California Consumer Privacy Act (CCPA) – Inte bara fyrverkerier som smäller till årsskiftet

"The final countdown" till California Consumer Privacy Act (CCPA) har redan börjat. Den 1 januari 2020 kommer företag och organisationer som bedriver verksamhet i Kalifornien bli ålagda att följa delstatens nya och stränga integritetslagstiftning.

Den fastställer laglig rätt till personlig integritet och skydd av personuppgifter för alla invånare i Kalifornien. Då Kalifornien är USA’s största delstatsekonomi, tillika en av världens största enskilda marknader, blir detta ett skallkrav som sträcker sig långt utanför delstatens gränser. Alla företag som bedriver verksamhet i Kalifornien måste tillmötesgå CCPAs regelverk.

Liksom EU: s allmänna dataskyddsförordning (GDPR) som trädde i kraft 2018, lovar Kaliforniens lagstiftning stora böter för företag som bryter mot dess bestämmelser.

Många företag höll sig till en början avvaktade till att anpassa sin verksamhet efter GDPRs regler.

Efter ett antal förelägganden, såsom de numer välkända intrången som skedde hos ett stort flygbolag samt en internationell hotellkedja, där stora volymer av kundinformation läckt ut och där bötesbeloppen blev >100 miljoner USD, har både medvetenheten samt uppfyllandet ökat drastiskt.

Vad är CCPA?

I korthet ger CCPA följande skydd av personuppgifter för konsumenter i Kalifornien:

• Äganderätt. Skyddar konsumenternas rätt att kontrollera och styra enskilda personuppgifter. Företag får inte dela eller sälja kunders personliga information utan den enskildas medgivande.
• Kontroll över personuppgifter. Ger konsumentkontroll över den personliga information som samlas in.
• Säkerhet. Ställer krav på att företag som hanterar personuppgifter att implementera skyddsmekanismer mot läckage av personlig information.

Många företag bedrev omfattande projekt förra året för att följa GDPR. Nu gäller samma sak CCPA. Om ert företag samlar in uppgifter om kundidentiteter i Kalifornien för att anpassa marknadskampanjer till rätt målgrupp, måste ni agera. Vilka företag och organisationer omfattas av CCPA:

• Företag med intäkter >25 miljoner dollar eller,
• Företag som köper, tar emot, säljer eller delar personlig information från >50.000 konsumenter, hushåll eller enheter för kommersiella ändamål eller,
• 50% av företagets årliga intäkter genereras av att sälja konsumenters personliga information.     

Skillnaden mellan GDPR och CCPA?

Även om CCPA skiljer sig något från GDPR, ger det konsumenterna jämförbara rättigheter att kontrollera användningen av personuppgifter.

Bägge förordningar fastställer att företag skall lagra personligt identifierbar information (PII) säkert, att företagen är transparenta om de typer av personuppgifter som samlas in samt har processer att hantera konsumentförfrågningar om radering av personuppgifter ("rätten att glömmas").

Detta innebär att de på kundens inrådan ska kunna radera personuppgifter från alla system i företaget. CCPA skiljer sig från GDPR genom att det kräver möjlighet för användare att välja bort kontra kräva uttryckligt samtycke, innan man samlar in PII.

Ytterligare globala förordningar

GDPR och CCPA är bara början på en global trend. Över hela världen övervägs eller antas många lagar om integritet. På internationell nivå är trenden att mycket striktare sekretessbestämmelser är ett globalt fenomen.

Exempel på befintliga och planerade dataskydds- och sekretessregler:

Varför behövs dessa förordningar?

Vi är alla kunder. Våra identiteter är värdefulla tillgångar - inte bara för de företag som samlar in och sammanställer vår PII. Vi, de enskilda konsumenterna äger informationen om oss själva och självklart ska vi ha kontrollen över och bestämma vad, hur och när vår personliga data ska delas och förvaras. Om användandet av vår PII missbrukas, ska ansvar kunna utkrävas.

När vi flyttade in i den digitala världen, hamnade personuppgifter i vår profildata; allt från namn, adress, telefon, kön, betalningsinformation och personliga preferenser till köp, surfhistorik och annan beteendedata.

Regelverk och kraven på säker fövaltning av PII är viktiga faktorer som bidrar till identitetshanteringens komplexitet och betydelse.

Identitetshanteringslösningar möjliggör för företag att erbjuda dess kunder öppenhet och egen kontroll över konsumentens personuppgifter. Genom att minimera uppgifter som sparas under registreringen samt be om samtycke innan de behandlar data, ger man kunden kontroll över deras personliga data.

Konsumenter kommer att kunna granska, ändra och återkalla sitt samtycke. Genom att tillhandahålla ett centralt arkiv för kunddata med granulär åtkomstkontroll kan en identitetshanteringslösning förhindra spridning av "giftig" identitetsinformation (t.ex. data som fortfarande lagras i databasen efter att kunden har återkallat samtycke eller efter begärd radering). Ett centralt arkiv kommer också förenkla raderingen av data i samband med "rätt att glömmas" förfrågningar.

Hur kan företag och organisationer dra nytta av CCPA?

Identity Cloud är Akamais lösning för hantering av kundidentitet, vilket tillhandahåller allt företag behöver för att göra det möjligt för sina kunder att skapa personliga konton och säkert logga in på digitala webbplatser. Identity Cloud tillhandahåller verktyg som kan användas för att avsevärt minska ansträngningarna för integritetsöverensstämmelse, samtidigt som företagen har ett mycket säkert kundprofilförvar och en 360-syn på kunden. Identity Cloud erbjuder specifika funktioner och användarupplevelser som hjälper företag att möta krav såsom: "tillstånd", "opt-out-insamling" och en förenklad hantering, åtkomsträttigheter för personuppgifter, rätten att glömmas och andra skyldigheter som förordningar som GDPR och CCPA åläggs företag.

Flera av våra kunder som har implementerat Identity Cloud med syfte att möta regelverk har samtidigt fått ett mer effektiv flöde genom hela arkitekturen vilket har bidragit till en snabbare "time-to-market". Med andra ord går att vända de här komplexa utmaningarna till företagens fördel. För mer information och kontakta oss gärna för en dialog.

För mer information och dialog kontakta oss.