California Consumer Privacy Act (CCPA)

CCPA – California Consumer Privacy Act – to stanowy akt prawny przyjęty w 2020 roku w stanie Kalifornia. Ustawa reguluje zbieranie, przetwarzanie i sprzedaż danych osobowych konsumentów przez przedsiębiorstwa prowadzące działalność na terytorium tego stanu. Celem CCPA jest zapewnienie mieszkańcom Kalifornii większej kontroli nad ich danymi osobowymi oraz zwiększenie przejrzystości praktyk firm w zakresie ochrony prywatności.

Historia i geneza

W odpowiedzi na rosnące obawy społeczne dotyczące gromadzenia i wykorzystywania danych w Internecie, w 2018 roku legislatura kalifornijska rozpoczęła proces opracowywania kompleksowego prawa ochrony konsumentów. Projekt ustawy otrzymał szerokie poparcie ze strony organizacji konsumenckich oraz zwolenników prywatności, a jednocześnie spotkał się z krytyką ze strony niektórych firm technologicznych. Po wielu debatach i poprawkach, CCPA został podpisany przez gubernatora Gavina Newsona i wszedł w życie 1 stycznia 2020 roku.

Zakres stosowania

Ustawa obowiązuje w odniesieniu do podmiotów, które spełniają przynajmniej jeden z poniższych kryteriów:

Posiadają przychody roczne przekraczające 25 milionów dolarów (USD);
Przetwarzają dane osobowe co najmniej 50 000 konsumentów, gospodarstw domowych lub urządzeń; lub
Uzyskują roczne przychody w wysokości co najmniej 25 % z tzw. „sprzedaży” danych osobowych.

Kluczowe uprawnienia konsumentów

W myśl CCPA konsumenci mają prawo do:

Wglądu – żądania informacji o danych osobowych, które są gromadzone, źródle ich pochodzenia oraz celach przetwarzania;
Usuwania – żądania usunięcia swoich danych, z pewnymi wyłączeniami (np. dane niezbędne do realizacji umowy);
Odrzucenia sprzedaży – wycofania zgody na sprzedaż swoich danych osobowych podmiotom trzecim (tzw. „opt‑out”);
Nie‑dyskryminacji – ochrona przed negatywnym traktowaniem (np. odmowa świadczenia usług) w wyniku korzystania z powyższych praw.

Obowiązki przedsiębiorstw

Podmioty objęte CCPA muszą spełnić szereg wymogów, w tym:

Udostępnienie jasnej i zrozumiałej polityki prywatności opisującej praktyki przetwarzania danych;
Zapewnienie mechanizmu opt‑out pozwalającego konsumentom odrzucić sprzedaż ich danych;
Wdrożenie procedur weryfikacji tożsamości przy realizacji żądań dostępu, usunięcia lub odmowy sprzedaży;
Prowadzenie rejestru działań przetwarzania danych oraz szkoleń personelu w zakresie nowych obowiązków.

Związek z innymi regulacjami

Choć CCPA jest ustawą stanową, wywiera duży wpływ na globalne praktyki ochrony prywatności. W niektórych obszarach prawo to:

Uzupełnia Rozporządzenie o Ochronie Danych Osobowych (RODO) obowiązujące w państwach Unii Europejskiej, wprowadzając dodatkowe prawa konsumenckie specyficzne dla rynku amerykańskiego;
Stanowi inspirację dla innych stanów USA, które wprowadzają własne przepisy typu California‑inspired privacy laws (np. Virginia – VCDPA).

Wykładnia i egzekwowanie

Za egzekwowanie CCPA odpowiedzialny jest Biuro Ochrony Praw Konsumentów Kalifornii (Attorney General). Naruszenia ustawy mogą skutkować karą wynoszącą od 2 500 do 7 500 dolarów za każde nieumyślne bądź celowe naruszenie, a także możliwością wniesienia klasowych pozwów cywilnych przez poszkodowanych konsumentów.

Rozwój i aktualizacje

W 2023 roku wprowadzono tzw. California Privacy Rights Act (CPRA), będący poprawką do CCPA. CPRA rozszerza zakres ochrony, wprowadza pojęcie „wrażliwych danych osobowych” oraz tworzy nowy organ – Kalifornijski Komisariat Prywatności (CPPA), który ma nadzorować realizację przepisów.