Od dnešního dne, 1. ledna 2020, vstoupí v platnost kalifornský zákon o ochraně soukromí spotřebitelů (CCPA).

Za prvé, účinky zákona jsou omezeny na obyvatele Kalifornie. To však neznamená, že podniky mimo Kalifornii nebudou muset dodržovat zákon, pokud budou jednat se zákazníky z tohoto státu. Vzhledem k tomu, že obyvatelé Kalifornie mají přístup k jakékoli webové stránce, bez ohledu na to, odkud je provozována, v zásadě to znamená, že všichni vlastníci webových stránek v USA i v zahraničí by měli podniknout kroky k dosažení souladu se zákonem CCPA.

Už jsme to viděli u zákona GDPR v Evropě, který byl zaměřen na všechny společnosti nakládající s osobními údaji občanů EU. V době, kdy GDPR vstoupilo v platnost, majitelé webových stránek v USA a jinde buď splnili GDPR pro všechny své zákazníky, nebo se rozhodli jednoduše zablokovat přístup na své webové stránky, pokud byla návštěva prováděna z IP v Evropské unii.

Pokud provozujete webovou stránku v některém z dalších amerických států, můžete zde čelit podobné volbě. Pokud si můžete dovolit vynechat své zákazníky žijící v Kalifornii, existuje možnost blokování návštěv z kalifornských IP adres. Zákony o ochraně osobních údajů však budou pravděpodobně i v budoucnu na pořadu jednání zákonodárců. Není nepředvídatelné, že podobnou legislativu v budoucnu přijme více, ne-li všechny státy. Takže místo postupného blokování potenciálních zákazníků může být moudřejší vyhovět nyní, bez ohledu na to, kde se vaše firma nachází.

Za druhé, na rozdíl od GDPR jsou účinky zákona poněkud omezené. CCPA se bude týkat pouze následujících společností:

• ty s hrubými příjmy alespoň 25 milionů dolarů
• ti, kteří mají osobní údaje o alespoň 50 000 obyvatelích Kalifornie/domácnostech /zařízeních ročně
• minimálně 50 % jejich ročních příjmůpochází z prodeje osobních údajů obyvatel Kalifornie

Pokud vaše webové stránky shromažďují osobní údaje, ale nespadají do žádné z výše uvedených kategorií, můžete podnikat jako obvykle. Tato upozornění jsou jasným znamením, že zákon nebyl navržen s ohledem na vlastníky malých podniků, ale že se zaměřuje spíše na korporace, které profitují z prodeje velkých souborů osobních údajů. Nezapomeňte si však zkontrolovat počet unikátních návštěvníků z Kalifornie, které máte na svém webu. Pokud toto číslo přesáhne 50 000 za rok, budete muset zvážit dodržování CCPA.

Stále můžete shromažďovat a dokonce prodávat osobní údaje, ale musíte uživatelům usnadnit odhlášení z tohoto procesu. Zákon výslovně říká, že pokud firma prodává osobní údaje uživatelů, musí na své domovské stránce uvést jasný odkaz s názvem „Neprodávejte mé osobní údaje“. Je také nezákonné nabízet různé služby nebo funkce založené na volbě přihlášení nebo odhlášení. Všichni zákazníci musí stále využívat stejné služby.

Podobně jako v případě GDPR musíte zákazníkům udělit právo na přístup k údajům, na vymazání jejich osobních údajůa požadovat zveřejnění všech kategorií osobních údajů, které shromažďujeme a prodáváme (pokud tomu tak je). To se bude provádět na roční bázi. Na požádání musíte poskytnout osobní údaje za posledních 12 měsíců předcházejících žádosti. Zákazník také může takové reklamace uplatnit maximálně dvakrát ročně.

Také se prosím ujistěte, že jste do svých zásad ochrany osobních údajů zahrnuli následující:

• všechny kategorie informací, které shromažďujete a zpracováváte
• k čemu tyto kategorie informací slouží
• jak se informace shromažďují
• jaký je postup při žádosti o přístup k osobním údajům, jejich změnu, přesun nebo výmaz
• jak se ověřuje totožnost osoby, která žádost podává
• pokud se prodávají osobní údaje, musí to být popsáno zde
• jak se odhlásit z prodeje jejich dat

Hlavním rizikem, kterému majitelé webových stránek čelí, je narušení dat. Podle zákona je společnost odpovědná za zabránění neoprávněnému přístupu a krádeži dat spotřebitelů. Pokud k tomu dojde, každý uživatel, jehož data unikla, má právo požádat o náhradu škody ve výši mezi 100 a 750 USD. Velké narušení dat, kdy jsou odcizena data tisíců uživatelů, může potenciálně vést k úpadku společnosti. Vynásobte 1000 x 750 $ a získáte odhad dopadu.

Než však dojde k jakékoli občanskoprávní žalobě, mají společnosti 30 dní na to, aby „vyléčily zjištěné porušení“, pokud je to možné.