Editörün notu: WRAL TechWire kısa süre önce, teknoloji hukukunun en hızlı büyüyen ve en karmaşık alanlarından birine biraz açıklık getirmek için veri gizliliği yasası üzerine 5 bölümlük bir dizi başlattı. Bu bölüm 3.Önceki gönderiler bu hikayeye dahil edilmiştir.

Steve Britt Siber, Veri Gizliliği ve Teknolojisi (CIPP/E, CIPM), Parker Poe ve Sarah Hutchins Siber, Veri Gizliliği ve Teknolojisi (CIPP/US), Parker Poe için Danışmandır.

+ + +

Tıpkı Kaliforniya'nın 2002'de bir veri ihlali bildirim yasasını çıkaran ilk eyalet olması gibi (Alabama, 50.^th 2018'de eyalet), 2020'de Kaliforniya Tüketici Gizliliği Yasası (CCPA) olarak bilinen kapsamlı bir veri gizliliği yasasını yürürlüğe koyan ilk eyalet oldu. GDPR'yi kılavuz olarak kullanan ancak sonuca kendi damgasını vuran California, GDPR ile aşağıdakiler de dahil olmak üzere birçok ortak unsuru paylaştı:

• Geniş bir tanımı Kişisel Bilgiler, IP (internet protokolü) adresleri, cihaz verileri ve diğer çevrimiçi tanımlayıcılar dahil olmak üzere gerçek bir kişiyi tanımlamak için kullanılabilecek veya bunlarla ilgili herhangi bir bilgiyi içermek,
• GDPR'nin veri sahibi haklarının çoğunun (tümü değil) benimsenmesi, bu hakların nasıl kullanılabileceğine ilişkin açık ve şeffaf açıklamalara tabi olarak,
• Hangi verilerin toplandığı, bu verilerin toplanma amaçları ve üçüncü kişilerle paylaşılıp paylaşılmadığı hakkında detaylı gizlilik bildirimlerinin gerekliliği,
• Verilerin paylaşıldığı belirli türdeki üçüncü şahıslar için kısıtlayıcı sözleşmelerin gerekliliği,
• Risk bazlı veri güvenliği standartlarının uygulanması,
• Kişisel bilgileri işleyen tüm personel için kapsamlı çalışan eğitimi gerekliliği,
• Bu tür eylemlerde olay başına tüketici başına 100-750 ABD Doları tutarında yasal zararla makul veri güvenliğinin sağlanamamasından kaynaklanan bir veri ihlali için sınırlı bir özel dava nedeni ve son olarak,
• CCPA'nın bir devlet kurumu, bu durumda California Başsavcısı tarafından uygulanması.

Veri gizliliği ve siz: Yasal açıdan gerçekten bilmeniz gerekenler

Yürürlüğe girdiği sırada CCPA olarak adlandırılıyordu. GDPR-Lite, ancak CCPA GDPR'den bazı anlamlı şekillerde farklı olduğundan, bu gerçekten yalnızca kavramsal anlamda doğruydu. Örneğin, CCPA:

• 2 yıl boyunca kar amacı gütmeyen kuruluşlara veya devlet kuruluşlarına ve muaf tutulan çalışanlara ve işletmeler arası (B3B) temaslara başvurmamış,
• Yalnızca, yaygın olarak markalı bağlı kuruluşlarla birlikte, küresel yıllık geliri 25,000,000 ABD Doları veya daha fazla olan, en az 50,000 tüketici (cihazları dahil) hakkında veri işleyen veya gelirlerinin %50'sini satıştan alan Kaliforniya'da iş yapan kar amacı gütmeyen şirketlere uygulanır. kişisel bilgilerin,
• Yeterli veri güvenliğinin sağlanamamasından kaynaklanan bir veri ihlalinden kaynaklanan zararlar için özel bir dava nedeni verildi (14 eyalet artık veri ihlali bildirim yasalarında özel bir dava sebebine izin veriyor),
• Gramm-Leach-Bliley, Adil Kredi Raporlama Yasası, Sürücü Gizliliğini Koruma Yasası ve Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası (HIPAA) tarafından düzenlenen bilgiler tarafından düzenlenen hariç tutulan kuruluşlar,
• Bir şirketin ana sayfasında “ etiketli bir web düğmesi gerekliydiKişisel Bilgilerimi Satma” kişisel bilgilerin “hizmet sağlayıcı” niteliği taşımayan üçüncü bir tarafa aktarılması için
• Reklam teknolojisi ve pazarlama teknolojisi sağlayıcılarını yakalayan “parasal olmayan değerlendirme” için herhangi bir veri aktarımının “satışı” olarak tanımlanır ve
• Pazarlama iletişimleri için çerez açılır pencereleri veya olumlu onay gerektirmez.

Konuk görüşü: Genel Veri Koruma Yönetmeliği veya GDPR – Her şeyin başladığı yer

Bununla birlikte, CCPA kadar geniş kapsamlı olduğu için, üzerindeki mürekkep kurumadan Kasım 2020'de California, 1 Ocak 2023'ten itibaren geçerli olmak üzere oylama girişimiyle California Gizlilik Hakları Yasasını (CPRA) yürürlüğe koydu. anlamlı yollar Örneğin, CPRA:

• CCPA'da 100,000 tüketici (50,000 yerine) hakkında veri toplamak için yargı yetkisini artırdı ve bir tüketicinin "cihazlarının" kapsamını düşürdü.
• Kaliforniya işletmesi Kaliforniyalıların kişisel bilgilerini bağlı kuruluşuyla fiilen paylaşmadıkça, kapsanan işletmeler tanımında yaygın olarak markalı bağlı kuruluşlar hariç tutulur,
• “Hassas bilgiler” adı verilen yeni bir kişisel bilgi kategorisini dahil etti ve Ayrılma Hakkını bu tür verileri kapsayacak şekilde genişletti,
• “Paylaşma” adı verilen bir üçüncü taraf veri ifşası kategorisi oluşturdu ve “Satmayın” düğmesini “Kişisel Bilgilerimi Satmayın veya Paylaşmayın” olarak genişletti.
• Bir işletmenin çalışanlarını ve işletmeler arası (B2B) kişileri kapsayacak şekilde veri haklarını genişletti ve
• Potansiyel yeni düzenleme için 22 yeni alan da dahil olmak üzere geniş düzenleyici yetkilere sahip, ülkedeki ilk özel devlet veri gizliliği düzenleyicisini (Kaliforniya Gizlilik Koruma Ajansı olarak adlandırılır) oluşturdu.

California Gizlilik Koruma Ajansı'nın (CPPA) geniş yetkileri göz ardı edilmemelidir, özellikle de CCPA halihazırda dört tur Başsavcı yönetmeliğine tabi olduğundan ve bazı durumlarda tüzükte sağlananların ötesinde kurallar dayatır. Ayrıca, Kaliforniya'nın özel dava nedeni ve diğer bazı yargı alanlarında veri ihlali yasaları kapsamında dava açma olasılığı, veri yönetimine ilişkin riskleri katlanarak artırmıştır.

CPRA tarafından değiştirildiği şekliyle CCPA'nın karmaşıklığı, halihazırda GDPR'ye rakip olmakla birlikte, hem Kaliforniya hem de Avrupa Birliği, sınır ötesi transfer kısıtlamaları ve bir dizi başka AB girişimi üzerinde birlikte çalışma hedefini dile getirdi. Bu arada, bir sonraki yazımızda göreceğimiz gibi, diğer ABD eyaletleri ipuçlarını Kaliforniya'dan alıyor.

Steve BrittCIPP/E, CIPM, hukuk firması Parker Poe'da siber, veri gizliliği ve teknoloji avukatıdır. Pratiğine odaklanıyor siber güvenlik ve veri gizliliği yasaları ve düzenlemeleri. Britt, müvekkillerine tüm veri koruma yasaları konusunda danışmanlık yapmaktadır. ona ulaşılabiliyor stevebritt@parkerpoe.com.

Sarah HutchinsCIPP/US, hukuk firması Parker Poe'da siber, veri gizliliği ve teknoloji avukatıdır. Müşterilerin iş davalarında, devlet soruşturmalarında ve veri gizliliği ve siber güvenlikte gezinmelerine yardımcı olur. Hutchins'e şu adresten ulaşılabilir: sarahhutchins@parkerpoe.com.