캘리포니아 소비자 개인 정보 보호법에 대한 준비가 되셨습니까?

가장 유명한 기술 회사 중 일부는 2018 년 6 월 28 일 캘리포니아 소비자 개인 정보 보호법 (CCPA)을 통과 한 캘리포니아에 본사를두고 있습니다. CCPA는 2020 년 1 월 1 일까지 발효되지 않지만 캘리포니아, 미국 및 전 세계의 비즈니스에 영향을 미칠 것으로 예상됩니다. CCPA는 기업이 고객 데이터를 처리 할 수있는 방식에 영향을 미치며, 미국 역사상 가장 엄격한 데이터 보호법으로 간주되고 있습니다.

데자뷰를 느끼고 있다면 혼자가 아닙니다. 5 월에 유럽 연합 (EU)의 일반 데이터 보호 규정 (GDPR)이 시행되었습니다. GDPR은 PCMag에서 화제가되었습니다. 법은 대서양 전역에 걸쳐 만들어졌지만 사실은 전세계 사업체에 표시되어 있습니다. 법은 거주 지역에 관계없이 모든 EU 시민에게 적용되기 때문입니다. GDPR과 마찬가지로, 새로운 CCPA의 영향은 원산지 범위를 넘어서는 광범위한 영향을 미칩니다. 우리는 CCPA에 대한 자세한 내용과 예상되는 영향에 대해 몇 명의 전문가와 상담했습니다.

CCPA와 귀하: 소개

CCPA는 기업에게 어떤 종류의 데이터가 수집되는지 공개하도록 요구할 수있는 소비자의 권리를 확립합니다. VPN (가상 사설망)과 같은 도구를 사용하지 않는 한, 수많은 비즈니스가 온라인 상태 일 때마다 귀하에 대한 정보를 수집하고 있다는 것은 확실합니다. CCPA가 가져올 이런 종류의 투명성을 말하는 것은 과소 평가 일 것입니다.

John Tsopanis는 1touch.io의 개인 정보 보호 제품 관리자로서 기업이 처리하는 개인 데이터를 이해하도록 도와줍니다. Tsopanis는 지난 몇 년 동안 회사에 대한 GDPR 컨설팅을 수행했으며 CCPA와 동일한 일을하기 위해 노력하고 있습니다. Tsopanis는 CCPA를 기본 용어로 설명합니다.

Tsopanis는“2020 년 1 월 1 일, 캘리포니아 거주자는 미국 내 대기업에 '내 정보를 처리하고 있습니까?' "45 일 이내에 해당 회사는 지난 12 개월에 대한 보고서를 회신해야 할 의무가 있습니다. 개인에 대한 특정 범주의 개인 정보, 공유 대상 및 이유는 무엇인지 표시해야합니다. 그들은 그 정보를 기간 내에 캘리포니아 주민들 (4 천만 명 모두)에게 제공해야합니다."

GDPR과 CCPA의 차이점

GDPR이하는 것과 CCPA가하는 것에는 상당한 차이가 있습니다. 우선 CCPA는 동의를 위해 옵트 아웃 기준을 사용하지만 GDPR은 옵트 인 기준을 사용합니다. 이것은 본질적으로 사용자가 어떤 종류의 정보가 사용되고 있는지 알아 내기 위해 적극적으로 회사에 연락해야한다는 것을 의미합니다. 또한 GDPR은 EU 시민에 대한 개인 데이터를 보유한 모든 조직에 적용됩니다.

반면 CCPA는 캘리포니아 주민에 대한 데이터를 처리하는 영리 기업에만 적용됩니다. 조직은 연간 매출에서 2, 400 만 달러 이상을 수행하거나, 5 만 명의 데이터를 보유하거나, 개인 데이터 판매에서 수익의 절반 이상을 수행해야합니다. 따라서 소규모 부티크 상점을 보유하고 있고 온라인 운영 범위가 상점 시간과 주소를 나열하는 웹 페이지 인 경우 CCPA에 대해 너무 걱정할 필요가 없습니다. 그러나 턴키 제공 업체를 통해 전자 상거래 웹 사이트를 운영하거나 일반 웹 호스팅 서비스를 통해 자체 전자 테일 웹 사이트를 유지 관리하는 경우주의를 기울여야합니다.

Courtney Bowman은 국제 법률 회사 인 Proskauer Rose LLP의 소송 부서의 준회원입니다. Bowman은 CCPA가 기업들이 2020 년을 넘어서서 데이터 사용량에 대해 신중하게 생각해야하는 이유를 설명합니다. "이 12 개월 요건은 기업이 최소 1 년에 한 번 개인 정보 보호 정책을보고 변경 사항이 있는지 파악해야 함을 의미합니다., " 그녀가 말했다.

Bowman은 계속해서 "개인 정보 보호 정책을 조정할 수 있도록 제 3 자에게 판매하거나 공개하는 데이터를 지속적으로 모니터링해야 할 것"이라고 말했다. "법은 또한 소비자에게 일부 상황에서 개인 정보에 액세스하거나 삭제할 권리를 부여하며, 기업은 실제로 그러한 권리를 신속하게 실행할 수 있도록해야합니다. 데이터의 위치를 ​​파악하기 위해 회사가 데이터 매핑을 수행해야합니다. 위치에 있으며 IT 부서와 연락을 취하여 해당 행동에 따른 책임을 이행하기 위해해야 ​​할 일을 파악해야합니다."

CCPA의 광범위한 영향

GDPR을 앞둔 몇 달 동안, 우리의 적용 범위에서 실행되는 주제는 세계화 된 세계에서 GDPR이 유럽 이외의 비즈니스에 영향을 미칠 것이라는 것이 었습니다. 결국 대부분의 대기업은 해외에서 사업을하고 있으며 법률을 준수하기 위해 전 세계적으로 온라인 운영을 변경해야합니다. 그러나 우리가 Tsopanis와 이야기 할 때, 그는 미국 기업들이 여전히 CCPA에 특별한주의를 기울여야한다고 말했다.

Tsopanis는“미국 기업의 경우 GDPR은 주로 채널을 통해 운영되는 주요 조직에 중점을 두었습니다.를 통해 자격을 갖춘 기업의 기준이 훨씬 더 커졌습니다. "캘리포니아에는 4 천만 명의 인구가 있으며 인구의 0.1 %도 50, 000 명에 못 미칩니다. 미국 기업의 노출 규모는 이전 GDPR보다 훨씬 높았습니다."

Tsopanis는 패스트 푸드 자이언트 Wendy 's의 예를 제공합니다. "Wendy 's는 Fortune 1000 대 기업 중 999 번째로 큰 회사이며이 법에 따라 해당 기준에 해당하는 기준보다 48 배 높은 연간 수익이 12 억 달러에 달합니다. 최소한 미국에는 1, 000 억 달러 규모의 회사가이를 준수해야합니다. 이 법과 2, 500 만 달러 범주보다 훨씬 더 큰 규모의 주문이 발생했습니다."

우리는 Wendy를 기술 회사로 간주하지 않을 수도 있지만 공정한 사용자 정보 공유를 수집합니다. 또한 모든 종류의 회사가 CCPA의 영향을받는 방법에 대한 완벽한 예입니다. 웹 사이트를 방문하거나 POS (Point-of-Sale) 시스템을 통해 음식을 주문하거나 현지 Wendy 's 식당에서 Wi-Fi를 사용하면 회사에서 정보를 수집하고 있으며 캘리포니아에서는 최소한 ' 모든 CCPA 규정이 적용됩니다. Wendy 's와 같이 "소규모"인 회사가 사용자에 대한 많은 데이터를 수집하는 경우 대기업이 수집하는 것을 생각하는 것은 무섭습니다. 간단히 말해 CCPA는 엄청난 의미를 갖습니다.

중요한 데이터 발견

CCPA의 가장 중요한 효과 중 하나는 미국인들이 마침내 회사가 수행 한 방대한 양의 데이터 구매 및 데이터 판매를 발견 할 수 있다는 것입니다. "이 법안은 미국 ​​사람들이 데이터 구매 및 판매 조직의 대량 웹을 마침내 완전히 익명으로 밝혀 낼 수 있도록 허용 할 것입니다. 이는 이전에 데이터 프라이버시가 인식되는 방식의 극적인 문화적 변화로 이어질 것입니다. 언젠가는 조화 된 연방 개인 정보 보호법으로 이어진다 "고 말했다.

때 케임브리지 분석 스캔들이 부러지면서 기술 전문가이든 아니든 수백만 명의 사람들이 주목을 받았습니다. 사람들은 자신의 정보를 수집하는 사람과 그 정보가 무엇을 처리하는지에 대해 매우 우려하게되었고 CCPA는 부분적으로 이에 대한 응답입니다. Tsopanis는 결과 계시가 엄청날 것이라고 주장합니다.

"국내의 모든 기자에게있어 이것은 신의 선물입니다. 캘리포니아는 세계에서 다섯 번째로 큰 2.7 조 달러 경제이며 빅 데이터를 기반으로합니다. 모든 Fortune 1000 대 기업의 모든 액세스 요청은 전체 네트워크를 공개 할 것입니다 Tsopanis는 다음과 같이 설명합니다. "사람들이 언제 데이터 보고서를 받기 시작할지 정확히 알지 못하지만 흥미로운 계시가있을 것입니다."

18 개월 만에 준비

GDPR에서 무언가를 배운다면, 회사는 마감일을 준비하기 위해 가능한 빨리 계획해야합니다. 이를 염두에두고 미국 기업들은 시간이 거의 없습니다. GDPR은 2016 년 4 월에 채택되었으며 회사는 2 년이 조금 넘게 규정을 준수하고 준수했습니다. CCPA는 2020 년 초에 발효되기 때문에 이제 대기업은 이제 준비하는 데 18 개월 밖에 걸리지 않습니다.

이 기한은 가장 노련한 기술 전문가조차도 스트레스를 줄 수 있습니다. Tsopanis는 "18 개월 안에 수행해야 할 작업량이 GDPR에 필요한 시간보다 많으며 시간이 덜 걸리고 미국 기업은 유럽보다 개인 정보 보호 수준이 낮습니다."라고 경고합니다.

이를 위해 보안 전문가는 회사가 프로세스 개발에 적절한주의를 기울일 것을 권장합니다. Tsopanis는 "다음 6 개월 동안 조직이해야 할 일은 조직 전체에서 개인 정보를 추적하는 일종의 방법을 개발하는 것"이라고 말했다. "개인 정보가 어느 제 3 자와 어떤 시간에 전송되었는지 쉽게 액세스 할 수있는 방법이 필요하며, 구현 시점까지 12 개월 동안 그 정보를 추적하고 요청시 해당 정보를 제공 할 수 있어야합니다. 규제가 시작됩니다.

Tsopanis는“미국의 거의 모든 주요 기업이 주요 데이터 식별 활동을 수행하고 시행일에 캘리포니아 주민의 데이터 주체 액세스 요청을 자동화하고 이에 대응할 수 있어야합니다. "법률이 2020 년에 통과하면 이전 12 개월 동안 사용자 정보에 대한 보고서를 제공 할 수 있어야합니다. 이는 기업이 2019 년 1 월 1 일에 해당 데이터를 추적해야 함을 의미합니다."

합법적 인 관점에서 보 우먼은 마감일 전에 약간의 변화가있을 수 있다고 말했다. "우리는 법이 발효되기 전에 약간의 개정이있을 것으로 기대한다"고 그녀는 말했다. "이것은 상당히 빨리 작성 되었기 때문에 효력을 발휘 한 후에도 회색 영역이 이해 될 수 있습니다. GDPR은 몇 년이 걸렸지 만 여전히 GDPR의 여러 부분이 있습니다. "모호합니다."