Персональные данные в Калифорнии

IT компаниям, которые планируют работать в США, необходимо учитывать положения законов о персональных данных разных штатов. Наиболее подробным (и опасным в случае несоблюдения) является Калифорнийский закон о защите персональной информации потребителей (California Consumer Privacy Act или CCPA).

Он был принят 28 июня 2018 года. Акт предоставляет жителям Калифорнии различные права в отношении их персональных данных (в акте используется термин "персональная информация"). Среди них можно выделить:

🟢право знать, какая персональная информация собирается;

🟢право знать, продаётся ли или раскрывается ли их персональная информация и кому;

🟢право запретить продажу персональной информации;

🟢право потребовать удалить персональную информацию;

🟢право на исправление неточной информации;

🟢право на ограничение использования чувствительных персональных данных.

CCPA применяется к любому бизнесу который собирает персональную информацию от потребителей в Калифорнии, даже если он физически не находится в этом штате или вообще в стране. Но при этом должно выполняться хотя бы одно из следующих условий:

🟠годовой валовый доход компании выше $25 миллионов;

🟠компания осуществляет покупку, получение или продажу персональной информации в отношении минимум 100 000 потребителей;

🟠более половины своего годового дохода компания получает от продажи персональной информации потребителей.

Для соблюдения CCPA компании должны внедрять необходимые меры по защите персональной информации и обеспечивать прозрачность при её обработке. Это включает обязанность публиковать уведомление о конфиденциальности (Privacy Notice) в доступном виде, где должен быть описан порядок сбора данных, их раскрытия и способы, которыми потребители могут реализовать свои права.

Ответственность. Компании, которые допускают утечки данных, должны будут на основании гражданских коллективных исков возместить от $100 до $750 каждому жителю, чьи данные были затронуты утечкой, за каждый такой инцидент, или возместить фактические убытки, в зависимости от того, какая сумма больше. При этом уполномоченный представитель Генеральной прокуратуры Калифорнии может заявить гражданский иск самостоятельно от имени жителей штата. Другие нарушения караются судебными запретами и штрафами до 2500 долларов за каждое неумышленное нарушение и до 7500 долларов за каждое умышленное нарушение. Штраф должен быть взыскан в рамках гражданского иска, поданного от имени жителей штата Калифорния Генеральным прокурором.

В общем подход к регулированию обработки персональных данных в CCPA немного отличается от подхода в GDPR. Поэтому лучше включать Privacy Notice для жителей Калифорнии в Privacy Policy в виде отдельного раздела.

Тг канал IT-юрист в эмиграции

#сша #персональныеданные #право #it