Che cos'è una vendita ai sensi del CCPA?

Ai sensi del CCPA, per "vendita" si intende "la vendita, l'affitto, il rilascio, la divulgazione, la messa a disposizione, il trasferimento o la comunicazione orale, scritta, elettronica o di altro tipo delle informazioni personali di un consumatore". informazioni personali di un consumatore da parte di un'azienda a un'altra azienda o a una terza parte" in cambio di "denaro" o "altro corrispettivo di valore". Ciò significa che, in alcuni casi, potreste "vendere" informazioni personali ai sensi del CCPA quando condividete tali dati con una terza parte, anche se non ricevete un compenso monetario.

In particolare, il "corrispettivo di valore" comprende aspetti quali lo sviluppo, il potenziamento, la modifica o il miglioramento di tecnologie, strumenti, metodologie, servizi e offerte, oppure lo sviluppo o l'esecuzione di analisi dei dati o di altre attività di generazione di informazioni al di là del servizio commerciale oggetto del contratto.

Il CCPA prevede anche eccezioni limitate a ciò che costituisce una vendita. Ai sensi del CCPA, un'azienda potrebbe non "vendere" informazioni personali quando:

1. un residente in California (un "consumatore") utilizza o indirizza l'azienda a divulgare intenzionalmente informazioni personali;
2. un'azienda facilita l'opt-out dei consumatori;
3. un'azienda trasferisce le informazioni personali di un consumatore a una terza parte come parte di una fusione, acquisizione, fallimento o altra transazione; oppure 
4. quando un'azienda condivide le informazioni personali con un "fornitore di servizi" per uno specifico scopo commerciale, a condizione che siano state stabilite le opportune restrizioni contrattuali, certificazioni e avvisi ai consumatori.  

Come faccio a sapere se sto vendendo informazioni personali ai sensi del CCPA?

Se la vostra azienda è impegnata nella vendita di informazioni personali di un consumatore, come definito dal CCPA, il CCPA richiede che la vostra azienda includa meccanismi per consumatori consumatori di rinunciare dalla vendita dei loro dati personali. Ciò significa che capire cosa è o non è considerato una vendita, compresa l'eventuale applicazione di un'eccezione, è fondamentale per la conformità al CCPA.

Se la vostra azienda è soggetta al CCPA e condivide con terzi i dati personali dei residenti in California, quasi sempre si tratta di "divulgazione per scopi commerciali" o di "vendita" di tali informazioni, a seconda di come questi termini sono definiti dalla legge. Determinare se "vendete" i dati è una delle considerazioni più importanti per determinare i vostri obblighi e i diritti dei vostri clienti ai sensi del CCPA. Per determinare questo aspetto, dovrete verificare se le vostre pratiche di raccolta e condivisione dei dati rientrano nella definizione di vendita (definita in modo più ampio rispetto a ciò che si potrebbe tipicamente pensare come vendita) o in un'eccezione alla definizione di vendita ai sensi del CCPA. Se valutate le vostre pratiche di condivisione dei dati da parte di terzi e stabilite che non soddisfano la definizione di vendita o che rientrano in un'eccezione alla definizione di vendita, è probabile che stiate "divulgando" i dati per uno scopo commerciale. Tuttavia, la vostra azienda avrà comunque alcuni obblighi legati a tale divulgazione. Per aiutarvi a determinare se state effettuando una vendita ai sensi del CCPA, di seguito abbiamo fornito definizioni ed esempi.

La "divulgazione per scopi commerciali" è un concetto molto ampio. Le divulgazioni a terzi includono tipicamente aspetti quali il rilevamento di incidenti di sicurezza, la manutenzione o l'assistenza dei conti dei clienti, i servizi ai clienti, l'elaborazione degli ordini e i pagamenti. Ad esempio, si tratta di una divulgazione di informazioni a scopo commerciale se si condividono i dati con una terza parte solo affinché possa elaborare tali informazioni per conto dell'utente e la terza parte non conserva i dati più a lungo di quanto necessario per fornire tali servizi o utilizzarli per qualsiasi altro scopo.

Tuttavia, poiché la "vendita" è definita in modo più ampio rispetto a come si pensa tipicamente a una vendita, se si condividono informazioni con terzi si potrebbe "vendere" informazioni ai sensi del CCPA, anche in alcuni casi in cui non si scambiano dati in cambio di un compenso monetario. Una vendita ai sensi del CCPA è definita come qualsiasi tipo di divulgazione a un'altra azienda o a terzi in cambio di un corrispettivo monetario o di altro valore. Alcuni esempi di vendita sono: la raccolta di informazioni personali attraverso i cookie per scopi pubblicitari mirati; la condivisione di informazioni personali con terzi per partnership di marketing; la condivisione di dati con un fornitore di servizi che utilizza le informazioni personali per arricchire i propri set di dati, addestrare modelli di apprendimento automatico o per la ricerca tecnologica. 

Pertanto, se condividete le informazioni con una terza parte per uno scopo specifico, ad esempio per l'elaborazione dei pagamenti, dovreste rivedere gli accordi stipulati con la terza parte per determinare se questa elabora le informazioni solo per contribuire a tale scopo specifico o se le utilizza in altro modo.