Kaliforniya tüketici gizlilik yasasına hazır mısınız?

En iyi bilinen teknoloji şirketlerinden bazıları, 28 Haziran 2018'de 2018 Kaliforniya Tüketici Gizliliği Yasası'nı (CCPA) geçtiğini belirten Kaliforniya merkezlidir. CCPA 1 Ocak 2020'ye kadar yürürlüğe girmeyecek, ancak Kaliforniya, Amerika Birleşik Devletleri ve aslında tüm dünyadaki işletmeleri etkilemesi bekleniyor. CCPA, işletmelerin müşteri verilerini ele alma şeklini etkileyecek ve birçok kişi tarafından ABD tarihindeki en katı veri koruma kanunu olarak kabul edilecektir.

Bir déjà vu duygusu hissediyorsanız, yalnız değilsiniz. Mayıs ayında, Avrupa Birliği (AB) Genel Veri Koruma Yönetmeliği (GDPR) yürürlüğe girdi. GDPR, PCMag’de sıcak bir konu oldu. Yasa Atlantik'te yapılırken, gerçek şu ki, nerede olursa olsun tüm AB vatandaşları için geçerli olduğu için dünya çapındaki işletmelere işaret ediyor. GSYİH'ya benzer şekilde, yeni CCPA'nın etkisinin menşei durumunun ötesinde çok geniş kapsamlı etkileri olacaktır. CCPA ve beklenen sonuçlarından bazıları hakkında daha fazla bilgi edinmek için birkaç uzmanla konuştuk.

CCPA ve Siz: Giriş

CCPA, tüketicilerin, işletmeler hakkında onlar hakkında ne tür veri toplandığını açıklamalarını isteme hakkını belirler. Sanal bir özel ağ (VPN) gibi bir araç kullanmıyorsanız, sayısız işletmenin çevrimiçi olduğunuzda sizinle ilgili bilgi topladığı kesindir. ÇKPA’nın getireceği bu şeffaflığı söylemek büyük bir meseledir.

John Tsopanis, işletmelere taşıdıkları kişisel verileri anlamalarına yardımcı olan bir şirket olan 1touch.io'nun Gizlilik Ürün Yöneticisidir. Tsopanis, son birkaç yılını şirketler için GSYİH danışmanlığı yaparak geçirdi ve aynısını CCPA ile yapmaya hazırlanıyor. Tsopanis, CCPA'yı temel terimlerle açıklar.

Tsopanis, "1 Ocak 2020'de, bir California sakini, Amerika'daki herhangi bir büyük şirkete sorma konusunda yasal haklara sahip olacak:" Bilgilerimi işliyor musunuz? "Dedi. "45 gün içinde, bu şirket son 12 ayın ayrıntılarını içeren bir raporla cevap vermek zorunda kalacak. Bu kişi hakkında hangi kişisel bilgi kategorilerine sahip olduğunu, kimlerle paylaştığını ve nedenlerini göstermeli Bu bilgileri işlemesi için bu bilgileri Kaliforniya sakinlerine (40 milyonu da hepsi) zaman dilimi içinde vermeleri gerekiyor. ”

GSYİH ve CCPA Arasındaki Farklar

GSYİH’nın yaptıkları ile CCPA’nın neleri kapsadığı arasında bazı önemli farklılıklar var. Yeni başlayanlar için, ÇKYK bir onay esasına dayanacak, oysa GDPR bir kabul esasına dayanacaktır. Bu, temel olarak, kullanıcıların ne tür bir bilginin kullanıldığını öğrenmek için şirketlere aktif olarak ulaşması gerektiği anlamına gelir. Ek olarak, GSYİH, AB vatandaşları hakkında kişisel verileri tutan herhangi bir kuruluş için de geçerlidir.

Öte yandan, CCPA yalnızca California sakinleri hakkında veri işleyen kar amacı gütmeyen şirketler için geçerlidir. Kuruluş ya yıllık gelirde en az 24 milyon dolar kazanmalı, 50.000 kişinin verilerini tutmalı ya da kişisel verilerin satışında gelirlerinin en az yarısını yapmalıdır. Bu nedenle, küçük bir butik mağazanız varsa ve çevrimiçi işlemlerinizin kapsamı mağaza saatlerinizi ve adresinizi listeleyen bir web sayfasıysa, CCPA için çok endişelenmenize gerek kalmayacaktır. Ancak, bir anahtar teslimi sağlayıcı aracılığıyla bir e-ticaret web sitesi işletiyorsanız veya genel bir web barındırma hizmeti aracılığıyla kendi e-tail web sitenizi kullanıyorsanız, o zaman dikkat etmek istersiniz.

Courtney Bowman, uluslararası hukuk firması Proskauer Rose LLP'nin dava bölümündeki bir iştirakidir. Bowman, CCPA'nın neden şirketlerin 2020'nin ötesindeki veri kullanımları hakkında dikkatlice düşünmelerini zorunlu kılacağını açıklıyor. "Bu 12 aylık şart, şirketlerin gizlilik politikalarına yılda en az bir kez bakmak zorunda kalacakları ve bir şeylerin değişip değişmediğini anlamaya çalışmak zorunda kalacakları anlamına geliyor "dedi.

Bowman, “Hangi verileri sattıklarını veya üçüncü şahıslara açıkladıklarını sürekli izlemeleri gerekecek ve böylece gizlilik politikalarını buna göre ayarlayabilecekler” dedi. “Yasa ayrıca tüketicilere bazı durumlarda kişisel bilgilerine erişme veya bu bilgileri silme hakkı veriyor ve işletmeler bu hakkı gerçekten çabukça kullanabilmelerini sağlamalılar. Bu, şirketlerin verilerini nerede bulduklarını bulmak için veri haritalama işlemine girmelerini gerektirecek. aynı zamanda, yasa uyarınca sorumluluklarını yerine getirebilmelerini sağlamak için ne yapmaları gerektiğine karar vermek için BT departmanlarıyla bağlantı kurmak için de yer alıyor. ”

CCPA'nın Geniş Etkileri

GSYİH'ya giden aylarda, kapsamımızdaki en önemli konu, küreselleşmiş dünyamızda GSYİH'nın Avrupa dışındaki işletmeleri etkilemesiydi. Ne de olsa, çoğu büyük şirket yurtdışında iş yapıyor ve yasalara uymak için çevrimiçi işlemlerini küresel olarak değiştirmek zorunda kalacaklar. Ancak Tsopanis ile konuştuğumuzda Amerikan şirketlerinin hala CCPA'yı özel olarak dikkate alması gerektiğini söyledi.

Tsopanis, "Amerikan şirketleri söz konusu olduğunda, GSYİH esas olarak kanallar arasında faaliyet gösteren büyük kuruluşlara odaklanmıştı. Nitelikli şirketlerin kriterleri, büyük bir büyüklük düzenine göre çok daha büyük, " dedi. “Kaliforniya'da 40 milyon insan var; 50.000 kişi bile nüfusun yüzde 0.1'i değil. Amerikan şirketlerine maruz kalma oranının daha önce GSYİH'ya göre daha yüksek olduğunu düşünüyorum.”

Tsopanis, fast food devi Wendy'nin örneğini sunuyor. "Wendy's, Fortune 1000'deki en büyük 999'uncu şirket ve yıllık 1.2 milyar dolarlık bir gelire sahip - bu yasa uyarınca uygulanabilirlik eşiğinden 48 kat daha yüksek. Amerika'da en azından 1000 milyar dolarlık şirketin uyması gerekiyor. Bu yasa ve 25 milyon dolarlık kategorideki değerinden daha büyük önemli emirler. "

Wendy'nin bir teknoloji şirketi olduğunu düşünmeyebiliriz, ancak kullanıcı bilgilerinden adil paylarını toplarlar. Bunlar ayrıca her türlü şirketin CCPA'dan nasıl etkileneceğine mükemmel bir örnektir. Web sitelerini ziyaret ettiğinizde, satış noktası (POS) sistemlerinden yiyecek sipariş ettiğinizde veya yerel Wendy'nin restoranında Wi-Fi'yi kullandığınızda bile, şirket bilgilerinizi topluyor ve Kaliforniya'da en azından tümü CCPA düzenlemesine tabidir. Wendy's kadar küçük bir şirket kullanıcılar hakkında çok fazla veri toplarsa, daha büyük şirketlerin ne topladığını düşünmek tamamen korkutucu. Basitçe söylemek gerekirse, CCPA'nın çok büyük etkileri olacaktır.

Önemli Veri Keşifleri

CCPA'nın en önemli etkilerinden biri, Amerikalıların nihayet, şirketlerin yaptıkları büyük miktarda veri alımını ve veri satımını ortaya çıkarabilecek olmalarıdır. “Bu fatura Amerikan halkının nihayetinde tamamen anonim olan veri alım satım organizasyonlarının kitlesel ağını ortaya çıkarmasına izin verecek. Bu, veri gizliliğinin algılanması ve sonuç olarak da çarpıcı bir kültürel değişime yol açacak. Bir nokta, uyumlaştırılmış federal gizlilik yasasına yol açtı, "dedi Tsopanis.

Ne zaman Cambridge Analytica skandal kırıldı, teknoloji sahibi olsun veya olmasın milyonlarca insanın dikkatini çekti. İnsanları, bilgilerini kimin topladığına ve bununla ne yaptığına dair çok endişelendiriyor ve ÇKP, kısmen buna cevap veriyor. Tsopanis, ortaya çıkan vahiylerin büyük olacağını savunuyor.

“Ülkedeki her gazeteci için bu bir nimettir. Kaliforniya, dünyanın en büyük beşinci ülkesi olan 2.7 trilyon $ 'lık bir ekonomidir ve Büyük Veriler üzerine kuruludur. Her Fortune 1000 şirketinden her erişim talebi tüm ağı ortaya çıkaracak Tsopanis, yoğun bir inceleme altına girecek olan veri alım satım şirketlerinin sayısını açıkladı "dedi. “İnsanlar veri raporlarını almaya başladığında ne bulacağımızı tam olarak bilmiyoruz, ancak bazı ilginç vahiyler olacağından eminiz.”

Hazırlanması Sadece 18 Ay

GSYİH'dan bir şey öğrenirsek, şirketlerin son tarihe hazır olmak için mümkün olduğunca erken planlama yapmaları gerekir. Bunu akılda tutarak, Amerikan şirketleri hiç fazla zaman yok. GSYİH Nisan 2016'da kabul edildi ve şirketlerin düzenlemeye uyum sağlamak ve bunlara uymak için iki yıldan biraz fazla zamanları oldu. CCPA, 2020'nin başında yürürlüğe girdiğinden, daha büyük şirketlerin şimdi hazır olmaları için 18 ay olduğu anlamına gelir.

Bu son tarihin, en deneyimli teknoloji uzmanlarının bile strese sokması muhtemeldir. Tsopanis, "18 ayda yapılması gereken iş miktarı, GSYİH için gerekenden daha az, bunu yapmak için daha az zamana sahip ve Amerikan şirketlerinin Avrupa'dan daha düşük bir gizlilik olgunluk seviyesinden gelmesiyle gerekliydi" dedi.

Buna uymak için, güvenlik uzmanı şirketlere süreçlerini geliştirmede uygun özen göstermelerini önerir. Tsopanis, "Önümüzdeki altı ay içinde, kuruluşların yapması gereken şey, kurum genelinde kişisel bilgileri izlemek için bir tür yöntem geliştirmek." Dedi. “Hangi kişisel bilgilere hangi üçüncü şahıslara hangi saatlerde ve hangi saatlerde gönderildiklerini kolayca erişebilecekleri bir yol ve daha sonra 12 ay boyunca uygulamaya kadar olanları takip edebilmeleri ve talep üzerine bu bilgileri sağlamaya hazır olmaları gerekir. düzenleme devreye giriyor.

Tsopanis, "Esasen hemen hemen tüm ABD şirketlerinin büyük veri tanımlama faaliyetleri yürütmesini ve icra tarihinde California sakinlerinin veri konularına erişim taleplerini otomatikleştirip yanıtlayabilmelerini gerektirecek." Dedi. “Ayrıca, yasa 2020'de yürürlüğe girdiğinde, önceki 12 ay içinde kullanıcı bilgileri hakkında bir rapor sunabilmeleri gerektiğine dikkat etmek önemlidir. Bu, işletmelerin bu verileri 1 Ocak 2019'da izlemeleri gerektiği anlamına gelir. "

Hukuki açıdan bakıldığında, Bowman, son tarihten önce bazı değişiklikler olabileceğini söylüyor. “Yasa üzerinde yürürlüğe girmeden önce bazı revizyonlar göreceğimizi umuyoruz” dedi. “Oldukça hızlı bir şekilde hazırlandığı için, yürürlüğe girdikten sonra bile, onları anlamada göze çarpan bazı gri alanlar olabilir. Sonuçta, GDPR'nin taslak oluşturması yıllar sürdü ve yine de GSYİH’nın birçok bölümü var. bu belirsiz. "