California Consumer Privacy Act

California Consumer Privacy Act (CCPA) — это закон штата Калифорния (США), направленный на усиление защиты персональных данных потребителей. Принят в 2018 году, вступил в силу 1 января 2020 года. CCPA предоставляет жителям Калифорнии ряд прав в отношении сбора, хранения и использования их личной информации коммерческими организациями. Закон считается одним из наиболее строгих в США и часто сравнивается с Общим регламентом защиты данных (GDPR) Европейского союза, хотя имеет существенные отличия.

История принятия

Предпосылкой к разработке CCPA послужил ряд громких скандалов, связанных с утечками данных и неправомерным использованием личной информации крупными технологическими компаниями, в частности инцидент с Cambridge Analytica в 2018 году. В ответ на общественное недовольство и отсутствие единого федерального закона о конфиденциальности данных в США, законодательное собрание Калифорнии ускоренно приняло законопроект AB 375.

Закон был подписан губернатором Джерри Брауном 28 июня 2018 года. Изначально CCPA должен был вступить в силу 1 января 2020 года, а правоприменительная практика со стороны Генерального прокурора штата началась с 1 июля 2020 года. В 2020 году на референдуме штата был принят Закон о правах на конфиденциальность Калифорнии (CPRA), который внёс поправки в CCPA и расширил его положения, создав отдельное агентство по защите данных — Калифорнийское агентство по защите конфиденциальности (CPPA). CPRA вступил в силу 1 января 2023 года.

Сфера действия

CCPA распространяется на коммерческие организации (for-profit businesses), которые ведут бизнес в Калифорнии и соответствуют хотя бы одному из следующих критериев:

• Годовой валовой доход превышает 25 миллионов долларов США.
• Ежегодно получают, продают или передают для коммерческих целей личную информацию 100 000 и более потребителей, домохозяйств или устройств.
• Не менее 50 % годового дохода получают от продажи личной информации потребителей.

Закон не распространяется на государственные органы, некоммерческие организации, а также на информацию, уже защищённую другими федеральными законами (например, медицинские данные, подпадающие под HIPAA, или финансовая информация, регулируемая GLBA).

Основные права потребителей

CCPA предоставляет калифорнийским резидентам следующие ключевые права:

Право на знание

Потребитель имеет право запросить у компании раскрытие информации о том, какие категории личных данных были собраны о нём за последние 12 месяцев, для каких целей они использовались, с какими третьими лицами они были переданы, а также конкретные фрагменты данных.

Право на удаление

Потребитель может потребовать от компании безвозвратно удалить его личную информацию, за исключением случаев, когда она необходима для завершения транзакции, обеспечения безопасности, соблюдения юридических обязательств или выполнения других законных целей.

Право на отказ от продажи

Потребитель имеет право в любой момент запретить компании продавать его личную информацию третьим лицам. Компании обязаны размещать на своём сайте ссылку «Do Not Sell My Personal Information» («Не продавать мою личную информацию»).

Право на недискриминацию

Компания не имеет права отказывать потребителю в услугах или товарах, устанавливать разные цены или предоставлять иной уровень обслуживания, если потребитель воспользовался своими правами по CCPA. Однако закон допускает предоставление скидок или бонусов в обмен на сбор данных, если это не является дискриминацией.

Определение личной информации

CCPA даёт широкое определение личной информации (personal information): это любая информация, которая идентифицирует, относится к, описывает, может быть связана с конкретным потребителем или домохозяйством. В перечень входят:

• Имя, адрес, номер телефона, адрес электронной почты.
• Идентификаторы государственных документов (номер социального страхования, водительские права).
• Коммерческая информация (история покупок, записи о потреблении).
• Биометрические данные.
• Данные об интернет-активности (cookies, IP-адреса, история браузера).
• Геолокационные данные.
• Аудио-, видео- и электронные записи.
• Профессиональная информация.
• Выводы, сделанные на основе перечисленных данных (например, профили предпочтений).

Обязанности бизнеса

Компании, подпадающие под действие CCPA, обязаны:

• Разработать и опубликовать политику конфиденциальности, в которой чётко описаны категории собираемых данных, цели их использования и права потребителей.
• Предоставлять потребителям не менее двух способов подачи запросов (например, бесплатный телефонный номер и веб-форму).
• Отвечать на верифицированные запросы потребителей в течение 45 дней (с возможностью продления ещё на 45 дней при уведомлении).
• Обучать сотрудников, взаимодействующих с потребителями, процедурам обработки запросов.
• Не собирать данные без уведомления и согласия.

Правоприменение и штрафы

CCPA предусматривает два механизма ответственности:

• Гражданские иски — потребители могут подавать коллективные иски в случае утечки данных, произошедшей из-за необеспечения компанией разумной безопасности. Размер ущерба составляет от 100 до 750 долларов на каждого пострадавшего за каждый инцидент или фактический ущерб.
• Административные штрафы — Генеральный прокурор Калифорнии может налагать штрафы за неисполнение закона после уведомления и 30-дневного срока на исправление. Штраф составляет до 2500 долларов за каждое неумышленное нарушение и до 7500 долларов за каждое умышленное.

Сравнение с другими законами

Критика и сложности

CCPA подвергается критике по нескольким направлениям:

• Сложность соблюдения — закон требует от бизнеса значительных затрат на внедрение систем управления запросами, аудит данных и юридическое сопровождение. Малые компании часто не в состоянии выполнить требования.
• Неопределённость формулировок — некоторые термины (например, «продажа» данных) трактуются неоднозначно, что приводит к судебным спорам.
• Ограниченная эффективность — критики отмечают, что закон не запрещает сбор данных, а лишь даёт потребителю возможность отказаться от продажи, что не останавливает массовую слежку со стороны платформ.
• Фрагментация законодательства — CCPA действует только в одном штате, что создаёт неравные условия для бизнеса и потребителей в разных частях США. В ответ на это ряд других штатов (Виргиния, Колорадо, Коннектикут) приняли собственные законы о конфиденциальности.

Влияние на практику

Принятие CCPA стимулировало крупные технологические компании (Google, Meta — организация признана экстремистской и запрещена в РФ, Amazon, Microsoft) к пересмотру политик обработки данных и внедрению инструментов самообслуживания для пользователей. Закон также способствовал росту индустрии консалтинга по защите данных и разработке программного обеспечения для управления согласиями (consent management platforms). В России CCPA часто упоминается в контексте обсуждения аналогов — Федерального закона «О персональных данных» № 152-ФЗ, который, однако, имеет существенно иной механизм регулирования.

Источники

• California Consumer Privacy Act of 2018 (CCPA) — текст закона (California Civil Code §§ 1798.100–1798.199).
• California Privacy Rights Act of 2020 (CPRA) — поправки к CCPA.
• Официальные руководства Генерального прокурора Калифорнии по CCPA (2020–2021).
• Аналитические материалы Федеральной торговой комиссии США (FTC) по вопросам конфиденциальности.
• Публикации Electronic Frontier Foundation (EFF) и других правозащитных организаций.
• Обзоры практики применения CCPA в юридических журналах (Harvard Journal of Law & Technology, Stanford Law Review).