Cambridge Analytica ve tüketici verilerinin sayısız yüksek profilli kullanımı Kaliforniyalı kanun yapıcılar için çok uzak bir köprü oldu. Kaliforniya anayasal gizlilik hakkını hatırlatarak, dünya çapında en geniş tüketici koruma ve gizlilik yasalarından biri olan California Tüketici Mahremiyeti Yasasını (CCPA) yürürlüğe koydu. CCPA’nın Florida işletmelerine etkisi işletmelerin büyüklüğü, topladıkları veriyi işlemeleri gibi pek çok öğeye bağlı olarak kendini gösterir. Kaliforniya yasama organı tarafından 2018’de kabul edilen yasa, eyalet sakinleri için tüketici gizlilik haklarını ve korumaları arttıracak.
Ancak, Kaliforniya Tüketici Gizliliği Yasası yalnızca Kaliforniya’daki işletmeler için değil, Kaliforniya merkezli bir işletme olsun ya da olmasın, Kaliforniya’da ikamet edenlerle iş yapan tüm şirketler için de geçerlidir. Yasa, Florida şirketlerinin Kaliforniya’da veya Florida’da ikamet edenler ile herhangi bir iş yürütmeleri halinde kişisel bilgileri işleme şeklini kökten değiştirecektir. CCPA, büyük şirketler ve küçük işletmeler dahil olmak üzere ülke çapında 50.000’den fazla işletmeyi etkileyecektir.
CCPA’dan Etkilenen İşletmeler
CCPA, 1 Haziran 2020’de Kaliforniya Başsavcılığı tarafından nihai düzenlemelerin ilan edilmesiyle 1 Temmuz 2020’de yürürlüğe girdi.
Yasa, şu özelliklere sahip tüm işletmeler için geçerlidir:
- Müşterilerden kişisel bilgilerini toplayan ve verilerin doğrudan veya üçüncü bir şahıs aracılığıyla nasıl kullanıldığına veya işlendiğine karar veren işletmeler;
- Kaliforniya’da faaliyet gösteren ve (1) brüt yıllık geliri 25 milyon $ veya daha fazla olan işletmeler; (2) 50.000’den fazla tüketicinin, hane halkının veya cihazın kişisel bilgilerini satın alan, paylaşan veya satan işletmeler; (3) müşterilerin kişisel bilgilerini satarak en az yarım yıllık gelir elde eden işletmeler.
Bazı işletmeler aşağıdaki durumlarda CCPA’dan muaftır:
- Kişisel bilgileri tamamen Kaliforniya dışında toplayan ve satan işletmeler;
- Yalnızca tek bir işlem yapan ve toplanan kişisel bilgileri saklamayan işletmeler;
- Kişisel bilgileri bir birleşme veya devralmanın parçası olarak satan işletmeler;
- Kanunun gerektirdiği şekilde kişisel bilgileri toplayan veya satan, kolluk kuvvetleriyle işbirliği yapan veya yasal düzenlemelere uyan işletmeler; veya
- Halihazırda tüketici verilerine ve gizlilik korumalarına sahip bir sektörde iş yapan işletmeler.
Yasa, şirketler, LLC’ler, şahıs şirketleri ve ortaklıklar dahil olmak üzere kâr amacı güden tüm ticari kuruluşlar için geçerlidir.
CCPA Kapsamındaki Kişisel Bilgiler
CCPA, geleneksel ve geleneksel olmayan kişisel bilgiler dahil olmak üzere çok sayıda kişisel bilgiyi kapsar. Yasa, e-postaları, adresleri, telefon numaralarını, hesap adlarını, sosyal güvenlik numaralarını, kredi kartı bilgilerini ve tarama geçmişlerini içerir. Ancak yasa, kişisel bilgileri aşağıdakiler gibi geleneksel olmayanları da içerecek şekilde genişletir:
- Kişisel mülkiyet kayıtları, satın alınan ürünler veya hizmetler veya diğer satın alma geçmişleri dahil ticari bilgiler;
- Parmak izleri veya yüz verileri gibi biyometrik bilgiler;
- Koku alma, işitsel, görsel, termal veya elektronik bilgiler;
- Tüketici tercihleri;
- Psikolojik profiller, özellikler, eğilimler, yatkınlıklar, davranışlar, tutumlar, zeka ve yetenekler;
- Coğrafi konum verileri;
- Mesleki veya istihdamla ilgili veriler;
- Eğitim bilgisi; ve
- Irk, cinsiyet veya diğer korunan bilgiler.
CCPA, müşteri verileri, potansiyel müşteriler, iş bağlantıları ve Kaliforniya çalışanları dahil olmak üzere hem çevrimiçi hem de çevrimdışı olarak toplanan veriler için geçerlidir.
Küçüklerle İlgili CCPA Kuralları
California’nın yeni yasası, reşit olmayanların kişisel bilgilerinin toplanması ve saklanması için de yeni kurallar belirler. CCPA, veri toplama için izin yaşını 13’ten 16’ya yükseltmişir. 16 yaşın altındaki çocuklar için, bir ebeveyn veya yasal vasi, reşit olmayanların kişisel bilgilerini toplamaya izin vermelidir. Yasa, reşit olmayan bir tüketicinin yaşını olumlu bir şekilde doğrulama sorumluluğunu “gerçek bilgi”ye yükler.
CCPA Kapsamındaki Kaliforniya Sakinlerinin Hakları
CCPA, Kaliforniya’da ikamet edenler için aşağıdakileri içeren tüketici haklarını güvence altına alır:
- İşletmelerin kendileri hakkında topladığı bilgileri ve işletmelerin bunları nasıl paylaştığını bilme hakkı;
- İşletmelerin kendileri hakkında topladığı bazı kişisel bilgileri silme hakkı;
- Kişisel bilgilerinin satışından vazgeçme hakkı;
- CCPA haklarını kullanmak için ayrımcılığa uğramama hakkı.
Örneğin, bir işletme bir müşteriden daha yüksek fiyatlar talep edemez, daha düşük kaliteli ürünler sağlayamaz veya CCPA kapsamındaki haklarını kullandığı için bir tüketiciye satış yapmayı reddedemez. İşletmelerin ayrıca, Kaliforniya’da ikamet edenlerin istekte bulunmaları için ücretsiz bir telefon numarası ve bir web sitesi adresi dahil olmak üzere en az iki yöntemi olmalıdır.
Yasaya Uymamanın Cezaları
CCPA ihlallerini bildirimden sonraki 30 gün içinde düzeltemeyen işletmeler, ihlalin kasıtlı veya kasıtsız olmasına bağlı olarak olay başına 2.500 ila 7.500 ABD doları arasında para cezasıyla karşı karşıya kalabilir. CCPA aynı zamanda müşterilerin talep edebileceği bir hukuk davası da oluşturur ve “olay başına tüketici başına 100 ila 750 $ arasındaki yasal zararlar veya hangisi daha büyükse” fiili zararlar. Cal. Civ. Kod § 1798.150 (a) (1) (2018). Müşteriler, bildirim veya ihtiyati tedbirlere ek olarak yasal tazminat talep edebilir. İd’ye bakın.
Florida İşletmeniz Ne Yapmalı?
CCPA ile uyumluluğu sağlamak için işletmeniz için şu adımları göz önünde bulundurun:
⦁ Verileri Takip Edin
İşletmenizin topladığı tüm kişisel bilgileri tam olarak anlamak için verilerinizi denetleyin. Ardından, şirketinizin şu anda Kaliforniya’daki müşterilerden, çalışanlardan ve iş bağlantılarından topladığı bilgileri nasıl işlediğini izleyin. İşletmenizin verileri nasıl topladığını, sakladığını ve koruduğunu düşünün ve ardından tüm işinize ve iş ilişkilerinize bakın ve üçüncü tarafların da CCPA’ya uymasını sağlayın.
⦁ Bir CCPA Programı Uyarlayın
İşletmenizin topladığı tüm kişisel bilgiler için bir gizlilik politikası ve veri yönetim planı uygulaması gerekecektir. CCPA kapsamına giren işletmeler, kişisel, online veya telefonla veri toplamadan önce müşterileri bilgilendirmelidir. İşletmenizin prosedürlerine tüketicilerin nasıl yanıt verdiğine ilişkin kayıtları ve bilgi silme ve vazgeçme taleplerine yanıt verme bilgisini tutması gerekecektir. Ancak internetten bulup kopyala/yapıştır yaptığınız bir politika veya bir gizlilik politikası oluşturucu kullanmak CCPA programınız için işe yaramayacaktır. Gizlilik politikalarınızın ve prosedürlerinizin CCPA ile uyumlu olmasını sağlamak için işletmenizin satış, pazarlama, iş ve hukuk ekipleriyle işbirliği içinde çalışması gerekecektir.
⦁ Çalışanları Eğitin
Gizlilik politikalarınızı ve veri yönetimi planınızı geliştirdikten sonra, çalışanları eğitmenin zamanı da gelmiş olur. İşletmenizin, tüm çalışanların CCPA’ya uymasını sağlaması gerekecektir.
⦁ Gerektiğinde Güncelleyin
CCPA kapsamında, işletmelerin online gizlilik politikalarını en az 12 ayda bir güncellemesi gerekir. Mevcut düzenlemeler ayrıca bu politikaların engelli kişiler için makul ölçüde erişilebilir olmasını ve Web İçeriği Erişilebilirlik Yönergeleri ile uyumlu olmasını gerektirir.
CCPA ve Florida’daki işinizi nasıl etkilediği hakkında sorularınız varsa Boyer Hukuk Bürosu, P.L.’deki avukatlarla iletişime geçin. İş hukuku konusunda uzmanlaşmış avukatlarımız var ve sizin için danışmanlık sağlayabiliriz.