Kalifornia on aloittanut yhden maan kunnianhimoisimman datavälittäjälain valvonnan, ja varhaiset tulokset osoittavat jo, missä toimiala jää vajaaksi. Osavaltion yksityisyydensuojavirasto on antanut valvontamääräyksiä datavälittäjille, jotka eivät rekisteröityneet Delete Act -lain mukaisesti, ja yksi tapaus erityisesti, joka koskee LocateSmarter-nimistä yritystä, on tuonut valoon sen, miten rekisteröintivirheet voivat peittää alleen syvempiä ongelmia kuluttajien kieltäytymis- ja poistopyyntöjen käsittelyssä.
Tämä Kalifornian datavälittäjien valvonta-aalto on merkittävä myös osavaltion rajojen ulkopuolella. Kalifornia asettaa usein suuntaviivat yksityisyydensääntelylle kansallisesti, ja se, miten CPPA käsittelee näitä varhaisia tapauksia, muokkaa todennäköisesti datavälittäjien toimintaa kaikissa osavaltioissa, ei vain niissä, joilla on omat yksityisyyslait.
Mitä Kalifornian Delete Act -laki vaatii datavälittäjiltä
Delete Act -laki rakennettiin yksinkertaisen ajatuksen ympärille: jos yritys ostaa, myy tai lisensoi kalifornialaisia koskevia henkilötietoja ilman suoraa suhdetta näihin henkilöihin, se lasketaan datavälittäjäksi ja sen on rekisteröidyttävä osavaltioon. Rekisteröinti ei ole vain paperityötä. Se on perusta, jonka avulla kuluttajat voivat selvittää, mitkä yritykset pitävät hallussaan heidän tietojaan, ja se ruokkii lain luomaa laajempaa poisto- ja kieltäytymisinfrastruktuuria.
CPPA:n valvontatoimien mukaan jotkut datavälittäjät eivät yksinkertaisesti rekisteröityneet ollenkaan, mikä jätti huomiotta lain keskeisen velvoitteen. Pelkkä tämä laiminlyönti riittää käynnistämään valvonnan, mutta kuten LocateSmarter-tapaus osoittaa, rekisteröintivirhe voi olla vain jäävuoren huippu. Kun sääntelyviranomaiset alkavat tutkia yrityksen rekisteröintitilannetta, he löytävät usein siihen liittyviä vaatimustenmukaisuuspuutteita siinä, miten yritys itse asiassa käsittelee kuluttajien pyyntöjä kieltäytyä datamyynnistä tai poistaa heidän tietonsa kokonaan.
Miten LocateSmarter-tapaus paljasti kieltäytymisen vaatimustenmukaisuuden aukot
LocateSmarter-päätös on merkittävä, koska se menee pidemmälle kuin pelkkä "et rekisteröitynyt" -rikkomus. CPPA:n tarkastelu osoitti, että yritys vaati kuluttajia luovuttamaan liiallisia henkilötietoja pelkän kieltäytymis- tai poistopyynnön lähettämiseksi. Tämä on merkittävä ongelma: jos datavälittäjä vaatii enemmän tietoja kuin on tarpeen yksityisyyspyynnön käsittelemiseksi, se luo esteen, joka vähentää ihmisten halukkuutta käyttää oikeuksiaan, jotka lain pitäisi taata heille.
Tällainen kitka on asia, johon sääntelyviranomaiset keskittyvät yhä enemmän. Datavälittäjä, joka teknisesti tarjoaa kieltäytymismekanismin, ei riitä, jos kyseinen mekanismi on suunniteltu, tarkoituksella tai ei, tekemään prosessista vaikeampaa kuin sen pitäisi olla. LocateSmarter-tapaus osoittaa, että Kalifornian sääntelyviranomaiset ovat valmiita tutkimaan paitsi sitä, rekisteröityikö yritys, myös sitä, miten käyttökelpoisia ja hyvässä uskossa sen yksityisyystyökalut todellisuudessa ovat.
Mitä tämä tarkoittaa tiedonpoisto-oikeuksillesi tänään
Kuluttajille tämä valvonta-aalto on muistutus siitä, että datavälittäjien vaatimustenmukaisuus ei ole automaattista, eikä sen pitäisi olettaa tapahtuvan taustalla. Yritykset, jotka ostavat ja myyvät henkilötietoja, ovat saaneet selkeät rekisteröinti- ja kieltäytymisvelvoitteet Delete Act -lain nojalla, mutta sääntelyviranomaiset löytävät silti välittäjiä, jotka joko jättivät säännöt kokonaan huomiotta tai rakensivat kieltäytymisprosesseja, jotka hiljaisesti vähentävät niiden käyttöä.
Jos olet lähettänyt poisto- tai kieltäytymispyynnön datavälittäjälle ja huomannut prosessin sekavaksi, liikaa vaativaksi tai vastaamattomaksi, et kuvittele asioita. Nämä ovat täsmälleen sellaisia käytäntöjä, joihin Kalifornian sääntelyviranomaiset nyt kohdistavat toimia. On syytä tarkistaa, onko yritys, jonka kanssa olet asioinut, rekisteröitynyt datavälittäjäksi Kaliforniassa, ja jos pyyntö tuntuu liialliselta tai estävältä, se kitka itsessään voi olla vaatimustenmukaisuuden varoitusmerkki, joka kannattaa ilmoittaa.
Miten osavaltiotason yksityisyyden valvonta laajenee Kalifornian ulkopuolelle
Kalifornia ei ole yksin yritysten suitsimisessa, jotka kohtelevat kuluttajatietoja resurssina, jota hyödynnetään ilman merkityksellistä läpinäkyvyyttä tai suostumusta. Muiden osavaltioiden oikeusministerit ovat ottaneet samankaltaisen tähtäimen yrityksiin, joita syytetään henkilötietojen keräämisestä tai käytöstä salassa. Esimerkiksi Texas on käynyt suuria alustoja vastaan julkistamattomista datakäytännöistä, mukaan lukien oikeusjuttu, jossa Texasin oikeusministeri haastoi Netflixin oikeuteen salaisesta käyttäjätietojen keräämisestä syyttäen yritystä tilaajatietojen keräämisestä ja rahaksi muuttamisesta ilman asianmukaista suostumusta.
Yhdessä nämä tapaukset osoittavat laajempaan suuntaukseen: osavaltioiden sääntelyviranomaiset eivät enää kohtele datavälittäjien rekisteröinti- ja tiedonantosääntöjä muodollisuutena. He testaavat aktiivisesti, kestävätkö yritysten kieltäytymismekanismit, tiedonkeruukäytännöt ja suostumusprosessit tarkastelun, ja he ovat valmiita ryhtymään valvontatoimiin, kun ne eivät kestä.
Keskeiset huomiot
Kalifornian Delete Act -lain valvonta on vielä varhaisessa vaiheessa, mutta LocateSmarter-tapaus osoittaa jo, että rekisteröintivirheet paljastavat usein syvempiä kieltäytymis- ja poisto-ongelmia. Jos haluat suojata omat tietosi, älä odota, että sääntelyviranomaiset tavoittavat jokaisen huonon toimijan. Tarkista, ovatko yritykset, jotka käsittelevät tietojasi, asianmukaisesti rekisteröityneitä, käytä kieltäytymis- ja poisto-oikeuksiasi suoraan, ja pyri vastustamaan, jos yritys pyytää enemmän henkilötietoja kuin tuntuu tarpeelliselta pelkän pyyntösi käsittelemiseksi. Kalifornian datavälittäjien valvonnan laajentuessa ja muiden osavaltioiden seuratessa omilla toimillaan, ennakoiva suhtautuminen yksityisyyden oikeuksiisi on edelleen luotettavin tapa pitää henkilötietosi poissa käsistä, joille et ole koskaan suostunut niitä jakamaan.
