Kalifornia megbírságolja a LocateSmarter céget az első Delete Act fellépés keretében

Kalifornia megkezdte az ország egyik legambiciózusabb adatbróker-törvényének végrehajtását, és a korai eredmények már megmutatják, hol marad el az iparág. Az állam Adatvédelmi Ügynöksége végrehajtási határozatokat adott ki azokkal az adatbrókerekkel szemben, amelyek nem regisztráltak a Delete Act értelmében, és az egyik eset, amely egy LocateSmarter nevű céget érint, felfedte, hogyan rejthetnek a regisztrációs hiányosságok mélyebb problémákat a fogyasztók opt-out és törlési kérelmeinek kezelésében.

Ez a kaliforniai adatbróker-fellépési hullám messze túlmutat az állam határain. Kalifornia gyakran meghatározza a nemzeti adatvédelmi szabályozás hangvételét, és az, hogy a CPPA hogyan kezeli ezeket a korai eseteket, valószínűleg befolyásolja majd az adatbrókerek viselkedését minden államban, nem csak azokban, amelyeknek saját adatvédelmi törvényeik vannak.

Mit követel a kaliforniai Delete Act az adatbrókerektől

A Delete Act egy egyszerű ötlet köré épült: ha egy vállalat vásárol, elad vagy licencel kaliforniai lakosokra vonatkozó személyes információkat anélkül, hogy közvetlen kapcsolatban állna ezekkel az egyénekkel, akkor adatbrókernek minősül, és regisztrálnia kell az államnál. A regisztráció nem pusztán papírmunka. Ez az az alap, amely lehetővé teszi a fogyasztók számára, hogy megtudják, mely vállalatok tárolják az adataikat, és ez táplálja a törvény által létrehozott tágabb törlési és opt-out infrastruktúrát.

A CPPA végrehajtási intézkedései szerint egyes adatbrókerek egyszerűen nem regisztráltak, figyelmen kívül hagyva a törvény alapvető kötelezettségét. Önmagában ez a mulasztás elegendő a végrehajtás megindításához, de ahogy a LocateSmarter eset is mutatja, a regisztrációs jogsértés csak a jéghegy csúcsa lehet. Amint a szabályozók vizsgálni kezdik egy vállalat regisztrációs státuszát, gyakran találnak kapcsolódó megfelelési hiányosságokat abban, ahogyan a vállalat ténylegesen kezeli a fogyasztók adatértékesítésből való kilépésre vagy adataik teljes törlésére irányuló kérelmeit.

Hogyan tárta fel a LocateSmarter-ügy az opt-out megfelelési hiányosságokat

A LocateSmarter-határozat azért figyelemre méltó, mert túllép az egyszerű „nem regisztráltál" jogsértésen. A CPPA vizsgálata megállapította, hogy a vállalat túlzott személyes adatok megadását követelte meg a fogyasztóktól pusztán egy opt-out vagy törlési kérelem benyújtásához. Ez jelentős probléma: ha egy adatbróker a szükségesnél több információt kér egy adatvédelmi kérelem feldolgozásához, akkor olyan akadályt hoz létre, amely elriasztja az embereket attól, hogy gyakorolják a törvény által garantált jogaikat.

Ez az a fajta súrlódás, amelyre a szabályozók egyre inkább összpontosítanak. Egy adatbróker, amely technikailag kínál opt-out mechanizmust, nem elegendő, ha ez a mechanizmus – szándékosan vagy sem – úgy van kialakítva, hogy a folyamatot nehezebbé tegye, mint amilyennek lennie kellene. A LocateSmarter-ügy azt jelzi, hogy a kaliforniai szabályozók hajlandóak vizsgálni nemcsak azt, hogy egy vállalat regisztrált-e, hanem azt is, hogy az adatvédelmi eszközei mennyire használhatók és jóhiszeműek a gyakorlatban.

Mit jelent ez az Ön adattörlési jogaira nézve ma

A fogyasztók számára ez a végrehajtási hullám arra emlékeztet, hogy az adatbrókerek megfelelése nem automatikus, és nem szabad egyszerűen feltételezni, hogy a háttérben zajlik. Azok a vállalatok, amelyek személyes adatokat vásárolnak és adnak el, egyértelmű regisztrációs és opt-out kötelezettségekkel rendelkeznek a Delete Act értelmében, mégis a szabályozók továbbra is találnak olyan brókereket, amelyek vagy teljesen figyelmen kívül hagyták a szabályokat, vagy olyan opt-out folyamatokat építettek ki, amelyek csendben elbátortalanítják az embereket azok használatától.

Ha Ön már nyújtott be törlési vagy opt-out kérelmet egy adatbrókerhez, és a folyamatot zavarosnak, túlzottan követelőzőnek vagy nem reagálónak találta, akkor nem képzelődik. Pontosan ezek azok a gyakorlatok, amelyeket a kaliforniai szabályozók most célba vesznek. Érdemes ellenőrizni, hogy egy cég, amellyel kapcsolatba került, regisztrálva van-e adatbrókerként Kaliforniában, és ha egy kérelem túlzónak vagy akadályozónak tűnik, maga ez a súrlódás is megfelelési piros zászló lehet, amelyet érdemes jelenteni.

Hogyan terjed túl az állami szintű adatvédelmi végrehajtás Kalifornián

Kalifornia nincs egyedül azoknak a vállalatoknak a visszaszorításában, amelyek a fogyasztói adatokat jelentősége nélküli átláthatóság vagy hozzájárulás nélkül monetizálható erőforrásként kezelik. Más államok főügyészei hasonló célpontokat vettek célba azokkal a vállalatokkal szemben, amelyeket személyes adatok titkos gyűjtésével vagy felhasználásával vádolnak. Texas például nagy platformok ellen lépett fel nyilvánosságra nem hozott adatgyakorlatok miatt, beleértve egy pert is, amelyben a texasi főügyész beperelte a Netflixet a titkos felhasználói adatgyűjtés miatt, azzal vádolva a céget, hogy megfelelő hozzájárulás nélkül gyűjti és monetizálja az előfizetői adatokat.

Összességében ezek az esetek egy tágabb tendenciára mutatnak: az állami szabályozók már nem kezelik az adatbróker-regisztrációs és közzétételi szabályokat formalitásként. Aktívan tesztelik, hogy a vállalatok opt-out mechanizmusai, adatgyűjtési gyakorlatai és hozzájárulási folyamatai kiállják-e az vizsgálatot, és hajlandóak végrehajtási intézkedéseket hozni, ha nem.

Főbb tanulságok

Kalifornia Delete Act végrehajtása még korai szakaszban van, de a LocateSmarter-ügy már megmutatja, hogy a regisztrációs jogsértések gyakran mélyebb opt-out és törlési problémákat tárnak fel. Ha meg akarja védeni saját adatait, ne várja meg, amíg a szabályozók minden rossz szereplőt elkapnak. Ellenőrizze, hogy az Ön adatait kezelő vállalatok megfelelően regisztrálva vannak-e, gyakorolja közvetlenül opt-out és törlési jogait, és szóljon vissza, ha egy vállalat a szükségesnél több személyes adatot kér pusztán a kérelem feldolgozásához. Ahogy a kaliforniai adatbróker-végrehajtás bővül, és más államok hasonló intézkedésekkel követik, az adatvédelmi jogainak proaktív gyakorlása továbbra is a legmegbízhatóbb módja annak, hogy személyes adatai ne kerüljenek olyan kezekbe, amelyekkel soha nem egyezett bele az adatok megosztásába.