CCPA er privatlivsloven i Californien i USA. Hvis din virksomhed opererer et sted i USA, har du sandsynligvis besøgende fra Californien. Hvis du indsamler deres data gennem formularer, gælder CCPA. Men CCPA er ikke den eneste privatlivslov. Mere end et dusin amerikanske stater har nu lignende regler, og der kommer flere.
CCPA og andre staters privatlivslove er USA's svar på Europas GDPR. Det er afgørende for at overholde reglerne i forskellige amerikanske regioner, at du forstår, hvilke privatlivslove der gælder for dine formularer, og hvad hver af dem kræver.
Det lærer du: Hvad CCPA er, og hvordan den adskiller sig fra GDPR, hvilke andre amerikanske stater der har privatlivslove, hvad lovene kræver af formularer, hvordan du ved, hvilke love der gælder for din virksomhed, og hvordan du bygger formularer, der overholder flere regler på én gang.
Hvad er CCPA?
CCPA (California Consumer Privacy Act) er en privatlivslov, der gælder for virksomheder med overskud som formål, der indsamler personoplysninger fra indbyggere i Californien. Den trådte i kraft den 1. januar 2020 og er siden blevet strammet med flere regler.
CCPA gælder for dine formularer, hvis:
- Din virksomhed indsamler data fra personer i Californien
- Du har en årlig omsætning på over 25 millioner dollars, eller
- Du indsamler data fra 100.000 eller flere indbyggere (eller husstande), eller
- Du sælger forbrugerdata som en del af din forretning
Selv små virksomheder opfylder ofte de grænser uden at vide det. Hvis du har en kontaktformular og har indsamlet oplysninger fra nogle hundrede indbyggere i Californien, er du sandsynligvis omfattet.
De vigtigste CCPA-krav til formularer
Oplysning i en privatlivserklæring
Du skal have en privatlivserklæring, der fortæller besøgende fra Californien om:
- Hvilke kategorier af personoplysninger du indsamler (navn, e-mail, købshistorik osv.)
- Hvorfor du indsamler dem (for at svare på forespørgsler, levere ydelser, til markedsføring)
- Hvor dataene kommer fra (direkte fra forbrugeren i en formular, fra tredjeparter, fra analytics)
- Hvor længe du beholder dem
- Hvem du deler dem med (tjenesteudbydere, andre virksomheder osv.)
Privatlivserklæringen skal være nem at finde. Et link i sidefoden eller en gemt politikside er ikke nok. Placer den, hvor besøgende ser den, før de udfylder din formular.
Retten til at vide
Indbyggere i Californien kan bede om at få at vide, hvilke personoplysninger du har indsamlet om dem. Du skal kunne give de oplysninger inden for 45 dage. Det betyder, at du skal have systemer til at holde styr på, hvilke data du har om hver person, og en proces til at svare på de anmodninger.
Retten til sletning
Indbyggere i Californien kan bede dig om at slette deres personoplysninger. Du skal efterkomme det, medmindre du har en juridisk grund til at beholde dem (som skatteregnskab eller forebyggelse af svindel). Det gælder alle de formularindsendelser og kundedata, du har om dem.
Retten til at fravælge salg
Hvis du sælger personoplysninger til andre virksomheder (selv om du ikke tænker på det som "salg"), kan indbyggere i Californien fravælge det. Under CCPA omfatter "salg" at dele data med tredjeparter mod penge, tjenester eller andre værdifulde fordele. Du skal have et link med teksten "Do Not Sell My Personal Information" på din hjemmeside.
Retten til berigtigelse
Forbrugere kan bede dig om at rette forkerte personoplysninger om dem. Du er ikke forpligtet til at ændre alt, hvad de beder om, men du skal have en proces til at gennemgå og besvare de anmodninger.
Ingen forskelsbehandling
Du må ikke forskelsbehandle nogen for at udøve deres CCPA-rettigheder. Hvis nogen beder om at få deres data slettet, må du ikke nægte at betjene dem eller tage mere for dine ydelser.
CCPA og GDPR: de vigtigste forskelle
CCPA og GDPR beskytter begge personoplysninger, men der er vigtige forskelle:
| Funktion | GDPR | CCPA | |-|-|-| | Gælder for | Data om indbyggere i EU, fra enhver virksomhed | Data om indbyggere i Californien, fra større virksomheder | | Samtykke | Aktivt samtykke (opt-in) kræves (undtagen for nødvendige data) | Fravalgsmodel (opt-out): data indsamles, medmindre man siger fra | | Retten til at blive glemt | Ja | Ja, men med flere undtagelser | | Bøder | Op til 20 millioner euro eller 4 % af omsætningen | Op til 2.500 pr. overtrædelse, op til 7.500 pr. forsætlig overtrædelse | | Salg af data | Ikke tilladt uden samtykke | Tilladt, medmindre forbrugeren fravælger |Hovedforskellen er, at GDPR kræver, at du beder om lov, før du indsamler data. CCPA kræver, at du fortæller folk, at de kan fravælge.
Andre amerikanske staters privatlivslove
Mere end et dusin andre stater har vedtaget privatlivslove, der ligner CCPA. Her er de vigtigste:
Virginia (VCDPA)
Virginia Consumer Data Protection Act gælder for virksomheder med overskud som formål, der behandler personoplysninger om indbyggere i Virginia. Den kræver forbrugerrettigheder til indsigt i data, sletning, berigtigelse og fravalg af salg.
Colorado (CPA)
Colorado Privacy Act dækker virksomheder, der behandler data om indbyggere i Colorado. Ligner CCPA, men med nogle forskelle i omfang og håndhævelse.
Connecticut (CTDPA)
Connecticut Data Privacy Act, gældende fra juli 2024. Lignende forbrugerrettigheder som CCPA og VCDPA.
Utah (UCPA)
Utah Consumer Privacy Act er mærkbart mindre streng end de andre, men kræver stadig forbrugerens ret til at fravælge.
Montana, Delaware, Iowa og andre
Flere stater har vedtaget eller overvejer privatlivslove. De fleste følger CCPA-modellen med forbrugerens ret til at fravælge, med nogle variationer i kravene.
Sådan finder du ud af, hvilke love der gælder for dine formularer
For at finde ud af, hvilke privatlivslove du skal overholde:
- Find ud af, hvor dine besøgende kommer fra. Brug analytics til at se, hvilke stater og regioner der er repræsenteret.
- Slå loven op for hver region. For amerikanske stater kan du tjekke statens justitsministers hjemmeside. For andre lande kan du undersøge deres privatlivslove.
- Tjek tærsklerne. Opfylder din virksomhed grænserne for størrelse? Har du nok kunder i regionen?
- Tal med en jurist, hvis du er i tvivl. Privatlivslovgivning er kompleks og varierer fra region til region. Hvis din virksomhed indsamler store mængder data, så tal med en advokat.
Sådan bygger du formularer, der overholder flere privatlivslove
Hvis dine besøgende kommer fra forskellige stater og lande, skal du følge de strengeste regler, der gælder.
Gå ud fra GDPR-reglerne for alle
Hvis du har besøgende fra EU, så følg GDPR-reglerne. GDPR er blandt de strengeste privatlivslove, så overholdelse af GDPR betyder ofte, at du også overholder andre love.
Brug aktivt samtykke til følsomme data
I stedet for at prøve at følge forskellige regler for forskellige besøgende kan du bruge aktivt samtykke (GDPR-standarden) til alt. Det er renere og mere beskyttende. Gør samtykkevalgene tydelige, konkrete og adskilte for forskellig brug af data.
Vis en privatlivserklæring på formularen
Tag et tydeligt, læsbart resumé af din håndtering af data med på formularsiden. Link til din fulde privatlivspolitik. Det opfylder kravene om oplysning i flere love på én gang.
Gør det nemt at fravælge
Giv folk en måde at afmelde markedsføringsmails eller bede om sletning af deres data. Tag det med i hver markedsføringsmail, du sender (påkrævet ved lov), og på din hjemmeside (god praksis).
Før gode optegnelser
Dokumentér, hvilke data du indsamler, hvorfor du indsamler dem, hvor længe du beholder dem, og hvem der har adgang til dem. Det hjælper dig med at svare hurtigt på anmodninger om data og beviser, at du overholder reglerne, hvis en tilsynsmyndighed spørger.
Bøder og sanktioner efter privatlivslove
CCPA og staternes privatlivslove har økonomiske sanktioner:
- CCPA (Californien): Op til 2.500 dollars pr. overtrædelse, 7.500 dollars pr. forsætlig overtrædelse. Statens justitsminister håndhæver den, og forbrugere kan i visse tilfælde sagsøge.
- Virginia, Colorado, Connecticut osv.: Bøderne ligger mellem 2.500 og 10.000 dollars pr. overtrædelse, og nogle tillader også, at forbrugere sagsøger.
Selv om de bøder er lavere end GDPR-bøder, løber de hurtigt op, når du har flere overtrædelser, eller et databrud rammer tusindvis af mennesker.
Det gør WEMASY for at overholde privatlivslove
WEMASY-formularer har værktøjer, der hjælper dig med at overholde privatlivslove i stater og på føderalt niveau. Du kan tilføje privatlivsoplysninger til dine formularer, registrere, hvilken version af dine samtykkevilkår hver besøgende har accepteret, og give dit team processer til at håndtere anmodninger om indsigt i og sletning af data. WEMASY registrerer også, hvilke data der er gemt, og hvornår de blev indsendt, så du kan føre de optegnelser, du har brug for til kontrol af overholdelse.
Se, hvilke funktioner til privatlivsoverholdelse der er med i din plan, på prissiden.