CCPA-Konformität

Der California Consumers Protection Act oder CCPA wurde im Juni 2018 von Gouverneur Brown genehmigt. Er trat am 1. Januar 2020 in Kraft. Es ist eines der neuesten Gesetze zum Schutz der Rechte von Menschen im Internet. Die Umsetzung dieses Gesetzes bedeutet nicht, dass alle vorherigen Gesetze und Verordnungen inaktiv werden. Sie müssen weiterhin alle Gesetze des Staates einhalten und daran denken, dass der CCPA alle anderen Gesetze ergänzt.

Nach diesem Gesetz müssen Unternehmen Informationen darüber bereitstellen, wie, was und warum Verbraucherdaten verarbeitet und gesammelt werden. Darüber hinaus ermöglicht dieses Gesetz den Verbrauchern, Informationen über den Verkauf ihrer Daten zu erhalten, und gibt ihnen die Möglichkeit, sich davon abzumelden. Dieses Gesetz erfordert, dass Unternehmen alle Prozesse mit Verbraucherdaten für sie transparenter und klarer machen.

Wen betrifft der CCPA?

Der CCPA gilt für Unternehmen unter der Bedingung, dass:

Jährliche Bruttoeinnahmen größer als 25 Millionen USD sind, oder
Die persönlichen Informationen von 50.000 oder mehr kalifornischen Einwohnern, Haushalten oder Geräten jedes Jahr erhalten oder offenlegen, oder
50 Prozent oder mehr des Jahresumsatzes aus dem Verkauf persönlicher Informationen von kalifornischen Einwohnern erzielen.

Diese Unternehmen können Ihre persönlichen Informationen aus Cookies sammeln und verarbeiten, sie müssen diese jedoch auch schützen. Für den CCPA spielt es keine Rolle, wie klein oder groß Ihr Unternehmen ist. Wenn Ihr Unternehmen eines dieser drei Kriterien erfüllt, unterliegt es dem Gesetz und Sie müssen es einhalten. Es ist erwähnenswert, dass einige Gesundheits- und Finanzunternehmen nicht dem CCPA unterliegen müssen, da sie anderen Bundesgesetzen zur Sicherheit unterliegen, wie z.B. HIPAA (Health Insurance Portability and Accountability Act) und anderen.

Was sind persönliche Daten im CCPA?

Die Definition von persönlichen Daten im CCPA besteht aus vielen Komponenten. Sie umfasst „Informationen, die einen Verbraucher oder Haushalt identifizieren, sich auf diesen beziehen, diesen beschreiben, mit diesem in Verbindung gebracht werden können oder vernünftigerweise, direkt oder indirekt, verknüpft werden könnten“. Diese Definition enthält viel mehr Identifikatoren persönlicher Daten als herkömmliche Erklärungen. Im Text des Gesetzes finden Sie eine Liste von Beispielen für persönliche Daten. Hier sind einige davon:

Biometrische Informationen;
Standortdaten;
Browsing- und Suchverlauf;
IP-Adresse usw.

Es sei darauf hingewiesen, dass öffentlich verfügbare Informationen nicht als persönliche Informationen gemäß den im CCPA und GDPR gegebenen Definitionen gelten.

Darüber hinaus müssen Sie gemäß diesem Gesetz Ihre Datenschutzrichtlinie aktualisieren. Sie müssen sicherstellen, dass Ihre Datenschutzrichtlinie Folgendes umfasst:

Welche Art von Informationen Sie sammeln und verarbeiten;
Warum und wie Sie die Informationen sammeln und verarbeiten;
Wie Benutzer den Zugriff auf ihre Informationen anfordern, diese ändern, verschieben oder löschen können;
Das Verfahren zur Überprüfung des Benutzers, der eine Anfrage stellt.

Diese Liste ist nicht vollständig, Sie können nach Bedarf weitere Punkte gemäß dem Gesetz hinzufügen, um konform zu sein.

Die vorherige Einwilligung

Auch sollten Sie die vorherige Einwilligung nicht vergessen. Dieses Gesetz erfordert keine vorherige Einwilligung zur Verarbeitung und Sammlung von Informationen. Aber für Minderjährige im Alter von 13-16 Jahren müssen Sie vor dem Verkauf ihrer Daten eine vorherige Einwilligung einholen. Für Minderjährige unter 13 Jahren müssen Sie die Einwilligung der Eltern oder Erziehungsberechtigten haben.

Darüber hinaus sollte auf Ihrer Website ein Link sein, der es den Nutzern ermöglicht, sich vom Verkauf ihrer Daten abzumelden. Sie sollten diesen Link einrichten, um konform mit dem CCPA zu sein. Sie dürfen nicht verlangen, dass Nutzer ein Konto erstellen, um sich abzumelden, da dieser Prozess so einfach wie möglich gestaltet werden sollte. In anderen Fällen sind Sie frei, Informationen über Ihre Nutzer zu verkaufen.

Die Nichteinhaltung kann zu hohen Geldstrafen führen, bis zu 2500 USD pro unbeabsichtigte Verletzung und 7500 USD pro vorsätzliche Verletzung. Es ist schwer vorstellbar, wie viel Sie für eine unbeabsichtigte Verletzung zahlen können. Darüber hinaus müssen Verbraucher nur nachweisen, dass das Unternehmen gegen das Gesetz verstoßen hat, ohne dass ein finanzieller Verlust nachgewiesen werden muss.

Wie man konform mit dem CCPA ist

Um konform mit dem CCPA zu sein, sollte das Unternehmen “angemessene Sicherheitsverfahren und -praktiken implementieren und aufrechterhalten”, um die Daten der Verbraucher zu schützen. Eines der gefährlichsten Dinge im Datenschutz ist ein Datenverstoß. Es ist entscheidend zu wissen, wer Zugang zu den Daten hat und was er damit tun könnte. Die CCPA-Sicherheitsstandards verpflichten die Organisationen, auf Anfrage dem Verbraucher Zugang zu allen in den Unternehmensdatenbanken gespeicherten persönlichen Informationen zu gewähren.

DataSunrise hat eine Lösung, die Ihr Leben erleichtern könnte. Dank unseres Produkts und insbesondere der Compliance-Funktion sind Ihre sensiblen Informationen immer geschützt. Diese Funktion durchsucht kontinuierlich neu hinzugefügte persönliche Daten. Deshalb sind Datenbanken und Daten geschützt. Darüber hinaus haben wir eine DSAR-Funktion.

DataSunrise’s DSAR bietet leistungsstarke Such- und Berichtsfunktionen. Die DSAR-Funktionalität ermöglicht es Ihnen, in Ihren Datenbanken nach persönlichen Daten zu suchen und diese gemäß den CCPA-Sicherheitsstandards zu erhalten. Diese Daten können aus der Datenbank heruntergeladen und als Bericht angezeigt werden, was eine sehr nützliche Sache für die Compliance-Bewertung ist.