Il California Consumer Privacy Act (CCPA) è una legge sulla privacy dei dati promulgata nel giugno 2018 dalla legislatura dello Stato della California che dà ai californiani il diritto di conoscere, limitare e cancellare i dati raccolti dalle aziende.
Inoltre, consente un diritto d'azione privato che dà ai residenti della California il diritto di intentare cause private contro aziende negligenti.
Qui di seguito vi spiego come il CCPA consente ai consumatori californiani di esercitare un diritto di azione privata e come influisce sulle imprese.
Che cos'è il diritto d'azione privato?
Il diritto di azione privata è definito come il diritto di un privato di intentare una causa per tutelare i propri diritti secondo la legge.
Questo diritto si compone di due elementi: la sfera privata e quella dell'azione:
- Privato: Il significato di "privato" nel contesto di un diritto di azione privato è un diritto appartenente a una persona privata. Non include il governo, sia esso statale, locale o federale.
- Azione: Il significato di "azione" nel contesto di un diritto di azione privato è l'atto di far valere i propri diritti legali. In altre parole, si riferisce all'avvio di un'azione legale in tribunale per tutelare i propri diritti.
In che modo il CCPA incorpora il diritto d'azione privato?
I californiani hanno i seguenti diritti ai sensi del CCPA:
- Diritto di divulgazione: Un consumatore ha il diritto di chiedere all'azienda di rivelare quali informazioni personali ha raccolto dall'individuo.
- Diritto di cancellazione: Il consumatore ha il diritto di richiedere all'azienda la cancellazione delle informazioni personali raccolte.
- Diritto di opt-out: Un consumatore ha il diritto di chiedere che un'azienda non venda le informazioni personali raccolte sul suo conto.
- Diritto alla non discriminazione: Un consumatore ha il diritto di non essere discriminato dalle aziende per aver esercitato i propri diritti ai sensi del CCPA.
- Diritto di azione privata: Il CCPA prevede inoltre che se un consumatore ritiene che un'azienda abbia violato i suoi diritti, può "intentare un'azione civile".
Chi è coperto dal diritto d'azione privato del CCPA?
Il diritto di azione privata del CCPA consente ai consumatori di avviare una causa contro un'azienda che ha violato il CCPA presso i tribunali dello Stato della California.
Consumatori
I consumatori della California possono ora avviare un'azione civile contro le aziende che violano i loro diritti ai sensi del CCPA. La definizione di consumatore in questo particolare contesto è "una persona fisica che risiede in California".
Una persona fisica significa che la definizione di "consumatore" non include le aziende. Pertanto, solo i singoli residenti in California possono intentare un'azione civile ai sensi del CCPA.
Il CCPA ha adottato la definizione di residente dal California Code of Regulations. Il CCPA ha adottato la definizione di residente dal Code of California Regulations, che stabilisce che i residenti della California includono gli individui che risiedono in California per uno scopo diverso da quello temporaneo o transitorio e gli individui che sono domiciliati in California ma vivono in un altro stato per scopi temporanei o transitori.
Infine, in base al diritto di azione privato del CCPA, i consumatori non hanno il diritto di citare in giudizio altri consumatori, ma solo le imprese.
Aziende
Se un'azienda soddisfa i seguenti requisiti, deve rispettare il CCPA:
- È un'azienda che opera a scopo di lucro.
- Ha sede in California.
- Raccoglie (o ha raccolto) le informazioni personali dei suoi consumatori.
- È incaricato di determinare lo scopo e i mezzi di trattamento delle informazioni personali raccolte.
- Soddisfa uno dei seguenti requisiti:
- Ha un fatturato lordo annuo di oltre 25 milioni di dollari.
- Acquista, riceve a scopo commerciale, vende o condivide le informazioni personali di almeno 50.000 consumatori, famiglie o dispositivi ogni anno.
- Più della metà del suo fatturato annuale deriva dalla vendita delle informazioni personali dei consumatori.
Violazioni che possono far scattare un diritto d'azione privato
Il diritto di azione privata del CCPA si applica solo alle violazioni dei dati.
Un consumatore può intentare un'azione civile contro un'azienda se sono soddisfatti tutti i seguenti requisiti:
- Il nome non criptato o non redatto dell'individuo o altri elementi di dati elencati sono stati oggetto di accesso non autorizzato, esfiltrazione, furto o divulgazione.
- l'accesso non autorizzato, l'esfiltrazione, il furto o la divulgazione si sono verificati in seguito alla violazione da parte dell'azienda dell'obbligo di implementare e mantenere procedure e pratiche di sicurezza ragionevoli e adeguate alla natura delle informazioni per proteggere le informazioni personali.
- Prima di intentare una causa, l'individuo deve fornire all'azienda un preavviso scritto di 30 giorni per porre rimedio alla presunta violazione.
Le sezioni seguenti definiranno più da vicino questi elementi.
Le informazioni personali devono essere interessate
I consumatori interessati possono intentare un'azione legale privata contro di voi se la vostra azienda è coinvolta in una violazione dei dati personali e se non avete mantenuto procedure di sicurezza adeguate,
Tuttavia, il CCPA definisce le "informazioni personali" in modo più restrittivo per quanto riguarda il diritto di azione privata.
In parole povere, il CCPA utilizza la definizione di informazioni personali contenuta nella sezione 1798.81.5(d)(1)(A) della legge californiana sui registri dei clienti ai fini del diritto di azione privata. In base a questa legge, le informazioni personali possono essere suddivise in due categorie distinte.
| Categoria 1 |
|
| Categoria 2 |
|
Inoltre, se il nome di un individuo o uno degli elementi di dati elencati non è criptato o redatto, questi dati saranno considerati come "Informazioni personali" nel contesto del diritto di azione privata ai sensi del CCPA.
Questa definizione di informazioni personali presenta anche alcuni avvertimenti e spiegazioni di cui è necessario essere consapevoli:
- I dati biometrici comprendono le impronte digitali, la scansione della retina o l'immagine dell'iride utilizzate per identificare un individuo. Non comprende la foto di un individuo, a meno che non venga utilizzata per il riconoscimento facciale.
- Per informazioni mediche si intendono tutte le informazioni identificabili relative alla storia clinica, al trattamento o alla diagnosi di un individuo, sia in forma cartacea che digitale.
- Le informazioni sull'assicurazione sanitaria comprendono il numero di polizza assicurativa o il numero di identificazione dell'abbonato, un identificatore unico utilizzato dalla compagnia assicurativa per identificare l'individuo o qualsiasi informazione contenuta nella domanda di assicurazione dell'individuo, e lo storico dei sinistri.
- I dati genetici comprendono tutti i dati relativi ai risultati di un'analisi del campione biologico di un individuo e riguardano il materiale genetico. Esempi di materiale genetico sono il DNA, l'RNA, i geni, i cromosomi e le modifiche del DNA o dell'RNA.
Qualsiasi informazione personale resa legittimamente disponibile al pubblico da documenti governativi federali, statali o locali non rientra nella definizione di informazione personale utilizzata per intentare un'azione privata CCPA nei vostri confronti.
Le informazioni personali devono essere soggette ad accesso non autorizzato e ad esfiltrazione, furto o divulgazione.
Una violazione dei dati ha due componenti:
- Accesso non autorizzato
- Esfiltrazione, furto o divulgazione
Accesso non autorizzato
l'accesso non autorizzato si riferisce a chiunque acceda alle informazioni di un consumatore senza autorizzazione. Ad esempio, se i controlli di sicurezza non sono adeguati o inesistenti, un hacker (che per definizione non ha accesso autorizzato) può accedere alle informazioni personali del consumatore e rubarle.
Allo stesso modo, anche un dipendente della vostra azienda può accedere alle informazioni personali dei vostri consumatori senza autorizzazione (accesso non autorizzato) e divulgarle ulteriormente ai vostri concorrenti o altrove.
Dovete preoccuparvi dei soggetti esterni e interni che possono coinvolgere la vostra azienda in una causa CCPA.
Esfiltrazione, furto o divulgazione
l'esfiltrazione, il furto o la divulgazione si riferiscono alla sottrazione, al furto o alla condivisione dei dati di accesso (senza il consenso dell'utente).
Una violazione dei dati deve verificarsi come risultato dell'incapacità di un'azienda di implementare e mantenere procedure e pratiche di sicurezza ragionevoli.
Ricordate che un consumatore può avviare un'azione legale privata per una violazione dei dati solo se non riuscite a implementare e mantenere procedure e pratiche di sicurezza ragionevoli.
Il CCPA non definisce "procedure e pratiche di sicurezza ragionevoli". Pertanto, dovete valutare le operazioni della vostra azienda e calcolare le misure di sicurezza appropriate per proteggere le informazioni personali dei consumatori.
Può essere utile assumere una società di consulenza o di sicurezza informatica che vi assista nell'implementazione di controlli e procedure di sicurezza per la vostra azienda.
L'individuo deve dare all'azienda 30 giorni di tempo per rimediare alla presunta violazione.
Il CCPA consente a un'azienda di "avvisare e curare" qualsiasi violazione ed evitare sanzioni.
Prima che un consumatore avvii un'azione legale contro l'azienda, deve comunicare all'azienda stessa quale disposizione del CCPA il consumatore accusa di aver violato. l'azienda ha quindi 30 giorni di tempo per correggere la situazione.
Se l'azienda è in grado di rimediare alla situazione, non verrà intentata alcuna azione contro l'azienda. È importante notare che questa notifica non è necessaria se il consumatore ha subito un danno finanziario.
Durante questo periodo, l'azienda deve fornire al consumatore una dichiarazione scritta esplicita con la spiegazione che la violazione è stata sanata e che non si verificheranno altre violazioni.
Se non viene adottato alcun rimedio entro il periodo di cura di 30 giorni o se l'azienda viola la dichiarazione scritta, l'azienda viola il CCPA.
Danni delineati dal CCPA
Quando un'azienda viola i diritti alla privacy dei consumatori ai sensi del CCPA, è tenuta a pagare i danni.
Un consumatore può intentare un'azione legale per recuperare i danni effettivi o legali.
- I danni effettivi si riferiscono alle perdite reali subite dai consumatori a causa della violazione dei dati di un'azienda.
- I danni previsti dalla legge variano da 100 a 750 dollari per consumatore e per incidente.
l'azienda sarà tenuta a pagare i danni effettivi o quelli previsti dalla legge, a seconda di quale sia il valore più alto.
Il tribunale determina i danni previsti dalla legge CCPA esaminando quanto segue:
- Natura e gravità della violazione
- Numero di violazioni
- Persistenza delle violazioni
- Durata del reato
- Dolo dell'azienda
- Attività, passività e patrimonio netto dell'azienda
Ai sensi del CCPA, un'azienda può essere sottoposta a provvedimenti ingiuntivi o dichiarativi e a "qualsiasi altro provvedimento che il tribunale ritenga opportuno".
un'azienda può anche subire un'ingiunzione e un'azione civile da parte del Procuratore generale della California per violazione del CCPA. Inoltre, l'azienda sarà responsabile per non più di 2.500 dollari per ogni violazione non intenzionale o 7.500 dollari per ogni violazione intenzionale.
Inoltre, il CCPA stabilisce un limite massimo per i danni che un'azienda può dover pagare: l'azienda sarà responsabile per non più di 2.500 dollari per violazione non intenzionale o 7.500 dollari per violazione intenzionale.
Come evitare le rivendicazioni private ai sensi del CCPA
l'iter legale e i costi di difesa di una causa CCPA possono accumularsi rapidamente, soprattutto se si tratta di una violazione di dati massiccia. Inoltre, l'immagine pubblica dell'azienda risentirà dell'annuncio di una violazione dei dati e della successiva azione legale, soprattutto se la copertura mediatica è ampia.
Evitare queste richieste di risarcimento dovrebbe essere una priorità nelle operazioni aziendali, perché rimodellare l'immagine dell'azienda e ricostruire i controlli di sicurezza sarà molto costoso.
l'implementazione di controlli e sicurezza sulla protezione dei dati è il modo più semplice per evitare una violazione.
Si noti che il CCPA non elenca misure di sicurezza appropriate e specifiche che le aziende dovrebbero applicare. Tuttavia, le aziende non sono prive di indicazioni sulle "pratiche di sicurezza ragionevoli" che dovrebbero considerare di attuare.
Ad esempio, il rapporto sulla violazione dei dati della California del 2016 fa riferimento a 20 controlli di sicurezza critici raccomandati dal Center for Internet Security. In questo rapporto, il Procuratore Generale sottolinea che la mancata implementazione di queste misure di sicurezza equivale probabilmente a una mancata applicazione di misure di sicurezza ragionevoli.
Questi controlli includono "Configurazione sicura delle risorse e del software aziendali" e "Gestione del controllo degli accessi".
Oltre a questi controlli, la vostra azienda dovrebbe prendere in considerazione le seguenti misure e pratiche per evitare reclami in relazione al CCPA:
- Gestire e controllare l'accesso agli account
- Proteggere i dati
- Implementare sistemi di sicurezza e difesa della rete
- Impostare misure per il backup e il ripristino dei dati
- Stabilire una protezione contro le minacce informatiche
l'applicazione della crittografia e dell'eliminazione dei dati a tutte le informazioni personali può escludere l'applicazione del diritto di azione privata previsto dal CCPA. Ciò può garantire che non siate soggetti a cause legali dovute a violazioni dei dati ai sensi del CCPA.
Il diritto di azione privata previsto dal CCPA si applica solo alle informazioni personali non criptate o non redatte. Se tutte le informazioni sono criptate, non rientrano nella definizione di informazioni personali.
Il CCPA conferisce ai residenti californiani un diritto di azione privata per citare in giudizio le aziende che violano i loro diritti.
Le aziende che prestano servizi ai residenti californiani devono mantenere una sufficiente sicurezza e protezione dei dati dei consumatori raccolti per prevenire le violazioni. In caso di violazione, le aziende possono subire azioni legali da parte dei consumatori e azioni civili da parte del Procuratore generale della California.
Mantenere l'integrità e la protezione dei dati è la principale preoccupazione di un'azienda per evitare le responsabilità previste dal CCPA.
Per saperne di più su chi scrive
Scritto da Ali Talip Pınarbaşı, CIPP/E, & LLM
Ali è avvocato specializzato in diritto della privacy con sede a Londra. Ha conseguito un Master in diritto della privacy dell’UE al King’s College di Londra. Ha sei anni di esperienza nel fornire consulenza alle aziende su come conformarsi alle normative sulla protezione dei dati. Per saperne di più su chi scrive
