Калифорния начала применять один из самых масштабных законов страны о брокерах данных, и первые результаты уже показывают, где отрасль не справляется. Государственное агентство по защите конфиденциальности вынесло предписания о принудительном исполнении в отношении брокеров данных, которые не зарегистрировались в соответствии с законом Delete Act, и один конкретный случай, касающийся компании под названием LocateSmarter, приоткрыл завесу над тем, как нарушения при регистрации могут маскировать более глубокие проблемы с обработкой запросов потребителей на отказ от использования данных и их удаление.

Эта волна правоприменения в Калифорнии в отношении брокеров данных важна далеко за пределами одного штата. Калифорния часто задает тон национальному регулированию конфиденциальности, и то, как CPPA будет рассматривать эти ранние дела, вероятно, определит поведение брокеров данных во всех штатах, а не только в тех, где есть собственные законы о конфиденциальности.

Что закон Delete Act требует от брокеров данных

Закон Delete Act был построен вокруг простой идеи: если компания покупает, продает или лицензирует личную информацию о жителях Калифорнии без прямых отношений с этими людьми, она считается брокером данных и должна зарегистрироваться в штате. Регистрация — это не просто формальность. Это фундамент, который позволяет потребителям узнать, какие компании вообще хранят их данные, и он питает более широкую инфраструктуру удаления и отказа, созданную законом.

Согласно правоприменительным действиям CPPA, некоторые брокеры данных вообще не регистрировались, игнорируя основную обязанность закона. Одного этого нарушения достаточно для начала правоприменения, но, как показывает дело LocateSmarter, нарушение при регистрации может быть лишь верхушкой айсберга. Как только регуляторы начинают проверять статус регистрации компании, они часто обнаруживают связанные пробелы в соблюдении требований в том, как эта компания на самом деле обрабатывает запросы потребителей на отказ от продажи данных или полное удаление их информации.

Как дело LocateSmarter выявило пробелы в соблюдении требований по отказу

Решение по LocateSmarter примечательно тем, что оно выходит за рамки простого нарушения "вы не зарегистрировались". Проверка CPPA показала, что компания требовала от потребителей предоставления избыточной личной информации только для того, чтобы подать запрос на отказ или удаление. Это значительная проблема: если брокер данных требует больше информации, чем необходимо для обработки запроса о конфиденциальности, это создает барьер, который отпугивает людей от реализации прав, которые закон должен им гарантировать.

Именно на такое трение регуляторы обращают все больше внимания. Брокер данных, формально предлагающий механизм отказа, недостаточен, если этот механизм спроектирован — намеренно или нет — так, чтобы усложнить процесс сильнее, чем следовало бы. Дело LocateSmarter сигнализирует, что калифорнийские регуляторы готовы проверять не только то, зарегистрировалась ли компания, но и насколько удобными и добросовестными на практике являются ее инструменты конфиденциальности.

Что это означает для ваших прав на удаление данных сегодня

Для потребителей эта волна правоприменения — напоминание о том, что соблюдение требований брокерами данных не происходит автоматически, и это не то, что следует просто предполагать происходящим в фоновом режиме. Компании, которые покупают и продают личные данные, имели четкие обязательства по регистрации и отказу в соответствии с законом Delete Act, однако регуляторы все еще находят брокеров, которые либо полностью игнорировали правила, либо создавали процессы отказа, которые тихо отпугивают людей от их использования.

Если вы отправляли запрос на удаление или отказ брокеру данных и обнаружили, что процесс был запутанным, чрезмерно требовательным или безответным, вам не кажется. Это именно те виды практик, на которые сейчас нацелены калифорнийские регуляторы. Стоит проверить, зарегистрирована ли компания, с которой вы имели дело, как брокер данных в Калифорнии, и если запрос кажется чрезмерным или препятствующим, само это трение может быть красным флагом несоблюдения требований, о котором стоит сообщить.

Как правоприменение в области конфиденциальности на уровне штатов расширяется за пределы Калифорнии

Калифорния не одинока в борьбе с компаниями, которые относятся к потребительским данным как к ресурсу для монетизации без meaningful (значимой) прозрачности или согласия. Генеральные прокуроры других штатов предприняли аналогичные шаги против компаний, обвиняемых в скрытом сборе или использовании личных данных. Техас, например, подал иски против крупных платформ за нераскрытые практики обработки данных, включая иск, в котором генеральный прокурор Техаса подал в суд на Netflix за скрытый сбор пользовательских данных, обвинив компанию в сборе и монетизации информации о подписчиках без надлежащего согласия.

В совокупности эти дела указывают на более широкую тенденцию: регуляторы штатов больше не рассматривают правила регистрации и раскрытия информации для брокеров данных как формальность. Они активно проверяют, выдерживают ли механизмы отказа, практики сбора данных и процессы согласия компаний пристальное scrutiny (внимание), и готовы применять правоприменительные меры, когда они не выдерживают.

Ключевые выводы

Правоприменение закона Delete Act в Калифорнии все еще находится на ранних стадиях, но дело LocateSmarter уже показывает, что нарушения при регистрации часто вскрывают более глубокие проблемы с отказом и удалением. Если вы хотите защитить собственные данные, не ждите, пока регуляторы поймают каждого нарушителя. Проверяйте, правильно ли зарегистрированы компании, обрабатывающие вашу информацию, реализуйте свои права на отказ и удаление напрямую и давайте отпор, если компания запрашивает больше личной информации, чем кажется необходимым, просто для обработки вашего запроса. По мере расширения правоприменения в Калифорнии в отношении брокеров данных и последующих действий других штатов, сохранение проактивности в отношении ваших прав на конфиденциальность остается самым надежным способом не дать вашим личным данным попасть в руки, которым вы никогда не соглашались их передавать.