Um guia prático de Seus direitos de privacidade sob CCPA

Morar na Califórnia dá acesso a um conjunto específico de garantias, e os direitos de privacidade do consumidor CCPA só valem alguma coisa quando alguém os exerce.

A Lei de Privacidade do Consumidor da Califórnia, ampliada pela Lei de Direitos de Privacidade da Califórnia, concede aos residentes da Califórnia direitos práticos sobre informações pessoais mantidas por empresas cobertas. Não é idêntica à GDPR, mas se tornou uma das leis de privacidade mais importantes para sites, aplicativos e equipes de marketing da US.

Este guia é para consumidores e equipes que precisam entender o que os usuários têm direito a solicitar.

Quem o CCPA protege

O CCPA protege os residentes da Califórnia. Uma empresa pode ser coberta mesmo que não esteja fisicamente localizada na Califórnia, desde que faça negócios na Califórnia e atenda aos limites legais.

A Agência de Proteção à Privacidade da Califórnia explica em suas FAQ que as informações pessoais são amplas. Pode incluir identificadores, atividade de navegação, informações comerciais, geolocalização precisa, dados biométricos, inferências e informações pessoais confidenciais, como identificadores governamentais, informações de saúde, origem racial ou étnica, crenças religiosas, filiação sindical e o conteúdo de determinadas comunicações.

Seus principais direitos CCPA

Direito de saber

Você pode perguntar a uma empresa coberta quais categorias de informações pessoais ela coletou, de onde vieram, por que foram coletadas, quais categorias de terceiros as receberam e se foram vendidas ou compartilhadas.

Você também pode solicitar informações pessoais específicas, embora as empresas possam reter determinados valores confidenciais por motivos de segurança.

Direito de excluir

Você pode pedir a uma empresa que exclua as informações pessoais coletadas de você. Este direito tem exceções. Uma empresa tem permissão para manter as informações necessárias para concluir uma transação, detectar incidentes de segurança, cumprir obrigações legais, exercer a liberdade de expressão ou utilizar as informações internamente de forma compatível com o contexto original.

Direito de corrigir

Você pode pedir a uma empresa que corrija informações pessoais imprecisas. Isto é especialmente importante para dados de perfil, dados de conta, registros de cobrança e decisões de elegibilidade.

Direito de cancelar a venda ou compartilhamento

O CCPA cobre mais do que vendas literais de dinheiro por dados. O compartilhamento de informações pessoais para publicidade comportamental em vários contextos pode desencadear direitos de exclusão. Os sites que vendem ou compartilham informações pessoais precisam de um mecanismo claro “Não venda ou compartilhe minhas informações pessoais”.

A Califórnia também exige que as empresas honrem sinais válidos de preferência de exclusão em muitos contextos. O Global Privacy Control é o sinal de navegador mais conhecido. A CPPA publicou materiais sobre as próximas atualizações regulatórias do CCPA que continuam a enfatizar os sinais de preferência de exclusão e a escolha do consumidor.

Direito de limitar informações pessoais confidenciais

Você pode limitar determinados usos e divulgações de informações pessoais confidenciais. Por exemplo, geolocalização precisa, informações de saúde e identificadores governamentais não devem ser usados ​​para perfis não relacionados se o consumidor tiver limitado esse uso.

Direito à não discriminação

Uma empresa não pode retaliar você por exercer direitos CCPA. Ela não pode negar bens ou serviços, cobrar um preço diferente ou fornecer um nível diferente de serviço porque você fez uma solicitação de privacidade, a menos que um programa de incentivo financeiro permitido se aplique e seja devidamente divulgado.

Como exercer seus direitos

Procure um link para a política de privacidade no rodapé do site. Uma empresa coberta deve explicar os métodos de solicitação, as etapas de verificação, os métodos de exclusão e as categorias de dados coletados.

Para solicitações de acesso, exclusão ou correção, talvez seja necessário verificar sua identidade. As empresas não devem exigir mais informações do que as necessárias para verificação. Para solicitações de cancelamento, geralmente não devem obrigar você a criar uma conta.

Uma solicitação prática pode ser curta:

Sou residente da Califórnia e exerço meus direitos CCPA. Forneça as categorias e informações pessoais específicas que você coletou sobre mim, as categorias de fontes, finalidades, categorias de terceiros e se minhas informações pessoais foram vendidas ou compartilhadas. Exclua também informações pessoais que não estejam sujeitas a exceção.

Guarde uma cópia da solicitação e da data. Se você usa um navegador compatível com o Global Privacy Control, habilite-o como um sinal adicional.

O que as empresas devem aprender com o CCPA

Para equipes de análise e marketing, o CCPA cria um trabalho operacional real:

• Saiba se o seu fornecedor de análise recebe informações pessoais.
• Decida se as integrações publicitárias contam como venda ou compartilhamento.
• Honrar os sinais de preferência de cancelamento.
• Não envie informações pessoais confidenciais em eventos analíticos.
• Mantenha um mapa de dados que conecte cookies, pixels, formulários, registros CRM e plataformas de anúncios.
• Torne possível a exclusão e a correção entre fornecedores, não apenas no seu banco de dados principal.

A análise que prioriza a privacidade reduz a carga porque a medição agregada e sem cookies evita muitos fluxos de dados de alto risco. Se a sua ferramenta de análise não identifica visitantes, não define cookies de rastreamento e não compartilha dados para publicidade, as operações da CCPA se tornam mais simples.

CCPA vs GDPR

O GDPR parte de um modelo de base legal: as organizações precisam de uma base legal válida antes de processar dados pessoais. O CCPA é mais orientado para o controle do consumidor: as empresas podem processar muitas categorias de informações, mas devem fornecer avisos, direitos de acesso, direitos de exclusão e cancelamento de venda, compartilhamento e uso de dados confidenciais.

A diferença prática é o fardo. GDPR atribui mais responsabilidade às organizações antes do início do processamento. CCPA oferece aos consumidores ferramentas sólidas, mas muitas vezes os consumidores precisam perceber o problema, encontrar o controle e agir. É por isso que a privacidade desde a concepção é importante. Uma empresa que recolhe menos dados cria menos dores de cabeça relacionadas com os direitos do consumidor e menos problemas de confiança.

Quando uma empresa não responde

Se uma empresa ignorar uma solicitação, der uma resposta incompleta ou dificultar desnecessariamente a exclusão, guarde capturas de tela e cópias da solicitação. Os residentes da Califórnia podem registrar reclamações junto à Agência de Proteção à Privacidade da Califórnia ou ao Procurador Geral da Califórnia. Para os utilizadores comuns, o primeiro passo mais eficaz é um pedido claro por escrito, seguido de um lembrete que indica o direito que está a ser exercido.

Para as empresas, a lição é tornar operacionais as solicitações de privacidade antes que se transformem em reclamações. Um link de rodapé não é suficiente se o backend não conseguir encontrar, excluir, corrigir ou suprimir os dados relevantes.

Lista de verificação de ação CCPA

Os consumidores devem conhecer o direito que estão exercendo: acesso, exclusão, correção, exclusão da venda, exclusão do compartilhamento de publicidade comportamental em vários contextos, limitação de informações pessoais sensíveis ou não discriminação. Mantenha a solicitação curta, guarde a data e preserve as capturas de tela se a empresa dificultar o processo.

As empresas devem traduzir esses direitos em controlos operacionais. Mapeie cookies, pixels, formulários, registros CRM, fornecedores de enriquecimento e plataformas de anúncios; distinguir venda de compartilhamento; honrar sinais válidos de Controle de Privacidade Global quando necessário; e evite enviar dados analíticos para fornecedores de publicidade quando a medição agregada for suficiente.

Perguntas Frequentes

Quais informações pessoais o CCPA cobre?

As informações pessoais segundo o CCPA formam uma categoria ampla. Incluem identificadores, atividade de navegação, informações comerciais, geolocalização precisa, dados biométricos e inferências feitas sobre você. As informações pessoais confidenciais recebem proteção extra e incluem identificadores governamentais, informações de saúde, origem racial ou étnica, crenças religiosas, filiação sindical e o conteúdo de certas comunicações.

O CCPA se aplica a empresas fora da Califórnia?

Uma empresa pode estar sujeita ao CCPA mesmo sem localização física na Califórnia. O que importa é se ela faz negócios no estado e atinge os limites definidos pela lei. Muitas empresas de fora do estado se enquadram justamente por atenderem clientes californianos.

O que acontece quando peço a uma empresa para excluir meus dados?

A empresa precisa excluir as informações pessoais que coletou sobre você, mas esse direito tem exceções. Ela pode manter dados necessários para concluir uma transação, detectar incidentes de segurança, cumprir obrigações legais, exercer a liberdade de expressão ou usá-los internamente de forma compatível com o propósito original. Por isso um pedido de exclusão raramente apaga todos os registros que uma empresa guarda.

Uma empresa pode me tratar pior por eu exercer meus direitos de privacidade?

Uma empresa não pode retaliar você por exercer direitos do CCPA em circunstâncias normais. Ela não pode negar bens ou serviços, cobrar um preço diferente ou oferecer um nível de serviço inferior porque você fez um pedido de privacidade. A única exceção é um programa de incentivo financeiro permitido e divulgado corretamente.

O que é o Global Privacy Control?

Global Privacy Control é um sinal do navegador que avisa automaticamente os sites que você quer recusar a venda ou o compartilhamento de suas informações pessoais. É o sinal de preferência de exclusão mais conhecido, e a Califórnia exige que as empresas respeitem sinais válidos como esse em muitos contextos. Os materiais da CPPA sobre as próximas atualizações regulatórias continuam dando destaque aos sinais de preferência de exclusão e à escolha do consumidor.

Preciso criar uma conta para recusar a venda dos meus dados?

Para pedidos de exclusão, as empresas geralmente não deveriam exigir a criação de uma conta. Essa exigência é mais comum em pedidos de acesso, exclusão ou correção, onde a verificação de identidade faz sentido.

O que posso fazer se uma empresa ignorar meu pedido de privacidade?

Guarde capturas de tela e cópias do seu pedido original. Você pode registrar uma reclamação junto à California Privacy Protection Agency ou ao California Attorney General. Na maioria dos casos do dia a dia, um pedido escrito claro que nomeie o direito específico já resolve antes de partir para uma reclamação formal.

Qual é a diferença entre o CCPA e o GDPR?

O GDPR parte de um modelo de base legal. As organizações precisam de um motivo legal válido antes mesmo de começar a processar dados pessoais. O CCPA funciona ao contrário. As empresas já podem processar muitas categorias de informações, mas devem oferecer avisos, direitos de acesso, direitos de exclusão e opções de recusa para venda, compartilhamento e uso de dados sensíveis.

O que um pedido CCPA deve conter?

Um pedido curto que indique sua residência na Califórnia e o direito exercido já é suficiente. Peça as categorias e os itens específicos de informações pessoais coletadas sobre você, as fontes, os propósitos, as categorias de terceiros e se suas informações foram vendidas ou compartilhadas. Você pode acrescentar um pedido para que a empresa exclua o que não estiver coberto por uma exceção.

Posso limitar como uma empresa usa minhas informações pessoais confidenciais?

Sim. O CCPA permite limitar certos usos e divulgações de informações pessoais confidenciais, como geolocalização precisa, informações de saúde e identificadores governamentais. Se você exercer esse limite, a empresa não deve usar esses dados para perfis não relacionados.