USA har ingen samlet føderal privatlivslov, men flere delstatslove kræver nu analytics, der overholder reglerne. CCPA i Californien (og efterfølgeren CPRA) gav tonen. Lignende love findes nu i Virginia, Colorado, Connecticut, Utah, Montana og Delaware. Hvis din hjemmeside har besøgende fra flere delstater, skal du sandsynligvis overholde flere af lovene på samme tid.
Sådan virker CCPA/CPRA
CCPA (California Consumer Privacy Act) gælder for virksomheder med fortjeneste som formål, der indsamler data om indbyggere i Californien. Loven kræver besked om indsamling af data, oplysning om hvilke data du indsamler og hvorfor, og brugerrettigheder til at få indsigt, slette og fravælge salg af data. CPRA (California Privacy Rights Act), som ændrede CCPA, stiller strengere krav til samtykke og giver forbrugerne ret til at få forkerte data rettet.
Hvornår gælder CCPA
CCPA gælder, hvis din virksomhed opfylder et af disse krav: en årlig omsætning på 25 mio. dollars eller mere, køb, salg eller deling af data fra 100.000 personer eller husstande eller mere, eller mindst 50 % af omsætningen kommer fra salg af forbrugerdata. Mange mellemstore virksomheder opfylder kravene uden at vide det.
CCPA gælder for "personlige oplysninger": data, der identificerer en bestemt person, vedrører personen eller kan knyttes til personen. Det er bredere end GDPR. Det omfatter også slutninger om præferencer, placering, købsadfærd og meget mere. For analytics tæller det meste tracking med.
De rettigheder i CCPA, du skal respektere
Ret til at vide: Brugere kan bede om at få at vide, hvilke personlige oplysninger du har indsamlet, og hvordan du har brugt dem. Du skal svare inden for 45 dage (kan forlænges til 90). Svaret skal være fyldestgørende.
Ret til sletning: Brugere kan bede om at få deres personlige oplysninger slettet. Du skal gøre det inden for 45 dage. Du må dog beholde data til legitime forretningsformål (for eksempel opdagelse af svindel) eller for at overholde loven.
Ret til at fravælge salg: Brugere kan bede dig om at stoppe salget af deres data. Du skal efterkomme det inden for 15 hverdage. Bemærk: "Salg" i CCPA omfatter deling mod alt af værdi og ikke kun penge.
Ret til at få rettet: Under CPRA kan brugere bede dig om at rette forkerte data. Det er nyt og ligetil: Hvis data er forkerte, så ret dem.
Tilvalg og fravalg
CCPA bruger fravalg ved salg af data: Brugernes data kan sælges, medmindre de fravælger det. CPRA og nyere delstatslove bruger tilvalg for følsomme data: Du skal have udtrykkelig tilladelse, før du indsamler følsomme oplysninger (præcis placering, personnumre, finansielle data og lignende). For analytics skal du gå ud fra, at du har brug for samtykke i form af tilvalg under de nyere love.
Andre delstaters privatlivslove
Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Montana (MTDPA) og Delaware (DPDPA) har alle vedtaget brede privatlivslove. De følger modellen fra CCPA/CPRA: De giver brugerne ret til at få indsigt, slette og fravælge. Detaljerne varierer fra delstat til delstat, men mønstret er det samme.
Skal du følge dem alle?
Det afhænger af din målgruppe. Hvis du mest henvender dig til Californien, så fokuser på CCPA/CPRA. Hvis du henvender dig til flere delstater, bruger de fleste virksomheder en privatlivsstandard på GDPR-niveau (som går videre end de fleste amerikanske delstatslove) og bruger den over for alle besøgende. Det er enklere end at følge reglerne delstat for delstat.
Virkeligheden med flere delstater
De fleste hjemmesider har besøgende fra flere delstater. Nogle henvender sig til alle 50. I stedet for at have forskellig praksis for analytics i hver delstat vælger de fleste virksomheder den strengeste standard, de er omfattet af, og bruger den over for alle. Det gør det enklere, og så er du aldrig i strid med reglerne.
CCPA/CPRA i praksis
For at overholde reglerne skal du have: en privatlivspolitik, der forklarer, hvilke data du indsamler og hvorfor. Tydelige måder at fravælge salg af data (hvis det er relevant). Mulighed for at svare på anmodninger om indsigt inden for 45 dage. Systemer, der kan slette brugerdata efter anmodning. Og ærlig markedsføring af din praksis med data (ingen løgne om, hvad du indsamler, eller hvordan du bruger det).
Straffe og håndhævelse under CCPA
Californiens justitsminister kan give bøder på op til 2.500 dollars pr. overtrædelse (eller 7.500 dollars pr. forsætlig overtrædelse). Forbrugere kan anlægge private søgsmål ved datalæk (fast erstatning på 100 til 750 dollars pr. person pr. hændelse). Gruppesøgsmål er almindelige. I praksis kan en overtrædelse af CCPA nemt koste 1 til 10 mio. dollars, hvis den rammer mange brugere.
GDPR, CCPA og delstatslovene sammenlignet
GDPR er strengere på samtykke. CCPA er bredere på, hvad der tæller som personoplysninger. Delstatslovene følger modellen fra CCPA med variationer. Hvis du overholder GDPR (samtykke og åbenhed først), overholder du for det meste også CCPA og delstatslovene. Det omvendte gælder ikke altid: At overholde CCPA er måske ikke nok til GDPR.
Er jeg faktisk omfattet af CCPA? Hvordan ved jeg, om jeg når grænsen på 25 mio. dollars?
Du er omfattet af CCPA, hvis du opfylder ET af tre krav: en årlig omsætning på 25 mio. dollars eller mere, køb, salg eller deling af data fra 100.000 personer eller mere, eller mindst 50 % af omsætningen fra salg af data. Grænsen på 25 mio. dollars er ligetil (sidste års omsætning). Grænsen på 100.000 er sværere: Hvis din analyseleverandør behandler data fra 100.000 besøgende eller flere, kan det udløse den (du deler data). Kravet om 50 % gælder, hvis salg af data er din hovedforretning (sjældent). For de fleste mellemstore virksomheder er det grænsen på 25 mio. dollars, der er afgørende. Tjek: Var sidste års omsætning over 25 mio. dollars? Hvis ja, gælder CCPA.
Hvad tæller som personoplysninger under CCPA og GDPR? Hvorfor er CCPA bredere?
GDPR: Identificerer en person direkte (navn, e-mail) eller indirekte (IP-adresse). CCPA: Bredere, omfatter alt i GDPR PLUS slutninger og forudsigelser. Eksempel: fem besøg på sider i en webshop. GDPR = personoplysning (session-id). CCPA = personoplysning PLUS en udledt præference (en slutning om, at du kan lide at shoppe). CCPA omfatter adfærdsdata og forudsigelser, som GDPR måske ikke gør. For analytics: En sidevisning er en personoplysning efter begge love. En adfærdsmæssig slutning ("interesseret i luksusvarer") er helt sikkert en personoplysning i CCPA, men måske ikke i GDPR. Bredden i CCPA betyder, at flere data udløser krav, og det gør den sværere end GDPR for nogle virksomheder.
Hvis en bruger beder om sletning, hvilke legitime formål gør, at jeg må beholde data?
CCPA har undtagelser fra sletning. Du må beholde data til: (1) Opdagelse af svindel og sikkerhed. (2) Overholdelse af loven (skat, kontrakter, retssager). (3) Forbedring af produkter (kun hvis data er anonymiserede eller samlede). (4) Intern analytics (kun hvis data er anonymiserede). (5) At opfylde brugerens forventninger (hvis du har lovet at beholde dem). For analytics: Brud på sikkerheden = behold. Juridisk tilbageholdelse = behold. "Kan måske bruges senere" = slet. Test: Kan du forklare det for en myndighed, så forklaringen holder? Hvis ja, behold. Hvis det er gætværk, slet.
Hvorfor er fristen for fravalg 15 dage, mens fristen for indsigt er 45 dage?
Forskellig kompleksitet. Fravalg af salg af data er enkelt: Sæt brugeren på listen over dem, der ikke må sælges til (en ændring i opsætningen, få dages arbejde). 15 hverdage (3 uger) er rimeligt. Anmodninger om indsigt er sværere: Hent alle data fra alle systemer, saml dem, gør dem læsbare og send dem. Det kræver forespørgsler i flere databaser, markering af følsomme data og et læsbart dokument. 45 dage (9 uger) er realistisk til det arbejde. Loven anerkender forskellen i kompleksitet. For analytics: Fravalg tager 2 til 3 dage (tilføj til en spærreliste). En anmodning om indsigt tager 30 dage eller mere (hent fra analytics, CRM, support og så videre).
Det private søgsmål er på 100 til 750 dollars pr. person. Hvordan bliver det regnet ud?
Fast erstatning: et fast beløb pr. person pr. hændelse, uanset den faktiske skade. Eksempel: Et brud rammer 10.000 personer. 10.000 × 100 dollars i minimum = 1 mio. dollars i fast erstatning. Kræver man 750 dollars pr. person, er det 7,5 mio. dollars. Den sagsøgte forliger sig et sted imellem. "Pr. hændelse" betyder, at ét brud er én hændelse (ikke 10.000). Flere brud lægger erstatningerne oven i hinanden. I virkeligheden koster et brud på 10.000 personer nemt 1 til 10 mio. dollars i fast erstatning plus advokatomkostninger. De sagsøgte forliger gruppesøgsmål for 50 til 70 % af den krævede erstatning. Derfor er forebyggelse afgørende: Den faste erstatning kommer automatisk, når bruddet er bevist.
Skal jeg følge hver delstats regler eller bruge GDPR som standard, hvis jeg har besøgende fra flere delstater?
Brug GDPR som standard for alle. GDPR er strengere end alle amerikanske delstatslove. Hvis du overholder GDPR, går du automatisk videre end de fleste delstaters krav. Regler for hver delstat er besværlige i praksis (forskellige bannere, opbevaring og fravalg pr. delstat). GDPR som standard er enklere: ét regelsæt dækker alle delstater. Undtagelse: Hvis du kun henvender dig til en eller to delstater, så tilpas til dem. Men ved 5 delstater eller flere, eller alle 50, er GDPR som standard lettest. Strategi: Byg efter GDPR, tilføj en brugerflade til Californien (et link til fravalg), og sæt analytics op, som om GDPR gælder i alle delstater. Du vil overholde mere end nødvendigt i de fleste delstater, og det er sikrere end at overholde for lidt.