CCPA: En forklaring for digitale utgivere

Med ankomsten av 2020 trådte California Consumer Privacy Act (CCPA) offisielt i kraft. Riksadvokatens kontor kan imidlertid teknisk sett ikke begynne håndhevingen før i juli. Det er derfor viktig at utgivere bruker denne nådeperioden til å få orden på sakene sine hvis de ikke allerede har gjort det. Ved å regulere innsamling, behandling og deling av personopplysninger gir loven utgivere muligheten til å bli helt transparente om sin datapraksis, slik at de kan sette datapersonvern, sikkerhet og ansvarlig bruk av forbrukerinformasjon i kjernen av virksomheten sin. Så, med det i tankene, la oss se nærmere på hva CCPA betyr for digitale utgivere og hva de kan gjøre for å sikre samsvar.

Hvem gjelder CCPA for?

Ved første undersøkelse kan noen utgivere mene at CCPA ikke påvirker dem; dette er tilfelle av to hovedgrunner. For det første gjelder den bare bedrifter som har en årlig omsetning på 25 millioner dollar eller mer, besitter dataene til over 50 000 forbrukere, eller tjener mer enn halvparten av sin årlige omsetning på salg av personopplysninger. For det andre gjelder den bare selskaper som behandler personopplysninger til innbyggere i California. Til tross for denne begrunnelsen anbefales det at alle utgivere sikter mot å overholde CCPA. Vilkårene kan være gjenstand for endringer, men uansett anbefales det at utgivere følger gjeldende retningslinjer, spesielt med tanke på andre statlige og nasjonale datalover som for tiden er under utvikling og som sannsynligvis vil gjelde universelt. På samme måte er det ganske ineffektivt å endre datapraksis i henhold til staten. På grunn av Californias store størrelse vil enhver statlig lov i hovedsak bli en stedfortreder for føderal regulering. Derfor må digitale utgivere akseptere behovet for å tilpasse seg dem, i stedet for å prøve å finne måter å omgå dataforskrifter som CCPA.

Hvilke datarettigheter gir det?

CCPA gir forbrukere rett til å forstå en bedrifts datainnsamlingspraksis, til å få tilgang til personopplysninger som er samlet inn om dem i løpet av de foregående 12 månedene, og til å få denne informasjonen slettet hvis de ønsker det. Videre gir den dem også rett til å ikke få personopplysningene sine delt eller solgt, ettersom det nå er grunnleggende at alle utgivere inkluderer en lenke for å reservere seg på nettstedet sitt. Loven gir forbrukere rett til like tjenester og priser, slik at bedrifter ikke kan diskriminere dem hvis de velger å utøve sine rettigheter i henhold til CCPA, for eksempel ved å reservere seg mot salg av data til tredjeparter.

Hva er konsekvensene av manglende overholdelse?

Bøtene for brudd på CCPA er for tiden opptil 7500 dollar per forsettlig brudd, og 2500 dollar per brudd uten forsett. I tillegg kan utgivere måtte betale erstatning på opptil 750 dollar til alle berørte personer, selv om manglende overholdelse tilsynelatende ikke har gjort noen skade. Men selv om de potensielle bøtene som følge av et brudd på CCPA utvilsomt vil være skadelige for utgivere, kan den dårlige pressen knyttet til et brudd være enda større. Ved å overholde forskriften kan utgivere bygge forbrukertillit og opprettholde et positivt omdømme.

Tre trinn for å overholde utgivernes forskrifter

Trinn 1: Forstå dataflyter. Det første steget for utgivere er å få kontroll over datastrømmene sine, forstå hva de samler inn, hvor det lagres og hva det brukes til. Ved å implementere enhetlige datalagringssystemer kan de få oversikt over dataene de har og raskt og effektivt oppfylle forespørsler om tilgang eller sletting fra forbrukere, noe som er viktig gitt 45-dagersfristen. Utgivere må også forstå hvilke tredjeparter de deler data med; CCPA har et sterkt fokus på salg av data, men dette krever ikke nødvendigvis en finansiell transaksjon, det gjelder også for utlevering av informasjon for forretningsformål som ikke krever betaling. Ved å ta i bruk bransjespesifikasjoner som ads.txt og sellers.json, kan utgivere få en bedre oversikt over dataforsyningskjeden og en dypere forståelse av hvem de deler dataene sine med. Trinn 2: Bestem databehovet. Når de forstår dataflyten, kan utgivere benytte anledningen til å bestemme hvilke personopplysninger de virkelig trenger å samle inn, lagre og dele. For eksempel, siden de utledede dataene som brukes i atferdsbasert annonsemålretting fortsatt er et lite spørsmålstegn under CCPA, kan utgivere ønske å utforske andre alternativer, som native advertising, som bruker kontekstuell målretting og ikke krever personopplysninger. Jo mindre personopplysninger utgivere samler inn, desto mindre er risikoen for å bryte CCPA. Trinn 3: Sørg for full åpenhet. Når utgivere forstår sine datapraksiser, må de sørge for at disse er fullt ut opplyst på nettstedene deres. De kan bruke IABs CCPA-samsvarsrammeverk for utgivere og teknologiselskaper både som veiledning i hvordan man forklarer datapraksis til brukere gjennom tydelige opplysninger, og som en operativ mekanisme for samsvar. Rammeverket gjør det mulig for utgivere å inkludere den nødvendige lenken «ikke selg min personlige informasjon», og automatisk sende et signal til teknologipartnere nedstrøms når lenken klikkes for å sikre at de respekterer brukerens valg. Til tross for at CCPA nå er trådt i kraft fullt ut, har utgivere fortsatt tid til å forbedre datapraksisen sin. Ved å vurdere datastrømmene sine, bestemme hvilken informasjon som er viktig og sikre fullstendig transparent offentliggjøring, kan de få mest mulig ut av muligheten CCPA og andre datalover gir, og sette forbrukernes personvern i sentrum for virksomheten sin.