Prawo Kalifornii zmusza 500 brokerów danych do usunięcia Twoich danych

215 000 mieszkańców Kalifornii, którzy złożyli już wnioski o usunięcie danych za pośrednictwem stanowej platformy DROP, otrzymało 1 sierpnia coś nowego: firmy przechowujące ich dane są teraz prawnie zobowiązane do działania. Od tego dnia każdy zarejestrowany broker danych w Kalifornii musi pobrać oczekujące wnioski o usunięcie i je przetworzyć — to pierwszy raz, kiedy jakikolwiek stan USA scentralizował to żądanie w ramach całej branży jednocześnie.

Platforma działa jako izba rozliczeniowa między konsumentami a światem, którego większość ludzi nigdy nie widzi. Mieszkańcy odwiedzają stronę drop.privacy.ca.gov, weryfikują swoją tożsamość za pośrednictwem stanowej bramki Kalifornii lub login.gov, a następnie podają swoje imię i nazwisko, adres e-mail, numer telefonu i kod pocztowy. Opcjonalnie mogą podać swój mobilny identyfikator reklamowy — trwały identyfikator powiązany z ich telefonem — oraz numer identyfikacyjny pojazdu. Jedno zgłoszenie kieruje żądanie usunięcia do wszystkich zarejestrowanych brokerów jednocześnie. Wcześniej konsumenci musieli kontaktować się z każdą firmą indywidualnie; niektórzy brokerzy ukrywali swoje formularze rezygnacji przed wyszukiwarkami, celowo utrudniając ten proces.

Firmy objęte ustawą nie są powszechnie znane. Brokerzy danych to przedsiębiorstwa, które agregują historię zakupów, tworzą profile demograficzne i psychograficzne dla reklamodawców oraz sprzedają wzorce lokalizacyjne pochodzące z telefonów komórkowych, telewizorów Smart TV i pojazdów podłączonych do sieci. Firmy takie jak Acxiom, LexisNexis, Spokeo i BeenVerified działają w tej przestrzeni. Podobnie jak platformy adtech i sprzedawcy segmentów odbiorców, o których większość konsumentów nigdy nie słyszała — ale które prawdopodobnie i tak posiadają na ich temat szczegółowe dane.

Struktura kar ma na celu stworzenie realnych kosztów za nieprzestrzeganie przepisów: 200 dolarów za każdy zignorowany wniosek o usunięcie danych, za każdy dzień, aż broker podejmie działania. Ta kwota może szybko wzrosnąć w przypadku firmy otrzymującej setki wniosków. Kalifornijski organ ds. egzekwowania prywatności nałożył już kary za podstawowe braki w rejestracji — 42 000 dolarów na Datamasters, 62 000 dolarów na S&P Global — i spodziewa się zintensyfikować egzekwowanie nakazu usuwania danych. Kary dotyczą jednak tylko zarejestrowanych brokerów: każda firma działająca bez rejestracji w ogóle nie pojawia się w systemie DROP i nie podlega automatycznemu obowiązkowi usuwania danych w ramach obecnych przepisów.

Harmonogram zgodności jest wolniejszy, niż mogliby oczekiwać konsumenci. Brokerzy muszą uzyskiwać dostęp do systemu DROP co najmniej raz na 45 dni, aby pobrać nowe wnioski, a następnie mają kolejne 45 dni na przetworzenie każdego z nich — co oznacza, że wniosek o usunięcie danych złożony dzisiaj może zostać zrealizowany dopiero po trzech miesiącach. Dane, które ponownie trafiają do bazy brokera po usunięciu, zakupione od osoby trzeciej, również muszą zostać usunięte zgodnie z zasadami tłumienia danych. Podmioty opieki zdrowotnej objęte ustawą HIPAA, instytucje finansowe regulowane ustawą GLBA oraz firmy podlegające ustawie o rzetelnej sprawozdawczości kredytowej (Fair Credit Reporting Act) są zwolnione z tych obowiązków, co wyłącza części ekosystemu danych dotyczące historii medycznej i akt kredytowych.

Prawo Kalifornii jest pierwszym scentralizowanym mechanizmem usuwania danych tego rodzaju w Stanach Zjednoczonych. Podobne ustawodawstwo na szczeblu stanowym oczekuje na rozpatrzenie w kilkunastu innych stanach. Kolejny kamień milowy dla samej Kalifornii nadejdzie w 2028 roku, kiedy ustawa będzie wymagać od zarejestrowanych brokerów danych przeprowadzenia niezależnych audytów prywatności — których wyniki należy przedłożyć stanowemu organowi ds. prywatności w 2029 roku.

Tagi: brokerzy danych, California Delete Act, CalPrivacy, dane osobowe, prawo o ochronie danych, prywatność danych