California Consumer Privacy Act (CCPA) er en databeskyttelseslov som skal forbedre privacy-rettigheder og forbrugerbeskyttelse for beboere i Californien, USA.
CCPA er et regelsæt for, hvordan virksomheder kan indsamle, dele og behandle personlige oplysninger (Personal Information – PI) for borgere i Californien.
Den nye lov, der trådte i kraft den 1. januar 2020, er resultatet af et øget fokus på den rolle personlige oplysninger spiller i moderne forretningspraksis, samt den effekt indsamling og behandling af personlige data har på forbrugernes ret til privacy.
Bøderammen for ikke at overholde CCPA er sat til $7500 for hver overtrædelse eller $750 pr berørt borger.
CCPA kræver, at du informerer dine besøgende (forbrugere) på tidspunktet for - eller før - indsamlingen af deres personlige oplysninger.
Du skal beskrive, hvilke kategorier af personlige oplysninger du indsamler, og hvad disse data bruges til (formål). Desuden skal du medtage en beskrivelse af forbrugerrettigheder i din privatlivspolitik, og hvordan du imødekommer disse rettigheder.
Dine brugere har ret til at anmode om adgang til de personlige oplysninger, som din virksomhed gemmer om dem.
Som virksomhed er du forpligtet til at give adgang til de indsamlede oplysninger.
Dine brugere har ret til at fravælge salget af deres personlige oplysninger (også til en tredjepart).
CCPA kræver, at du implementerer et link "Sælg ikke" på dit website og i din privatlivspolitik. På den måde kan dine brugere nemt fravælge indsamling af personlige data.
Dine brugere kan anmode om at få slettet deres personlige oplysninger. Hvis de gør det, skal du imødekomme deres anmodning.
Personlige oplysninger under CCPA er:
Hvis en af dine brugere (forbrugere) anmoder om adgang til deres personlige oplysninger, er du forpligtet til at give en detaljeret oversigt over registreret data for de sidste 12 måneder (på tidspunktet for anmodningen).
I modsætning til GDPR, som primært fokuserer på komplet beskyttelse af brugernes privatliv, er CCPA mere baseret på idéen om gennemsigtighed og muligheden for at fravælge databehandling.
CCPA kræver endvidere, at virksomheder skal kunne informere om dataoverførsler og tidligere solgte brugeroplysninger fra de sidste 12 måneder.
