encyklopedia.run.place

California Consumer Privacy Act (CCPA)

California Consumer Privacy Act, potocznie znany jako CCPA, to ustawodawstwo stanowe w Kalifornii, które weszło w życie 1 stycznia 2020 roku. Ustawa wprowadza szereg praw konsumentów dotyczących ich danych osobowych oraz nakłada obowiązki na przedsiębiorstwa przetwarzające te dane.

Historia i geneza

Rozmowy na temat ochrony prywatności w Stanach Zjednoczonych nabierały tempa po wejściu w życie europejskiego RODO (Rozporządzenie o Ochronie Danych Osobowych) w 2018 r. W odpowiedzi na rosnące obawy konsumentów oraz presję organizacji ochrony prywatności, legislatorzy z Kalifornii przyjęli projekt ustawy w 2018 roku, a następnie uchwalili ją w 2019 roku. Pierwsze obowiązujące przepisy zadebiutowały w 2020 r., a od 2023 roku wprowadzono kolejne poprawki znane jako California Privacy Rights Act (CPRA).

Kluczowe postanowienia

  • Prawo do wiedzy – konsument ma prawo dowiedzieć się, jakie informacje o nim są zbierane, w jakim celu i czy są sprzedawane lub ujawniane innym podmiotom.
  • Prawo do usunięcia – osoba może żądać usunięcia swoich danych osobowych, chyba że istnieją określone wyłączenia (np. spełnianie obowiązków prawnych).
  • Prawo do odmowy sprzedaży – konsument może wycofać zgodę na sprzedaż swoich danych (tzw. "opt‑out").
  • Prawo do równego traktowania – przedsiębiorstwa nie mogą odmówić świadczenia usług ani naliczyć wyższej ceny jedynie ze względu na skorzystanie z praw wynikających z CCPA.
  • Obowiązek przejrzystych polityk prywatności – firmy muszą udostępnić jasne i zrozumiałe informacje o przetwarzaniu danych.

Zastosowanie ustawy

CCPA dotyczy podmiotów, które spełniają przynajmniej jeden z następujących kryteriów:

  1. Generują przychody roczne powyżej 25 000 000 USD,
  2. Przetwarzają dane osobowe co najmniej 50 000 mieszkańców Kalifornii rocznie,
  3. Uzyskują przychody z “sprzedaży” danych osobowych.

Obowiązek dotyczy zarówno firm z siedzibą w Kalifornii, jak i podmiotów zagranicznych, które prowadzą działalność skierowaną do mieszkańców tego stanu.

Sankcje i egzekwowanie

Za naruszenie CCPA grożą kary pieniężne, które mogą wynosić od 2 500 USD do 7 500 USD za każde naruszenie, w zależności od tego, czy naruszenie zostało uznane za umyślne. Do egzekwowania ustawy uprawniony jest Prokurator Generalny Kalifornii oraz osoby prywatne, które mogą wystąpić na drogę sądową, jeśli ich prawa zostały naruszone.

Porównanie z RODO

Chociaż CCPA i RODO mają wspólny cel – ochronę prywatności konsumentów – różnią się pod względem zakresu i wymagań:

Aspekt CCPA RODO
Geograficzny zasięg Stany Zjednoczone (Kalifornia) Unia Europejska + kraje EOG
Definicja danych osobowych Węższa, skoncentrowana na „sprzedaży” danych Szersza, obejmuje wszelkie informacje pozwalające na identyfikację osoby
Podstawy prawne przetwarzania Głównie zgoda lub uzasadniony interes Rozbudowane, m.in. zgoda, wykonanie umowy, obowiązek prawny, ochrona żywotnych interesów
Prawo do przenoszenia danych Nieobowiązkowe Obowiązkowe
Kary Do 7 500 USD za naruszenie Do 20 M EUR lub 4 % globalnego obrotu rocznego

Krytyka i kontrowersje

Ustawa została skrytykowana z kilku stron:

  • Organizacje biznesowe argumentują, że definicja „sprzedaży” danych jest zbyt szeroka i utrudnia innowacje.
  • Eksperci ds. prywatności wskazują, że brak wymogu ochrony danych „przy projektowaniu” (privacy‑by‑design) osłabia skuteczność ustawy.
  • Niektórzy obserwatorzy podkreślają, że CCPA nie obejmuje pełnego prawa do przenoszenia danych, co ogranicza kontrolę konsumenta nad własną informacją.

Rozszerzenia i przyszłe zmiany

W 2023 roku przyjęto poprawki znane jako California Privacy Rights Act (CPRA), które wprowadziły dodatkowe prawa, m.in. prawo do korekty danych oraz ustanowiły nowy organ – California Privacy Protection Agency. Eksperci przewidują dalsze zaostrzenie przepisów, zwłaszcza w kontekście rosnącej liczby cyberataków i zwiększonej świadomości konsumentów w dziedzinie prywatności.

Powiązane legislacje

Na poziomie federalnym w USA istnieją inne inicjatywy legislacyjne, takie jak American Data Privacy Act oraz Virginia Consumer Data Protection Act. W Nowym Jorku przyjęto natomiast New York State Data Protection Act. Wszystkie one wskazują na rosnący trend w kierunku silniejszej ochrony prywatności w Stanach Zjednoczonych.

Bibliografia