Kalifornie začala vymáhat jeden z nejambicióznějších státních zákonů o datových makléřích v zemi a první výsledky už ukazují, kde průmysl selhává. Kalifornská agentura pro ochranu soukromí vydala donucovací opatření proti datovým makléřům, kteří se nezaregistrovali podle zákona Delete Act, a jeden konkrétní případ – společnost LocateSmarter – odhalil, jak mohou selhání v registraci maskovat hlubší problémy s tím, jak jsou zpracovávány žádosti spotřebitelů o odhlášení a vymazání údajů.

Tato vlna kalifornského vymáhání pravidel pro datové makléře má význam daleko za hranicemi státu. Kalifornie často udává tón národní regulaci soukromí a to, jak CPPA zvládne tyto rané případy, pravděpodobně ovlivní chování datových makléřů ve všech státech, nejen v těch s vlastními zákony na ochranu soukromí.

Co zákon Delete Act vyžaduje od datových makléřů

Zákon Delete Act byl postaven na jednoduché myšlence: pokud společnost nakupuje, prodává nebo licencuje osobní údaje o Kaliforňanech bez přímého vztahu s těmito jednotlivci, považuje se za datového makléře a musí se zaregistrovat u státu. Registrace není jen administrativní formalita. Je to základ, který spotřebitelům umožňuje zjistit, které společnosti vůbec drží jejich údaje, a je součástí širší infrastruktury pro vymazání a odhlášení, kterou zákon vytvořil.

Podle donucovacích opatření CPPA se někteří datoví makléři prostě nezaregistrovali vůbec a ignorovali tak základní povinnost podle zákona. Už toto samotné selhání stačí k zahájení vymáhání, ale jak ukazuje případ LocateSmarter, porušení registrace může být jen špičkou ledovce. Jakmile regulátoři začnou zkoumat registrační status společnosti, často odhalí související mezery v souladu s předpisy v tom, jak společnost ve skutečnosti zpracovává žádosti spotřebitelů o odhlášení z prodeje údajů nebo úplné vymazání jejich informací.

Jak případ LocateSmarter odhalil mezery v souladu s odhlašováním

Rozhodnutí v případu LocateSmarter je pozoruhodné, protože jde nad rámec prostého porušení "nezaregistrovali jste se". Přezkum CPPA zjistil, že společnost vyžadovala od spotřebitelů poskytnutí nadměrného množství osobních údajů jen k podání žádosti o odhlášení nebo vymazání. To je zásadní problém: pokud datový makléř požaduje více informací, než je nutné ke zpracování žádosti o soukromí, vytváří tím bariéru, která odrazuje lidi od uplatňování práv, která jim zákon má zaručovat.

Právě na tento druh tření se regulátoři stále více zaměřují. Datový makléř, který technicky nabízí mechanismus odhlášení, nestačí, pokud je tento mechanismus navržen – ať už záměrně nebo ne – tak, aby proces ztěžoval víc, než by měl. Případ LocateSmarter signalizuje, že kalifornští regulátoři jsou ochotni zkoumat nejen to, zda se společnost zaregistrovala, ale také jak použitelné a v dobré víře jsou její nástroje na ochranu soukromí v praxi.

Co to znamená pro vaše práva na vymazání údajů dnes

Pro spotřebitele je tato vlna vymáhání připomínkou, že soulad datových makléřů s předpisy není automatický a není to něco, co byste měli jednoduše předpokládat, že se děje na pozadí. Společnosti, které nakupují a prodávají osobní údaje, měly jasné povinnosti registrace a odhlášení podle zákona Delete Act, přesto regulátoři stále nacházejí makléře, kteří buď pravidla zcela ignorovali, nebo vytvořili procesy odhlášení, které lidi nenápadně odrazují od jejich použití.

Pokud jste podali žádost o vymazání nebo odhlášení datovému makléři a proces vám přišel matoucí, přehnaně náročný nebo bez odezvy, nezdá se vám to. Přesně tyto praktiky kalifornští regulátoři nyní cílí. Stojí za to zkontrolovat, zda je společnost, se kterou jste jednali, registrovaná jako datový makléř v Kalifornii, a pokud žádost působí nadměrně nebo obstrukčně, může být toto tření samo o sobě varovným signálem nesouladu, který stojí za nahlášení.

Jak se státní vymáhání soukromí rozšiřuje za hranice Kalifornie

Kalifornie není sama v zásahu proti společnostem, které zacházejí s údaji spotřebitelů jako se zdrojem k zpeněžení bez smysluplné transparentnosti nebo souhlasu. Státní zástupci jinde se podobně zaměřili na společnosti obviněné z utajeného shromažďování nebo používání osobních údajů. Texas například šel po velkých platformách kvůli nezveřejněným datovým praktikám, včetně žaloby, ve které texaský generální prokurátor zažaloval Netflix za tajné shromažďování uživatelských údajů, a obvinil společnost ze shromažďování a zpeněžování informací o předplatitelích bez řádného souhlasu.

Společně tyto případy ukazují na širší trend: státní regulátoři už nepovažují registraci datových makléřů a pravidla pro zveřejňování informací za formalitu. Aktivně testují, zda mechanismy odhlášení společností, praktiky shromažďování údajů a procesy souhlasu obstojí při kontrole, a jsou ochotni zahájit donucovací opatření, když neobstojí.

Klíčové poznatky

Vymáhání zákona Delete Act v Kalifornii je stále v rané fázi, ale případ LocateSmarter už ukazuje, že porušení registrace často odhaluje hlubší problémy s odhlašováním a vymazáním. Pokud chcete chránit svá vlastní data, nečekejte, až regulátoři chytí každého špatného hráče. Zkontrolujte, zda jsou společnosti nakládající s vašimi informacemi řádně registrované, uplatňujte svá práva na odhlášení a vymazání přímo a vzepřete se, pokud společnost požaduje více osobních údajů, než se zdá nezbytné jen ke zpracování vaší žádosti. Jak se kalifornské vymáhání pravidel pro datové makléře rozšiřuje a další státy následují s vlastními opatřeními, zůstává proaktivní přístup k vašim právům na soukromí tím nejspolehlivějším způsobem, jak udržet vaše osobní údaje mimo ruce, kterým jste nikdy nesouhlasili je předat.