CPRA et CCPA Audit et évaluation; nous sommes prêts quand vous l'êtes! Appelez-nous +1 (888) 896-7580 dès aujourd’hui.

La Californie a remplacé le CCPA en promulguant la Loi californienne sur les droits à la vie privée (« CPRA »). Le CPRA modifie la California Consumer Privacy Act (« CCPA »). Lazarus Alliance se coordonnera directement avec votre organisation pour planifier votre évaluation du California Privacy Rights Act (CPRA). Nos évaluateurs vous aideront à identifier le niveau de certification en fonction des exigences commerciales spécifiques de votre entreprise.

Les parties importantes sont :

• Les entreprises devront se conformer à la nouvelle réglementation si elles servent des résidents de Californie et réalisent au moins 25 millions de dollars de revenus annuels.
• Les entreprises qui tirent 50 % ou plus de leurs revenus annuels de la vente ou partage informations personnelles des consommateurs.
• Les entreprises classées comme « fournisseurs tiers » et « prestataires de services » en vertu du CCPA, la CPRA ajoute désormais « entrepreneur » comme catégorie distincte d'entités réglementées.
• Les entreprises de toute taille qui possèdent des données personnelles sur au moins 100,000 XNUMX personnes ou qui tirent plus de la moitié de leurs revenus de la vente de données personnelles.

Pour soutenir l’application de la CPRA, la Californie a créé l’Agence californienne de protection de la vie privée (« Agence de protection de la vie privée »). L’Agence de protection de la vie privée disposera de tous les pouvoirs administratifs, de l’autorité et de la juridiction nécessaires pour mettre en œuvre et faire respecter la CCPA et la CPRA. L’agence est habilitée à imposer une amende de 2,500 7,500 $ pour chaque violation de la CPRA ou de XNUMX XNUMX $ pour chaque violation intentionnelle ou chaque violation impliquant un mineur. Avant cette loi, la CCPA était appliquée par le Bureau du procureur général de Californie.

La CPRA élimine la disposition de préavis et de correction de 30 jours de la CCPA, mais l'Agence de protection de la vie privée a le pouvoir discrétionnaire d'accorder à une entreprise un délai pour remédier à la violation présumée et de prendre en considération l'absence d'intention de violer la CPRA et les efforts volontaires pour remédier à la violation présumée avant d'être informée d'une plainte.

Parlez avec l'un de nos Cybervisors™

Juste les faits ...

Qu'est-ce qu'une entreprise couverte?

Le CPRA modifie la définition de « entreprise » du CCPA, en changeant les entités couvertes. D’une part, le CPRA augmente le seuil de collecte du CCPA de 50,000 100,000 consommateurs ou ménages à 50 XNUMX, et il supprime les appareils de ce décompte. Ce changement apportera un soulagement aux petites entreprises. D’autre part, le CPRA étend la couverture pour inclure les entités qui tirent XNUMX % ou plus de leurs revenus annuels de la vente ou de la distribution de produits. partage informations personnelles des consommateurs, qu'ils reçoivent ou non une compensation financière. Bien que l'acte de partage Des informations personnelles sur les consommateurs ont été ajoutées, le seuil de 50 % reste inchangé. D'autres changements concernent les coentreprises ou les partenariats et les entités autocertifiées.

Enfin, outre les catégories de « fournisseurs tiers » et de « prestataires de services » prévues par la CCPA, la CPRA ajoute le « contractant » comme catégorie distincte d'entités réglementées. Un contractuel est un tiers à qui l'entreprise met à disposition des renseignements personnels de ses clients à des fins commerciales. À l'instar des prestataires de services, les contractuels doivent désormais conclure un contrat écrit et s'engager à prendre les mesures appropriées pour protéger les données électroniques concernées.

Que sont les informations personnelles sensibles ?

L’un des changements les plus importants apportés par la CCPA est la création d’une nouvelle classification des informations personnelles : les informations personnelles sensibles. Il s’agit d’une sous-catégorie des informations personnelles sensibles qui comprend :

• Numéros de sécurité sociale, de permis de conduire, de carte d'identité nationale ou de passeport
• Informations sur le compte financier
• Géolocalisation précise
• Raciale d'origine ethnique
• Vie sexuelle ou orientation sexuelle
• Croyances religieuses ou philosophiques
• Adhésion syndicale
• Communication non publique
• Données génétiques, biométriques et de santé

La collecte d'informations personnelles sensibles nécessite des exigences supplémentaires en matière de divulgation, de refus et d'utilisation. Le traitement distinct comprend l'octroi aux consommateurs du droit de limiter la divulgation et l'utilisation d'informations personnelles sensibles, sauf si cela est nécessaire à l'exécution des services. Les entreprises doivent fournir un lien sur leur site Web intitulé « Limiter l'utilisation de mes informations personnelles sensibles » en plus du lien de refus requis par le CCPA afin que les consommateurs puissent exercer ce droit.

Quels sont les droits nouveaux et élargis des consommateurs en matière de confidentialité ?

La CCPA a étendu les droits des résidents californiens bien au-delà des droits à la vie privée des consommateurs existants aux États-Unis : le droit de savoir, le droit d’accès, le droit de suppression et un droit privé d’action avec dommages-intérêts légaux. La CPRA étend certains de ces droits et en ajoute de nouveaux.

• Droit de savoir et droit d'accès élargisLa CPRA étend ce droit au-delà de la période normale de 12 mois prévue par la CCPA, à condition que cela ne soit pas « impossible » ou n’implique pas un effort « disproportionné ». La CPRA étend l’obligation de la CCPA de fournir les catégories de tiers à qui elle divulgue des renseignements personnels pour inclure les catégories de fournisseurs de services et d’entrepreneurs à qui elle divulgue des renseignements.
• Droit de suppression élargi. La CCPA accorde aux résidents californiens le droit de demander à une entreprise de supprimer leurs informations personnelles si elles ne sont plus nécessaires à l'accomplissement de l'un des objectifs statutaires. La CPRA étend ce droit, en exigeant des entreprises qu'elles envoient la demande de suppression aux tiers qui ont acheté ou reçu les informations personnelles du consommateur, de sorte que toutes les parties doivent se conformer à la demande.
• Droit de retraitLa CCPA accorde aux consommateurs le droit de refuser que des entreprises vendent leurs données à des tiers. La CPRA étend ce droit aux partage des renseignements personnels, en plus de la vente. Les entreprises doivent désormais informer les consommateurs lorsque leurs renseignements seront partagés et les informer de leur droit de refus.
• Droits d'adhésion pour les mineurs. La CCPA exige que les entreprises obtiennent le consentement explicite pour vendre les informations personnelles d'un mineur californien de moins de 16 ans. Le CPRA étend ce droit en obligeant les entreprises à attendre 12 mois avant de demander à un mineur le consentement pour vendre ou partager ses informations personnelles après que le mineur a refusé.

En plus d’étendre plusieurs droits du CCPA, le CPRA introduit également plusieurs nouveaux droits en matière de confidentialité des consommateurs :

• Droit de corriger des informationsLes consommateurs californiens ont désormais le droit de demander à une entreprise de corriger toute information personnelle inexacte.
• Droit de limiter l'utilisation et la divulgation des informations personnelles sensibles. Les consommateurs californiens ont désormais le droit de limiter l'utilisation et la divulgation d'informations personnelles sensibles aux utilisations nécessaires à la prestation de services ou à la fourniture de biens raisonnablement attendus par un consommateur moyen. Les prestataires de services et les tiers sont également tenus de respecter cette limitation.
• Droit d'accès aux informations sur la prise de décision automatiséeÀ l'instar du RGPD, les consommateurs ont désormais le droit d'accéder aux informations sur la manière dont les entreprises utilisent les technologies de prise de décision automatisée. Le CPRA leur donne le droit de refuser tout processus décisionnel automatisé.
• Droit à la portabilité des donnéesLes consommateurs californiens ont désormais le droit de demander aux entreprises de transférer des informations personnelles à une autre entité, dans la mesure où cela est techniquement possible.

Quelles sont les adoptions de certains principes du RGPD ?

Le CPRA a codifié les dispositions suivantes inspirées du RGPD :

• Minimisation des données. La CPRA limite les informations personnelles collectées par les entreprises à ce qui est « raisonnablement nécessaire et proportionné pour atteindre les objectifs pour lesquels les informations personnelles ont été collectées ». Cette section empêche également les entreprises de se soustraire aux obligations de la CPRA en envoyant des informations personnelles hors de l’État ou par l’intermédiaire de tiers, d’entrepreneurs ou de prestataires de services. Lorsqu’une entreprise collecte des informations personnelles et les transmet à une autre entité à des fins commerciales, la CPRA exige également la conclusion d’un accord spécifiant les objectifs limités des informations personnelles données. Les parties réceptrices doivent également se conformer aux obligations de la CPRA et fournir le même niveau de confidentialité, tandis que l’entreprise qui partage les informations est autorisée à prendre des mesures raisonnables pour garantir que les informations sont transférées de manière appropriée.
• Limitation des finalitésLa CPRA autorise les entreprises à recueillir des renseignements personnels uniquement à des « fins spécifiques, explicites et légitimes » qui sont divulguées à l’avance aux consommateurs.
• Limitation de la conservation des données. La CPRA contient des limitations de conservation des données qui, comme le RGPD, exigent que les entreprises divulguent aux consommateurs « la durée pendant laquelle l'entreprise a l'intention de conserver chaque catégorie de renseignements personnels ou, si cela n'est pas possible, les critères utilisés pour déterminer cette période... »
• Sécurité raisonnableLa CPRA traite expressément de la sécurité et des atteintes à la sécurité, une autre disposition inspirée du RGPD. Si une entreprise manque à son obligation de mettre en œuvre et de maintenir des procédures et pratiques de sécurité appropriées, les consommateurs peuvent intenter une action civile pour obtenir des dommages-intérêts, une injonction ou un jugement déclaratoire, ou toute autre réparation que le tribunal juge appropriée.

Qu'est-ce que le droit privé d'action ?

L'extension du droit d'action privé par la CPRA est sans doute l'une des dispositions les plus importantes pour les entreprises, compte tenu de la récente augmentation des violations de données. La CCPA confère aux consommateurs californiens le droit d'intenter une action en justice si leurs informations personnelles non chiffrées ou non expurgées sont divulguées parce qu'une entreprise n'a pas mis en œuvre de mesures de sécurité raisonnables. La CPRA étend ce droit d'action privé à l'accès non autorisé aux adresses e-mail, aux mots de passe ou aux questions de sécurité.

Perspectives

Ce ne sont là que quelques-uns des changements apportés par la CPRA au monde de la conformité aux données et à la confidentialité. Bien que tous les aspects de la CPRA n'entreront pleinement en vigueur qu'à partir du 1er janvier 2023, les entreprises qui font des affaires en Californie devraient commencer à jeter les bases internes de la conformité à la CPRA au cours des années 2021 et 2022.

Pour se préparer à la CPRA, les organisations peuvent prendre des mesures proactives telles que :

• Déterminez si vous êtes assujetti à la CPRACertaines entreprises qui n’étaient pas soumises au CCPA seront touchées par le CPRA, et vice versa.
• Demandes des consommateurs:Les entreprises doivent s’assurer qu’elles disposent de processus internes suffisants pour traiter les demandes des consommateurs et identifier comment étendre ces processus pour permettre aux consommateurs d’exercer des droits nouveaux et élargis en vertu de la CPRA.
• Mettre à jour les politiques de confidentialitéLes entreprises doivent examiner et envisager les mises à jour à apporter à leur avis de collecte initial et à l’avis de confidentialité de leur site Web pour refléter les nouvelles exigences, y compris celles concernant les informations personnelles sensibles et les droits nouveaux/élargis.
• Cartographie des données et auditsLes entreprises devraient envisager de mener un exercice de cartographie des données pour identifier les types de données que l’organisation stocke, la manière dont elles circulent dans l’organisation, qui a accès aux données et l’impact d’une violation potentielle.
• Examiner les accords avec des tiersLes entreprises doivent vérifier les accords avec des tiers pour déterminer si un addenda sur la protection des données est nécessaire pour mettre l’accord en conformité avec la CPRA.

Enfin, il est important de rappeler que le CCPA est toujours en vigueur et le restera jusqu’en 2023. En attendant, Lazarus Alliance est prête à aider votre entreprise à assurer sa conformité avec le CCPA et le CPRA.

Avantages de travailler avec Lazarus Alliance ...

Réductions de coûts

Nous travaillons plus intelligemment, et non plus dur, pour réduire vos coûts en vous donnant accès à l'application ITAM de Continuum GRC, la solution logicielle d'audit GRC SaaS compatible CCPA classée numéro un. Cette solution est la seule application d’évaluation conçue sur mesure pour le CPRA et le CCPA.

Avec des années d'expérience de travail avec nos clients pour nos clients, et non contre eux, avec des dépassements de budget et des augmentations de prix annuelles.

Proactif et non réactif

Nous travaillons avec nos clients CPRA et CCPA de manière proactive tout au long de l’année pour aider à prévenir les menaces à votre programme de conformité.

Compte tenu du temps et des dépenses nécessaires pour rester en conformité, vous ne voulez pas risquer une exposition à la conformité qui augmenterait vos coûts et invaliderait votre précieuse attestation.

Du début à la fin en un temps record

Notre approche et notre technologie d'évaluation CPRA et CCPA éprouvées améliorent considérablement le processus de validation. Nous enregistrons une réduction moyenne de 46 % du temps d'évaluation traditionnel grâce à notre méthodologie du chemin critique, notre philosophie proactive et l'utilisation de la Continuum GRC ITAM Plateforme. Vous disposez d'un accès 24h/7 et XNUMXj/XNUMX, permettant à chacun de sortir rapidement.

Parlez avec l'un de nos experts

Nos équipes Lazarus Alliance Cybervisor™ ont l’expérience de la réalisation de milliers d’évaluations pour des organisations fournissant des services à des clients du monde entier.