Os EUA não têm uma lei federal de privacidade abrangente, mas várias leis estaduais exigem agora uma análise conforme com a privacidade. O CCPA na Califórnia (e o seu sucessor, o CPRA) abriu o caminho. Existem agora leis semelhantes na Virgínia, no Colorado, no Connecticut, no Utah, no Montana e no Delaware. Num website dos EUA, partindo do princípio de que tens visitantes de vários estados, provavelmente tens de cumprir várias destas leis em simultâneo.
Como funciona o CCPA/CPRA
O CCPA (California Consumer Privacy Act) aplica-se a empresas com fins lucrativos que recolhem dados de residentes da Califórnia. Exige aviso da recolha de dados, divulgação de que dados são recolhidos e porquê, e direitos dos utilizadores de aceder, apagar e recusar a venda de dados. O CPRA (California Privacy Rights Act), que alterou o CCPA, acrescenta requisitos de consentimento mais rigorosos e o direito dos consumidores de corrigir dados incorretos.
O que ativa o CCPA
O CCPA aplica-se se a tua empresa cumprir qualquer um destes critérios: 25 milhões de dólares ou mais de receita anual, comprar/vender/partilhar dados de 100 mil ou mais pessoas ou agregados familiares, ou obter 50% ou mais da receita da venda de dados de consumidores. Muitas empresas de média dimensão ativam isto sem perceber.
O CCPA aplica-se a “informação pessoal”: dados que identificam, se relacionam ou podem ser ligados a uma pessoa concreta. É mais amplo do que o RGPD. Inclui inferências sobre preferências, localização, comportamento comercial e mais. Na análise, a maior parte do rastreamento qualifica-se.
Os direitos do CCPA que tens de respeitar
Direito de saber: os utilizadores podem pedir que informação pessoal recolheste e como a usaste. Tens de responder em 45 dias (prorrogáveis até 90). A divulgação tem de ser completa.
Direito de apagar: os utilizadores podem pedir a eliminação da sua informação pessoal. Tens de cumprir em 45 dias. No entanto, podes manter dados para fins legítimos do negócio (por exemplo, deteção de fraude) ou por conformidade legal.
Direito de recusar vendas: os utilizadores podem pedir que deixes de vender os seus dados. Tens de respeitar isto em 15 dias úteis. Nota: “venda” no CCPA inclui partilhar por qualquer coisa de valor, não apenas dinheiro.
Direito de corrigir: ao abrigo do CPRA, os utilizadores podem pedir que corrijas dados incorretos. É novo e direto: se os dados estão errados, corrige-os.
Adesão (opt-in) e recusa (opt-out)
O CCPA usa a recusa para a venda de dados: os utilizadores podem vender os seus dados, a não ser que recusem. O CPRA e as leis estaduais mais recentes usam a adesão para dados sensíveis: precisas de autorização explícita antes de recolher informação sensível (localização precisa, números de segurança social, dados financeiros, etc.). Na análise, assume que precisas de consentimento por adesão ao abrigo das leis mais recentes.
Outras leis de privacidade estaduais
A Virgínia (VCDPA), o Colorado (CPA), o Connecticut (CTDPA), o Utah (UCPA), o Montana (MTDPA) e o Delaware (DPDPA) aprovaram todos leis de privacidade abrangentes. Seguem o modelo CCPA/CPRA: dão aos utilizadores direitos de saber, apagar e recusar. Os detalhes variam por estado, mas o padrão geral é consistente.
Deves cumprir todas?
Depende do teu público. Se serves sobretudo a Califórnia, foca-te no CCPA/CPRA. Se serves vários estados, a maioria das empresas usa um padrão de privacidade ao nível do RGPD (que excede a maioria dos requisitos das leis estaduais dos EUA) e aplica-o a todos os visitantes. É mais simples do que cumprir estado a estado.
A realidade de vários estados
A maioria dos websites tem visitantes de vários estados. Alguns servem os 50 estados. Em vez de manter práticas de análise diferentes por estado, a maioria das empresas adota o padrão mais rigoroso a que está sujeita e aplica-o a todos. Isto reduz a complexidade e garante que nunca estás em incumprimento.
A conformidade com o CCPA/CPRA na prática
A conformidade exige: uma política de privacidade que explique que dados recolhes e porquê; mecanismos claros de recusa para a venda de dados (se aplicável); a capacidade de responder a pedidos de acesso a dados em 45 dias; sistemas para apagar dados dos utilizadores a pedido; e um marketing honesto sobre as tuas práticas de dados (sem mentir sobre o que recolhes ou como usas).
Sanções e fiscalização do CCPA
O Procurador-Geral da Califórnia pode aplicar multas até 2.500 dólares por violação (ou 7.500 dólares por violação intencional). Os consumidores podem intentar ações privadas por fugas de dados (indemnizações legais de 100 a 750 dólares por pessoa por incidente). As ações coletivas são comuns. O impacto prático: uma violação do CCPA pode custar facilmente 1 a 10 milhões de dólares se afetar muitos utilizadores.
RGPD, CCPA e leis estaduais
O RGPD é mais rigoroso no consentimento. O CCPA é mais amplo no que conta como dado pessoal. As leis estaduais seguem o modelo do CCPA com variações. Se cumpres o RGPD (baseado em consentimento, transparência primeiro), cumpres em grande parte o CCPA e as leis estaduais. O inverso nem sempre é verdade: cumprir o CCPA pode não chegar para o RGPD.
Estou mesmo abrangido pelo CCPA? Como sei se atinjo o limiar de 25 milhões de dólares?
Estás abrangido pelo CCPA se cumprires QUALQUER uma de três condições: 25 milhões de dólares ou mais de receita anual, comprar/vender/partilhar dados de 100 mil ou mais pessoas, ou obter 50% ou mais da receita da venda de dados. O limiar de 25 milhões de dólares é direto (a receita do ano passado). O critério das 100 mil ou mais pessoas é mais complicado: se o teu fornecedor de análise trata dados de 100 mil ou mais visitantes, isto pode ativá-lo (estás a partilhar dados). O critério dos 50% ou mais aplica-se se a venda de dados for o teu negócio principal (raro). Para a maioria das empresas de média dimensão, o limiar de 25 milhões de dólares é o que conta. Auditoria: a receita do ano passado foi superior a 25 milhões de dólares? Se sim, aplica-se o CCPA.
O que conta como dado pessoal no CCPA face ao RGPD? Porque é o CCPA mais amplo?
RGPD: identifica a pessoa diretamente (nome, email) ou indiretamente (endereço IP). CCPA: mais amplo, inclui tudo o que o RGPD cobre MAIS inferências e previsões. Exemplo: cinco visitas a páginas de uma loja online. RGPD = dado pessoal (ID de sessão). CCPA = dado pessoal MAIS preferência inferida (inferência de que gostas de comprar). O CCPA inclui dados comportamentais e preditivos que o RGPD pode não incluir. Na análise: uma visualização de página é dado pessoal nos dois. Uma inferência comportamental (“interessado em artigos de luxo”) é sem dúvida informação pessoal do CCPA, possivelmente não do RGPD. A amplitude do CCPA significa que mais dados ativam a conformidade, o que o torna mais difícil do que o RGPD para algumas empresas.
Quando um utilizador pede a eliminação, que finalidades legítimas me permitem manter dados?
A eliminação do CCPA tem exceções. Mantém dados para: (1) Deteção de fraude/segurança. (2) Conformidade legal (impostos, contratos, processos judiciais). (3) Melhorar produtos (só se anonimizados/agregados). (4) Análise interna (só se anonimizados). (5) Cumprir as expectativas do utilizador (se prometeste mantê-los). Na análise: violação de segurança = manter. Retenção legal = manter. “Pode ser útil mais tarde” = apagar. Teste: conseguias explicar isto a uma autoridade reguladora e aguentar-se? Se sim, mantém. Se for especulativo, apaga.
Porque é o prazo de recusa de 15 dias e o prazo de acesso de 45 dias?
Complexidade diferente. A recusa da venda de dados é simples: acrescentar o utilizador à lista de não venda (uma alteração de configuração, dias de trabalho). 15 dias úteis (3 semanas) é razoável. Os pedidos de acesso são mais difíceis: obter todos os dados de todos os sistemas, compilar, formatar de forma legível, entregar. Isto exige consultar várias bases de dados, assinalar dados sensíveis e criar um documento legível. 45 dias (9 semanas) é realista para este trabalho. A lei reconhece a diferença de complexidade. Na análise: a recusa demora 2 a 3 dias (acrescentar à lista de supressão). O pedido de acesso demora 30 ou mais dias (extrair da análise, do CRM, do apoio, etc.).
O direito de ação privada é de 100 a 750 dólares por pessoa. Como se calcula?
Indemnizações legais: um valor fixo por pessoa por incidente, não baseado em danos reais. Exemplo: uma fuga afeta 10.000 pessoas. 10.000 × 100 dólares mínimos = 1 milhão de dólares de indemnização legal. Reclamar 750 dólares por pessoa = 7,5 milhões de dólares. O réu faz um acordo algures no meio. “Por incidente” significa que uma fuga = um incidente (não 10.000). Várias fugas somam indemnizações. Realidade: uma fuga de 10.000 pessoas custa facilmente 1 a 10 milhões de dólares em indemnizações legais, mais honorários de advogados. Os réus fazem acordo nas ações coletivas por 50 a 70% das indemnizações legais reclamadas. É por isso que a prevenção é crítica: as indemnizações legais são automáticas assim que a fuga é provada.
Para a conformidade em vários estados, devo aplicar regras específicas de cada estado ou usar o padrão RGPD?
Usa o padrão RGPD para todos. O RGPD é mais rigoroso do que todas as leis estaduais dos EUA. Se cumpres o RGPD, ultrapassas automaticamente a maioria dos requisitos estaduais. As regras por estado são operacionalmente complexas (avisos, retenção e recusas diferentes por estado). O padrão RGPD é mais simples: um só conjunto de regras cobre todos os estados. Exceção: se serves apenas um ou dois estados, otimiza para esses. Mas para 5 ou mais estados, ou para os 50, o padrão RGPD é mais fácil. Estratégia: constrói para o RGPD, acrescenta uma interface específica da Califórnia (ligação de recusa), configura a análise como se o RGPD se aplicasse a todos os estados. Vais estar em excesso de conformidade na maioria dos estados, o que é mais seguro do que ficar aquém.