Das kalifornische Gesetz zum Schutz der Privatsphäre von Verbrauchern (California Consumer Privacy Act, CCPA) räumt den Verbrauchern Rechte ein, die sie jederzeit einfordern können - dies wird manchmal als Antrag auf Zugang zu den Daten oder DSAR bezeichnet.
Unternehmen, die unter das CCPA fallen, sollten ein formelles Verfahren für den Erhalt dieser Anfragen einrichten, damit Sie alle Daten erfassen und rechtzeitig und vorschriftsmäßig antworten können.
In diesem Leitfaden zeige ich Ihnen , wie Sie sich mit den DSAR-Anforderungen der CCPA vertraut machen können, und stelle Ihnen einfache Schritte vor, die Ihr Unternehmen befolgen kann, um einen effizienten internen Prozess einzurichten.
Verlangt das CCPA DSARs?
Das kalifornische Gesetz zum Schutz der Privatsphäre von Verbrauchern räumt diesen Rechte ein, und sie können Unternehmen auffordern, diese Rechte zu beachten.
Im Gesetzestext wird dies technisch als überprüfbarer Antrag des Verbrauchers bezeichnet, aber funktionell handelt es sich um dasselbe Verfahren wie ein DSGVO DSAR.
Das CCPA verwendet einen anderen Wortlaut als das DSGVO, bietet aber ähnliche Verbraucherrechte.
Der Begriff "DSAR" hat seinen Ursprung in der Allgemeinen Datenschutzverordnung (DSGVO), einer EU-Verordnung. Er bezieht sich auf den Fall, dass eine betroffene Person(auch als Verbraucher bezeichnet) einen Antrag auf Ausübung ihrer Datenschutzrechte stellt.
Welche Rechte gewährt das CCPA den Verbrauchern?
Das CCPA gibt den kalifornischen Verbrauchern die folgenden Rechte:
- wissen, welche persönlichen Daten über sie gesammelt werden
- Antrag auf Zugang zu ihren Daten
- Antrag auf Berichtigung/Änderung ihrer Daten
- Antrag auf Löschung ihrer Daten
- der Weitergabe oder dem Verkauf ihrer Daten widersprechen
- Abmeldung von gezielter Werbung
- Nicht-Diskriminierung bei der Wahrnehmung von Datenschutzrechten
Ihr Unternehmen muss darauf vorbereitet sein, eine DSAR für die Rechte, die der CCPA den Verbrauchern einräumt, zu erhalten und darauf zu reagieren, und zwar auf jede beliebige Art und Weise, einschließlich:
- Online-Formulare
- Opt-out-Einstellungen im Browser
Ihr Unternehmen ist dafür verantwortlich, die Identität des Verbrauchers zu überprüfen und die Anfrage umgehend zu beantworten.
Wie man sich im CCPA und den DSARs zurechtfindet: Schritt für Schritt
Im Folgenden finden Sie sechs Schritte, die Unternehmen befolgen können, um den Umgang mit den DSAR-Anforderungen der CCPA zu vereinfachen.
Schritt 1: Anforderungen zur Identitätsüberprüfung
Gemäß dem CCPA muss Ihr Unternehmen die Identität von Verbrauchern, die Anfragen stellen, überprüfen. Daher ist es am besten, einen formellen DSAR-Prozess einzurichten, den Ihr Team befolgen kann, um dies in angemessener Weise zu erreichen.
So stellen Sie sicher, dass Sie nicht versehentlich persönliche Informationen an die falsche Person weitergeben, was einen direkten Verstoß gegen das Gesetz darstellen würde.
Sie können die Identität von Verbrauchern im Rahmen des CCPA überprüfen, indem Sie die Informationen in ihrem DSAR mit Daten vergleichen, die Sie bereits über sie gesammelt haben.
Falls erforderlich, können Sie zusätzliche Angaben anfordern, die jedoch unmittelbar danach gelöscht werden müssen.
Schritt 2: Informationen, die in einer Antwort enthalten sein sollten
Legen Sie als Nächstes ein formelles Verfahren für die Ermittlung aller personenbezogenen Daten fest, die Ihr Unternehmen sammelt. Auf diese Weise kann Ihr Team alle Informationen ausfindig machen, die in der Antwort enthalten sein müssen.
Achten Sie außerdem auf die Datensicherheit, um Datenschutzverletzungen oder unbefugten Zugriff zu verhindern.
Dieser Prozess könnte zum Beispiel Folgendes umfassen:
- Durchführung eines Datenaudits, um alle personenbezogenen Daten zu ermitteln, die Ihr Unternehmen sammelt.
- Begrenzen Sie, wer in Ihrem Team Zugang zu diesen Informationen hat und für wie lange.
- Schulung der Mitglieder Ihres Teams, die für die Beantwortung von DSARs zuständig sind.
Schritt 3: Zeitplan für die Reaktion
Stellen Sie sicher, dass Ihr Team auf Datenanfragen innerhalb des gesetzlich vorgeschriebenen Zeitrahmens reagieren kann.
Die CCPA hat eine Frist von 45 Tagen für die Beantwortung der DSARs, die bei komplexen Anfragen um weitere 45 Tage verlängert werden kann.
Opt-out-Anträge müssen jedoch innerhalb von 15 Tagen nach Eingang des Antrags bearbeitet werden, und es gibt keine Möglichkeit, diese Frist zu verlängern.
Schritt 4: Weigerung zu reagieren
Legen Sie dar, wann Ihr Unternehmen die Beantwortung eines DSAR ablehnen muss, was nur zulässig ist, wenn:
- Sie können die Identität des Antragstellers nicht überprüfen
- Der Antrag ist unbegründet
- Der Antrag ist überzogen
Die Festlegung eines Verfahrens ist wichtig, da Ihr Unternehmen nach dem CCPA nachweisen muss, ob eine DSAR unbegründet oder überzogen ist.
Sie müssen dies zur Zufriedenheit des kalifornischen Generalstaatsanwalts tun, andernfalls droht Ihnen eine Geldstrafe von bis zu 7.500 Dollar wegen Verstoßes gegen das Gesetz.
Die Unternehmen müssen dem Verbraucher auch antworten und ihm erklären, warum sein ursprünglicher Antrag abgelehnt wurde, und ihn über sein Recht informieren, gegen seine Entscheidung Widerspruch einzulegen.
Schritt 5: Rechtsbehelfsverfahren für Verbraucher
Außerdem müssen Sie Ihren kalifornischen Kunden ein Einspruchsverfahren zur Verfügung stellen, das auf Ihrer Entscheidung über ihren DSAR basiert.
Das CCPA gibt den Verbrauchern das Recht, innerhalb einer angemessenen Frist, die Sie bekannt geben müssen, gegen Ihre Entscheidung Widerspruch einzulegen.
Die Einreichung eines Widerspruchs sollte für den Verbraucher so einfach sein wie die Einreichung des ursprünglichen DSAR.
Schritt 6: Führen Sie ein Protokoll über Ihre Antworten
Stellen Sie sicher, dass Sie ein sicheres, gesetzeskonformes Protokoll über alle Anfragen führen, die Ihr Unternehmen erhält und auf die es antwortet.
Diese Informationen können Ihrem Unternehmen helfen, wenn es zu einer Untersuchung oder Prüfung kommt.
Verwendung von Termly für die DSAR-Anforderungen der CCPA
Die Consent Management Platform (CMP ) von Termlyenthält ein kostenloses, einbettbares DSAR-Formular, das Sie in Ihre Website einfügen können, um einige der DSAR-Anforderungen des CCPA zu erfüllen.
Im DSAR-Formular werden Ihren Verbrauchern wichtige Fragen gestellt, die dazu beitragen, verschiedene Aspekte des Antwortprozesses zu rationalisieren, darunter die folgenden:
- Welches Datenschutzrecht gilt für den Nutzer?
- Welche(s) Recht(e) sie einfordern, um es durchzusetzen
- Ihr Name und die primäre E-Mail, die sie zur Kontaktaufnahme mit Ihrer Website verwenden
Außerdem enthält sie alle relevanten Informationen über das vom CCPA vorgeschriebene Einspruchsverfahren, so dass die Einhaltung der Vorschriften ein Kinderspiel ist.
CCPA Link Anforderungen
Die CCPA verlangt auch, dass betroffene Unternehmen mit Websites die folgenden Links in die Fußzeile ihrer Website aufnehmen:
- "Meine persönlichen Daten nicht verkaufen oder weitergeben"
- "Beschränkung der Verwendung meiner sensiblen persönlichen Daten"
Diese Links müssen direkt zu einer Seite führen, die es den kalifornischen Nutzern ermöglicht, auf einfache Weise von ihrem Recht Gebrauch zu machen, dem Verkauf und der Weitergabe von Daten zu widersprechen und die Verwendung ihrer sensiblen Daten einzuschränken.
Sie können auch einen einzigen Link verwenden, der zu einer Seite führt, auf der die Nutzer beide Rechte wahrnehmen können.
Ihre Website muss diese Link-Anforderungen erfüllen, auch wenn Sie ein separates DSAR-Formular veröffentlichen.
Zusammenfassung
Die Einrichtung eines DSAR-Antwortverfahrens ist für Unternehmen ideal, um die Beantwortung überprüfbarer Verbraucheranfragen im Rahmen des CCPA zu rationalisieren.
Denken Sie aber daran, auch andere Wege zu prüfen, denn die Verbraucher können Anfragen über verschiedene Kanäle wie E-Mail oder soziale Medien einreichen.
Einige DSARs im Rahmen des CCPA müssen innerhalb von 45 Tagen erledigt werden, aber Opt-out-Anträge müssen innerhalb von 15 Tagen bearbeitet werden.
Wenn Sie Ihrer Website Ressourcen wie ein DSAR-Formular hinzufügen, wird der Prozess für Ihr Unternehmen und die kalifornischen Verbraucher effizienter.
Mehr über die Autorin
Geschrieben von Anokhy Desai CIPP/US, CIPT, CIPM
Anokhy ist Anwältin für Datenschutz mit Erfahrung in den Bereichen Datenschutz und Cybersicherheit im öffentlichen und privaten Sektor. Als ehemalige Westin Fellow bei der IAPP veröffentlichte sie mehrere Artikel, White Papers und Infografiken und leitete, koordinierte und moderierte Webinare und Diskussionsrunden zu den Themen Datenschutz und Datenschutztechnologie in den USA. Anokhy erwarb ihren Master an der Carnegie Mellon University und ihren Juris Doctor an der University of Pittsburgh. Mehr über die Autorin
