Cumprindo com a Lei de Privacidade do Consumidor da Califórnia

Em junho de 2018, a Califórnia aprovou a Lei de Privacidade do Consumidor da Califórnia (CCPA). A CCPA exige que as empresas mostrem todos os dados que possuem sobre os consumidores residentes na Califórnia, incluindo uma lista completa de todos os terceiros que têm acesso a esses dados. Isso resultou na necessidade de as empresas reformularem seus métodos de coleta de dados e causou tumulto para muitos.

As empresas que estão dentro ou fora do estado da Califórnia devem estar em conformidade com a CCPA agora que o prazo, 1 de janeiro de 2020, passou. Esta é uma medida positiva em direção aos direitos dos consumidores, e uma das principais características dessas novas regulamentações é que as empresas devem notificar os consumidores sobre a tentativa de gerar lucros com seus dados, e também conceder um meio para que não participem dessa monetização.

Apesar de ter quase dois anos para se preparar, muitas empresas ainda lutam para cumprir. Para dar a você uma compreensão abrangente do que é esperado e como ser conforme, o seguinte guia cobre:

1. As empresas afetadas pela CCPA
2. Como a CCPA define dados pessoais
3. Direitos do consumidor sob a CCPA
4. Sua lista de verificação para conformidade com a CCPA
5. Multas da CCPA
6. CCPA vs. GDPR
7. Como a terceirização da verificação de identidade pode ajudar

1. As empresas afetadas pela CCPA

A CCPA se aplica a qualquer negócio que gera lucros vendendo, compartilhando ou coletando dados pessoais de residentes da Califórnia. Embora isso pareça um pouco vago, a CCPA lista critérios para empresas que precisam estar em conformidade, incluindo:

1. Elas armazenam dados pessoais de mais de 50.000 consumidores, dispositivos ou residências
2. Mais de 50% de sua receita anual vem da venda de dados pessoais
3. Sua receita bruta anual excede $25 milhões

2. Como a CCPA define dados pessoais

Antes de mergulhar em como a conformidade funciona, é importante entender como a CCPA define dados pessoais. Abaixo está a definição incluída na lei:

“Informação que identifica, relaciona-se, descreve, é razoavelmente capaz de ser associada a, ou poderia razoavelmente estar vinculada, direta ou indiretamente, a um consumidor ou residência particular.”

Embora isso pareça uma maneira alarmante e vaga de definir dados pessoais, a CCPA elabora a definição. Abaixo estão as diferentes categorias de dados pessoais, bem como exemplos concretos de cada uma:

1. Identificadores: nome real, pseudônimo, endereço postal, identificador pessoal único, identificador online, endereço de Protocolo da Internet, endereço de e-mail, nome da conta, número da seguridade social, número da carteira de motorista, número do passaporte ou outros identificadores semelhantes
2. Características de classificações protegidas sob a lei da Califórnia ou federal: idade, expressão de gênero, orientação sexual, raça, religião, identidade de gênero.
3. Informações comerciais: registros de propriedade pessoal, produtos ou serviços comprados, obtidos ou considerados, ou outros históricos ou tendências de compra ou consumo
4. Dados pessoais de consumidores da Califórnia que as empresas coletam: endereço, número de filhos, quão rápido um consumidor dirige, personalidade do consumidor, hábitos de sono, informações biométricas e de saúde, informações financeiras, informações de geolocalização, rede social, etc.
5. Informações biométricas: impressão digital, altura, reconhecimento facial, voz, cor do cabelo, etc.
6. Informações sobre atividades na internet ou em outra rede eletrônica: histórico de navegação, histórico de pesquisa e informações sobre a interação de um consumidor com um site, aplicativo ou anúncio da Internet
7. Dados de geolocalização
8. Informações de áudio, eletrônicas, visuais, térmicas, olfativas ou similares.
9. Informações profissionais ou relacionadas ao emprego
10. Informações educacionais
11. Interferências: informações identificadas para criar um perfil sobre um consumidor refletindo as preferências, características, tendências psicológicas, comportamentos, atitudes, inteligência, habilidades e aptidões do consumidor

3. Direitos do consumidor sob a CCPA 

Ter todos os dados pessoais bem organizados e acessíveis é essencial para estar em conformidade com a CCPA. Isso porque os consumidores têm o direito de solicitar todos os dados que uma empresa possui sobre eles duas vezes por ano, gratuitamente. Este é apenas um dos muitos direitos dos consumidores sob a CCPA, outros incluem:

• O direito de dizer não à venda dos seus dados pessoais
• Direito de processar empresas que coletaram seus dados quando ocorre uma violação
• O direito de solicitar a exclusão dos seus dados pessoais
• O direito de conhecer a finalidade da coleta dos dados pessoais de um indivíduo
• O direito de saber as fontes das informações de onde os dados pessoais do consumidor foram adquiridos
• As partes terceiras com as quais os dados pessoais são compartilhados

Esses são os direitos mais importantes em termos de como podem impactar seu negócio. Você pode visualizar a lista completa de direitos do consumidor sob a CCPA aqui.

4. Sua lista de verificação para conformidade com a CCPA

Ter acesso a todas essas informações de uma forma que possibilite que os clientes exerçam seus direitos pode ser desafiador. Para ajudar você a se adaptar às novas mudanças que a CCPA traz, montamos uma lista rápida de atividades.

4.1. Mantenha registros de dados pessoais

Tenha um registro dos dados pessoais que você coletou sobre cada cliente nos últimos 12 meses. Quando os clientes se aproximam de você com um pedido de seus dados, certifique-se de que as consultas são gratuitas.

4.2. Seja responsivo

Se um dos seus consumidores pedir que você divulgue ou exclua dados pessoais sobre eles, responda dentro dos primeiros dez dias após o pedido. O prazo pode ser estendido para 45 dias se necessário.

4.3. Certifique-se de que eles possam optar por não participar

Ofereça aos seus consumidores a opção de decidir quais dados pessoais você pode armazenar. Isso inclui dar aos seus consumidores o direito de usar seu direito de optar por não vender seus dados. Caso decidam optar por não participar, evite discriminar essa decisão. Isso inclui fornecer benefícios e qualidade de serviço iguais, independentemente de eles aceitarem ou não.

4.4. Certifique-se de obter consentimento

Se um dos seus consumidores tiver entre 13 e 16 anos, lembre-se de obter seu consentimento antes de vender seus dados pessoais. No caso de crianças abaixo de 13 anos, você deve obter o consentimento dos pais.

4.5. Mantenha sua política de privacidade atualizada

Lembre-se de atualizar sua política de privacidade e incluir todas as modificações que a CCPA exige.

5. Multas da CCPA

Uma das diferenças mais importantes entre a CCPA e a GDPR é que a CCPA concede explicitamente aos consumidores o direito de processar empresas se pessoas não autorizadas tiverem acesso aos seus dados pessoais.

Embora a faixa de multas seja de US$ 100 a US$ 750 por cada evento, os consumidores podem reivindicar muito mais dependendo do dano causado. Nos termos exatos que a CCPA usa, os consumidores podem:

“Recuperar danos em valor não inferior a cem dólares (US$100) e não superior a setecentos e cinquenta dólares (US$750) por consumidor por incidente ou danos reais, o que for maior.”

As penas civis também devem ser consideradas. O Procurador-Geral pode processar uma empresa por violações gerais da CCPA, mesmo que não tenha havido violação segundo a CCPA. A multa máxima é de US$ 7.500 para violações não intencionais e US$ 2.500 quando as violações são acidentais.

6. CCPA vs. GDPR

Se você já estiver familiarizado com o Regulamento Geral de Proteção de Dados (GDPR) da União Europeia, pode já ter percebido algumas semelhanças.

Tanto a CCPA quanto a GDPR foram criadas para dar aos titulares de dados certos direitos com relação aos seus dados pessoais, incluindo:

• O direito de acesso
• O direito de ser informado
• O direito à portabilidade
• O direito à exclusão

Ambas as leis também contemplam o escopo da extraterritorialidade. Isso significa que as regulamentações afetarão qualquer empresa no mundo, desde que certos requisitos sejam atendidos. Para a CCPA, qualquer empresa que negocie com dados de consumidores de mais de 50.000 residentes da Califórnia deve estar em conformidade. No caso do GDPR, não importa onde a empresa esteja, desde que ofereça serviços a indivíduos dentro da UE.

Embora haja muitas semelhanças nos objetivos de ambas as reformas, há uma grande diferença nas multas. As multas da CCPA são impostas pelo Procurador Geral da Califórnia, variando de US$ 2.500 a US$ 7.500 por violação. Por outro lado, as multas do GDPR são impostas pela Autoridade de Proteção de Dados dos Estados membros da UE, e variam de 4% da receita anual global de uma empresa até € 20 milhões.

7. Como um parceiro de verificação de identidade pode ajudar

Ao comparar a CCPA e o GDPR, ambas visam melhorar a transparência entre consumidores e empresas em relação ao uso de dados pessoais. Para empresas globais em indústrias regulamentadas onde conhecer seu cliente é requisito, estar em conformidade em ambas as frentes é crítico.

Usar um parceiro de verificação de identidade pode ajudar você a gerenciar dados pessoais de uma maneira que seja tanto segura quanto em conformidade com regulamentações como o GDPR e a CCPA. A Veriff ajuda empresas internacionais como Turo, Blockchain, e mais a verificar usuários e atender às demandas regulatórias. Saiba mais sobre como podemos ajudar agendando uma demonstração com um de nossos especialistas em produtos.