaste integritetslagarna, så att följa GDPR innebär ofta att du också följer andra lagar.
Använd uttryckligt samtycke för känsliga data
I stället för att försöka följa olika regler för olika besökare, använd uttryckligt samtycke (GDPR-standarden) för allt. Det är renare och mer skyddande. Gör samtyckesvalen tydliga, specifika och separata för olika användningar av data.
Visa integritetsinformation i formuläret
Ta med en tydlig, läsbar sammanfattning av hur du hanterar data på formulärsidan. Länka till din fullständiga integritetspolicy. Det uppfyller informationskraven i flera lagar samtidigt.
Gör det enkelt att välja bort
Ge folk ett sätt att avsluta prenumerationen på marknadsföringsmejl eller begära radering av sin data. Ta med det i varje marknadsföringsmejl du skickar (lagkrav) och på din webbplats (god praxis).
För bra register
Dokumentera vilka data du samlar in, varför du samlar in dem, hur länge du sparar dem och vem som har åtkomst till dem. Det hjälper dig att svara snabbt på dataförfrågningar och visar att du följer reglerna om en tillsynsmyndighet frågar.
Böter och påföljder i integritetslagar
CCPA och delstatliga integritetslagar har ekonomiska påföljder:
- CCPA (Kalifornien): Upp till 2 500 dollar per överträdelse, 7 500 dollar per avsiktlig överträdelse. Delstatens justitieminister driver tillsynen, och konsumenter kan dessutom stämma i vissa fall.
- Virginia, Colorado, Connecticut med flera: Böterna ligger mellan 2 500 och 10 000 dollar per överträdelse, och vissa tillåter dessutom att konsumenter stämmer.
Böterna är lägre än GDPR-böterna, men de växer snabbt när du har flera överträdelser eller när ett dataintrång drabbar tusentals personer.
Det här gör WEMASY för att följa integritetslagar
WEMASY-formulär har verktyg som hjälper dig att följa delstatliga och federala integritetslagar. Du kan lägga till integritetsinformation i dina formulär, spåra vilken version av dina samtyckesvillkor varje besökare godkände och ge ditt team processer för att hantera förfrågningar om åtkomst till och radering av data. WEMASY loggar också vilka data som lagras och när de skickades in, vilket hjälper dig att föra de register du behöver för granskningar av efterlevnad.
Se vilka funktioner för efterlevnad av integritetslagar som finns i din plan på prissidan.