Handa ka na ba para sa pagkilos sa privacy ng consumer ng California?

Ang ilan sa mga kilalang kumpanya ng teknolohiya ay headquarter sa California, isang estado na noong Hunyo 28, 2018 naipasa ang California Consumer Privacy Act of 2018 (CCPA). Ang CCPA ay hindi magkakabisa hanggang Enero 1, 2020, ngunit inaasahan na makaapekto sa mga negosyo sa buong California, Estados Unidos at, sa katunayan, ang buong mundo. Makakaapekto ang CCPA sa paraan ng mga negosyo na mahawakan ang data ng customer, at isinasaalang-alang ng marami na ang mahigpit na batas sa proteksyon ng data sa kasaysayan ng US.

Kung nakakaramdam ka ng isang déjà vu, hindi ka nag-iisa. Bumalik sa Mayo, ang European Union's (EU) Pangkalahatang Data Protection Regulation (GDPR) ay naging epektibo. Ang GDPR ay naging isang mainit na paksa dito sa PCMag. Habang ang batas ay ginawa sa buong Atlantiko, ang totoo, ginawa ito ng isang marka sa mga negosyo sa buong mundo dahil nalalapat ito sa lahat ng mamamayan ng EU anuman ang kanilang tinitirhan. Tulad ng GDPR, ang epekto ng bagong CCPA ay magkakaroon ng malalayong mga implikasyon na lampas sa saklaw ng estado ng pinagmulan nito. Nakipag-usap kami sa ilang mga eksperto upang malaman ang higit pa tungkol sa CCPA at ilan sa mga inaasahang implikasyon nito.

Ang CCPA at Ikaw: Isang Panimula

Itinatag ng CCPA ang karapatan ng isang mamimili upang hilingin na ibunyag ng mga negosyo kung anong uri ng data ang natipon tungkol sa mga ito. Maliban kung gumagamit ka ng isang tool tulad ng isang virtual pribadong network (VPN), medyo sigurado na ang hindi mabilang na mga negosyo ay nagtitipon ng impormasyon tungkol sa iyo tuwing ikaw ay online. Upang sabihin ang ganitong uri ng transparency na dadalhin ng CCPA ay isang malaking pakikitungo ay magiging isang hindi pagkakamali.

Si John Tsopanis ay isang Tagapamahala ng Produkto ng Pagkapribado sa 1touch.io, isang kumpanya na tumutulong sa mga negosyo na maunawaan ang personal na data na kanilang pinangangasiwaan. Ginugol ni Tsopanis ang mga nakaraang taon sa paggawa ng pagkonsulta sa GDPR para sa mga kumpanya at naghahanda upang gawin ang parehong sa CCPA. Ipinaliwanag ni Tsopanis ang CCPA sa mga pangunahing termino.

"Noong Enero 1, 2020, ang isang residente ng California ay magkakaroon ng ligal na karapatan na tanungin ang anumang malaking kumpanya sa America: 'Pinoproseso mo ba ang alinman sa aking impormasyon?'" Sinabi ni Tsopanis. "Sa loob ng 45 araw, ang kumpanyang iyon ay tungkulin na tumugon sa isang ulat na nagdedetalye sa huling 12 buwan. Kailangan itong ipakita kung anong mga tiyak na kategorya ng personal na impormasyon na mayroon sila sa taong iyon, kung sino ang kanilang ibinabahagi nito, at kung ano ang mga dahilan para sa pagproseso nito. Kailangan nilang ibigay ang impormasyong iyon sa mga residente ng California - lahat ng 40 milyon sa kanila - sa loob ng oras. "

Mga Pagkakaiba sa pagitan ng GDPR at CCPA

Mayroong ilang malaking pagkakaiba-iba sa pagitan ng ginagawa ng GDPR at kung ano ang sakop ng CCPA. Para sa mga nagsisimula, ang CCPA ay gagamit ng isang opt-out na batayan para sa pahintulot samantalang ang GDPR ay gumagamit ng isang batayang opt-in. Ito ay nangangahulugang nangangahulugan na ang mga gumagamit ay kailangang aktibong maabot ang mga kumpanya upang malaman ang tungkol sa kung anong uri ng impormasyon ang ginagamit. Bilang karagdagan, ang GDPR ay nalalapat sa anumang samahan na humahawak ng personal na data sa mga mamamayan ng EU.

Ang CCPA, sa kabilang banda, ay nalalapat lamang sa mga kumpanyang para sa kita na nagpoproseso ng data sa mga residente ng California. Ang samahan ay dapat gawin alinman sa $ 24 milyon sa taunang kita, hawakan ang data ng 50, 000 katao, o gawin ang hindi bababa sa kalahati ng kanilang kita sa pagbebenta ng personal na data. Kaya, kung nagmamay-ari ka ng isang maliit na tindahan ng boutique at ang lawak ng iyong online na operasyon ay isang webpage na naglilista ng iyong mga oras ng tindahan at address, kung gayon hindi ka na kailangang mag-alala nang labis tungkol sa CCPA. Ngunit kung nagpapatakbo ka ng isang website ng e-commerce sa pamamagitan ng isang tagabigay ng turnkey o mapanatili ang iyong sariling e-tail website sa pamamagitan ng isang pangkalahatang serbisyo sa web hosting, pagkatapos ay nais mong bigyang pansin.

Si Courtney Bowman ay isang Associate sa departamento ng litigation sa international law firm na si Proskauer Rose LLP. Ipinaliwanag ni Bowman kung bakit hihilingin ng CCPA ang mga kumpanya na mag-isip nang mabuti tungkol sa kanilang paggamit ng data na higit sa 2020. "Ang 12 na kahilingan na iyon ay nangangahulugang ang mga kumpanya ay kailangang tingnan ang kanilang patakaran sa privacy kahit isang beses sa isang taon at subukang alamin kung nagbago ang anuman., " sabi niya.

"Kailangan nilang patuloy na subaybayan kung anong data ang kanilang ibebenta o ibubunyag sa mga third party upang maisaayos nila nang maayos ang kanilang mga patakaran sa privacy, " patuloy ni Bowman. "Binibigyan din ng batas ang mga mamimili ng karapatang ma-access o tanggalin ang kanilang personal na impormasyon sa ilang mga sitwasyon, at ang mga negosyo ay kakailanganin upang matiyak na maaari silang aktwal na makagawa ng tamang expeditiously. Iyon ay pagpunta sa nangangailangan ng mga kumpanya na makisali sa data mapping upang malaman kung saan ang kanilang data ay matatagpuan, at upang makipag-ugnay sa kanilang mga departamento ng IT upang malaman kung ano ang kailangan nilang gawin upang matiyak na makakamit nila ang kanilang mga responsibilidad sa ilalim ng kilos. "

Ang Malawak na Epekto ng CCPA

Sa mga buwan na umaabot hanggang sa GDPR, isang tumatakbo na tema sa aming saklaw na, sa aming globalisadong mundo, ang GDPR ay makakaapekto sa mga negosyong lampas sa Europa. Pagkatapos ng lahat, ang karamihan sa mga malalaking kumpanya ay nagnenegosyo sa ibang bansa at kailangang baguhin ang kanilang mga online na operasyon sa buong mundo upang sumunod sa batas. Kapag nakipag-usap kami sa Tsopanis, gayunpaman, sinabi niyang ang mga Amerikanong kumpanya ay kailangan pa ring kumuha ng espesyal na paunawa sa CCPA.

"Pagdating sa mga kumpanyang Amerikano, ang GDPR ay pangunahing nakatuon sa mga pangunahing organisasyon na nagpapatakbo sa buong mga channel. Gamit ang, ang pamantayan para sa mga kumpanya na kwalipikado ay mas malaki sa pamamagitan ng isang napakalaking pagkakasunud-sunod ng magnitude, " sabi ni Tsopanis. "Mayroong 40 milyong mga tao sa California; 50, 000 ay hindi kahit na 0.1 porsyento ng populasyon. Sa palagay ko ang laki ng pagkakalantad para sa mga kumpanyang Amerikano ay higit na mataas kaysa sa dati sa ilalim ng GDPR."

Nag-aalok si Tsopanis ng halimbawa ng higanteng pagkain ng Wendy's. "Ang Wendy's ay ang ika-999 na pinakamalaking kumpanya sa Fortune 1000 at may taunang kita na $ 1.2 bilyon-48 beses na mas mataas kaysa sa threshold para sa aplikasyon sa ilalim ng batas na ito. Sa pinakadulo, mayroong 1, 000 bilyong-dolyar na kumpanya sa Amerika ang kailangang sumunod sa ang batas na ito, at ang makabuluhang mga order ng magnitude na higit sa na sa kategoryang $ 25-milyong. "

Hindi namin maaaring isaalang-alang ang isang tech na kumpanya ni Wendy ngunit tinipon nila ang kanilang patas na bahagi ng impormasyon ng gumagamit. Ang mga ito rin ay isang perpektong halimbawa ng kung paano ang mga kumpanya ng lahat ng uri ay maaapektuhan ng CCPA. Kapag binisita mo ang kanilang website, mag-order ng pagkain sa pamamagitan ng kanilang mga point-of-sale (POS) system, o kahit na gamitin lamang ang Wi-Fi sa iyong lokal na restawran ng Wendy, kinokolekta ng kumpanya ang iyong impormasyon, at sa California, kahit na, ' Ang lahat ay sasailalim sa regulasyon ng CCPA. Kung ang isang kumpanya bilang "maliit" bilang Wendy's ay nangongolekta ng maraming data sa mga gumagamit, pagkatapos ay nakakatakot na mag-isip ng kung anong mga malalaking korporasyon ang kinokolekta. Maglagay lamang, ang CCPA ay magkakaroon ng napakalaking implikasyon.

Mahalagang Natuklasan ng Data

Isa sa mga pinakamahalagang epekto ng CCPA ay ang mga Amerikano sa wakas ay makakapag-alis ng malawak na halaga ng pagbili ng data at pagbebenta ng data na ginagawa ng mga kumpanya. "Papayagan ng panukalang batas na ito ang mga mamamayang Amerikano na sa wakas ay alisan ng takip ang web web ng pagbili ng data at pagbebenta ng mga samahan ay dati nang ganap na hindi nagpapakilalang. Ito ay hahantong sa isang dramatikong pagbabagong kultural sa paraan na nakita ang privacy ng data, at, sa huli sa ilang punto, humantong sa maayos na batas sa pederal na pagkapribado, "sinabi ni Tsopanis.

Kapag ang Cambridge Analytica nasira ang iskandalo, nakuha nito ang atensyon ng milyon-milyong mga tao, teknolohikal man sila o hindi. Ginawa nitong nababahala ang mga tao tungkol sa kung sino ang nangongolekta ng kanilang impormasyon at kung ano ang nagawa dito, at ang CCPA ay, sa bahagi, isang tugon sa iyon. Nagtalo si Tsopanis na ang mga nagreresultang paghahayag ay magiging napakalaking.

"Para sa bawat mamamahayag sa bansa, ito ay isang diyos na diyos. Ang California ay isang $ 2.7 trilyon na ekonomiya - ang ikalimang pinakamalaking sa mundo - at ito ay itinayo sa Big Data. Ang bawat kahilingan sa pag-access mula sa bawat kumpanya ng Fortune 1000 ay magpapakita ng isang buong network ng pagbili ng data at pagbebenta ng mga kumpanya na pupunta sa ilalim ng matinding pagsusuri, "paliwanag ni Tsopanis. "Hindi namin alam kung ano mismo ang makikita namin kapag sinimulan ng mga tao ang pagkuha ng kanilang mga ulat ng data, ngunit sigurado na ilang mga kagiliw-giliw na mga paghahayag."

18 Buwan lamang upang Maghanda

Kung may natutunan tayo mula sa GDPR, kailangan na magplano ng mga kumpanya nang maaga hangga't maaari upang maging handa para sa deadline. Sa pag-iisip, ang mga kumpanyang Amerikano ay hindi masyadong maraming oras. Ang GDPR ay pinagtibay noong Abril 2016, at ang mga kumpanya ay nagkaroon ng kaunti sa loob ng dalawang buong taon upang umangkop at sumunod sa regulasyon. Dahil ang CCPA ay napapatupad nang tama sa simula ng 2020, nangangahulugan ito na ang mga malalaking kumpanya ngayon ay may 18 buwan lamang upang maghanda.

Ang deadline na iyon ay malamang na gawin kahit na ang pinaka-nakasanayan na propesyonal na tech na nabigyang diin. "Ang halaga ng trabaho na kailangang gawin sa 18 buwan ay mas malaki kaysa sa kinakailangan para sa GDPR, na may mas kaunting oras upang gawin ito, at sa mga kumpanyang Amerikano na nagmumula sa isang mas mababang antas ng pagkapot sa privacy kaysa sa Europa, " babala ni Tsopanis.

Upang sumunod, inirerekomenda ng beterano sa seguridad na ang mga kumpanya ay mag-ingat sa pagbuo ng kanilang mga proseso. "Sa susunod na anim na buwan, ang dapat gawin ng mga organisasyon ay upang bumuo ng ilang uri ng paraan ng pagsubaybay sa personal na impormasyon sa buong samahan, " sabi ni Tsopanis. "Kailangan nila ng isang paraan upang madaling ma-access kung ano ang personal na impormasyon na ipinadala sa kung aling mga third party at sa anong oras, at pagkatapos ay kailangan nilang masubaybayan iyon sa loob ng 12 buwan hanggang sa pagpapatupad, at maging handa na ibigay ang impormasyong iyon kapag hiniling ang regulasyon ay naglalaro.

"Mahalaga ang pagpunta sa nangangailangan ng halos lahat ng mga pangunahing kumpanya ng US na nagsasagawa ng mga pangunahing aktibidad ng pagkakakilanlan ng data, at magagawang i-automate at tumugon sa mga kahilingan sa pag-access ng data mula sa mga residente ng California sa petsa ng pagpapatupad, " pagpapatuloy ni Tsopanis. "Mahalaga rin na tandaan na, kapag ang batas ay pumasa sa 2020, kailangan nilang magbigay ng isang ulat sa impormasyon ng gumagamit sa nakaraang 12 buwan. Ito ay epektibong nangangahulugan na ang mga negosyo ay kailangang masubaybayan ang data na iyon noong Enero 1, 2019. "

Mula sa isang ligal na pananaw, sinabi ni Bowman na maaaring magkaroon ng ilang mga pagbabago bago ang deadline. "Inaasahan namin na makakakita kami ng ilang mga pagbabago sa batas bago ito maisakatuparan, " aniya. "Sapagkat ito ay nakabalangkas nang medyo mabilis, kahit na pagkatapos na ito ay maaaring magkaroon ng ilang mga kulay-abo na lugar na mananatiling natatangi sa mga tuntunin ng aming pag-unawa sa kanila. Pagkatapos ng lahat, ang GDPR ay nagtagal ng mga taon upang mag-draft, at mayroon pa ring maraming bahagi ng GDPR iyon ay hindi maliwanag. "