Was sich mit dem CPRA geändert hat
Der California Privacy Rights Act (CPRA) hat den CCPA mit Wirkung zum 1. Januar 2023 geändert. Die vier wichtigsten Neuerungen: (1) die neue Kategorie „sensitive personal information“ und die Offenlegung zum „Right to Limit“, (2) die Formulierung „Do Not Sell or Share“, wobei „Sharing“ jetzt kontextübergreifende verhaltensbasierte Werbung umfasst, (3) die California Privacy Protection Agency (CPPA) als eigene Aufsichtsbehörde und (4) die Dateninventur mit 12-monatigem Rückblick.
Wer ihn einhalten muss
Gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und mindestens eine Schwelle erreichen: über 25 Mio. $ Bruttojahresumsatz, Kauf/Verkauf/Weitergabe personenbezogener Daten von 100.000 oder mehr Verbrauchern bzw. Haushalten oder mindestens 50 % des Umsatzes aus dem Verkauf bzw. der Weitergabe personenbezogener Daten. Gemeinnützige Organisationen und Behörden sind ausgenommen.
Die elf Kategorien personenbezogener Daten
- Identifikatoren (Name, E-Mail, IP-Adresse, Geräte-ID)
- Kundendaten (registrierte Kunden, Kontaktdaten)
- Merkmale geschützter Gruppen (ethnische Herkunft, Religion usw.)
- Kommerzielle Informationen (Kaufhistorie)
- Biometrische Daten
- Internet- oder sonstige elektronische Netzwerkaktivität
- Standortdaten
- Sensorische Daten (Audio, elektronisch, thermisch)
- Berufliche oder beschäftigungsbezogene Informationen
- Bildungsinformationen
- Aus den obigen Daten abgeleitete Schlussfolgerungen
Die sieben Verbraucherrechte
- Recht zu erfahren, was erhoben, genutzt, offengelegt, verkauft oder weitergegeben wird
- Recht auf Löschung
- Recht auf Berichtigung unrichtiger Daten
- Recht auf Widerspruch gegen Verkauf oder Weitergabe (Opt-out)
- Recht auf Einschränkung der Nutzung sensibler personenbezogener Daten
- Recht auf Datenübertragbarkeit
- Recht auf Nichtdiskriminierung bei Ausübung dieser Rechte
Bußgelder
2.500 $ pro Verstoß, 7.500 $ pro vorsätzlichem Verstoß oder Verstoß, der Minderjährige betrifft. Das Bußgeld gegen Sephora (1,2 Mio. $, August 2022) war das erste nach dem CCPA. Die Durchsetzungsmaßnahmen der CPPA haben 2024–2025 deutlich zugenommen.