Kalifornien unternahm 2018 mit dem California Consumer Privacy Act (CCPA) mutige Schritte zum Schutz von Verbraucherdaten. Dabei handelte es sich um die erste US-amerikanische Datenschutzverordnung, die eine strenge Aufsicht und erhebliche finanzielle Risiken für Unternehmen vorsah. Dieses wegweisende Gesetz schärfte das Bewusstsein für die Notwendigkeit, Verbraucherdaten und die individuellen Rechte von Nutzern zu schützen. Es leitete Schritte zu mehr Transparenz ein, indem es regelte, wie Unternehmen Verbraucherdaten erheben und verwenden.
Die Wähler in Kalifornien zeigten, dass sie das Gesetz uneingeschränkt unterstützten, indem sie kürzlich für die Schaffung der California Privacy Protection Agency und die Erweiterung des CCPA durch den California Privacy Rights Act (CPRA) stimmten, der am 1. Januar 2023 in Kraft tritt.
Das neue Gesetz erweitert die bestehende CCPA-Definition der sensiblen Daten einer Person um sämtliche Informationen, die vernünftigerweise mit einer Person in Verbindung gebracht werden können. Das neue Gesetz erleichtert es Verbrauchern außerdem, die Verarbeitung sensibler Informationen zu kontrollieren.
Das bedeutet, dass Unternehmen erneut gezwungen sind, ihre Datenmanagement- und Cybersicherheits-prozesse zu überprüfen und Best Practices zu entwickeln. Dazu gehören regelmäßige Bewertungen von Daten über ihren gesamten Lebenszyklus hinweg, um den Wert dieser Informationen für die Organisation zu beurteilen und festzustellen, ob sie angemessen bereinigt oder sicher gespeichert werden sollten.
Siehe auch: Die besten Data-Analytics-Tools
Weitreichendes Datenschutzgesetz
Es kann zu Verwirrung über die CCPA-Compliance kommen, aber machen Sie sich nichts vor: Jedes Unternehmen, das bestimmte Kriterien erfüllt – unabhängig von seinem Standort –, muss das Gesetz einhalten, wenn es in Kalifornien Geschäfte machen will. Mit 39 Millionen Einwohnern, der Nummer-eins-Wirtschaft der USA und einer Wachstumsrate, die nur von China übertroffen wird, ist Kalifornien ein äußerst attraktiver Markt für Unternehmen aus aller Welt.
Unternehmen, die den CCPA einhalten müssen, sind gewinnorientierte Unternehmen, die Zweck und Mittel der Datenverarbeitung bestimmen. Außerdem überschreiten sie mindestens einen der folgenden drei Schwellenwerte für Umsatz oder Informationsverarbeitung:
- Erzielen einen jährlichen Bruttoumsatz von 25 Millionen US-Dollar oder mehr.
- Erzielen mindestens 50 % ihres Jahresumsatzes durch den Verkauf oder die Weitergabe personenbezogener Daten von Einwohnern Kaliforniens.
- Kaufen, verkaufen oder teilen jährlich die personenbezogenen Daten von mindestens 100.000 Einwohnern Kaliforniens oder kalifornischen Haushalten.
Siehe auch: Die beste Business-Intelligence-Software
CCPA-Compliance durch Best Practices im Datenmanagement erreichen
Ein Ziel des erweiterten Gesetzes besteht darin, durch die Zusicherung, dass ihre Daten nicht missbräuchlich verwendet werden, größeres Vertrauen bei Verbrauchern zu schaffen. Zu diesem Zweck baut der CPRA auf dem CCPA auf, indem er die Erhebung, Speicherung und Nutzung personenbezogener und sensibler Daten über einen bestimmten Zeitraum hinaus beschränkt, der mit dem Verbraucher vereinbart wurde.
Zu den wichtigsten Änderungen, die es zu beachten gilt, gehören:
- Die Erhebung, Nutzung, Aufbewahrung und Weitergabe personenbezogener Daten muss den Zwecken dienen, für die die personenbezogenen Daten erhoben wurden. Dies erfordert eine regelmäßige Bewertung der Daten über ihren gesamten Lebenszyklus hinweg, um den Wert der Informationen für die Organisation zu beurteilen und festzustellen, ob sie bereinigt oder sicher gespeichert werden sollten.
- Eine umfassende Prüfspur der Daten über ihren gesamten Lebenszyklus hinweg – von der Erhebung bis zur Bereinigung – muss aufrechterhalten werden. Dadurch kann im unglücklichen Fall einer Datenschutzverletzung nachvollzogen werden, was mit den Daten geschehen ist.
- Verbraucher haben das Recht, unrichtige Informationen korrigieren zu lassen und die Nutzung sensibler personenbezogener Daten einzuschränken.
- Das neue Gesetz erweitert außerdem das Auskunftsrecht auf Informationen, die über einen längeren Zeitraum erhoben wurden, und streicht Ausnahmen, die es Unternehmen erlauben, Löschanfragen abzulehnen.
Wahrscheinlich werden all diese Änderungen Unternehmen dazu zwingen, ihre aktuellen Prozesse anzupassen und Best Practices für das Datenmanagement zu implementieren.
Siehe auch: Data-Mining-Techniken
Bessere Durchsetzung, höhere Strafen
Die Folgen einer Nichteinhaltung sind erheblich. Die California Protection Agency wird gemeinsam mit dem Büro des kalifornischen Generalstaatsanwalts befugt sein, ab dem 1. Juli 2023 zivil- und verwaltungsrechtliche Maßnahmen gegen jedes Unternehmen einzuleiten, das im Verdacht steht, gegen den aktualisierten CCPA zu verstoßen.
Geschäftsinhabern, die gegen den CCPA verstoßen, drohen Verwaltungsstrafen von bis zu 2.500 US-Dollar für jeden Verstoß und bis zu 7.500 US-Dollar für jeden vorsätzlichen Verstoß. Die Strafen für den Missbrauch von Informationen über Kinder sind besonders hoch.
Verstöße im Zusammenhang mit der Verarbeitung personenbezogener Daten Minderjähriger, etwa wenn die Einwilligung zur Teilnahme entweder vom Minderjährigen selbst (bei einem Alter zwischen 13 und 15 Jahren) oder von einem Elternteil bzw. Erziehungsberechtigten (bei einem Alter von 12 Jahren oder jünger) eingeholt werden muss, haben sich bei fahrlässigen Verstößen gegen den Schutz von Kindern im Alter von 16 Jahren oder jünger verdreifacht.
Siehe auch: Trends im Echtzeit-Datenmanagement
Ein Gewinn für Verbraucher und Unternehmen
Unterm Strich ist der CCPA eine gute Sache für Verbraucher. Die Maßnahmen des ursprünglichen CCPA sowie die Anforderungen der neuen und verbesserten Fassung sollen die personenbezogenen Daten der Verbraucher schützen. Zusammen geben sie Verbrauchern ein hohes Maß an Kontrolle darüber, wie ihre Daten verwendet werden und wofür sie verwendet werden, einschließlich ihrer Monetarisierung.
Auch Unternehmen profitieren. Da der neue CCPA viele Unternehmen dazu verpflichten wird, ihre Datenmanagement- und Sicherheitspraktiken zu überarbeiten – einschließlich der Frage, wie und wann sie regelmäßige Bereinigungen als Präventivmaßnahme durchführen –, werden sie ihre Angriffsfläche reduzieren und das Risiko von Bußgeldern infolge möglicher rechtlicher Schritte mindern.
Da weniger als ein Jahr zur Vorbereitung auf die erweiterten CCPA-Vorschriften bleibt, müssen Unternehmen jetzt handeln und neue Richtlinien entwickeln, die den neuen Vorgaben Kaliforniens entsprechen. Organisationen, die den ursprünglichen CCPA und die geänderte Fassung des Gesetzes ernst nehmen und ihre Datenmanagementprozesse einschließlich Datenbereinigung und Cybersicherheitsschutz anpassen, werden nicht ins Visier des CPRA geraten. Darüber hinaus werden sie starke Kundenbeziehungen schaffen, die auf gegenseitigem Vertrauen und Respekt vor der Privatsphäre der Verbraucher beruhen.
Siehe auch: Die führenden Unternehmen für digitale Transformation
Über den Autor:
Fredrik Forslund, VP of Cloud and Data Center Erasure, Blancco