Um guia para startups se preparar para o California Consumer Privacy Act (CCPA)

Esta semana, a Microsoft anunciou que implementará a próxima Lei de Privacidade do Consumidor da Califórnia (CCPA) para todos os clientes nos EUA.

Isso é muito importante.

O CCPA às vezes é chamado de "GDPR-lite", o que significa que é uma versão simplificada da Lei Geral de Proteção de Dados da União Europeia.

O CCPA é importante porque representa a primeira legislação real e abrangente sobre privacidade nos EUA. E como o CCPA se aplica a todos os residentes da Califórnia, qualquer empresa que trabalhe com dados dos residentes da Califórnia estará sujeita a ela. Por fim, como esse é o primeiro regulamento abrangente de privacidade e está na Califórnia, é muito provável que a CCPA forme a base para outros regulamentos estaduais de privacidade no futuro e, possivelmente, qualquer regulamento federal de privacidade dos EUA.

Por esses motivos, é importante que as pessoas conheçam o CCPA e comecem a planejar e tomar medidas agora, já que o CCPA entra em vigor em 1º de janeiro de 2020. As startups de tecnologia em particular devem estar cientes disso, porque muitas delas negociamcom dados de clientes (quase certamente afetando os moradores da Califórnia), mas geralmente não têm profissionais de privacidade ou especialistas na equipe.

Como sabemos, o desconhecimento da lei não é desculpa. Você pode não conhecer o CCPA, mas pode estar sujeito a ele.

Para ajudar você a descobrir o que precisa fazer com o CCPA, aqui estão quatro dicas.

Leiao CCPA

Ninguém gosta de ler juridico. Isso é verdade para seus clientes com políticas de privacidade.E provavelmente verdadeiro para você em relação aos regulamentos de privacidade. No entanto, a CCPA é uma das, se não a parte mais importante da legislação sobre privacidade nos EUA. Simplesmente não há substituto para realmente ler a CCPA.A leitura ajudará você a entender e avaliar melhor as leituras secundárias que você faz no CCPA.

O texto completo do CCPA pode ser encontrado aqui.

Quando você lê, vocêconclua que o CCPAA cobre as seguintes áreas críticas, conforme descrito na abertura do ato:

• O direito dos californianos de saber quais informações pessoais estão sendo coletadas sobre eles.
• O direito deCalifornianos para saber se suas informações pessoais são vendidas ou divulgadas e para quem.
• O direito dos californianos de dizer não à venda de informações pessoais.
• O direito dos californianos de acessar suasinformações pessoais.
• O direito dos californianos de igual serviço e preço, mesmo que exerçam seus direitos de privacidade.

Além disso, a lei prevê direitos para os californianos procuraremdanos em caso de perda ou roubo de seus dados. Citando mais uma vez:

Qualquer consumidor cujas informações pessoais não criptografadas ou não reduzidas… estejam sujeitas a acesso e exfiltração, roubo ou divulgação não autorizados como resultado da violação da empresa do dever de implementar emanter procedimentos e práticas de segurança razoáveis, apropriados à natureza das informações para proteger as informações pessoais, pode instaurar uma ação civil [.].

Simplificando, isso significase você é o guardião dos dados dos cidadãos da Califórnia e sofre uma violação ou perda de dados, os californianos cujos dados são perdidos têm o direito de tomar uma ação civil contra sua empresa.

Isso representa o primeiro GDPR-como conjunto de penalidades por perda ou roubo de dados. Isso, por si só, torna essencial a compreensão desse ato para quem possui dados.

Saiba quais dados você está coletando e retendo

Pode parecer óbvio, mas a realidade é que muitas empresas nãoNa verdade, não conheço completamente quais dados eles coletam e retêm. Essa verdade foi mostrada recentemente no primeiro episódio da 6ª temporada do Vale do Silício, quando Richard, o CEO da Pied Piper, descobre DEPOIS de testemunhar no Congresso que sua empresa não coleta dados que de fato eles coletam (e muito).

Isso é especialmente verdade no mundo das startups, onde o foco está na construção e no crescimento dos negócios.A privacidade tem a reputação de ser uma empresa mais lenta e muitas empresas grandes e pequenas simplesmente não se envolveram em um programa de análise sistemática de quais dados eles coletam e retêm, como os armazenam e por quanto tempo.

Isso significa que o primeiro passo absoluto para se preparar para o CCPA é saber quais dados você está coletando e retendo. Mesmo as empresas que lidam com suas práticas de coleta e retenção de dados devem usar esta oportunidade para revisar e atualizar: as coisas acontecem rapidamente e as informações que você tem sobre a coleta e retenção de dados podem estar desatualizadas.

Faça com que outras pessoas na sua empresa leiam o CCPA e comecem a planejar como elas serão cumpridas.

À medida que você se compromete a saber quais dados está coletando e retendo, faça com que outros na sua empresa leiam o CCPA e comecem a planejar comoeles cumprirão. Este não é um passo óbvio: afinal, a CCPA é uma legislação de privacidade e as pessoas tendem a pensar que essas coisas podem e devem estar prontas apenas por especialistas em privacidade e advogados.

Embora isso seja compreensível, não é esse o problema. maneira certa de abordar isso. Compreender os requisitos e regulamentos de privacidade em torno dos dados é algo que todos que tocam os dados devem entender. Isso ajuda a instilar uma cultura na qual o conhecimento sobre privacidade é integrado por toda parte. Ele também atua como um hedge para a realidade de que os negócios geralmente não conseguem obter uma visão completa e completa de todos os dados que eles têm e de onde são armazenados.

Por exemplo, se alguém no marketing envia por engano umplanilha de informações de clientes em potencial para o endereço de e-mail errado, que pode se qualificar como perda de dados sujeita às penalidades da CCPA. Seus executivos, advogados e agentes de privacidade podem não estar cientes do que aconteceu. Mas o gerente dessa pessoa pode e, se for educado no CCPA, pode reconhecer o risco que esse erro representa e tomar ações proativas que podem ajudar a evitar consequências mais significativas.

Seja como Brad (Smith)

A Microsoft anunciou recentemente que planeja implementar a CCPA em toda a empresa para que ela governe todos os clientes dos EUA.

Isso é consistente com o que vimos a Microsoft fazerprivacidade com outros regulamentos internacionais. bem como a visão que seu presidente, Brad Smith, delineou em seus comentários e em seu recente livro "Ferramentas e armas".

Em seu livro, quando Smith escreve sobre o que a Microsoft fez para cumprir o GDPR,ele descreve um processo abrangente para toda a empresa para entender quais dados a empresa coleta e retém. Ele fala sobre como esse processo foi benéfico para a Microsoft porque os ajudou a entender e controlar melhor sua coleta e retenção de dados.

Esse comentário fala em voz alta sobre o benefício comercial de tratar a conformidade com o GDPR ou o CCPAde uma maneira ampla e compressiva, em vez de tentar criar um sistema pontual apenas para cumprir as especificidades da lei.

Além desse benefício, seguir a liderança da Microsoft e implementar o CCPA para todos os clientes dos EUAum benefício adicional: como observei antes, uma vez que esta é a primeira legislação abrangente sobre privacidade nos EUA, há grandes chances de que outra legislação a espelhe. Se você dedicar algum tempo para implementar o CCPA hoje para todos os clientes dos EUA, estará muito bem posicionado para cumprir com qualquer futura legislação de privacidade de outros estados.E o mais importante, já se fala sobre a probabilidade de qualquer eventual legislação federal de privacidade seguir de perto a CCPA. Mais uma vez, se você fizer esse trabalho agora, salvará a si e a sua empresa trabalhar no futuro.

Conclusão

A privacidade pode parecer uma arena obscura e assustadora para as empresas,especialmente startups. Ele tem a reputação de ser muito legalista, de modo que apenas profissionais e advogados de privacidade podem navegar nele.

A realidade é que a maioria das empresas de tecnologia, incluindo as startups, lida muito com os dados do usuário.E como o CCPA entra em operação em janeiro de 2020, qualquer pessoa que lide com dados para californianos está sujeita a essa lei, sem exceção.

Felizmente, os princípios da lei não são tão misteriosos, e a leiem si pode ser lido rapidamente. Você pode começar a se preparar para o CCPA seguindo estas quatro etapas que descrevi aqui.E se você abordar isso como um projeto abrangente para todos os seus clientes nos EUA, poderá estar bem posicionado para lidar com regulamentos de privacidade adicionais à medida que eles se desenvolverem nos próximos anos.

Via: Geek Wire