CCPA-Compliance

Der California Consumers Protection Act oder CCPA wurde im Juni 2018 von Gouverneur Brown genehmigt und trat am 1. Januar 2020 in Kraft. Es ist eines der jüngsten Gesetze zum Schutz der Rechte der Menschen im Internet. Die Umsetzung dieses Gesetzes bedeutet nicht, dass alle vorherigen Gesetze und Vorschriften inaktiv werden. Sie müssen weiterhin alle Gesetze im Staat einhalten und daran denken, dass der CCPA alle anderen Gesetze ergänzt.

Gemäß diesem Gesetz müssen Unternehmen Informationen darüber bereitstellen, wie, was und warum die Daten von Verbrauchern verarbeitet und gesammelt werden. Darüber hinaus ermöglicht dieses Gesetz Ihnen, Informationen über den Verkauf Ihrer Daten zu erhalten und gibt Ihnen die Möglichkeit, sich davon abzumelden. Dieses Gesetz erfordert von Unternehmen, alle Prozesse mit den Daten der Verbraucher transparenter und klarer zu gestalten.

Auf wen trifft der CCPA zu?

Der CCPA gilt für Unternehmen unter der Bedingung, dass:

Jährliche Bruttoeinnahmen über 25 Millionen Dollar, oder
Persönliche Informationen von 50.000 oder mehr Bewohnern Kaliforniens, Haushalten oder Geräten pro Jahr erhalten oder offenlegen, oder
50 Prozent oder mehr als jährlichen Umsatz aus dem Verkauf von persönlichen Informationen von Kalifornischen Bewohnern erzielen.

Diese Unternehmen können Ihre persönlichen Informationen über Cookies sammeln und verarbeiten, aber sie müssen sie auch schützen. Für den CCPA spielt es keine Rolle, wie klein oder groß Ihr Unternehmen ist. Wenn Ihr Unternehmen eine dieser drei Kriterien erfüllt, fällt es unter das Gesetz und Sie müssen es einhalten. Es ist erwähnenswert, dass einige Gesundheits- und Finanzunternehmen nicht dem CCPA entsprechen müssen, da sie unter andere bundesstaatliche Sicherheitsgesetze fallen, z. B. HIPAA (Health Insurance Portability and Accountability Act) und andere.

Was sind persönliche Daten im CCPA?

Die Definition von persönlichen Daten im CCPA besteht aus vielen Komponenten. Sie umfasst „Informationen, die eine Person identifizieren, sich auf sie beziehen, sie beschreiben, in Verbindung gebracht werden können oder vernünftigerweise direkt oder indirekt mit einem bestimmten Verbraucher oder Haushalt verknüpft werden könnten“. Diese Definition enthält viel mehr Identifikatoren für persönliche Daten als die traditionelle Erklärung. Im Gesetzestext finden Sie eine Liste von Beispielen für persönliche Daten. Hier sind einige davon:

Biometrische Informationen;
Geolokalisierungsdaten;
Browser- und Suchverlauf;
IP-Adresse usw.

Es sei erwähnt, dass öffentlich verfügbare Informationen gemäß den im CCPA und GDPR gegebenen Definitionen keine persönlichen Informationen sind.

Ebenso müssen Sie laut diesem Gesetz Ihre Datenschutzrichtlinie aktualisieren. Sie müssen sicherstellen, dass Ihre Datenschutzrichtlinie Folgendes umfasst:

Welche Art von Informationen Sie sammeln und verarbeiten;
Warum und wie Sie die Informationen sammeln und verarbeiten;
Wie Nutzer den Zugang zu ihren Informationen anfordern, diese ändern, verschieben oder löschen können;
Die Methode zur Verifizierung des Nutzers, der eine Anfrage stellt.

Diese Liste ist nicht vollständig, Sie können weitere Punkte hinzufügen, um dem Gesetz zu entsprechen.

Die vorherige Zustimmung

Sie sollten sich auch an die vorherige Zustimmung erinnern. Dieses Gesetz erfordert keine vorherige Zustimmung zur Verarbeitung und Sammlung von Informationen. Aber für Minderjährige im Alter von 13-16 Jahren müssen Sie eine vorherige Zustimmung einholen, bevor Sie ihre Daten verkaufen. Bei Minderjährigen unter 13 Jahren müssen Sie die Zustimmung der Eltern oder Erziehungsberechtigten einholen.

Außerdem sollte auf Ihrer Website ein Link vorhanden sein, der es den Nutzern ermöglicht, den Verkauf ihrer Daten abzulehnen. Sie sollten diesen Link einrichten, um den CCPA zu erfüllen. Sie dürfen von den Nutzern nicht verlangen, ein Konto zu erstellen, um sich abzumelden, da dieser Prozess so einfach wie möglich sein sollte. In anderen Fällen können Sie Informationen über Ihre Nutzer verkaufen.

Nicht-Einhaltung kann zu hohen Geldstrafen von bis zu 2500 $ pro unbeabsichtigter Verletzung und 7500 $ pro absichtlicher Verletzung führen. Es ist schwer vorstellbar, wie viel Sie selbst für eine unbeabsichtigte Verletzung zahlen können. Darüber hinaus müssen Verbraucher nur zeigen, dass das Unternehmen gegen das Gesetz verstoßen hat, ohne jeglichen Beweis für einen finanziellen Verlust.

Wie man den CCPA einhält

Um den CCPA einzuhalten, sollte das Unternehmen „angemessene Sicherheitsverfahren und -praktiken umsetzen und beibehalten“, um die Daten der Verbraucher zu schützen. Eine der gefährlichsten Dinge im Datenschutz ist eine Datenverletzung. Es ist entscheidend zu wissen, wer Zugang zu den Daten hat und was sie damit tun können. Die CCPA-Sicherheitsstandards verpflichten Organisationen dazu, den Verbrauchern auf Anfrage Zugang zu allen persönlichen Informationen zu gewähren, die in Unternehmensdatenbanken gespeichert sind.

DataSunrise hat eine Lösung, die Ihr Leben erleichtern könnte. Dank unseres Produkts und insbesondere der Compliance-Funktion sind Ihre sensiblen Informationen immer geschützt. Diese Funktion durchsucht ständig neu hinzugefügte persönliche Daten. Daher sind Datenbanken und Daten geschützt. Darüber hinaus verfügen wir über eine DSAR-Funktion.

DataSunrises DSAR bietet leistungsstarke Such- und Berichtsfunktionen. Die DSAR-Funktionalität ermöglicht es Ihnen, in Ihren Datenbanken nach persönlichen Daten zu suchen und die interessierenden persönlichen Daten in Übereinstimmung mit den CCPA-Sicherheitsstandards zu erhalten. Diese Daten können aus der Datenbank heruntergeladen und als Bericht angezeigt werden, was eine sehr nützliche Sache für die Compliance-Bewertung ist.