Często zadawane pytania dotyczące CCPA i CPRA

Czego się dowiesz?

Dowiedz się więcej o często zadawanych pytaniach dotyczących CCPA (California Consumer Privacy Act) i CPRA (California Privacy Rights Act).

Czym jest CCPA?

CCPA to ustawa, która weszła w życie 1 stycznia 2020 r. i reguluje sposób, w jaki firmy przetwarzają dane osobowe mieszkańców Kalifornii.

CCPA to odpowiedź na postrzeganą lukę w ochronie prywatności w Stanach Zjednoczonych. Firmy, które przetwarzają dane osobowe mieszkańców Kalifornii, mają obowiązek informować mieszkańców o praktykach firmy w zakresie prywatności oraz o prawach mieszkańców związanych z prywatnością, w tym o prawie do:

• Dowiedz się, jakie dane osobowe firma zbiera na ich temat i jak je wykorzystuje
• Usuń zebrane dane osobowe (z pewnymi wyjątkami)
• Zrezygnować ze sprzedaży swoich danych osobowych
• Zakaz dyskryminacji za korzystanie z praw wynikających z CCPA

Czym jest CPRA?

CPRA to ustawa, która zmienia i rozszerza wymogi CCPA, w tym:

• Dodawanie kategorii „wrażliwe dane osobowe”
• Ustanowienie prawa do ograniczenia wykorzystania i ujawniania wrażliwych danych osobowych
• Ustanawianie prawa do sprostowania nieprawidłowych danych osobowych
• Rozszerzenie wymogu rezygnacji „Nie sprzedawaj” na „udostępnianie” danych osobowych na potrzeby reklamowania w różnych kontekstach (lub reklamowania przez podmioty trzecie)

CPRA zaczyna obowiązywać 1 stycznia 2023 r.

Kto musi spełniać wymogi CCPA i CPRA?

Firmy

Większość wymogów CCPA i CPRA dotyczy „przedsiębiorstw” zdefiniowanych jako firmy, które gromadzą dane osobowe konsumentów z Kalifornii samodzielnie lub za pośrednictwem dostawców.

CCPA ma zastosowanie do firm, które spełniają dowolny z poniższych warunków:

• Obsługuje dane osobowe mieszkańców Kalifornii
• Prowadzi „działalność gospodarczą” w Kalifornii (w tym podejmuje działania wobec osób znajdujących się w Kalifornii za pośrednictwem witryny lub aplikacji e-commerce bądź interaktywnej)
• Spełnia co najmniej jeden z poniższych progów:
  • Osiąga roczne przychody brutto przekraczające 25 milionów dolarów
  • Rocznie kupuje, otrzymuje lub sprzedaje dane osobowe co najmniej 50 000 mieszkańców Kalifornii, gospodarstw domowych lub urządzeń
  • Uzyskuje 50% lub więcej swoich rocznych przychodów ze „sprzedawania” danych osobowych mieszkańców Kalifornii (tj. sprzedaż obejmuje ujawnianie, udostępnianie, przekazywanie lub komunikowanie danych osobowych stronom trzecim w zamian za pieniądze lub inne cenne świadczenie)

CPRA zmienia zakres zastosowania w następujący sposób:

• Spełnia co najmniej jeden z poniższych progów:
  • Roczne przychody brutto wyniosły ponad 25 mln USD w zeszłym roku
  • Rocznie kupuje, sprzedaje lub udostępnia dane osobowe co najmniej 100 000 mieszkańców Kalifornii lub gospodarstw domowych
  • Uzyskuje 50% lub więcej rocznych przychodów ze sprzedaży lub udostępniania danych osobowych mieszkańców Kalifornii (udostępnianie obejmuje ujawnianie, udostępnianie, przekazywanie lub komunikowanie danych osobowych stronie trzeciej na potrzeby reklamy behawioralnej w różnych treściach, niezależnie od tego, czy odbywa się to za wynagrodzeniem pieniężnym lub inną wartościową korzyścią).

Dostawcy usług i wykonawcy

Aby zostać uznanym za dostawcę usług, osoba fizyczna lub podmiot prawny musi:

• Przetwarzaj dane osobowe w imieniu firmy
• Być związanym pisemną umową, która nakłada określone ograniczenia i obowiązki dotyczące wykorzystywania danych osobowych, w tym zakazuje dalszego:
  • Zbieranie
  • Sprzedaż
  • Wykorzystywanie danych osobowych wyłącznie w zakresie niezbędnym do realizacji celu biznesowego

Podobnie jak w przypadku dostawców usług, wyjątek dotyczący sprzedaży lub udostępniania dotyczy również wykonawców na mocy CPRA. Wykonawcy to osoby lub podmioty, którym przedsiębiorstwo udostępnia dane osobowe na podstawie pisemnej umowy, która nakłada podobne ograniczenia i obowiązki jak te, które mają zastosowanie do dostawcy usług. Wykonawcy muszą również posiadać zaświadczenie, że wykonawca rozumie ograniczenia i będzie ich przestrzegać.

Pamiętaj, że ujawnienie danych przez firmę dostawcy usług lub wykonawcy nie jest uznawane za sprzedaż ani udostępnianie, jeśli jest niezbędne do realizacji celu biznesowego.

Co jest klasyfikowane jako dane osobowe?

CCPA bardzo szeroko definiuje dane osobowe jako informacje, które identyfikują lub opisują konsumenta lub gospodarstwo domowe albo z którymi można je w uzasadniony sposób powiązać. W praktyce ta szeroka definicja oznacza, że informacje takie jak dane kontaktowe, dane transakcyjne, adresy protokołu internetowego (IP), identyfikatory urządzeń mobilnych, dane clickstream oraz szczegóły zamówień mogą mieścić się w zakresie definicji danych osobowych według CCPA i podlegać wymogom CCPA.

CPRA tworzy nową kategorię danych osobowych — „wrażliwe dane osobowe” — i przyznaje konsumentom nowe prawo do ograniczenia wykorzystywania oraz ujawniania ich wrażliwych danych.

Wrażliwe dane osobowe zgodnie z CPRA obejmują:

• Numer ubezpieczenia społecznego
• Numer prawa jazdy
• Numer paszportu
• Dane logowania do konta
• Precyzyjna geolokalizacja
• Pochodzenie rasowe lub etniczne
• Przekonania religijne
• Dane biometryczne
• Dane genetyczne
• Dane zdrowotne
• Informacje dotyczące życia seksualnego lub orientacji seksualnej konsumenta
• Zawartość poczty tradycyjnej, e-maili i wiadomości tekstowych konsumenta, chyba że firma jest zamierzonym odbiorcą tej komunikacji

Co muszę zrobić, aby się przygotować?

CCPA i CPRA to złożone przepisy. W tym artykule przedstawiono kluczowe obowiązki wynikające z CCPA i CPRA w zakresie, w jakim mogą one dotyczyć korzystania z Klaviyo Service, ale nie uwzględnia on wszystkich wymogów, które mogą mieć zastosowanie do Twojej firmy. Skontaktuj się z prawnikiem, aby uzyskać konkretne porady.

Jeśli CCPA i CPRA mają zastosowanie do Twojej firmy, rozważ następujące prawa i ujawnienia.

Powiadomienie

Twoja firma musi mieć na stronie internetowej politykę prywatności, która jest dostępna we wszystkich miejscach, w których zbierasz dane osobowe, takich jak formularz rejestracyjny. Zasady powinny obejmować między innymi:

• Kategorie danych osobowych, które zbiera, sprzedaje i w inny sposób ujawnia w celach biznesowych
• Kategorie źródeł danych osobowych
• Cele biznesowe lub komercyjne w zakresie zbierania lub sprzedaży danych osobowych
• Opis następujących praw konsumentów oraz wyznaczone metody składania wniosków:
  • Prawo do usunięcia danych osobowych
  • Prawo dostępu do kategorii i określonych fragmentów danych osobowych
  • Prawo do rezygnacji ze sprzedaży lub udostępniania danych osobowych
  • Prawo do braku działań odwetowych

CPRA rozszerza tę listę praw konsumentów o:

• Prawo do poprawienia nieprawidłowych informacji
• Prawo do ograniczenia wykorzystywania i ujawniania wrażliwych danych osobowych
• Prawo do rezygnacji z technologii zautomatyzowanego podejmowania decyzji

CPRA wymaga również od firm uwzględnienia następujących dodatkowych ujawnień:

• Czy dane osobowe danej osoby są sprzedawane lub udostępniane
• Okres, przez jaki firma zamierza przechowywać każdą kategorię danych osobowych, lub kryteria, które wykorzysta do określenia, jak długo będzie przechowywać takie informacje
• Jeśli firma zbiera „wrażliwe dane osobowe”:
  • Oddzielne ujawnienie identyfikujące kategorie gromadzonych danych wrażliwych
  • Wykorzystanie i cel tych danych
  • Czy takie informacje są sprzedawane lub udostępniane

Prawa do rezygnacji

Konsumenci mają prawo w dowolnym momencie zrezygnować ze sprzedaży swoich danych osobowych stronom trzecim. Twoja firma musi zaprzestać sprzedaży danych osobowych po otrzymaniu żądania, chyba że konsument udzieli następnie wyraźnej zgody. Firmy muszą odczekać co najmniej 12 miesięcy, zanim poproszą konsumenta o ponowne wyrażenie zgody na sprzedaż danych osobowych. Aby umożliwić skorzystanie z tego prawa do rezygnacji, firmy muszą m.in.:

• Umieść na stronie głównej firmy wyraźny i widoczny link zatytułowany „Nie sprzedawaj moich danych osobowych”. Link powinien umożliwiać konsumentowi lub osobie upoważnionej przez konsumenta rezygnację ze sprzedaży danych osobowych konsumenta.
• Nie wymagać od konsumenta utworzenia konta w celu polecenia firmie, aby nie sprzedawała danych osobowych konsumenta.

Konsumenci mają również prawo w dowolnym momencie zrezygnować ze sprzedaży ich danych osobowych przez stronę trzecią, która kupiła dane osobowe konsumenta od firmy. Strona trzecia musi zaprzestać sprzedaży po otrzymaniu żądania rezygnacji, chyba że konsument udzieli później wyraźnej zgody.

Inne prawa konsumentów

Firmy muszą mieć procesy weryfikacji tożsamości mieszkańca Kalifornii podczas odpowiadania na żądania dostępu do danych osobowych lub ich usunięcia. Po otrzymaniu żądania od mieszkańca Kalifornii i potwierdzeniu jego tożsamości dopilnuj, aby podczas realizacji żądania (w stosownych przypadkach) uwzględnić następujące elementy, aby uszanować jego prawa.

Prawo do wiedzy: Konsument może zażądać, aby firma ujawniła gromadzenie i przetwarzanie jego danych osobowych, w tym:

• Kategorie danych osobowych zebranych o tym konsumencie (w ciągu poprzednich 12 miesięcy)
• Kategorie źródeł, z których zbierane są dane osobowe
• Cel biznesowy lub komercyjny gromadzenia lub sprzedaży danych osobowych
• Kategorie podmiotów zewnętrznych, którym firma ujawniła dane osobowe
• Kategorie informacji, które firma sprzedaje lub ujawnia stronom trzecim
• Określone elementy danych osobowych, które zostały zebrane na temat tego konsumenta

CPRA modyfikuje i rozszerza to prawo, wymagając:

• Udostępnianie informacji o kategoriach danych osobowych „udostępnianych” stronom trzecim
• Usunięcia ograniczenia 12-miesięcznego okresu wstecz poprzez zobowiązanie firmy do przekazania informacji obejmujących okres dłuższy niż 12 miesięcy, o ile takie ujawnienie nie byłoby „niemożliwe” lub „wymagało niewspółmiernego wysiłku” (wymóg ten nie miałby zastosowania do żadnych danych zebranych przez firmę przed 1 stycznia 2022 r.)

Prawo do usunięcia: Firma musi usunąć informacje konsumenta (z zastrzeżeniem pewnych wyjątków) i powiadomić swoich dostawców usług, aby usunęli informacje konsumenta. Zgodnie z CPRA firma musi powiadomić swoich dostawców usług i wykonawców, a także powiadomić wszelkie osoby trzecie, którym firma sprzedała lub udostępniła (do celów reklamy międzykontekstowej) dane osobowe konsumenta, chyba że „okaże się to niemożliwe lub wymaga nieproporcjonalnego wysiłku”. Ponadto każdy dostawca usług musi również powiadomić swoich własnych dalszych dostawców usług o konieczności usunięcia informacji konsumenta.

Prawo do poprawienia nieprawidłowych danych osobowych: Gdy firma otrzyma zweryfikowane żądanie poprawienia nieprawidłowych danych osobowych, musi podjąć „komercyjnie uzasadnione działania”, aby poprawić te dane osobowe zgodnie z instrukcjami konsumenta. Oczekuje się dodatkowych wytycznych dotyczących tego obowiązku od Prokuratora Generalnego stanu Kalifornia.

Warto też pamiętać, że jeśli konsument ma mniej niż 13 lat, przed sprzedażą jego danych osobowych wymagana jest wyraźna zgoda (opt-in) rodzica lub opiekuna. Jeśli konsument ma od 13 do 16 lat, przed sprzedażą jego danych osobowych wymagana jest wyraźna zgoda tej osoby.

Realizacja żądań konsumentów

Muszą istnieć co najmniej 2 wyznaczone metody umożliwiające konsumentom składanie wniosków o informacje.

Powinny obejmować co najmniej:

• Bezpłatny numer telefonu (niektóre firmy, które działają wyłącznie online i mają bezpośrednią relację z konsumentem, od którego zbierają dane osobowe, są zwolnione z wymogu posiadania bezpłatnego numeru telefonu)
• Adres strony internetowej, jeśli firma ma stronę internetową

Żądania konsumentów muszą zostać rozpatrzone w ciągu 45 dni od otrzymania żądania — pocztą lub elektronicznie (w formacie, który umożliwia konsumentowi przekazanie go innej jednostce) albo za pośrednictwem konta użytkownika. Czas odpowiedzi można wydłużyć o dodatkowe 45 dni, jeśli jest to w uzasadniony sposób konieczne ze względu na złożoność i liczbę żądań oraz jeśli wnioskodawca zostanie powiadomiony o przedłużeniu (wraz ze wskazaniem powodów). Proces składania żądań musi być również bezpłatny.

Firmy nie są zobowiązane do realizacji więcej niż dwóch żądań na konsumenta w okresie 12 miesięcy.

Jaka jest rola Klaviyo zgodnie z CCPA i CPRA w odniesieniu do Klaviyo Service?

Klaviyo nie ma bezpośredniej relacji z osobami, których dane osobowe są zbierane przez naszych klientów i przechowywane na naszej platformie. Klaviyo pełni rolę usługodawcy, a naszymi klientami są firmy, ponieważ przetwarzamy dane osobowe w imieniu naszych klientów.

Obowiązki Klaviyo wobec klientów jako podmiotu przetwarzającego zostały określone w naszym Aneksie dotyczącym przetwarzania danych.

Co Klaviyo robi, aby umożliwić klientom zachowanie zgodności?

Klienci Klaviyo mają możliwość i narzędzia, aby obsługiwać wnioski mieszkańców Kalifornii dotyczące skorzystania z praw konsumenckich do dostępu, usunięcia lub poprawienia danych osobowych zgodnie z CCPA i CPRA. Konkretnie:

• Platforma umożliwia klientom raportowanie danych osobowych, które przechowuje na temat użytkowników końcowych, w odpowiedzi na wnioski o dostęp.
• Platforma umożliwia usuwanie danych osobowych przechowywanych na temat użytkowników końcowych w odpowiedzi na żądania usunięcia oraz korygowanie nieprawidłowych danych osobowych w profilach w Klaviyo.
• Zgodnie z naszą Zasadą dopuszczalnego użytkowaniaKlaviyo nie obsługuje oraz ogranicza zbieranie i przechowywanie wrażliwych danych osobowych.