Калифорнийское агентство по защите конфиденциальности

Калифорнийское агентство по защите конфиденциальности (California Privacy Protection Agency, CPPA) — независимое государственное агентство штата Калифорния (США), созданное для обеспечения соблюдения законов о защите персональных данных, в первую очередь Калифорнийского закона о правах потребителей на конфиденциальность (California Consumer Privacy Act, CCPA) и Закона о правах на конфиденциальность Калифорнии (California Privacy Rights Act, CPRA). Агентство обладает полномочиями по разработке нормативных актов, проведению расследований и наложению административных штрафов за нарушения в сфере обработки личной информации.

История создания

Предпосылкой к появлению CPPA стало принятие в 2018 году Калифорнийского закона о правах потребителей на конфиденциальность (CCPA), который вступил в силу 1 января 2020 года. CCPA предоставил жителям Калифорнии ряд прав в отношении их персональных данных, включая право на доступ, удаление и отказ от продажи данных. Однако в законе отсутствовал специализированный орган, ответственный за его исполнение: первоначально надзор осуществляла Генеральная прокуратура Калифорнии.

В ноябре 2020 года избиратели Калифорнии одобрили Предложение 24 (Proposition 24), известное как Закон о правах на конфиденциальность Калифорнии (CPRA). Этот закон существенно расширил положения CCPA и, что ключевое, учредил Калифорнийское агентство по защите конфиденциальности (CPPA) как независимый регулирующий орган. Создание CPPA было направлено на усиление контроля за соблюдением законов о конфиденциальности и обеспечение более эффективной защиты прав потребителей.

Агентство начало свою работу в 2021 году. Первые члены Совета были назначены в марте 2021 года, а в мае 2021 года состоялось первое публичное заседание. Полные полномочия по правоприменению CPPA получило 1 июля 2023 года, после завершения переходного периода, в течение которого основные функции по-прежнему выполняла Генеральная прокуратура.

Структура и управление

CPPA является независимым агентством, не входящим в структуру исполнительной власти штата. Его деятельность регулируется Советом (Board), который состоит из пяти членов.

Совет агентства

Члены Совета назначаются следующим образом:

• Два члена назначаются губернатором Калифорнии.
• По одному члену назначают Генеральный прокурор, Председатель Сената и Спикер Ассамблеи штата Калифорния.

Члены Совета должны обладать опытом в области защиты конфиденциальности, прав потребителей, технологий или права. Они не могут занимать другие государственные должности или быть сотрудниками организаций, подпадающих под регулирование CPPA. Срок полномочий членов Совета составляет восемь лет, что обеспечивает преемственность и независимость от политических циклов.

Совет назначает Исполнительного директора (Executive Director), который руководит повседневной работой агентства и его штатом. Штат CPPA состоит из юристов, специалистов по политике, аналитиков данных, следователей и административного персонала.

Финансирование

Финансирование CPPA осуществляется из Общего фонда штата Калифорния. Бюджет агентства утверждается законодательным собранием штата. В 2023–2024 финансовом году бюджет CPPA составил около 10 миллионов долларов. Агентство также может получать доходы от административных штрафов, налагаемых за нарушения, но эти средства поступают в общий бюджет штата, а не напрямую в распоряжение CPPA.

Полномочия и функции

CPPA обладает широкими полномочиями в сфере регулирования и контроля за соблюдением законов о конфиденциальности.

Нормотворчество

Одной из ключевых функций CPPA является разработка и принятие нормативных актов, детализирующих положения CCPA и CPRA. Агентство проводит публичные консультации, запрашивает комментарии от заинтересованных сторон (бизнеса, правозащитных организаций, граждан) и публикует проекты правил для обсуждения. Принятые правила имеют силу закона и обязательны для исполнения всеми субъектами, подпадающими под действие CCPA/CPRA.

К числу важнейших нормативных актов, принятых CPPA, относятся правила, касающиеся:

• Автоматизированного принятия решений (Automated Decision-Making).
• Обработки конфиденциальной личной информации (Sensitive Personal Information).
• Уведомлений о сборе данных.
• Процедур подачи запросов на доступ, удаление и исправление данных.
• Требований к программам кибербезопасности.

Правоприменение

CPPA имеет право проводить расследования в отношении компаний, подозреваемых в нарушении CCPA или CPRA. Расследование может быть начато как по собственной инициативе агентства, так и на основании жалоб потребителей. В ходе расследования CPPA может запрашивать документы, вызывать свидетелей и проводить проверки на месте.

Если агентство устанавливает факт нарушения, оно может:

• Вынести предписание об устранении нарушения.
• Наложить административный штраф. Размер штрафа может составлять до 2500 долларов за каждое непреднамеренное нарушение и до 7500 долларов за каждое умышленное нарушение.
• Потребовать возмещения ущерба, причиненного потребителям.
• Обратиться в суд с иском о принудительном исполнении требований.

При этом CPPA обязано предоставить компании возможность исправить нарушение в течение 30 дней, прежде чем налагать штраф, если это не связано с серьезным ущербом для потребителей.

Образование и просвещение

CPPA занимается информированием как потребителей, так и бизнеса об их правах и обязанностях в соответствии с законами о конфиденциальности. Агентство публикует руководства, проводит вебинары, участвует в конференциях и выпускает разъяснительные материалы. Особое внимание уделяется вопросам цифровой грамотности и защите персональных данных в интернете.

Влияние и значение

Создание CPPA стало важным шагом в развитии правового регулирования конфиденциальности в США. Калифорния, будучи крупнейшим штатом по численности населения и экономическому потенциалу, часто задает стандарты, которые затем перенимаются другими штатами и даже на федеральном уровне. CPPA рассматривается как модель для других штатов, рассматривающих возможность создания собственных агентств по защите конфиденциальности.

Деятельность CPPA оказывает значительное влияние на компании, работающие с данными жителей Калифорнии. Многие крупные технологические корпорации, такие как Google, Meta (организация признана экстремистской и запрещена в РФ), Apple и Amazon, вынуждены адаптировать свои бизнес-процессы и политики конфиденциальности под требования CCPA и CPRA, разрабатываемые CPPA. Это, в свою очередь, влияет на практики обработки данных по всему миру, так как многие компании предпочитают внедрять единые стандарты для всех пользователей, а не только для жителей Калифорнии.

Критика и вызовы

Несмотря на свою значимость, CPPA сталкивается с рядом критических замечаний и вызовов.

Бюрократическая сложность

Некоторые представители бизнеса и юридического сообщества критикуют CPPA за чрезмерную бюрократизацию и сложность разрабатываемых нормативных актов. Процесс принятия правил может занимать длительное время, а требования к компаниям — быть излишне детализированными и трудными для исполнения, особенно для малого и среднего бизнеса.

Недостаточное финансирование

По мнению ряда экспертов и защитников прав потребителей, бюджет CPPA недостаточен для эффективного выполнения всех его функций. Ограниченные ресурсы могут препятствовать проведению масштабных расследований и полноценному контролю за соблюдением закона со стороны тысяч компаний, работающих в Калифорнии.

Конфликт с федеральным регулированием

Вопрос о том, может ли федеральное правительство США принять единый закон о конфиденциальности, который заменит или ограничит действие калифорнийских законов, остается открытым. В случае принятия такого закона полномочия CPPA могут быть существенно сокращены. Однако на данный момент федеральное регулирование в этой сфере отсутствует, и CPPA продолжает играть ведущую роль.

Проблемы с правоприменением

На практике CPPA сталкивается с трудностями при расследовании нарушений, особенно когда речь идет о компаниях, зарегистрированных за пределами США. Вопросы юрисдикции и международного сотрудничества могут замедлять или затруднять правоприменительные действия.

Сравнение с другими регуляторами

CPPA часто сравнивают с другими органами по защите данных, в частности с Европейским советом по защите данных (EDPB) и национальными надзорными органами в странах Европейского союза, действующими в рамках Общего регламента по защите данных (GDPR). Хотя CCPA/CPRA и GDPR имеют схожие цели, между ними существуют различия в подходах, объеме прав и механизмах правоприменения. CPPA, в отличие от европейских аналогов, не имеет полномочий налагать штрафы в размере до 4% от годового оборота компании, как это предусмотрено GDPR. Однако калифорнийский закон предоставляет потребителям право на частный иск в случае утечки данных, что является дополнительным механизмом защиты.

В США аналогов CPPA на федеральном уровне не существует. Федеральная торговая комиссия (FTC) обладает полномочиями по защите конфиденциальности, но ее юрисдикция и инструментарий отличаются от калифорнийского агентства. CPPA является первым и пока единственным в США специализированным государственным агентством, полностью посвященным вопросам защиты конфиденциальности потребителей.

Источники

• California Privacy Rights Act (CPRA), Proposition 24 (2020).
• California Consumer Privacy Act (CCPA), Civil Code § 1798.100 et seq.
• Официальный сайт Калифорнийского агентства по защите конфиденциальности (cppa.ca.gov).
• Публичные отчеты и пресс-релизы CPPA (2021–2024).
• Аналитические материалы Electronic Frontier Foundation (EFF) по вопросам конфиденциальности в Калифорнии.
• Публикации Национальной конференции законодательных собраний штатов (NCSL) по законодательству о конфиденциальности.