CCPA-Compliance: Wie man konform wird

Die Sammlung und Verarbeitung von persönlichen Informationen (PI) ermöglicht es Unternehmen, das Kundenerlebnis zu personalisieren und den Verkauf zu steigern. Allerdings beschränken bestimmte Verbraucherschutzorganisationen und Datenschutzvorschriften die Sammlung von PI streng, um sicherzustellen, dass Organisationen ihre Daten auf sinnvolle und gerechte Weise nutzen. Die bekannteste ist die General Data Protection Regulation (GDPR) der EU, aber immer mehr Staaten in den Vereinigten Staaten erlassen eigene data privacy laws.

Zu den bedeutendsten dieser Gesetze gehören der California Consumer Privacy Act von 2018 (CCPA) und seine nachfolgende Erweiterung, das California Privacy Rights Act (CPRA), über die wir in diesem Artikel weiter diskutieren werden.

Tatsächlich ist Ihnen vielleicht aufgefallen, dass die Nutzungsbedingungen für die meisten digitalen Dienste nun spezielle Bestimmungen für Einwohner Kaliforniens vorsehen. Dies liegt an den Vorschriften der CCPA, die für Organisationen gelten, die im Bundesstaat Kalifornien tätig sind.

Viele Organisationen haben bereits Richtlinien eingeführt, um die GDPR einzuhalten. Allerdings enthält der CCPA einige Bestimmungen, die zusätzliche Maßnahmen erfordern. Um Ihre Organisation zu schützen, sollten Sie verstehen, was der CCPA ist, seine wichtigsten Bestimmungen und die Schritte, die Sie unternehmen können, um die Einhaltung des CCPA sicherzustellen. Dieser Artikel wird erörtern, wie man CCPA-konform wird, warum es wichtig ist und wie man ein Gleichgewicht zwischen Privatsphäre und Geschäftseffizienz halten kann. .

Was ist der California Consumer Privacy Act?

Das California Consumer Privacy Act ist ein kalifornisches Staatsgesetz, das am 1. Januar 2020 in Kraft getreten ist. Der Hauptzweck des CCPA besteht darin, Verbraucher vor Unternehmen zu schützen, die ihre privaten Informationen ohne offizielle Benachrichtigung oder Möglichkeiten zum Ein- und Aussteigen verkaufen. Die Absicht ist, diese Unternehmen für alle Geschäftstransaktionen, die persönliche Daten betreffen, zur Rechenschaft zu ziehen.

CCPA-Begriffe und Definitionen

Was ist CCPA-Konformität? Um diese Frage zu beantworten, müssen einige Schlüsselbegriffe definiert werden:

• Unternehmen — Eine gewinnorientierte Entität, die Geschäfte im Bundesstaat Kalifornien tätigt und die Kriterien erfüllt, um unter den CCPA (unten angegeben) zu fallen.
• Geschäftszweck — Unternehmen, die personenbezogene Daten sammeln und verwenden möchten, müssen einem der folgenden Geschäftszwecke entsprechen, wie in Unterabschnitt (d) des kalifornischen Zivilgesetzbuches 140:
  • Audit einer aktuellen Interaktion für Marketing und Werbung
  • Verwaltung von Sicherheits- und Rechtsbedrohungen
  • Fehlerbehebung, die die Funktionalität beeinträchtigt
  • Datenerfassung für den kurzfristigen Gebrauch, die nicht mit Dritten geteilt oder zur Erstellung eines Profils verwendet wird
  • Konten oder Transaktionen betreuen
  • Durchführung interner Forschung für technologische Entwicklung und Demonstration
  • Versuch, die Qualität oder Sicherheit der Geräte oder Dienstleistungen des Unternehmens zu überprüfen, zu warten oder zu verbessern
• Einwohner Kaliforniens — Jemand, der sich aus einem anderen als einem vorübergehenden oder kurzfristigen Grund im Staat aufhält, oder jemand, der vorübergehend außerhalb des Staates ist, aber seinen festen Wohnsitz in Kalifornien hat.
• Sammlung — Definiert als „das Kaufen, Mieten, Sammeln, Beschaffen, Empfangen oder Zugreifen auf jegliche persönliche Informationen, die einen Verbraucher betreffen, auf jegliche Art und Weise.“
• Verbraucher — Eine natürliche Person, die ein Kalifornien-Resident ist.
• Datenpanne — Eine Situation, in der eine unbefugte Partei Zugang zu sensiblen Informationen erhält, die Verbraucher schädigen können. Gemäß einer Analyse des CCPA durch das National Law Review, gibt es drei Anforderungen, die erfüllt sein müssen, damit ein Verbraucher aufgrund des Vorfalls rechtliche Schritte einleiten kann:
  • Die Daten müssen personenbezogene Informationen sein, wie sie durch das CCPA definiert werden.
  • Die persönlichen Informationen müssen unverschlüsselt und ungeschwärzt sein.
  • Der Vorfall muss das Ergebnis des Versäumnisses eines Unternehmens gewesen sein, angemessene Sicherheitsverfahren und -praktiken zu implementieren und aufrechtzuerhalten.
• Persönliche Informationen — Einschließlich jeglicher Informationen, wie ein echter Name, Pseudonym oder Telefonnummer, die verwendet werden könnten, um ein Profil über jemandes Eigenschaften oder Vorlieben zu erstellen.
• Verkauf — Das Gesetz definiert dies als „Verkaufen, Vermieten, Freigeben, Offenlegen, Verbreiten, Verfügbar machen, Übertragen oder auf sonstige Weise Kommunizieren von personenbezogenen Informationen eines Verbrauchers an eine Partei im Austausch gegen eine Art von Entschädigung.“ Das CCPA bietet spezifische Ausnahmen, die für diese Definition gelten. Eine davon ist die Überweisung oder Beauftragung, die auftritt, wenn ein Verbraucher ein Unternehmen absichtlich anweist, mit einem Dritten unter Verwendung eines persönlichen Identifikators zu interagieren. Eine weitere ist, wenn Unternehmen personenbezogene Informationen nicht sammeln, verkaufen oder anderweitig verwenden, über das hinaus, was „zur Ausführung des Geschäftszwecks notwendig ist.“

Welche Organisationen müssen sich an die CCPA halten?

Das CCPA ist nicht nur auf Unternehmen mit Sitz in Kalifornien beschränkt. Vielmehr gilt es für jedes gewinnorientierte Unternehmen, das persönliche Informationen von Einwohnern Kaliforniens sammelt und mindestens eines der folgenden Kriterien erfüllt:

• Hat einen jährlichen Umsatz von mindestens 25 Millionen Dollar
• Enthält persönliche Informationen von mindestens 50.000 Einzelpersonen oder Haushalten
• Generiert mehr als die Hälfte des jährlichen Umsatzes durch den Verkauf persönlicher Informationen von Einwohnern Kaliforniens

Ausnahmen umfassen Folgendes:

• Finanzinstitutionen, die den Gramm-Leach-Bliley (GLB) oder CalFIPA Vorschriften unterliegen
• Auskunfteien unterliegen dem Fair Credit Reporting Act
• Gesundheitsdienstleister, die dem CMIA und HIPAA unterliegen
• Bestimmte Business-to-Business (B2B)-Beziehungen

Dementsprechend, wenn Ihre Organisation irgendwelche personenbezogenen Daten eines Einwohners von Kalifornien gesammelt hat (zum Beispiel durch Website-Cookies), dann müssen Sie möglicherweise die CCPA einhalten.

Welche Informationen werden durch das CCPA reguliert?

Unterabschnitt (v) (1) des Section 1798.140 des kalifornischen Zivilgesetzbuchs listet mehrere Kategorien geschützter Datentypen unter dem CCPA auf. Viele davon sind selbsterklärend, wie „echter Name“ oder „E-Mail-Adresse“. Einige benötigen jedoch eine zusätzliche Erklärung:

• Einzigartige persönliche Kennungen/Online-Kennungen — Obwohl „einzigartige persönliche Kennung“ als Untertyp von persönlichen Informationen aufgeführt wird, ist sie separat definiert als „ein beständiger Kennzeichner, der verwendet werden kann, um einen Verbraucher, eine Familie oder ein Gerät, das mit einem Verbraucher oder einer Familie verbunden ist, über die Zeit und verschiedene Dienste hinweg zu erkennen.“ Zu den bemerkenswerten Beispielen gehören Kundennummern, IP-Adressen, einzigartige Pseudonyme und Online-Benutzeraliase.
• Biometrische Informationen — Schlaf-, Gesundheits- und Bewegungsdaten, wie sie von Smartphones oder tragbaren Geräten gesammelt werden, fallen in die geschützte Kategorie der biometrischen Informationen. Dieser Schutz erstreckt sich auch auf offline gesammelte Daten, wie psychologische oder verhaltensbezogene Merkmale, DNA oder Sprachaufnahmen.
• Geolokationsdaten — Obwohl im CCPA nicht ausdrücklich definiert, umfassen Geolokationsdaten im Allgemeinen jegliche präzisen Standortinformationen, die von GPS-Geräten oder ähnlichen Mitteln erhalten werden. Mit anderen Worten, das Einchecken auf der Website eines Restaurants oder auf einer Social-Media-Seite darf nicht auf eine Weise verkauft werden, die zu einem bestimmten Verbraucher zurückverfolgt werden kann.

Ausnahmen

Das CCPA soll den Verkauf von persönlichen Informationen, die zur Identifizierung einer Person verwendet werden können, verhindern. Es gibt jedoch bestimmte Fälle, in denen das Gesetz nicht anwendbar ist, einschließlich der folgenden:

• Öffentlich zugängliche Informationen — Informationen, die über amtliche Register verfügbar sind, gelten nicht als „persönliche Informationen“ und sind daher nicht geschützt.
• Persönliche Gesundheitsinformationen — Medizinische Informationen, die unter dem Confidentiality of Medical Information Act und Informationen, die vom US-Gesundheitsministerium gemäß dem Health Insurance Portability and Accountability Act von 1996 (HIPAA) gesammelt werden, unterliegen einer separaten Regelung. Klinische Studieninformationen, die der Federal Policy for the Protection of Human Subjects unterliegen, sind ebenfalls nicht vom CCPA erfasst.
• Daten, die verwendet werden, um einen Verbraucherbericht zu erstellen — Aktivitäten, die zur Bestimmung der Kreditwürdigkeit dienen, werden separat durch den Fair Credit Reporting Act geregelt.
• Finanzinformationen — Jegliche Informationen, die gemäß dem Gramm-Leach-Bliley Act oder dem California Financial Information Privacy Act verkauft werden, fallen nicht unter den CCPA.
• Vom DMV gesammelte Informationen — Alle vom staatlichen Department of Motor Vehicles oder seinen Angestellten, Beamten oder Vertragspartnern gesammelten Informationen unterliegen separat dem Driver’s Privacy Protection Act (DPPA).
• Weitere Informationen — Zu den weiteren Ausnahmen gehören bestimmte Mitarbeiterinformationen, die im Rahmen der Arbeitgeber-Arbeitnehmer-Beziehung verwendet werden, und bestimmte Informationen zu Fahrzeuggarantien und Rückrufaktionen.

Wesentliche Datenschutzbestimmungen und Verbraucherrechte im CCPA

Das CCPA umfasst die folgenden Bestimmungen zum Schutz der Verbraucherrechte:

• Allgemeine Offenlegung — Unternehmen sind verpflichtet, eine Datenschutzrichtlinie zu veröffentlichen, die die Rechte der Verbraucher beschreibt und die Kategorien personenbezogener Daten, die sie in den letzten 12 Monaten gesammelt und offengelegt haben.
• Recht auf Auskunft — Verbraucher haben das Recht, Einzelheiten über die Art der gesammelten, verwendeten, geteilten und verkauften Daten sowie die Gründe für diese Handlungen zu verlangen.
• Recht auf Zugang und Übertragbarkeit— Unternehmen müssen die durch das „Recht auf Auskunft“ abgedeckten Informationen innerhalb von 45 Tagen nach einem überprüfbaren Antrag kostenlos an Verbraucher liefern. Die Offenlegung sollte Informationen umfassen, die im 12-Monats-Zeitraum vor dem Antrag gesammelt wurden.
• Recht auf Widerspruch — Verbraucher können jederzeit anfordern, dass ihre persönlichen Informationen von einem Unternehmen, das persönliche Informationen rechtmäßig an Dritte verkauft, nicht verkauft werden.
• Recht auf Löschung (Recht auf Vergessenwerden) — Verbraucher können ein Unternehmen auffordern, alle über sie gesammelten persönlichen Informationen aus jedem beliebigen Zeitraum zu löschen.
• Recht auf Nichtdiskriminierung — Unternehmen dürfen Verbraucher, die ihre Rechte nach dem CCPA ausüben, nicht benachteiligen. Beispiele für Vergeltungsmaßnahmen oder Diskriminierung sind die Verweigerung von Dienstleistungen, unterschiedliche Preise oder Tarife sowie unterschiedliche Qualität von Waren und Dienstleistungen.
• Klagerecht von Privatpersonen — Im Falle eines Verstoßes gegen das CCPA haben Verbraucher das Recht, Klagen einzureichen, um Schadensersatz zu versuchen.
• Einschränkungen bei der Datenerhebung von Minderjährigen — Unternehmen ist es untersagt, Informationen von minderjährigen Verbrauchern zu verkaufen, es sei denn, sie haben eine ausdrückliche Zustimmung erhalten. Minderjährige im Alter von 13–16 Jahren müssen zustimmen, bevor Unternehmen ihre persönlichen Daten verkaufen dürfen. Ist der Verbraucher jünger als 13, muss das Unternehmen die Zustimmung eines Elternteils oder Erziehungsberechtigten einholen.

CCPA-Sanktionen und -Abhilfemaßnahmen

Verbraucher müssen eine 30-tägige Ankündigungsfrist einhalten, wenn sie die Absicht haben, wegen eines mutmaßlichen Vorfalls rechtliche Schritte einzuleiten. Sollte ein Unternehmen den Vorwurf nicht beheben, können Strafen von bis zu 2.500 Dollar pro Verstoß verhängt werden. Das Gericht kann auch zusätzliche disziplinarische Maßnahmen auferlegen.

Verbraucher sind nicht dafür verantwortlich, tatsächlichen Schaden nachzuweisen – es reicht, dass ihre persönlichen Informationen in einem data breach wie oben definiert involviert waren.

Änderungen am CCPA

Der California Privacy Rights Act (CPRA), der 2020 in Kraft getreten ist, ist eine Reihe von Änderungen am CCPA. Dieses Gesetz, das ab dem 1. Juli 2023 durchsetzbar wird, bringt mehrere Änderungen, einschließlich:

• Neue Begriffe — Es gibt mehrere neue Begriffe, einschließlich „sharing“ und „sensitive personal information“, die die zukünftige Behandlung von personenbezogenen Daten verändern.
• Neue Rechte — Verbraucher haben zusätzliche Datenschutzrechte, einschließlich des Rechts, die Weitergabe abzulehnen und das Recht, ungenaue Informationen zu korrigieren.
• Neue Verantwortlichkeiten — Die Änderungen am kalifornischen Datenschutzgesetz legen Unternehmen mehrere neue Anforderungen auf, einschließlich der Notwendigkeit, angemessene Sicherheitsmaßnahmen zum Schutz personenbezogener Daten zu etablieren und neue Anforderungen bezüglich der Informationsweitergabe.

Tipps zur CCPA-Compliance

Die Einhaltung des CCPA hilft Ihrer Organisation, Risiken zu reduzieren und Strafen zu vermeiden. Hier sind einige Tipps, um Ihre Datenerfassungs- und Verwaltungspraktiken an die CCPA-Compliance-Anforderungen anzupassen.

Inventarisieren Sie Ihre Daten.

Für die Einhaltung des CCPA müssen Sie Datenverarbeitungsaktivitäten verfolgen, was erfordert, dass Sie personenbezogene Daten auf Ihren Dateiservern, Datenbanken und Cloud-Speichern lokalisieren. Stellen Sie sicher, dass Sie Ihre Daten klassifizieren, damit Sie wissen, welche Daten dem CCPA unterliegen, sowie wie sie in andere für Ihr Geschäft nützliche Kategorien passen. Auf diese Weise können Sie die richtigen Sicherheitsstrategien für verschiedene Datentypen auswählen und implementieren.

Richten Sie Prozesse für die Bearbeitung von Anfragen betroffener Personen bezüglich des Zugriffs auf Daten (DSARs) ein.

Es ist entscheidend, wirksame und effiziente Verfahren zu etablieren, um Kunden zu unterstützen, die ihre Rechte unter dem CCPA ausüben. DSARs sind zeitkritisch — Unternehmen müssen offenlegen, welche personenbezogenen Daten gesammelt, wie sie verarbeitet, zu welchen Zwecken und mit wem sie innerhalb von 45 Tagen nach Erhalt einer überprüfbaren Anfrage geteilt werden. Ihre Daten zu klassifizieren und Arbeitsabläufe zu haben, die von Nicht-IT-Personal durchgeführt werden können, wird Ihnen helfen, auf jede Verbraucheranfrage rechtzeitig zu reagieren.

Überprüfen und dokumentieren Sie, wie geschützte Daten verwendet werden.

Verbraucher haben das Recht zu wissen, wie ihre Daten verwendet werden, daher ist es in Ihrem besten Interesse, Antworten für sie bereitzuhalten. Sie müssen identifizieren, wo personenbezogene Daten verwendet werden, einschließlich Geschäftsprozessen, Software und Geräten. Zusätzlich benötigen Sie Informationen darüber, welche Datentypen zu Marketingzwecken verwendet werden und welche davon verkauft oder mit Dritten geteilt werden. Des Weiteren ist es wichtig, Daten zu schützen, wenn sie am meisten gefährdet sind – während der Übertragung oder wenn sie ruhen. Insbesondere sollten Daten, wenn sie nicht in Gebrauch sind, verschlüsselt und pseudonymisiert werden, um Schutz zu gewährleisten.

Überprüfen Sie Ihre Aufzeichnungspraktiken.

Um die CCPA einzuhalten, müssen Sie in der Lage sein, angemessene Daten auf Anfrage zum „right to be forgotten“ („Recht auf Vergessenwerden“) zu entsorgen. Das Löschungsrecht der CCPA gilt nur für Daten, die vom Verbraucher gesammelt wurden (und nicht für Daten über den Verbraucher, die von Drittanbietern gesammelt wurden). Die größte Herausforderung hierbei ist, Daten zu löschen, die mit verschiedenen internen Teams und Systemen geteilt oder an Dritte wie Lieferanten oder Partner offengelegt wurden. Bei all diesen Parteien müssen Sie die Quellen, die Daten speichern, zurückverfolgen und die Löschung anfordern.

Machen Sie es Verbrauchern leicht, ihre Rechte auszuüben.

Verbraucher müssen ihre Rechte nach dem CCPA leicht ausüben können. Sie sollten mindestens zwei Methoden für die Einreichung von Anfragen bereitstellen, einschließlich einer gebührenfreien Nummer und einem Formular auf Ihrer Website. Darüber hinaus sollten Verbraucher, die nicht möchten, dass ihre persönlichen Informationen verkauft oder geteilt werden, außer wenn es notwendig ist, eine einfache Möglichkeit haben, dies zu tun, wie zum Beispiel einen leicht zu findenden Link auf Ihrer Website mit der Bezeichnung „Verkaufen Sie meine persönlichen Informationen nicht.“

Überprüfen und aktualisieren Sie Ihre Datenschutzrichtlinie.

Das CCPA verlangt, dass eine Datenschutzrichtlinie über Ihre Website zugänglich sein muss. Sie muss Ihre Online- und Offline-Praktiken für die Sammlung, Nutzung, Weitergabe und den Verkauf von persönlichen Informationen der Verbraucher erklären. Sie muss auch Informationen über die Datenschutzrechte der Verbraucher und wie sie diese ausüben können, enthalten.

Verpflichten Sie alle Mitarbeiter zu Datenschutzschulungen.

Die Mitglieder Ihrer Organisation müssen ihre Rolle bei der Einhaltung der CCPA-Anforderungen verstehen. Dies bedeutet, sowohl neue Mitarbeiter als auch erfahrene Angestellte zu schulen.

Überwachen Sie Änderungen in den Gesetzen.

Das CPRA hat bereits Änderungen am CCPA vorgenommen, und es ist wahrscheinlich, dass die Anforderungen auch in Zukunft weiterhin Änderungen unterliegen werden. Achten Sie auf diese Änderungen, um weiterhin konform zu bleiben.

Wie hilft Netwrix bei der CCPA?

Netwrix Compliance-Lösungen bieten einen umfassenden, mehrschichtigen Ansatz, der es Ihnen ermöglicht, die CCPA einzuhalten, DSARs schnell und genau zu beantworten und auf aktualisierte Anforderungen vorbereitet zu sein.

Das CCPA verlangt von Ihnen, sicherzustellen, dass alle von Ihnen gesammelten und gespeicherten personenbezogenen Informationen sicher aufbewahrt werden. Mit den Netwrix compliance solutions können Sie einen datenzentrierten Ansatz zur Sicherheit implementieren, der dieses Ziel erreicht. Sie können Änderungs-, Zugriffs- und Konfigurationsüberwachung automatisieren, sowie eine genaue Entdeckung und Klassifizierung sensibler Daten gewährleisten. Zusätzlich können Sie handlungsrelevante Einblicke gewinnen, um die Datensicherheit und Infrastruktur zu verbessern, wie zum Beispiel überexponierte Daten und Fehlkonfigurationen. Darüber hinaus können Sie schnell auf Anfragen von Betroffenen nach Zugang zu ihren Daten reagieren, indem Sie den Prozess der Datensammlung automatisieren – ein entscheidender und ressourcenintensiver Schritt.

FAQ

1. Was ist das CCPA?

Das CCPA ist ein kalifornisches Landesgesetz, das Schutzmaßnahmen für die persönlichen Informationen von Verbrauchern festlegt.

2. Welche Daten deckt der CCPA ab?

Das CCPA umfasst alle privaten persönlichen Verbraucherinformationen, die nicht aus lokalen, staatlichen oder bundesstaatlichen Quellen verfügbar sind.

3. Welche Unternehmen betrifft der CCPA?

Das CCPA gilt für jedes gewinnorientierte Unternehmen, das in Kalifornien tätig ist und bestimmte Bedingungen erfüllt, wie zum Beispiel eine Umsatzschwelle. Dies schließt Unternehmen ein, die nicht in Kalifornien ansässig sind, aber dort Geschäfte machen.