Каліфорнія розпочала правозастосування одного з найамбітніших законів країни щодо брокерів даних, і перші результати вже показують, де галузь не відповідає вимогам. Агенція із захисту приватності штату видала приписи про правозастосування щодо брокерів даних, які не зареєструвалися відповідно до закону Delete Act, і одна справа зокрема, за участю компанії під назвою LocateSmarter, відкрила завісу над тим, як невиконання реєстраційних вимог може маскувати глибші проблеми з обробкою запитів споживачів на відмову від продажу даних та їх видалення.
Ця хвиля правозастосування щодо брокерів даних у Каліфорнії має значення далеко за межами штату. Каліфорнія часто задає тон для регулювання приватності на національному рівні, і те, як CPPA розглядатиме ці ранні справи, ймовірно, вплине на поведінку брокерів даних у кожному штаті, а не лише в тих, де існують власні закони про приватність.
Що закон Delete Act вимагає від брокерів даних у Каліфорнії
Закон Delete Act був побудований навколо простої ідеї: якщо компанія купує, продає або надає ліцензії на особисту інформацію про каліфорнійців без прямого зв'язку з цими особами, вона вважається брокером даних і повинна зареєструватися в штаті. Реєстрація — це не просто паперова тяганина. Це фундамент, який дозволяє споживачам дізнатися, які компанії взагалі володіють їхніми даними, і він живить ширшу інфраструктуру видалення даних та відмови від їх продажу, створену законом.
Згідно з правозастосовчими заходами CPPA, деякі брокери даних просто взагалі не зареєструвалися, проігнорувавши основне зобов'язання закону. Лише цього порушення достатньо для запуску правозастосування, але, як показує справа LocateSmarter, порушення реєстраційних вимог може бути лише верхівкою айсберга. Щойно регулятори починають вивчати реєстраційний статус компанії, вони часто виявляють пов'язані прогалини у дотриманні вимог у тому, як ця компанія насправді обробляє запити споживачів на відмову від продажу даних або повне видалення їхньої інформації.
Як справа LocateSmarter викрила прогалини у дотриманні вимог щодо відмови від продажу даних
Рішення у справі LocateSmarter є показовим, оскільки воно виходить за межі простого порушення "ви не зареєструвалися". Під час перевірки CPPA виявила, що компанія вимагала від споживачів надавати надмірну особисту інформацію лише для того, щоб подати запит на відмову від продажу даних або їх видалення. Це значна проблема: якщо брокер даних вимагає більше інформації, ніж необхідно для обробки запиту про приватність, це створює бар'єр, який відлякує людей від реалізації прав, які закон має їм гарантувати.
Це саме той вид тертя, на якому регулятори дедалі більше зосереджуються. Брокер даних, який формально пропонує механізм відмови від продажу даних, недостатній, якщо цей механізм розроблений, навмисно чи ні, щоб зробити процес складнішим, ніж він має бути. Справа LocateSmarter сигналізує про те, що регулятори Каліфорнії готові вивчати не лише те, чи зареєструвалася компанія, але й наскільки зручними та добросовісними є її інструменти приватності на практиці.
Що це означає для ваших прав на видалення даних сьогодні
Для споживачів ця хвиля правозастосування є нагадуванням про те, що дотримання вимог брокерами даних не відбувається автоматично, і це не те, на що слід просто покладатися, що воно відбувається у фоні. Компанії, які купують і продають персональні дані, мали чіткі зобов'язання щодо реєстрації та відмови від продажу даних згідно із законом Delete Act, однак регулятори досі виявляють брокерів, які або повністю ігнорували правила, або створювали процеси відмови, які тихо відлякують людей від їх використання.
Якщо ви подавали запит на видалення даних або відмову від їх продажу брокеру даних і виявили, що процес є заплутаним, надто вимогливим або неотримував відповіді, вам не здається. Це саме ті практики, на які регулятори Каліфорнії тепер націлюються. Варто перевірити, чи зареєстрована компанія, з якою ви мали справу, як брокер даних у Каліфорнії, і якщо запит здається надмірним або перешкоджаючим, саме це тертя може бути червоним прапорцем недотримання вимог, про який варто повідомити.
Як правозастосування на рівні штатів щодо приватності розширюється за межі Каліфорнії
Каліфорнія не самотня у боротьбі з компаніями, які ставляться до даних споживачів як до ресурсу для монетизації без значущої прозорості чи згоди. Генеральні прокурори інших штатів також спрямували свої зусилля на компанії, звинувачені у прихованому зборі або використанні персональних даних. Техас, наприклад, подав позови проти великих платформ через нерозкриті практики роботи з даними, зокрема позов, у якому генеральний прокурор Техасу подав до суду на Netflix через таємний збір даних користувачів, звинувачуючи компанію у зборі та монетизації інформації про підписників без належної згоди.
Разом узяті, ці справи вказують на ширшу тенденцію: регулятори на рівні штатів більше не розглядають правила реєстрації та розкриття інформації для брокерів даних як формальність. Вони активно перевіряють, чи витримують критику механізми відмови від продажу даних, практики збору даних та процеси отримання згоди в компаній, і вони готові вживати правозастосовчих заходів, коли ці механізми не відповідають вимогам.
Ключові висновки
Правозастосування закону Delete Act у Каліфорнії все ще перебуває на ранній стадії, але справа LocateSmarter вже показує, що порушення реєстраційних вимог часто викривають глибші проблеми з відмовою від продажу даних та їх видаленням. Якщо ви хочете захистити власні дані, не чекайте, поки регулятори спіймають кожного недобросовісного гравця. Перевіряйте, чи компанії, які обробляють вашу інформацію, належним чином зареєстровані, реалізовуйте свої права на відмову від продажу даних та їх видалення безпосередньо, і давайте відсіч, якщо компанія вимагає більше персональної інформації, ніж здається необхідним, лише для обробки вашого запиту. Оскільки правозастосування щодо брокерів даних у Каліфорнії розширюється, а інші штати наслідують цей приклад власними діями, проактивний захист своїх прав на приватність залишається найнадійнішим способом не допустити, щоб ваші персональні дані потрапили в руки, з якими ви ніколи не погоджувалися ділитися.
