O que é a CPRA? Entendendo a Lei de Direitos de Privacidade da Califórnia

CCPA vs. CPRA

Para uma empresa na Califórnia, é natural se perguntar: "A CPRA substitui a CCPA?" e se a CCPA ainda se aplica. Embora a CPRA tenha o objetivo de substituir a CCPA, é importante observar que a CPRA altera a CCPA e, portanto, atua mais como uma "atualização" do que como uma substituição.

A CPRA entrou em vigor em 1º de janeiro de 2023. Isso significa que as empresas agora precisam modificar suas práticas de coleta de dados e se tornar compatíveis com a CPRA. É provável que a maioria dessas empresas já esteja em conformidade com a CCPA. Por isso, seria útil conhecer as principais diferenças entre a CCPA e CPRA e quais práticas precisarão ser alteradas.

Requisitos do CPRA

Há vários requisitos da CPRA relacionados à proteção e ao gerenciamento das informações pessoais dos consumidores. Veja a seguir o que você deve saber:

A CPRA cria uma nova categoria de informações pessoais sensíveis (SPI)

A CPRA cria uma nova categoria de informações pessoais chamada Informações Pessoais Sensíveis (SPI), que está sujeita a requisitos mais rígidos de divulgação e limitação de finalidade. Como a CPRA também especifica que as medidas de segurança dos dados devem ser adequadas ao tipo de dados, seria razoável supor que as SPI exigiriam salvaguardas e proteções adicionais.

Mais importante ainda, a CPRA oferece aos clientes a capacidade de solicitar que as empresas limitem o uso dos SPIs dos consumidores. O SPI contém conjuntos de informações muito confidenciais, como:

• Número do seguro social;
• Carteira de motorista;
• Carteira de identidade estadual;
• Número do passaporte;
• Informações da conta financeira e credenciais de login;
• Número do cartão de débito ou de crédito, juntamente com os códigos de acesso;
• Dados de geolocalização precisos;
• Crenças religiosas ou filosóficas;
• Origem étnica;
• Conteúdo da comunicação;
• Dados genéticos;
• Informações biométricas para identificação;
• Informações sobre saúde;
• Informações sobre sexo ou orientação sexual.

CPRA exige novos links em um site

A CPRA revisa os padrões de como um site permite que os usuários exerçam seu direito de limitar o uso de suas informações pessoais e acrescenta um requisito de como um site permite que os usuários optem por não ter suas informações pessoais vendidas ou compartilhadas.

A CPRA modifica o botão Não vender da CCPA, exigindo que um site tenha um link que diga "Não vender ou compartilhar minhas informações pessoais" para permitir que os consumidores optem pela não venda e compartilhamento de suas informações pessoais.

A CPRA também acrescenta uma nova obrigação para que um site tenha um link rotulado como"Limitar o uso de minhas informações pessoais confidenciais", permitindo que os californianos controlem como suas SPI são usadas e divulgadas.

Além disso, a CPRA recomenda que as empresas criem "um link único e claramente identificado" que permita que os consumidores optem pela não venda ou compartilhamento de Informações Pessoais e, ao mesmo tempo, limitem o uso ou a divulgação de suas SPI.

A CPRA cria novos direitos para os titulares de dados e altera os direitos existentes na CCPA

A CPRA concede aos consumidores direitos adicionais com relação a seus dados pessoais. Esses direitos incluem:

• Direito de correção - Os consumidores têm o direito de solicitar que suas PI e SPI sejam alteradas se descobrirem que estão incorretas.
• Direito de recusar a tomada de decisão automatizada - os Titulares dos Dados podem recusar que suas IP e SPI sejam usadas para tirar conclusões automatizadas, como a criação de perfis para publicidade comportamental direcionada.
• Direito de saber sobre a tomada de decisão automatizada - Os titulares dos dados podem solicitar informações sobre como as tecnologias de decisão automatizada funcionam e seus prováveis resultados.
• Direito de limitar o uso de informações pessoais confidenciais - Os californianos podem obrigar as empresas a limitar o uso de categorias especiais de dados pessoais, especialmente quando se trata de compartilhamento com terceiros.

A CPRA também alterou as obrigações das entidades cobertas ao atender às solicitações dos titulares de dados concedidas pela CCPA.

• Direito de exclusão - Os consumidores agora podem solicitar que as empresas orientem fornecedores terceirizados, prestadores de serviços ou contratados a apagar informações pessoais que a empresa possa ter vendido ou compartilhado com eles.
• Direito de acesso - as empresas agora também precisam fornecer todos os dados de PI que compartilharam com terceiros e os terceiros com os quais compartilharam a PI.
• Direito de recusa - Os titulares dos dados agora têm a opção de recusar que suas informações pessoais sejam vendidas ou compartilhadas com terceiros, inclusive para publicidade comportamental entre contextos.
• Direito à portabilidade de dados - Os titulares de dados têm o direito de solicitar que as organizações enviem determinadas informações pessoais para outra entidade. Essa transmissão, no entanto, deve ser tecnicamente viável para a empresa.
• Direito dos menores - Agora, as empresas devem notificar os menores caso pretendam vender ou compartilhar suas informações pessoais. Também é importante observar que, se um consumidor com menos de 16 anos se recusar a dar sua aprovação para que uma empresa venda ou compartilhe suas informações pessoais, a empresa deverá aguardar mais 12 meses ou esperar até que o consumidor complete 16 anos para solicitar novamente seu consentimento.

CPRA rege a publicidade comportamental

A Lei de Direitos de Privacidade da Califórnia (CPRA) modifica a CCPA para reger a publicidade comportamental que usa informações pessoais para traçar o perfil dos cidadãos da Califórnia e promover anúncios.

A CPRA apresenta a Agência de Proteção à Privacidade da Califórnia (CPPA)

Conforme mencionado anteriormente, a California Privacy Protection Agency (CPPA) é designada como a principal executora e supervisora do regime de privacidade de dados da CPRA. É a primeira autoridade dedicada à proteção de dados criada nos Estados Unidos.

CPRA inspira-se no GPDR da UE

A CPRA acrescenta disposições semelhantes ao GDPR à CCPA, como requisitos de minimização e retenção de dados, além de exigir que as empresas que realizam "processamento arriscado" conduzam e publiquem avaliações de risco.

Como a CPRA afeta a política de privacidade de dados de uma organização

Com a CPRA em vigor desde 1º de janeiro de 2023, ela está influenciando significativamente a forma como as empresas garantem que os clientes saibam quais dados estão sendo coletados sobre eles. Aqui estão as principais áreas em que o impacto mais perceptível está ocorrendo:

Aviso de cobrança

De acordo com a CCPA, os sites já são obrigados a garantir que os clientes saibam exatamente quando seus dados estão sendo coletados. Entretanto, de acordo com a CPRA, as organizações serão obrigadas a entrar em detalhes adicionais sobre como e por que precisam coletar os dados de um usuário. Os três principais avisos adicionais incluem a responsabilidade de divulgar se as organizações compartilham suas informações pessoais, se coletam informações pessoais confidenciais (SPI) e por quanto tempo manterão os dados coletados.

Política de privacidade

É natural que a nova regulamentação CPRA exija que as empresas alterem suas políticas de privacidade existentes. As mudanças mais notáveis incluem informar ao usuário se elas planejam "compartilhar" seus dados, além de "vender" seus dados. De acordo com a CCPA, as empresas só precisavam informar aos usuários se planejavam vender seus dados.

Penalidade por não conformidade com a CPRA

A CPPA tem o mandato de investigar possíveis violações da CPRA, conduzir audiências administrativas, impor multas por violações e entrar na justiça em uma ação civil para recuperar multas não pagas.

É importante observar que o Procurador Geral da Califórnia mantém o poder de aplicar a CPRA por meio de penalidades civis e deverá coordenar suas ações com a CPPA. As violações de acordo com a CPRA podem ocorrer se uma empresa:

• Não cumpre com os direitos dos consumidores em tempo hábil.
• Não criar e manter uma política de privacidade ou aviso de privacidade atualizado.
• Não fornece opção de exclusão quando planeja compartilhar ou vender informações pessoais confidenciais dos consumidores.
• Não garante a não discriminação quando um consumidor exerce seus direitos de privacidade.

Se uma empresa for considerada responsável por uma penalidade civil, ela será multada em até US$ 2.500 por violação não intencional e US$ 7.500 por violação intencional.

Como cumprir a CPRA?

Não é nenhuma surpresa que essa nova lei mudará a forma como os sites coletam informações sobre seus clientes. Entretanto, quanto mais rápido as empresas entenderem e cumprirem a CPRA maiores serão as chances de reforçar a proteção de dados, atender à conformidade e conquistar a confiança dos clientes. É nesse ponto que Securiti pode ajudar.

Securiti é líder global em software de conformidade de privacidade que utiliza automação robóticaaprendizado de máquina, inteligência artificial, descoberta de dados de PI orientada por IA, gerenciamento de consentimento de cookiese responsabilidade documentada para garantir a conformidade com a privacidade de sua empresa. Isso não apenas garante a conformidade com a CPRA para uma empresa, mas também o faz da maneira mais descomplicada possível. Para ver as ferramentas da Securitiem ação, solicite uma demonstração hoje mesmo.