Vanliga frågor om CCPA och CPRA

Du kommer att lära dig

Läs mer om vanliga frågor om CCPA (California Consumer Privacy Act) och CPRA (California Privacy Rights Act).

Vad är CCPA?

CCPA är en lag som trädde i kraft den 1 januari 2020 och reglerar hur företag hanterar personuppgifter om invånare i Kalifornien.

CCPA är ett svar på ett upplevt glapp i integritetsskyddet i USA. Företag som hanterar personuppgifter om invånare i Kalifornien måste informera invånarna om företagets integritetspraxis och invånarnas integritetsrättigheter, inklusive rätten att:

• Ta reda på vilken personuppgifter ett företag samlar in om dem och hur de används
• Radera den personliga information som samlats in (med vissa undantag)
• Välja bort försäljning av personuppgifter
• Icke-diskriminering för att de utövar sina CCPA-rättigheter

Vad är CPRA?

CPRA är en lag som ändrar och utökar kraven i CCPA, inklusive:

• Lägga till en kategori för "känslig personlig information"
• Fastställa rätten att begränsa användning och utlämnande av känsliga personuppgifter
• Fastställa rätten att korrigera felaktiga personuppgifter
• Utöka kravet på att tacka nej till ”Sälj inte” till att även omfatta ”delning” av personuppgifter i syfte att visa annonser över olika kontexter (eller via tredje part)

CPRA börjar gälla 01.01.2023.

Vem måste följa CCPA och CPRA?

Företag

De flesta CCPA- och CPRA-krav gäller för ”företag”, definierade som företag som samlar in personuppgifter om konsumenter i Kalifornien antingen på egen hand eller med hjälp av leverantörer.

CCPA gäller för företag som uppfyller något av följande villkor:

• Hanterar personuppgifter för invånare i Kalifornien
• Driver verksamhet i Kalifornien (inklusive att interagera med personer som befinner sig i Kalifornien via en e-handel eller en interaktiv webbplats eller applikation)
• Uppfyller en eller flera av följande tröskelvärden:
  • Har en årlig bruttoomsättning som överstiger 25 miljoner $
  • Köper, tar emot eller säljer personlig information om 50 000 eller fler invånare i Kalifornien, hushåll eller enheter per år
  • Har 50 % eller mer av sina årliga intäkter från att ”sälja” personuppgifter om invånare i Kalifornien (dvs. försäljning omfattar att lämna ut, göra tillgänglig, överföra eller kommunicera personuppgifter till tredje parter mot monetär eller annan värdefull ersättning)

CPRA ändrar den här tillämpligheten enligt följande:

• Uppfyller en eller flera av följande tröskelvärden:
  • Hade årliga bruttointäkter på mer än 25 miljoner $ förra året
  • Köper, säljer eller delar personlig information om 100 000 eller fler invånare i Kalifornien eller hushåll årligen
  • Hämtar 50 % eller mer av sina årliga intäkter från att sälja eller dela personuppgifter om invånare i Kalifornien (delning inkluderar att lämna ut, göra tillgängliga, överföra eller kommunicera personuppgifter till en tredje part för beteendebaserad annonsering över olika innehåll, oavsett om det sker mot monetär eller annan värdefull ersättning.)

Tjänsteleverantörer och entreprenörer

För att anses vara en tjänsteleverantör måste en person eller juridisk enhet:

• Behandla personuppgifter för ett företags räkning
• Omfattas av ett skriftligt avtal som innebär vissa begränsningar och skyldigheter kring användningen av personuppgifter, inklusive att du inte får:
  • Samlar in
  • Försäljning
  • Använda den personliga informationen endast i den utsträckning som krävs för att uppfylla affärssyftet

Precis som för tjänsteleverantörer gäller undantaget för en försäljning eller delning även för entreprenörer enligt CPRA. Entreprenörer är personer eller enheter som personuppgifter görs tillgängliga för av ett företag, enligt ett skriftligt avtal som inför liknande begränsningar och skyldigheter som gäller för en tjänsteleverantör. Entreprenörer måste också ha en certifiering som visar att entreprenören förstår begränsningarna och kommer att följa dem.

Observera att ett företags utlämnande av data till en tjänsteleverantör eller entreprenör inte betraktas som en försäljning eller delning när det är nödvändigt för att utföra ett affärsändamål.

Vad klassas som personuppgifter?

CCPA definierar personuppgifter mycket brett och inkluderar information som identifierar, beskriver eller rimligen kan kopplas till en viss konsument eller ett visst hushåll. I praktiken innebär denna breda definition att information som kontaktuppgifter, transaktionsdata, Internet Protocol (IP)-adresser, identifierare för mobila enheter, klickströmsdata och orderuppgifter kan omfattas av CCPA:s definition av personuppgifter och omfattas av CCPA:s krav.

CPRA skapar en ny kategori av personuppgifter, ”känsliga personuppgifter”, och ger konsumenter en ny rätt att begränsa användningen och delningen av sina känsliga uppgifter.

Känsliga personuppgifter enligt CPRA omfattar:

• Personnummer
• Körkortsnummer
• Passnummer
• Autentiseringsuppgifter för konto
• Precis geolokalisering
• Ras eller etniskt ursprung
• Religiös övertygelse
• Biometriska data
• Genetiska data
• Hälsodata
• Information om en konsuments sexliv eller sexuella läggning
• Innehållet i en konsuments post, e-post och textmeddelanden, om inte företaget är den avsedda mottagaren av kommunikationen

Vad behöver jag göra för att förbereda mig?

CCPA och CPRA är komplexa lagar. Den här artikeln beskriver de viktigaste skyldigheterna enligt CCPA och CPRA i den mån de kan vara relevanta för användningen av Klaviyo Service, men den tar inte hänsyn till alla krav som kan gälla för ditt företag. Kontakta din juridiska rådgivare för specifik rådgivning.

Om CCPA och CPRA är tillämpliga på ditt företag bör du överväga följande rättigheter och upplysningar.

Meddelande

Ditt företag måste ha en sekretesspolicy på webbplatsen som är tillgänglig på alla ställen där du samlar in personuppgifter, till exempel registreringsformulär. Policyn bör bland annat innehålla:

• Kategorier av personuppgifter som de samlar in, säljer och på annat sätt lämnar ut för affärsändamål
• Kategorier av källor till personuppgifterna
• Affärs- eller kommersiella syften med att samla in eller sälja personuppgifter
• Beskrivning av följande konsumenters rättigheter och de avsedda metoderna för att skicka in begäranden:
  • Rätten att radera personuppgifter
  • Rätten att få tillgång till kategorier och specifika delar av personuppgifter
  • Rätten att välja bort försäljning eller delning av personuppgifter
  • Rätten till icke-repressalier

CPRA utökar den här listan över konsumenters rättigheter så att den inkluderar:

• Rätten att korrigera felaktig information
• Rätten att begränsa användningen och utlämnandet av känslig personlig information
• Rätten att välja bort teknik för automatiserat beslutsfattande

CPRA kräver också att företag inkluderar följande ytterligare upplysningar:

• Om individens personuppgifter säljs eller delas
• Hur länge verksamheten avser att behålla varje kategori av personuppgifter eller de kriterier som den kommer att använda för att avgöra hur länge den kommer att behålla sådana uppgifter
• Om företaget samlar in ”känsliga personuppgifter”:
  • En separat upplysning som identifierar vilka kategorier av känslig information som samlas in
  • Användningen och syftet med dessa data
  • Om sådan information säljs eller delas

Rättigheter att avsluta

Konsumenter har när som helst rätt att välja bort försäljning av sina personuppgifter till tredje part. Ditt företag måste sluta sälja personuppgifter när du tar emot begäran, om inte konsumenten därefter ger ett uttryckligt godkännande. Företag måste vänta minst 12 månader innan de ber en konsument att välja att åter delta i försäljning av personuppgifter. För att möjliggöra denna rätt att välja bort måste företag bland annat:

• Tillhandahåll en tydlig och väl synlig länk på företagets startsida med titeln ”Sälj inte min personliga information”. Länken ska göra det möjligt för en konsument, eller en person som är behörig av konsumenten, att välja bort försäljningen av konsumentens personliga information
• Inte kräva att en konsument skapar ett Konto för att instruera företaget att inte sälja konsumentens personliga information.

Konsumenter har också rätt att när som helst välja att deras personuppgifter inte ska säljas av en tredje part som har köpt konsumentens personuppgifter från ett företag. Den tredje parten måste sluta sälja när de tar emot begäran om att välja bort, såvida inte konsumenten ger ett efterföljande uttryckligt godkännande.

Andra konsumenträttigheter

Företag måste ha processer för att verifiera identiteten hos en invånare i Kalifornien när de svarar på begäranden om att få åtkomst till eller radera personuppgifter. När en begäran tas emot från en invånare i Kalifornien och deras identitet har bekräftats ska du se till att inkludera följande när du slutför begäran, i tillämpliga fall, för att respektera deras rättigheter.

Rätt att få veta: En konsument kan begära att företaget redovisar sin insamling och hantering av dennes personuppgifter, inklusive:

• Kategorier av personuppgifter som samlas in om den konsumenten (under de föregående 12 månaderna)
• Kategorier av källor från vilka den personliga informationen samlas in
• Affärs- eller kommersiellt syfte med att samla in eller sälja personuppgifter
• Kategorier av tredjepart som företaget lämnade ut personuppgifter till
• Kategorier av information som företaget säljer eller lämnar ut till tredje part
• Specifika delar av personuppgifter som den har samlat in om den konsumenten

CPRA ändrar och utökar denna rätt för att kräva:

• Tillhandahålla information om kategorierna av personuppgifter som ”delas” med tredje parter
• Ta bort begränsningen på 12 månaders tillbakablick genom att kräva att ett företag tillhandahåller mer än 12 månaders information, så länge ett sådant utlämnande inte skulle vara ”omöjligt” eller ”innebära en oproportionerlig ansträngning” (detta krav skulle inte gälla data som samlats in av företaget före 1 januari 2022)

Rätt till radering: Företaget måste radera konsumentens information (med vissa undantag) och meddela sina tjänsteleverantörer att radera konsumentens information. Enligt CPRA måste företaget meddela sina tjänsteleverantörer och entreprenörer och även meddela alla tredje parter till vilka företaget har sålt eller delat (för annonsering över olika sammanhang) konsumentens personliga information, såvida inte detta ”visar sig omöjligt eller innebär oproportionerlig ansträngning.” Dessutom måste varje tjänsteleverantör också meddela sina egna underleverantörer att radera konsumentens information.

Rätt att korrigera felaktiga personuppgifter: När ett företag tar emot en verifierad begäran om att korrigera felaktiga personuppgifter måste företaget använda ”kommersiellt rimliga ansträngningar” för att korrigera personuppgifterna enligt konsumentens anvisningar. Ytterligare vägledning om denna skyldighet förväntas från Kaliforniens justitieminister.

Observera också att om konsumenten är under 13 år krävs en förälders eller vårdnadshavares uttryckliga samtycke (opt-in) innan hans eller hennes personuppgifter säljs. Om konsumenten är mellan 13 och 16 år krävs uttryckligt samtycke från personen innan hans eller hennes personuppgifter säljs.

Uppfylla konsumentförfrågningar

Du måste ha minst 2 angivna metoder för att konsumenter ska kunna skicka in begäranden om information.

Dessa bör minst innehålla:

• Ett avgiftsfritt telefonnummer (vissa företag som uteslutande verkar online och har en direkt relation med den konsument från vilken de samlar in personuppgifter är undantagna från kravet på avgiftsfritt telefonnummer)
• Webbadress, om företaget har en webbplats

Konsumentförfrågningar måste hanteras inom 45 dagar från att förfrågan tas emot, per post eller elektroniskt (i ett format som gör att konsumenten kan lämna den vidare till en annan enhet) eller via ett användarkonto. Svarstiden kan förlängas med ytterligare 45 dagar om det är rimligt nödvändigt baserat på komplexiteten och antalet förfrågningar, och om den som begär det får information om förlängningen (med en beskrivning av skälen). Förfrågningsprocessen måste också vara kostnadsfri.

Företag är inte skyldiga att hantera fler än två förfrågningar per konsument under en 12-månadersperiod.

Vilken roll har Klaviyo enligt CCPA och CPRA i relation till Klaviyo Service?

Klaviyo har ingen direkt relation med de personer vars personuppgifter samlas in av våra kunder och lagras på vår plattform. Klaviyo fungerar som en tjänsteleverantör, medan våra kunder är företagen eftersom vi behandlar personuppgifter för våra kunders räkning.

Klaviyo skyldigheter gentemot kunder som tjänsteleverantör anges i vårt personuppgiftsbiträdesavtal.

Vad gör Klaviyo för att hjälpa kunder att följa kraven?

Klaviyo-kunder har möjlighet och verktyg för att hantera begäranden från invånare i Kalifornien om att utöva sina konsumenträttigheter att få tillgång till, radera eller korrigera personuppgifter enligt CCPA och CPRA. Specifikt:

• Plattformen gör det möjligt för kunder att rapportera om den personliga information som den lagrar om slutanvändare som svar på begäranden om tillgång.
• Plattformen möjliggör radering av personlig information som den upprätthåller om slutanvändare som svar på begäranden om radering samt korrigering av felaktig personlig information på profiler i Klaviyo.
• Klaviyo har inget stöd för och begränsar insamling och lagring av känslig personlig information enligt vår policy för godtagbar användning.

Ytterligare resurser