CPRA та CCPA аудит та оцінка; ми готові, як і ви! Телефонуйте +1 (888) 896-7580 сьогодні.

Каліфорнія замінила CCPA, ухваливши Каліфорнійський закон про конфіденційність («CPRA»). CPRA вносить зміни до Закону Каліфорнії про конфіденційність споживачів («CCPA»). Lazarus Alliance безпосередньо координуватиме свою роботу з вашою організацією, щоб запланувати оцінювання відповідно до Закону Каліфорнії про права на конфіденційність (CPRA). Наші експерти допоможуть визначити рівень сертифікації на основі конкретних бізнес-вимог вашої компанії.

Важливими частинами є:

• Підприємства будуть зобов’язані дотримуватися нового правила, якщо вони обслуговують жителів Каліфорнії та мають щонайменше 25 мільйонів доларів річного доходу.
• Компанії, які отримують 50% або більше свого річного доходу від продажу або поділ особиста інформація споживачів.
• Підприємства, які за CCPA класифікуються як «сторонні постачальники» та «постачальники послуг», тепер CPRA додає «підрядника» як окремий клас регульованих організацій.
• Компанії будь-якого розміру, які мають персональні дані щонайменше 100,000 XNUMX осіб або які отримують більше половини своїх доходів від продажу персональних даних.

Щоб підтримати дотримання CPRA, Каліфорнія створила Каліфорнійське агентство із захисту конфіденційності («Агентство з питань конфіденційності»). Агентство з питань конфіденційності матиме всі адміністративні повноваження, повноваження та юрисдикцію для впровадження та забезпечення виконання CCPA та CPRA. Агентство має право накладати штраф у розмірі 2,500 доларів США за кожне порушення CPRA або 7,500 доларів США за кожне навмисне порушення чи кожне порушення за участю неповнолітнього. До цього закону CCPA контролювався офісом генерального прокурора Каліфорнії.

CPRA скасовує положення CCPA про 30-денне повідомлення та усунення, але Агентство з питань конфіденційності має право надати компанії період часу для усунення ймовірного порушення, беручи до уваги відсутність наміру порушити CPRA та добровільні зусилля для усунути ймовірне порушення до отримання повідомлення про скаргу.

Поговоріть з одним із наших Cybervisors™

Просто факти ...

Що таке охоплений бізнес?

CPRA змінює визначення «бізнесу», надане CCPA, змінюючи суб’єктів, які охоплюються. З одного боку, CPRA підвищує поріг збору CCPA з 50,000 100,000 споживачів або домогосподарств до 50 XNUMX, і виключає пристрої з цієї кількості. Ця зміна дасть полегшення малому бізнесу. З іншого боку, CPRA розширює охоплення, щоб включити суб’єкти, які отримують XNUMX% або більше свого річного доходу від продажу або поділ персональну інформацію споживачів, незалежно від того, чи отримують вони грошову компенсацію. Хоча акт поділ додано особисту інформацію споживача, 50% поріг залишається незмінним. Інші зміни включають спільні підприємства або товариства та самосертифіковані організації.

Зрештою, на додаток до категорій «сторонні постачальники» та «постачальники послуг» згідно з CCPA, CPRA додає «підрядника» як окремий клас регульованих організацій. Підрядник – це третя сторона, якій підприємство надає персональну інформацію споживачів для ділових цілей. Як і постачальники послуг, підрядники тепер повинні укласти письмовий договір та погодитися вжити відповідних заходів для захисту електронних даних, на які поширюється дія цього Закону.

Що таке конфіденційна особиста інформація?

Однією з найбільш значущих змін із CCPA є створення нової класифікації персональної інформації — конфіденційна персональна інформація. Це підкатегорія PI, яка включає:

• Номери соціального страхування, водійських прав, державного посвідчення або паспорта
• Інформація про фінансовий рахунок
• Точна геолокація
• Расове етнічне походження
• Статеве життя або сексуальна орієнтація
• Релігійні чи філософські переконання
• Членство в профспілці
• Непублічне спілкування
• Генетичні, біометричні дані та дані про здоров’я

Збір конфіденційної особистої інформації вимагає додаткових вимог щодо розкриття, відмови та використання. Окремий режим включає надання споживачам права обмежувати розкриття та використання конфіденційної особистої інформації, за винятком випадків, необхідних для надання послуг. Компанії повинні надати на своєму веб-сайті посилання під назвою «Обмежити використання моєї конфіденційної особистої інформації» на додаток до необхідного CCPA посилання для відмови, щоб споживачі могли скористатися цим правом.

Що таке нові та розширені права споживача на конфіденційність?

CCPA розширив права жителів Каліфорнії, які виходили далеко за рамки існуючих прав споживачів на конфіденційність у США: право знати, право на доступ, право на видалення та приватне право на позов із передбаченими законом збитками. CPRA розширює деякі з цих прав і додає нові.

• Розширене право знати/право на доступ. CPRA розширює це право за межі звичайного 12-місячного періоду огляду, передбаченого CCPA, якщо це не є «неможливим» або не передбачає «непропорційних» зусиль. CPRA розширює вимоги CCPA щодо надання категорій третіх сторін, яким він розкриває особисту інформацію, включаючи категорії постачальників послуг і підрядників, яким він розкриває інформацію.
• Розширене право на видалення. CCPA надає жителям Каліфорнії право вимагати, щоб компанія видалила їхню особисту інформацію, якщо вона більше не потрібна для виконання однієї зі встановлених законом цілей. CPRA розширює це право, вимагаючи від компаній надсилати запит на видалення третім сторонам, які купили або отримали особисту інформацію споживача, таким чином усі сторони повинні виконати запит.
• Право на відмовуCCPA надає споживачам право відмовитися від продажу компаніями їхніх даних третім сторонам. CPRA розширює це право, включивши до нього поділ особистої інформації, окрім продажу. Тепер підприємства повинні повідомляти споживачів про те, коли їхня інформація буде передана, а також повідомляти їх про їхнє право відмовитися.
• Права вибору для неповнолітніх. CCPA вимагає, щоб компанії отримували згоду на продаж особистої інформації неповнолітньої особи у Каліфорнії віком до 16 років. CPRA розширює це право, зобов’язуючи компанії чекати 12 місяців, перш ніж запитувати згоду неповнолітньої особи на продаж або передачу її особистої інформації. після того, як неповнолітній відмовився.

Окрім розширення кількох прав CCPA, CPRA також запроваджує кілька нових прав щодо конфіденційності споживачів:

• Право на правильну інформацію. Тепер споживачі в Каліфорнії мають право вимагати від компанії виправити будь-яку неточну особисту інформацію.
• Право на обмеження використання та розкриття конфіденційної ідентифікаційної інформації. Споживачі в Каліфорнії тепер мають право обмежувати використання та розголошення конфіденційної особистої інформації використанням, необхідним для надання послуг або товарів, яких обґрунтовано очікує пересічний споживач. Постачальники послуг і треті сторони також повинні дотримуватися цього обмеження.
• Право на доступ до інформації про автоматичне прийняття рішеньЯк і у випадку з GDPR, споживачі тепер мають право доступу до інформації про те, як компанії використовують технології автоматизованого прийняття рішень. CPRA надає споживачам право відмовитися від будь-яких автоматизованих процесів прийняття рішень.
• Право на портативність даних. Споживачі в Каліфорнії тепер мають право вимагати, щоб компанії передали особисту інформацію іншій організації, якщо це технічно можливо.

Що таке прийняття певних принципів GDPR?

CPRA кодифікував такі положення, натхненні GDPR:

• Мінімізація даних. CPRA обмежує особисту інформацію, яку збирають підприємства, тією, яка є «розумно необхідною та пропорційною для досягнення цілей, для яких була зібрана особиста інформація». Цей розділ також забороняє компаніям уникати зобов’язань CPRA, надсилаючи особисту інформацію за межі штату або через треті сторони, підрядників або постачальників послуг. Коли компанія збирає особисту інформацію та передає її іншій організації для комерційних цілей, CPRA також вимагає укладення угоди, яка визначає обмежені цілі наданої особистої інформації. Сторони-одержувачі також повинні дотримуватися зобов’язань CPRA та забезпечувати такий самий рівень конфіденційності, тоді як компанії, що обмінюються інформацією, мають право вживати розумних заходів для забезпечення належної передачі інформації.
• Обмеження мети. CPRA дозволяє компаніям збирати особисту інформацію лише для «конкретних, явних і законних розкритих цілей», які заздалегідь розкриваються споживачам.
• Обмеження збереження данихCPRA містить обмеження щодо зберігання даних, які, як і GDPR, вимагають від підприємств розкривати споживачам «тривалість часу, протягом якого підприємство має намір зберігати кожну категорію персональної інформації, або, якщо це неможливо, критерії, що використовуються для визначення такого періоду…».
• Розумна безпекаCPRA чітко стосується безпеки та порушень безпеки, що є ще одним положенням, натхненним GDPR. Якщо бізнес порушує свій обов'язок щодо впровадження та підтримки належних процедур і практик безпеки, споживачі можуть подати цивільний позов про відшкодування збитків, судову заборону або декларативне правове забезпечення, або будь-яке інше правове забезпечення, яке суд вважає належним.

Що таке приватне право на позов?

Розширення CPRA права на приватний позов, можливо, є одним із найважливіших положень для бізнесу, враховуючи нещодавнє зростання випадків витоків даних. CCPA надає споживачам Каліфорнії право на приватний позов, якщо їхня незашифрована або невідредагована особиста інформація стає розкритою через те, що бізнес не вжив належних заходів безпеки. CPRA розширює це право на приватний позов, включаючи несанкціонований доступ до адрес електронної пошти та паролів або контрольних питань.

Погляд у майбутнє

Це лише деякі зміни, які CPRA вносить у світ даних і забезпечення конфіденційності. Хоча всі аспекти CPRA не набудуть повної чинності до 1 січня 2023 року, компанії, які ведуть бізнес у Каліфорнії, повинні почати закладати внутрішню основу для відповідності CPRA протягом 2021 і 2022 років.

Щоб підготуватися до CPRA, організації можуть вжити таких активних заходів, як:

• Визначте, чи підлягаєте ви CPRA. Деякі підприємства, на які не поширювалася CCPA, стосуватимуться CPRA, і навпаки.
• Запити споживачів: Компанії повинні переконатися, що вони мають достатні внутрішні процеси для обробки запитів споживачів, і визначити, як розширити такі процеси, щоб дати споживачам змогу користуватися новими та розширеними правами відповідно до CPRA.
• Оновіть політику конфіденційності. Підприємствам слід переглянути та розглянути, які оновлення слід внести в своє початкове повідомлення про збір і повідомлення про конфіденційність веб-сайту, щоб відобразити нові вимоги, зокрема вимоги щодо конфіденційної особистої інформації та нових/розширених прав.
• Відображення даних і аудит. Підприємствам слід розглянути можливість проведення картографування даних, щоб визначити типи даних, які зберігає організація, як вони поширюються в організації, хто має доступ до даних і наслідки потенційного порушення.
• Перегляньте угоди з третіми особами. Компанії повинні перевіряти угоди з третіми сторонами, щоб визначити, чи потрібне доповнення про захист даних для приведення угоди у відповідність до CPRA.

Нарешті, важливо пам’ятати, що CCPA все ще діє й залишатиметься таким до 2023 року. Тим часом Lazarus Alliance готовий допомогти вашій компанії забезпечити відповідність вимогам CCPA та CPRA.

Переваги співпраці з Lazarus Alliance ...

Зниження витрат

Ми працюємо розумніше, а не старанніше, щоб знизити ваші витрати, надаючи вам доступ до програми ITAM від Continuum GRC, програмного забезпечення для аудиту SaaS GRC, що відповідає вимогам CCPA та посідає перше місце в рейтингу. Це рішення є єдиним додатком для оцінювання, створеним спеціально для CPRA та CCPA.

Маючи багаторічний досвід роботи з нашими клієнтами для наших клієнтів, а не проти них, з урахуванням поступового зростання обсягів робіт та щорічного підвищення цін.

Проактивний, а не реактивний

Ми активно співпрацюємо з нашими клієнтами CPRA та CCPA протягом року, щоб допомогти запобігти загрозам для вашої програми відповідності.

Маючи час і кошти, необхідні для дотримання відповідності, ви не хочете ризикувати порушенням відповідності, що призведе до збільшення ваших витрат і анулювання вашої цінної атестації.

Почніть, щоб закінчити за рекордний час

Наш перевірений підхід і технології оцінювання CPRA та CCPA значно покращують процес завершення. Ми в середньому скорочуємо час традиційної оцінки на 46% завдяки нашій методології критичного шляху, проактивній філософії та використанню... Континуум ГРЦ ІПМ платформа. Ви маєте цілодобовий доступ, що дозволяє всім швидко вийти.

Поговоріть з одним із наших експертів

Наші команди Lazarus Alliance Cybervisor™ мають досвід проведення тисяч оцінок для організацій, що надають послуги клієнтам у всьому світі.