O que é a CCPA?
Nos Estados Unidos, não existe uma lei federal uniforme sobre privacidade de dados. Historicamente, as leis federais de privacidade de dados têm sido específicas para cada setor; alguns exemplos comuns incluem setores como saúde, finanças e educação, com a HIPAA (Lei de Portabilidade e Responsabilidade de Seguros de Saúde), a GLBA (Lei Gramm-Leach-Bliley) e a FERPA (Lei de Direitos Educacionais e Privacidade da Família), respectivamente.
Em nível estadual, existem diversas leis estaduais de privacidade do consumidor que datam de 2018, como a BIPA (Lei de Privacidade de Informações Biométricas) de Illinois e a Lei de Proteção de Informações da Flórida. A Califórnia promulgou a Lei de Privacidade do Consumidor da Califórnia (“CCPA”) em 28 de junho de 2019, que entrou em vigor em 1º de janeiro de 2020. A CCPA é a primeira lei estadual abrangente de privacidade de dados do país.
A CCPA concede diversos novos direitos aos consumidores da Califórnia em relação às suas Informações Pessoais, incluindo:
- Solicitar informações sobre os dados pessoais coletados, como as fontes e finalidades da coleta e os terceiros com quem os dados pessoais são compartilhados;
- Solicitar a eliminação de informações pessoais e;
- Optar por não participar da “venda” de suas informações pessoais.
Que informações estão protegidas?
O objetivo da lei é proteger os direitos dos consumidores da Califórnia em relação às suas informações pessoais. Assim, ela define "Informações Pessoais" como informações coletadas e utilizadas dos usuários que se relacionam à sua identidade ou informações pessoais. Ou seja, qualquer informação que identifique ou possa ser razoavelmente vinculada a um consumidor específico (ou seja, um residente da Califórnia) ou domicílio. Isso inclui:
- Nome do consumidor (primeiro e último nome);
- Dados biométricos;
- Atividade na Internet;
- Geolocalização (GPS);
- Endereço de e-mail;
- Número da Segurança Social;
- Histórico de consumo comercial;
- Informações sobre o domicílio.
Informações publicamente disponíveis por meio de registros governamentais não estão incluídas na definição da lei.
Quem deve cumprir a lei?
A CCPA aplica-se a qualquer empresa que opere na Califórnia e que satisfaça uma das três condições a seguir:
- Ter um faturamento anual de 25,000,000 milhões de dólares ou mais;
- Processamento de informações pessoais de mais de 50,000 “consumidores, domicílios ou dispositivos”; ou
- A empresa obtém mais de 50% de sua receita anual com a venda de informações pessoais dos consumidores.
A lei também se aplica a empresas de fora do estado que: visam o lucro; operam na Califórnia; e coletam dados de consumidores. Com base nos critérios estabelecidos pela lei, estima-se que aproximadamente 500,000 empresas precisarão se adequar à CCPA até 2020.
Quais são os direitos concedidos aos consumidores?
Conforme discutido anteriormente, alguns dos direitos concedidos aos consumidores são os seguintes:
- Direito de saber e de acesso – os tipos de informação que foram recolhidas;
- Direito de solicitar a eliminação – de qualquer informação que a pessoa não deseje que a empresa possua;
- Direito de optar por não permitir a venda de informações – por uma empresa que vende informações do usuário para outras empresas;
- Direito à notificação de incentivos financeiros – quando uma empresa oferece incentivos para a coleta de dados pessoais do usuário;
- Direito de intentar ações judiciais individuais ou coletivas – aplicam-se as indemnizações legais.
- Direito de ter um botão “Não venda minhas informações”
Como as organizações podem cumprir as normas?
Os impactos operacionais da conformidade com a CCPA se enquadram em quatro (4) categorias:
- Avisos de Privacidade;
- Mapeamento de dados;
- Contratos;
- Solicitações de dados do consumidor.
No que diz respeito aos Avisos de Privacidade, as organizações devem atualizá-los para que se tornem visíveis aos consumidores (também definidos como "ativos e serviços voltados para o consumidor"). Um exemplo comum disso são links claros e visíveis para a opção de desativação da coleta de dados.
O mapeamento de dados, semelhante à exigência do GDPR da UE, exige que as organizações identifiquem quais sistemas processam informações do consumidor e avaliem quais usos são dados a esses dados, como a venda de informações pessoais. Um método comum de mapeamento de dados é a elaboração de fluxos de dados que demonstram o ciclo de vida da informação, incluindo: coleta, processamento, armazenamento, transmissão e descarte.
No que diz respeito a contratos, as organizações devem identificar quais categorias de informações pessoais são transferidas para terceiros e atualizar seus contratos com fornecedores e contratos de prestação de serviços. Cláusulas comuns a serem revisadas incluem os procedimentos de notificação de violação de dados.
Para solicitações de consumidores — que são pedidos feitos por consumidores em relação ao uso e à coleta de seus dados — as organizações devem implementar soluções que rastreiem e respondam às solicitações de direitos do consumidor em até 45 dias após o recebimento da solicitação. Uma boa solução é fornecer um número de telefone gratuito e/ou sites para contato com a organização.
Quais são os riscos da não conformidade?
As violações da CCPA podem ser cumulativas e representar riscos dispendiosos para as empresas abrangidas pela lei. Alguns dos riscos associados ao não cumprimento da lei são:
- Perda de relações comerciais;
- Ações ou processos judiciais privados;
- Ações de fiscalização e multas aplicadas pelo Procurador-Geral da Califórnia.
A perda de relações comerciais refere-se aos relacionamentos com outras organizações que estão dentro do escopo da Conformidade com a CCPA. Essas organizações podem não conseguir fazer negócios com outras partes que não cumprem ou simplesmente ignoram os requisitos da CCPA.
Ações privadas referem-se a consumidores que têm o direito de entrar com ações judiciais privadas sob a CCPA (Lei de Privacidade do Consumidor da Califórnia) e podem pleitear indenizações de até US$ 750 por violação, incluindo danos estatutários ou danos reais, como medidas cautelares e/ou declaratórias, ou qualquer outra medida que o tribunal julgar adequada. Além disso, se um consumidor optou por não permitir a venda de seus dados, mas estes foram vendidos de forma consciente e intencional por uma empresa sem seu consentimento, a indenização por danos estatutários pode variar entre US$ 1,000 e US$ 3,000, ou por danos reais, o que for maior.
As Ações de Fiscalização referem-se à autoridade concedida ao Procurador-Geral do Estado e/ou aos Municípios, que podem fazer cumprir a lei. Nesses casos, eles podem entrar com uma ação civil contra qualquer empresa, companhia ou entidade que não cumprir as diretrizes da CCPA após 30 dias do recebimento da notificação. As empresas terão então 30 dias para sanar a alegada não conformidade, sob pena de multa de até US$ 7,500 por violação.
