Najwyższa dotychczasowa grzywna nałożona na podstawie CCPA

Prokurator generalny stanu Kalifornia wydał największą jak dotąd ugodę w sprawie CCPA, nakładając na firmę Disney karę w wysokości 2,75 mln dolarów za rzekome uchybienia związane z wdrożeniem prawa do rezygnacji.

🔗 Link

Z finansowego punktu widzenia kwota ta nie jest ogromna, zwłaszcza dla globalnej organizacji takiej jak Disney.

Jednak sprawa ta jest ważna. Pokazuje kierunek egzekwowania przepisów w Kalifornii i poza nią.

Według prokuratora generalnego problem nie dotyczył naruszenia bezpieczeństwa danych. Egzekwowanie przepisów skupiało się na uchybieniach w zakresie wdrażania mechanizmów rezygnacji, w szczególności w serwisach streamingowych Disneya .

Foto: Freepik

W wyniku dochodzenia ustalono, co następuje:

➡️ Przełączniki rezygnacji miały zastosowanie tylko do określonych usług lub urządzeń, a nie miały charakteru uniwersalnego.

➡️ Rezygnacje za pośrednictwem formularzy internetowych miały ograniczony zakres i nie zapobiegały w pełni sprzedaży/udostępnianiu danych.

➡️ Sygnały globalnej kontroli prywatności nie były konsekwentnie honorowane na wszystkich urządzeniach .

Prokurator generalny jasno stwierdził:

➡️ Jeśli firma może ujednolicić tożsamość konsumentów do celów reklamowych i analitycznych,

➡️ powinna również mieć możliwość ujednolicenia praw do rezygnacji.

✅ Mechanizmy umożliwiające rezygnację ze sprzedaży lub udostępniania danych osobowych nie są skomplikowane technicznie.

Jednak w przypadku organizacji, których modele przychodów w dużym stopniu opierają się na:

➡️ reklamach ukierunkowanych,

➡️ śledzeniu tożsamości między platformami,

➡️ udostępnianiu danych stronom trzecim,

➡️ solidne i skuteczne wdrożenie rezygnacji może kolidować z bodźcami komercyjnymi.

Jednak organy regulacyjne coraz częściej sygnalizują, że wygoda biznesowa nie ma pierwszeństwa przed prawami ustawowymi.

Ugoda z Disneyem przewyższa poprzednią ugodę CCPA o wartości 1,55 mln dolarów, dotyczącą Healthline Media w związku z podobnymi kwestiami rezygnacji .

Mam nadzieję, że w przyszłości kary będą wystarczająco wysokie, aby stanowiły rzeczywisty środek odstraszający, szczególnie dla organizacji, które traktują dane osobowe jako towar, a nie chroniony zasób.

Z punktu widzenia zarządzania, firmy działające w Kalifornii powinny:

➡️ Przejrzeć mechanizmy rezygnacji we wszystkich usługach i urządzeniach,

➡️ Upewnić się, że sygnały globalnej kontroli prywatności są odpowiednio honorowane,

➡️ Sprawdzić, czy ujednolicenie tożsamości ma również zastosowanie do logiki rezygnacji,

➡️ Dostosować systemy marketingowe do architektury prywatności.

Autor: Sebastian Burgemejster