CCPA ja CPRA: mida tähendab USA privaatsusõigus küpsiste jaoks

CPRA-ga muudetud CCPA ei nõua enne küpsiste seadmist nõusolekut. Selle asemel käsitleb see paljusid reklaamiküpsiseid ja piksleid isikuandmete „müügi“ või „jagamisena“ ning annab California elanikele õiguse sellest loobuda. Hõlmatud ettevõtted peavad avaldama, mida nad koguvad, pakkuma selget loobumislinki ja järgima brauserisignaale, näiteks Global Privacy Controli.

Mis on CCPA ja CPRA?

California Consumer Privacy Act (CCPA) on California peamine tarbijate privaatsusseadus. California Privacy Rights Act (CPRA) muutis ja laiendas seda, nii et „CCPA“ tähendab tänapäeval tavaliselt ühendatud, muudetud seadust.

CPRA lisas uusi õigusi, võttis kasutusele „jagamise“ mõiste kontekstideülese käitumusliku reklaami jaoks ja lõi spetsiaalse reguleerija, California privaatsuskaitseameti (California Privacy Protection Agency, CPPA). Amet koostab üksikasjalikke määrusi ja jagab jõustamist California peaprokuröriga.

Seadus kehtib kasumit taotlevatele ettevõtetele, mis tegutsevad Californias, töötlevad California elanike isikuandmeid ja vastavad vähemalt ühele künnisele. Need künnised on aastane brutotulu üle kindlaksmääratud summa, mida kohandatakse inflatsiooniga, 100 000 või enama tarbija või leibkonna isikuandmete ostmine, müümine või jagamine või poole või enama aastatulu teenimine isikuandmete müügist või jagamisest. Hõlmatud olemiseks ei pea sul Californias kontorit olema.

Kas küpsised on CCPA järgi isikuandmed?

Sageli jah. CCPA määratleb isikuandmed laialt ja selle unikaalsete identifikaatorite määratlus mainib selgesõnaliselt küpsiseid, majakaid (beacon) ja piksel-märgendeid.

Küpsise ID-d, reklaami-ID-d, IP-aadressid ja tarbija, leibkonna või seadmega seotud sirvimisajalugu kvalifitseeruvad tavaliselt kõik. Oluline on see, mis nende andmetega edasi juhtub. Esimese osapoole seansiküpsis, mis hoiab inimese sisselogituna, tekitab CCPA seisukohast vähe küsimusi, samas kui kolmanda osapoole reklaamipiksel, mis saadab sirvimistegevuse reklaamivõrgustikule, on hoopis teine lugu.

Millal on küpsis „müük“ või „jagamine“?

Küpsis muutub müügiks või jagamiseks siis, kui see võimaldab kolmandal osapoolel saada isikuandmeid enda eesmärkidel või kontekstideüleseks käitumuslikuks reklaamiks. Raha ei pea käest kätte minema.

• Müük tähendab isikuandmete avaldamist kolmandale osapoolele rahalise või muu väärtusliku vastuväärtuse eest. Tasuta tööriistad, mille eest tegelikult makstakse külastajaandmetega, võivad sellena kvalifitseeruda.
• Jagamine tähendab isikuandmete avaldamist kolmandale osapoolele kontekstideüleseks käitumuslikuks reklaamiks ehk reklaamiks, mis on suunatud inimese tegevuse põhjal teiste ettevõtete saitidel ja rakendustes, olenemata sellest, kas midagi väärtuslikku vahetatakse.
• Teenusepakkujad ja töövõtjad, kes töötlevad andmeid ainult sinu nimel, seaduses nõutud tingimusi sisaldava lepingu alusel, ei ole üldjuhul kolmandad osapooled, seega ei ole neile avaldamine müük.

Praktikas on tavalised kahtlusaluste kolmikud taassihtimispikslid, reklaamivõrgustike küpsised ja sotsiaalmeedia jälgimispikslid. Tee küpsiste audit, et enne iga müüja liigitamist kaardistada, millised müüjad andmeid saavad ja milliste lepingute alusel.

Kuidas CCPA küpsiste osas IKÜM-iga võrdub?

Põhiline erinevus on vaikeseade. ELi reeglid nõuavad enne mittevajalike küpsiste laadimist eelnevat nõusolekut, California lubab neil laadida, kuid nõuab lihtsat loobumisvõimalust.

	IKÜM ja e-privaatsus (EL)	CCPA ja CPRA (California)
Mudel	Eelnev nõusolek enne mittevajalikke küpsiseid	Müügist ja jagamisest loobumine
Nõusolekubänner	Praktiliselt kohustuslik	Ei ole kohustuslik
Peamine kasutajakontroll	Nõustumise ja keeldumise valikud	Link „Do Not Sell or Share My Personal Information“
Brauserisignaalid	Õiguslik mõju vähem selge	Loobumiseelistuse signaale, näiteks GPC-d, tuleb järgida
Lapsed	Erireeglid laste nõusoleku kohta	Eelnev nõusolek enne alla 16-aastaste andmete müümist või jagamist
Jõustamine	Riiklikud andmekaitseasutused	CPPA ja California peaprokurör

Kui teenindad mõlemat sihtrühma, võimaldab geosihtimine näidata ELis eelneva nõusoleku bännerit ja Californias loobumiskogemust. ELi poole kohta loe artiklit IKÜM ja küpsiste nõusolek: nõuded lihtsalt selgitatud.

Mida sinu sait vajab?

Hõlmatud ettevõtted vajavad selgeid avalikustamisi, loobumismehhanismi ja taustaprotsesse, mis muudavad loobumise tegelikuks. Kasuta seda kontrollnimekirja lähtepunktina.

1. Teavitus kogumise hetkel. Ütle inimestele kogumise ajal või enne seda, milliseid isikuandmete kategooriaid sa kogud, miks, kas sa neid müüd või jagad ja kui kaua neid säilitad.
2. Privaatsuspoliitika. Kirjelda tarbija õigusi ja nende kasutamise viisi ning uuenda poliitikat vähemalt kord 12 kuu jooksul.
3. Loobumislink. Paku selget linki „Do Not Sell or Share My Personal Information“ või määrustega lubatud ainsat alternatiivset loobumislinki, tavaliselt saidi jaluses.
4. Järgi GPC-d. Käsitle Global Privacy Controli signaali selle brauseri kehtiva loobumisena ning tarbija konto puhul, kui sa tead, kes ta on.
5. Peata andmevoog. Kui inimene loobub, lõpeta tema andmeid müüvate või jagavate märgendite käivitamine. Link, mis ainult salvestab eelistuse, ei piisa.
6. Piira tundlikke andmeid. Kui kasutad tundlikke isikuandmeid seaduses lubatud eesmärkidest kaugemal, paku linki „Limit the Use of My Sensitive Personal Information“.
7. Pea arvestust. Logi loobumistaotlused ja nende käsitlemine, nagu nõusoleku tõendite puhul, et saaksid näidata oma protsessi toimimist.

Mis on teiste USA osariikidega?

California ei ole enam üksi. Üha suurem arv USA osariike on vastu võtnud terviklikud privaatsusseadused, mis annavad sarnased õigused sihitud reklaamist ja isikuandmete müügist loobuda, ning mitu neist nõuavad, et ettevõtted järgiksid universaalseid loobumissignaale.

Üksikasjad erinevad, sealhulgas kohaldamiskünnised, määratlused ja see, kas mõned andmed, näiteks tundlikud andmed, vajavad eelnevat nõusolekut. Kontrolli iga seadust, mis sinu sihtrühma suhtes kehtib. Ühe töökindla loobumisvoo ehitamine, mis järgib GPC-d igal pool, on sageli lihtsam kui osariigipõhiste erandite hooldamine.

Kokkuvõte

Küpsiste puhul on CCPA ja CPRA mõeldud läbipaistvuseks ja toimivaks loobumiseks, mitte eelnevaks nõusolekuks. Tuvasta, millised jälgijad andmeid müüvad või jagavad, anna californialastele selge viis ei öelda, järgi GPC-d automaatselt ja veendu, et loobumine tegelikult andmevoo peatab. Tööriistad nagu Cookiesh oskavad serveerida geosihitud CCPA bännereid ja järgida GPC signaale sinu eest.

See artikkel on üldine teave, mitte õigusnõustamine. Oma konkreetse olukorra kohta otsuste tegemiseks pea nõu kvalifitseeritud privaatsusspetsialistiga.