La vostra azienda deve rispettare l'oregon Consumer Privacy Act (OCPA)? La nuova legge sulla privacy dei consumatori dell'Oregon entrerà in vigore il 1° luglio 2024.
Utilizzate la mia semplice lista di controllo in sei fasi per semplificare la conformità all'OCPA.
Lista di controllo della conformità OCPA: Passo dopo passo
Per soddisfare i requisiti delineati dall'OCPA, seguite questi sei semplici passi.
Parte 1: Eseguire una verifica della privacy
Per rispettare le leggi sulla privacy dei dati, è necessario sapere quali informazioni personali la vostra azienda raccoglie dagli utenti, perché e come vengono utilizzate.
Per determinarlo, eseguite una verifica della privacy, detta anche inventario dei dati, utilizzando uno dei seguenti metodi:
Parte 2: Requisiti di notifica della privacy
l'oCPA impone alle aziende di presentare ai consumatori dell'Oregon un'informativa sulla privacy che includa le seguenti informazioni:
- Quali categorie di dati personali raccogliete.
- Lo scopo del trattamento dei dati.
- Come i consumatori possono esercitare i loro diritti alla privacy e appellarsi alla vostra decisione.
- Quali categorie di dati condividete con terzi, se del caso, comprese le categorie di dati sensibili.
- Quali sono le categorie di terzi con cui condividete i dati personali, se esistono, e, per quanto possibile, come ogni terzo tratta i dati personali.
- Un indirizzo e-mail attivo o un altro metodo online con cui i consumatori possano contattarvi.
- Qualsiasi nome commerciale con cui siete registrati presso il Segretario di Stato e qualsiasi nome commerciale presunto utilizzato.
- Una descrizione di qualsiasi trattamento dei dati per annunci pubblicitari mirati o per la profilazione degli utenti e le modalità con cui gli utenti possono rinunciare.
Parte 3: gestione del consenso per il Trattamento Specifico dei Dati
l'oCPA ha un impatto sulla gestione del consenso da parte delle aziende perché dà ai consumatori il diritto di rinunciare ad alcuni tipi di trattamento dei dati, tra cui:
- Pubblicità mirata
- La vendita dei dati
- Profilazione del consumatore
Se trattate i dati per una delle finalità di cui sopra, dovete fornire ai vostri utenti un banner di consenso o un altro sistema che consenta loro di esercitare facilmente questi diritti.
Parte 4: Obblighi contrattuali per la condivisione o la vendita di dati personali
Ai sensi dell'OCPA, i responsabili e gli incaricati del trattamento dei dati devono stipulare accordi contrattuali che definiscano tutte le seguenti linee guida:
- Includere le istruzioni per il trattamento dei dati, la loro natura e il loro scopo.
- Elencare il tipo di dati trattati e per quanto tempo.
- Delineare i diritti di ciascuna parte e i relativi obblighi.
- Richiedere un obbligo di riservatezza sui dati personali.
- Richiedere all'incaricato del trattamento di dimostrare la conformità all'OCPA.
- Richiedere all'incaricato del trattamento di cancellare o restituire tutti i dati al termine del contratto.
- Richiedere all'incaricato del trattamento di collaborare alle ragionevoli valutazioni del responsabile del trattamento.
- Chiedete a tutti i subappaltatori di firmare un contratto che definisca gli stessi obblighi.
- Consentire al responsabile del trattamento o a una persona indipendente designata di valutare le politiche e i controlli tecnici e organizzativi dell'incaricato del trattamento per il rispetto dei suoi obblighi.
Parte 5: Diritti dei consumatori e richieste verificabili dei consumatori
l'oCPA impone alle aziende di presentare ai consumatori dell'Oregon due o più modi per far valere i propri diritti:
- Confermate se state trattando i loro dati.
- Ottenere un elenco dei soggetti terzi a cui vengono comunicati i propri dati (a discrezione del responsabile del trattamento)
- Richiedere l'accesso ai propri dati
- Correggere le imprecisioni nei loro dati.
- Se possibile, procurarsi una copia portatile.
- Richiesta di cancellazione dei propri dati.
- Non possono essere venduti o elaborati i loro dati per la pubblicità mirata.
- Rifiutare la profilazione.
Entro il 1° gennaio 2026, il vostro sito web dovrà inoltre rispettare i meccanismi di opt-out universale (UOOM) come richiesta verificata dei consumatori di seguire i loro diritti di opt-out.
Considerate l'utilizzo di una combinazione dei seguenti metodi per soddisfare questo requisito legale:
- Utilizzare un modulo di richiesta di accesso ai dati(DSAR).
- Fornire un indirizzo e-mail a cui gli utenti possano inviare le richieste.
- Pubblicate una politica sui cookie se utilizzate cookie che raccolgono dati sensibili, dati che vendete o dati utilizzati per pubblicità mirate.
- Utilizzate un banner di consenso per consentire ai consumatori di esercitare i diritti di opt-out.
Parte 6: Procedure e pratiche di sicurezza
l'oCPA richiede alle aziende coperte di stabilire, implementare e mantenere pratiche di sicurezza che salvaguardino i dati personali come descritto di seguito:
- Protegge la sua riservatezza
- Protegge la sua integrità
- Protegge la sua accessibilità
Alcune tecniche standard di sicurezza dei dati includono:
- Anonimizzazione e de-identificazione dei dati
- Crittografia delle informazioni
- Controlli di accesso
- Creare un piano di backup o di ripristino dei dati
FAQ sui requisiti OCPA
Di seguito, leggete alcune delle domande più frequenti sull'OCPA.
l'oCPA si applica alla mia azienda?
l'oCPA si applica alla vostra attività se lavorate in Oregon o se fornite beni e servizi ai residenti dello Stato e soddisfate una delle seguenti soglie:
- Controlla o tratta i dati personali di 100.000 o più consumatori, esclusi i dati trattati solo per completare una transazione di pagamento.
- Controlla o elabora i dati personali di 25.000 o più consumatori e ricava il 25% o più dei ricavi annui lordi dalla vendita di dati personali.
Quando entra in vigore l'oCPA?
l'oCPA entra ufficialmente in vigore il 1° luglio 2024, ma le clausole relative alle organizzazioni non profit diventano applicabili dal 1° luglio 2025.
Chi applica l'oCPA?
l'oCPA è applicato dal procuratore generale dell'Oregon.
Quali sono le sanzioni per la violazione dell'OCPA?
Le multe per violazione dell'OCPA possono raggiungere i 7.500 dollari per ogni incidente.
Termly può aiutare a rispettare l'oCPA?
Termly può aiutare le aziende a rispettare l'oCPA fornendo il nostro generatore di informativa sulla privacyche include tutti i requisiti di notifica previsti dall'OCPA.
Offriamo anche una gestione del consenso Platform (CMP) configurabile per aiutarvi a fornire agli utenti un modo per far valere i loro diritti di opt-out.
Viene fornito con un modulo DSAR gratuito che potete pubblicare sul vostro sito web, consentendo agli utenti dell'Oregon di inviare in modo sicuro le richieste di attuazione dei loro nuovi diritti alla privacy.
Riassunto
Le aziende che devono rispettare la nuova legge sulla privacy dell'Oregon, l'oCPA, possono utilizzare questa semplice lista di controllo in sei fasi per semplificare la conformità:
- Eseguite un inventario dei dati per determinare tutti i dati personali che la vostra azienda raccoglie, perché e come vengono utilizzati.
- Presentare ai consumatori dell'Oregon un'informativa sulla privacy conforme.
- Utilizzate una gestione del consenso platform per presentare ai vostri utenti un banner di consenso per seguire i loro diritti di opt-out.
- Se collaborate con un responsabile del trattamento dei dati, stipulate e firmate entrambi contratti compatibili che rispettino tutti gli obblighi previsti dalla legge.
- Fornire ai consumatori dell'Oregon due o più modi per presentare in modo affidabile le richieste di attuazione dei loro nuovi diritti alla privacy.
- Implementare protocolli di sicurezza adeguati per proteggere i dati personali raccolti da accessi non autorizzati e altri danni.
Semplificate ulteriormente la vostra attività e utilizzate soluzioni come quella di Termly. generatore di informativa sulla privacy e CMP per soddisfare i requisiti previsti da leggi come l'oCPA e altre ancora.
Per saperne di più su chi scrive
Scritto da Josh Langeland, CIPM
Ciao, sono Josh! Sono un ingegnere della privacy appassionato dell'uso della tecnologia per rispettare la privacy degli utenti. Mi trovo a mio agio nell'intersezione tra la tecnologia complessa e le leggi sulla privacy in continua evoluzione. Se non sto redigendo una revisione del progetto o riarchitettando un sistema, potrei trovarmi a leggere una biografia o a fare un'escursione nel parco nazionale più vicino. Per saperne di più su chi scrive
