CCPA и CPRA: что американское право значит для файлов cookie

CCPA с поправками CPRA не требует согласия до установки файлов cookie. Вместо этого закон рассматривает многие рекламные файлы cookie и пиксели как «продажу» или «передачу» (sharing) персональной информации и дает жителям Калифорнии право от этого отказаться. Компании, на которые распространяется закон, должны раскрывать, что они собирают, предлагать понятную ссылку для отказа и учитывать сигналы браузера, такие как Global Privacy Control.

Что такое CCPA и CPRA?

Закон Калифорнии о защите конфиденциальности потребителей (CCPA) — основной закон штата о конфиденциальности потребителей. Закон Калифорнии о правах на конфиденциальность (CPRA) внес в него поправки и расширил его, поэтому сегодня под «CCPA» обычно понимают объединенный закон с поправками.

CPRA добавил новые права, ввел понятие «передачи» (sharing) для межконтекстной поведенческой рекламы и создал специальный регулятор — Агентство по защите конфиденциальности Калифорнии (CPPA). Агентство разрабатывает подробные правила и разделяет полномочия по надзору с Генеральным прокурором Калифорнии.

Закон распространяется на коммерческие компании, которые ведут деятельность в Калифорнии, обрабатывают персональную информацию жителей Калифорнии и соответствуют хотя бы одному пороговому значению. Это годовая валовая выручка выше установленной суммы, которая индексируется с учетом инфляции; покупка, продажа или передача персональной информации 100 000 или более потребителей или домохозяйств; либо получение половины или более годовой выручки от продажи или передачи персональной информации. Чтобы закон на вас распространялся, офис в Калифорнии не нужен.

Считаются ли файлы cookie персональной информацией по CCPA?

Часто да. CCPA определяет персональную информацию широко, а в определении уникальных идентификаторов прямо упоминаются файлы cookie, маяки и пиксельные теги.

Идентификаторы cookie, рекламные идентификаторы, IP-адреса и история просмотров, связанные с потребителем, домохозяйством или устройством, как правило, подпадают под это определение. Важно то, что происходит с этими данными дальше. Собственный сеансовый файл cookie, который сохраняет вход в систему, вызывает мало вопросов с точки зрения CCPA, а сторонний рекламный пиксель, отправляющий данные о просмотрах рекламной сети, — совсем другое дело.

Когда файл cookie считается «продажей» или «передачей»?

Файл cookie становится продажей или передачей, когда позволяет третьей стороне получать персональную информацию для собственных целей или для межконтекстной поведенческой рекламы. Денежные расчеты для этого не обязательны.

• Продажа — раскрытие персональной информации третьей стороне за денежное или иное ценное встречное предоставление. Под это определение могут подпадать бесплатные инструменты, за которые вы фактически расплачиваетесь данными посетителей.
• Передача — раскрытие персональной информации третьей стороне для межконтекстной поведенческой рекламы, то есть рекламы, таргетированной по активности человека на сайтах и в приложениях других компаний, независимо от того, происходит ли обмен чем-либо ценным.
• Поставщики услуг и подрядчики, которые обрабатывают данные только от вашего имени по договору, содержащему требуемые законом условия, как правило, не являются третьими сторонами, поэтому раскрытие данных им продажей не считается.

На практике под подозрением обычно оказываются пиксели ретаргетинга, файлы cookie рекламных сетей и пиксели отслеживания социальных сетей. Прежде чем классифицировать каждого поставщика, проведите аудит файлов cookie, чтобы понять, кто получает данные и по каким договорам.

Чем CCPA отличается от GDPR в отношении cookie?

Главное различие — в режиме по умолчанию. Правила ЕС — Общий регламент по защите данных (GDPR) и Директива ePrivacy — требуют предварительного согласия до загрузки необязательных файлов cookie, а Калифорния разрешает их загрузку, но требует простого способа отказаться.

	GDPR и ePrivacy (ЕС)	CCPA и CPRA (Калифорния)
Модель	Предварительное согласие (opt-in) на необязательные файлы cookie	Отказ (opt-out) от продажи и передачи
Баннер согласия	Фактически обязателен	Не обязателен
Ключевой инструмент пользователя	Кнопки «Принять» и «Отклонить»	Ссылка «Do Not Sell or Share My Personal Information»
Сигналы браузера	Правовые последствия менее определены	Обязательно учитывать сигналы о предпочтении отказа, такие как GPC
Дети	Особые правила согласия для детей	Предварительное согласие на продажу или передачу данных лиц младше 16 лет
Надзор	Национальные органы по защите данных	CPPA и Генеральный прокурор Калифорнии

Если вы работаете с обеими аудиториями, геотаргетинг позволяет показывать баннер с предварительным согласием в ЕС и механизм отказа в Калифорнии. О европейской стороне читайте в статье Требования GDPR к согласию на файлы cookie.

Что нужно вашему сайту?

Компаниям, на которые распространяется закон, нужны понятное раскрытие информации, механизм отказа и внутренние процессы, благодаря которым отказ действительно работает. Используйте этот чек-лист как отправную точку.

1. Уведомление при сборе данных. В момент сбора или до него сообщите людям, какие категории персональной информации вы собираете, зачем, продаете ли вы ее или передаете и как долго храните.
2. Политика конфиденциальности. Опишите права потребителей и способы их реализации и обновляйте политику не реже одного раза в 12 месяцев.
3. Ссылка для отказа. Разместите понятную ссылку «Do Not Sell or Share My Personal Information» («Не продавать и не передавать мою персональную информацию») или единую альтернативную ссылку для отказа, которую допускают правила, обычно в подвале сайта.
4. Учитывайте GPC. Считайте сигнал Global Privacy Control действительным отказом для этого браузера, а также для учетной записи потребителя, если вы знаете, кто он.
5. Остановите поток данных. Когда человек отказывается, перестаньте запускать теги, которые продают или передают его данные. Ссылки, которая лишь записывает предпочтение, недостаточно.
6. Ограничьте использование чувствительных данных. Если вы используете чувствительную персональную информацию сверх целей, разрешенных законом, предложите ссылку «Limit the Use of My Sensitive Personal Information» («Ограничить использование моей чувствительной персональной информации»).
7. Ведите записи. Фиксируйте запросы на отказ и то, как вы их обработали, так же как записи, подтверждающие согласие, чтобы показать, что ваш процесс работает.

А как насчет других штатов США?

Калифорния больше не одинока. Все больше штатов США принимают комплексные законы о конфиденциальности с аналогичными правами на отказ от таргетированной рекламы и продажи персональных данных, и некоторые из них требуют от компаний учитывать универсальные сигналы отказа.

Детали различаются, включая пороговые значения применимости, определения и то, требуется ли для некоторых данных, например чувствительных, предварительное согласие. Проверьте каждый закон, который применяется к вашей аудитории. Выстроить один надежный механизм отказа, который везде учитывает GPC, часто проще, чем поддерживать исключения для каждого штата.

Итоги

Применительно к файлам cookie CCPA и CPRA касаются прозрачности и работающего механизма отказа, а не предварительного согласия. Определите, какие трекеры продают или передают данные, дайте жителям Калифорнии понятный способ сказать «нет», автоматически учитывайте GPC и убедитесь, что отказ действительно останавливает поток данных. Такие инструменты, как Cookiesh, умеют показывать баннеры CCPA с учетом геолокации и учитывать сигналы GPC за вас.

Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.