O que mudou com a CPRA
A California Privacy Rights Act (CPRA) alterou a CCPA a partir de 1º de janeiro de 2023. As quatro principais novidades: (1) a nova categoria de "informações pessoais sensíveis" e a divulgação do "Right to Limit" (direito de limitar), (2) a terminologia "Do Not Sell or Share": compartilhar agora abrange publicidade comportamental entre contextos, (3) a California Privacy Protection Agency (CPPA) como órgão regulador dedicado e (4) o inventário de dados com retrospectiva de 12 meses.
Quem precisa cumprir
Empresas com fins lucrativos que fazem negócios na Califórnia e atingem ao menos um destes limites: receita bruta anual acima de US$ 25 milhões, compra/venda/compartilhamento de dados pessoais de 100.000+ consumidores ou domicílios, ou 50%+ da receita vinda da venda/compartilhamento de dados pessoais. Organizações sem fins lucrativos e órgãos públicos estão isentos.
As onze categorias de informações pessoais
- Identificadores (nome, e-mail, IP, ID do dispositivo)
- Registros de clientes (clientes cadastrados, dados de contato)
- Características de classificações protegidas (raça, religião etc.)
- Informações comerciais (histórico de compras)
- Informações biométricas
- Atividade na internet ou em outras redes eletrônicas
- Geolocalização
- Dados sensoriais (áudio, eletrônicos, térmicos)
- Informações profissionais ou de emprego
- Informações educacionais
- Inferências feitas a partir dos itens acima
Os sete direitos do consumidor
- Direito de saber o que é coletado, usado, divulgado, vendido ou compartilhado
- Direito de exclusão
- Direito de corrigir informações imprecisas
- Direito de recusar a venda ou o compartilhamento (opt-out)
- Direito de limitar o uso de informações pessoais sensíveis
- Direito à portabilidade dos dados
- Direito de não sofrer discriminação por exercer os seus direitos
Multas
US$ 2.500 por violação e US$ 7.500 por violação intencional ou que envolva um menor. A multa da Sephora (US$ 1,2 milhão, agosto de 2022) foi a primeira aplicada com base na CCPA. As ações de fiscalização da CPPA se intensificaram ao longo de 2024–2025.