חוק הגנת פרטיות הצרכן בקליפורניה (California Consumer Privacy Act) שנחקק ביוני 2018, ייכנס לתוקף ב-1 בינואר 2020. מדובר במגמה עולמית הולכת וגוברת של החמרת הכללים הקשורים באיסוף וניהול מידע אישי של צרכנים, הן בהיבטי השימוש ומכירת המידע (פרטיות), והן בהיבטי ניהול והגנת המידע (אבטחה).
בעוד שרגולציית הגנת הפרטיות האירופית, ה-GDPR (General Data Protection Regulation), נכנסה לתוקף במאי 2018, בארה”ב עדיין לא קיימת מסגרת רגולטורית פדרלית אשר תספק מענה לאתגרי הגנת פרטיות של כלל אזרחי ארה”ב. במהלך השנה האחרונה, לפחות 12 מדינות בארה”ב העלו הצעות חוק וסטנדרטים חדשים להגנה על מידע אישי של אזרחיהם או הגבירו את מדיניות הגנת הפרטיות הקיימת. החוק של מדינת קליפורניה מהווה כמודל לחקיקה ברמה פדרלית שצפויה להתפתח בעתיד.
רגע לפני שה-CCPA נכנס לתוקף, פורסמה טיוטה של התקנות הרגולטוריות ליישום החוק, וזאת בכדי לקבל הערות מהציבור- ניתן להגיב עד ה-6 בדצמבר, 2019 בכתובת האימייל: PrivacyRegulations@doj.ca.gov
ה-CCPA מקנה לתושבי קליפורניה את הזכויות הבאות:
- לדעת מהו המידע (קטגוריות ומידע ספציפי) אשר נאסף עליהם או על ילדיהם
- לקבל את פירוט המקורות מהן נאסף המידע האישי
- לקבל את פירוט המטרות לשמן נאסף המידע האישי
- לעקוב אחר העברת ומכירת המידע האישי לצדדים שלישיים
- לדרוש מהחברות להפסיק להעביר או למכור מידע אישי לצדדים שלישיים.
מחויבות העסק/החברה כלפי הצרכן כפי שנדרש ב-CCPA:
- לפרסם הודעת התראה לצרכן שהעסק יאסוף את המידע האישי שלו. העסק מחויב לפרסם הודעה בשפה פשוטה ובתבנית המפנה את תשומת ליבו של הצרכן. העסק לא יורשה לעשות שימוש במידע שלא הוגדר בהודעת ההתראה.
- לייצר מערכת שבאמצעותה הצרכן יכול לבקש למחוק את המידע האישי שלו שנאסף. בתוך כך להוסיף לינק באתר שבאמצעותו ניתן לבקש: “אל תמכרו את המידע האישי שלי”
- על פי בקשה- על העסק לחשוף את התמריצים הכספיים המוצעים בתמורה לשמירה או מכירת המידע האישי של הצרכן ולהסביר כיצד הם מחשבים את הערך של המידע האישי.
- להחזיק בתיעוד של כל בקשות הצרכן מה-24 חודשים האחרונים על מנת להוכיח שהם עומדים בדרישות החוק.
האם החוק של מדינת קליפורניה רלוונטי לחברות ישראליות?
החוק חל בצורה אקס-טריטוריאלית כך שהוא יחול לא רק על חברות אשר מקום מושבן הוא במדינת קליפורניה, אבל גם על חברות וארגונים אשר מקום מושבן מחוץ לקליפורניה והן או חברות הקשורות בהן (חברת בת או אם) אוספות ומוכרות מידע אישי של תושבי קליפורניה או מספקות לתושבי קליפורניה שירותים או מוצרים באמצעות רשת האינטרנט או בכל דרך אחרת.
עם זאת, שימו לב שה-CCPA חל רק על חברות העונות על אחת או יותר מההגדרות הבאות:
- חברות או ארגונים עם מחזור הכנסות שנתי של 25 מיליון דולר או יותר.
- חברות או ארגונים האוספים או מוכרים מידע של למעלה מ-50,000 תושבים או בתי אב בקליפורניה.
- חברות שלמעלה ממחצית הכנסותיהן השנתיות נובעות משימוש או ממכירת המידע שנאסף.
המחלקה הכלכלית מסחרית בוושינגטון עוקבת אחר שינויים רגולטורים בארה”ב העשויים להשפיע על התעשייה הישראלית. לשאלות בנושא זה, אנא פנו לשלי קורנבוים בכתובת: shelly.korenboim@israeltrade.gov.il
המידע שסופק בפרסום זה אינו מתיימר לתרגם את תקנות החוק במלואן או לספק את מלוא ההנחיות והתקנות המחייבות. האמור בפרסום אינו מהווה ייעוץ משפטי, ואינו יוצר מחויבות משפטית מצד כל מי שכתב, ערך, תרגם או מצוין בפרסום. כל פעולה שנעשית על סמך המידע והפרטים המופיעים בפרסום היא באחריות המשתמש בלבד. אנו ממליצים להוריד את קובץ ההנחיות ולהתייעץ עם עו”ד במידת הצורך.
