Kantor Kejaksaan Agung California mulai memberlakukan Undang-Undang Privasi Konsumen California (“CCPA”) lebih dari setahun yang lalu dan baru-baru ini mengumumkan serangkaian kasus penegakan hukum yang dilakukan untuk bisnis. Contoh ini anonim dan bukan merupakan daftar lengkap dari semua kasus penegakan hukum, tetapi deskripsi dapat memberikan panduan yang berguna untuk bisnis yang tunduk pada hukum. Bahkan perusahaan yang menangani informasi pribadi yang umumnya dikecualikan patut dipertimbangkan contoh untuk menunjukkan strategi penegakan AG, prioritas penegakan, dan bagaimana AG menafsirkan ketentuan hukum.

Menurut catatan rilis AG, perusahaan saat ini diharuskan untuk memperbaiki klaim pelanggaran mereka dalam waktu 30 hari setelah menerima pemberitahuan klaim pelanggaran. Namun, perlu dicatat bahwa jika CCPA berubah sebagai akibat dari California Privacy Rights Act yang disetujui oleh pemilih California tahun lalu, periode perawatan 30 hari ini akan berakhir pada 2023. Dengan memperhatikan contoh-contoh ini, perusahaan dapat mengantisipasi permainan untuk kepatuhan CCPA mereka sendiri. Berikut adalah ringkasan singkat dari beberapa contoh penting:

Hubungan dengan entitas yang menerima data untuk periklanan dan analitik online-apakah itu “penjualan” ke pihak ketiga atau berbagi dengan penyedia layanan?

Sejumlah besar contoh berfokus pada penggunaan data untuk iklan bertarget dan tujuan analitis. Dalam beberapa contoh, AG merujuk pada perusahaan yang terlibat dalam periklanan bertarget yang melibatkan pertukaran informasi pribadi, yang dicirikan sebagai “penjualan” informasi pribadi yang memerlukan hak untuk tidak ikut serta dan pengungkapan. Secara khusus, dalam satu contoh, AG merujuk pengecer yang menggunakan teknologi pelacakan pihak ketiga di situs web yang membagikan data tentang aktivitas belanja konsumen dengan pengiklan. AG bertanggung jawab atas bisnis tersebut karena tidak menjalin hubungan antara penerima pengiklan dan penyedia layanan.

menghapus: Bisnis perlu menganalisis secara menyeluruh siapa yang menerima data dan bagaimana hubungan dicirikan, termasuk untuk pemasaran online dan tujuan analitis. Perusahaan yang memiliki kontrak dengan penyedia layanan harus ingat untuk menandatangani kontrak penyedia layanan yang secara kontrak melarang penyedia layanan menyimpan, menggunakan, atau mengungkapkan informasi pribadi di luar ruang lingkup yang diizinkan oleh hukum. ..

Pelacak Pihak Ketiga-Data mana yang sedang dianalisis dan bagaimana konsumen dapat menolak untuk menggunakannya?

Salah satu contoh mengacu pada penggunaan pelacak pihak ketiga yang digunakan untuk tujuan analisis situs. Namun, AG tidak memberikan perincian tentang sifat data yang menjadi perhatian dalam contoh ini. Secara khusus, saat ini tidak jelas bagaimana data tersebut memenuhi definisi “informasi pribadi” di bawah CCPA. Contoh lain menunjukkan bahwa mungkin perlu untuk menerapkan ekstensi browser “kontrol privasi global” yang memungkinkan pengunjung situs menolak izin untuk mengumpulkan data oleh pelacak online pihak ketiga seperti cookie.

menghapus: Perusahaan yang memiliki pelacak pihak ketiga, seperti cookie, di situs web mereka harus mempertimbangkan apakah memberikan hak memilih keluar atau mengatur hubungan dengan penyedia layanan adalah tepat.

Opt-out-Apa cara yang efektif?

Dalam contoh lain, AG hanya memperkenalkan kepada konsumen alat penyisih asosiasi perdagangan pihak ketiga, mungkin alat yang disediakan oleh inisiatif periklanan jaringan dan periklanan digital, untuk memungkinkan bisnis menyisih dari iklan online. Persekutuan.

menghapus: Perusahaan yang tunduk pada hak memilih keluar penjualan CCPA harus memastikan bahwa mereka tidak mengadopsi prosedur verifikasi seperti mewajibkan identifikasi pemerintah atau faktur konsumen sebelum memberikan permintaan keluar.

Bisnis adalah lembaga keuangan di bawah GLBA-apakah bisnis masih perlu memikirkan kepatuhan CCPA?

Ya. Misalnya, dealer mobil tidak diatur oleh Gramm-Leach-Bryley Act dan harus mempertimbangkan informasi pribadi yang dikumpulkan tunduk pada CCPA. Ini karena salah satu contoh penegakan mengacu pada dealer yang telah mengumpulkan informasi pribadi dari konsumen yang melakukan uji coba tanpa memberikan pemberitahuan. Dalam koleksi.

menghapus: Lembaga keuangan perlu melakukan inventarisasi data untuk menilai apakah mereka mengumpulkan atau mengungkapkan kumpulan data yang tunduk pada CCPA.

Program Privasi-Apa yang dikatakan kebijakan itu?

Misalnya, Jaksa Agung mungkin mengatakan bahwa kebijakan privasi berfokus pada penjelasan yang akurat dan lengkap tentang praktik bisnis untuk memproses informasi pribadi, seperti informasi yang dikumpulkan, bagaimana digunakan, dan bagaimana informasi itu dibagikan.

menghapus: Perusahaan perlu memastikan bahwa program privasi mereka terintegrasi di seluruh perusahaan dan menangkap semua praktik data dan perubahan pada praktik tersebut. Contoh tersebut juga menunjukkan bahwa AG memperhatikan keluhan yang diajukan konsumen. Oleh karena itu, penting bagi pelaku usaha untuk memiliki program pengelolaan pengaduan yang baik dan tanggap terhadap pengaduan konsumen.

Program privasi telah diterapkan – bisnis selesai, bukan?

Tidak, perusahaan harus menyadari bahwa mereka mungkin tidak dapat menerapkan dan meninggalkan program kepatuhan CCPA. CCPA akan berubah pada tahun 2023 sebagai akibat dari California Privacy Rights Act, menambahkan persyaratan baru untuk perusahaan yang tunduk pada hukum dan mentransfer otoritas penegakan ke agensi baru, California Privacy Protection Act. Pihak berwenang juga telah memulai latihan pembuatan peraturan untuk menerapkan peraturan untuk mencerminkan perubahan dalam CCPA. Dan seiring waktu, seperti dalam kasus penegakan ini, kami akan terus belajar lebih banyak tentang interpretasi badan pengatur CCPA dan prioritas penegakan.

menghapus: Seperti halnya semua program kepatuhan yang baik, perusahaan melakukan tinjauan rutin terhadap program kepatuhan CCPA untuk memastikan pembaruan hukum, mempertimbangkan keluhan dan tuntutan konsumen dengan benar, dan menjalankan praktik bisnis. Baik perubahan undang-undang maupun perubahan undang-undang perlu dikoordinasikan.

Pengacara yang berkualifikasi dapat membantu perusahaan berjalan melalui pendekatan kepatuhan yang cerdas dan menjawab setiap pertanyaan ini yang dapat diterapkan langsung ke bisnis dan prosesnya.

Perusahaan dapat menemukan contoh kasus penegakan hukum di sini: https://oag.ca.gov/privacy/ccpa/enforcement