Entenda o CPRA, a lei de direitos de privacidade da Califórnia

O que o CPRA significa para uma empresa que coleta dados de consumidores?

Abreviação de California Privacy Rights Act, o CPRA é a lei que uma empresa precisa levar em conta assim que coleta informações pessoais de residentes da Califórnia além do que o CCPA (California Consumer Privacy Act) original já cobria. O mecanismo é que o CPRA alterou o CCPA diretamente, acrescentando uma categoria definida de informações pessoais sensíveis, novos direitos ao consumidor e um regulador dedicado, a California Privacy Protection Agency (CPPA), em vez de criar uma lei separada que a empresa precisaria acompanhar por conta própria. O CPRA deve ser lido como uma ampliação das mesmas obrigações que uma empresa já em conformidade com o CCPA já tem, não como uma segunda lei sem relação.

O que o CPRA mudou em relação ao CCPA original?

O CPRA mudou três coisas além do que o CCPA original já dava aos consumidores: um direito de corrigir informações pessoais imprecisas que uma empresa mantém, um direito de limitar como uma empresa usa informações pessoais sensíveis, e um direito a tratamento igualitário ao exercer qualquer direito do CCPA, os três nomeados diretamente pela CPPA como adições feitas pelo CPRA. O mecanismo é que a fiscalização deixou de depender só do California Attorney General e passou a uma agência dedicada, a CPPA, criada pela mesma iniciativa de votação popular. Qualquer trabalho de conformidade com o CCPA concluído antes de 2023 deve ser tratado como ponto de partida, não como estado final, já que o CPRA somou essas adições em cima dele.

O que conta como informações pessoais sensíveis segundo o CPRA?

Informações pessoais sensíveis segundo o CPRA cobrem uma lista nomeada que, segundo a CPPA, inclui números de seguro social e de carteira de motorista, informações que permitiriam acessar uma conta financeira, geolocalização precisa, o conteúdo de correspondência, e-mails e mensagens de texto, dados genéticos e informações biométricas usadas para identificar um consumidor, além de status de saúde, orientação sexual, origem racial ou étnica, cidadania, crenças religiosas e filiação sindical. O mecanismo é que essa categoria recebe proteção mais forte do que informações pessoais comuns, já que um consumidor pode instruir uma empresa a limitar o uso desses campos específicos ao estritamente necessário. Qualquer dado de analytics ou de produto deve ser auditado contra essas categorias exatas, sendo geolocalização precisa e dados de acesso a contas os dois tipos mais comuns a aparecer por acidente em uma configuração de rastreamento.

Quem fiscaliza o CPRA, e o que a CPPA realmente faz?

A California Privacy Protection Agency fiscaliza o CPRA, um papel que a CPPA diz cobrir "a implementação e a fiscalização do CCPA, além do Delete Act", a lei relacionada que define os requisitos de registro e exclusão para corretores de dados. O mecanismo é que a CPPA pode redigir e alterar regulamentos sob o Administrative Procedures Act do estado, além de mover ações de fiscalização, o que lhe dá um poder normativo que o gabinete do Attorney General não tinha antes sobre essa lei. Vale acompanhar a própria página de regulamentos da CPPA para a normativa atual, já que a agência segue acrescentando exigências, incluindo prazos para regras de tecnologia de tomada de decisão automatizada que chegam até 2027.

Quais direitos o CPRA dá a um consumidor da Califórnia?

O CPRA dá a um consumidor da Califórnia o direito de corrigir informações pessoais imprecisas que uma empresa mantém, o direito de limitar o uso que uma empresa faz de informações pessoais sensíveis, e o direito a tratamento igualitário ao exercer qualquer um desses direitos, além dos direitos de acesso, exclusão e opt-out que o CCPA original já previa. O mecanismo é que cada direito gera uma solicitação específica que um consumidor pode enviar a uma empresa, e a empresa precisa ter um processo funcional para atendê-la dentro dos prazos da lei. As solicitações de limitação de uso e correção devem ser incorporadas ao mesmo processo de atendimento já criado para as solicitações de exclusão e opt-out do CCPA, em vez de um sistema separado.

O que o CPRA exige de uma configuração de analytics?

O CPRA exige que uma configuração de analytics evite coletar informações pessoais sensíveis de que não precisa, já que geolocalização precisa e qualquer dado capaz de identificar uma pessoa específica a partir de correspondência, mensagens ou sinais biométricos entra na categoria que os consumidores podem instruir uma empresa a limitar. O analytics que prioriza a privacidade da Flowsery é construído sem cookies e não faz amostragem dos dados, o que reduz as categorias que uma solicitação de CPRA precisa tocar em comparação com uma configuração baseada em cookies de terceiros e device fingerprinting. Vale revisar o que um script de rastreamento realmente captura em relação às políticas de GDPR e de cookies já em vigor, já que uma configuração construída para evitar informações pessoais desnecessárias sob uma lei de privacidade precisa de menos mudanças para atender outra.

Perguntas frequentes

O CPRA substitui o CCPA por completo?

Não. O CPRA alterou o CCPA em vez de substituí-lo, então os direitos de acesso, exclusão e opt-out da lei original continuam valendo, com as adições do CPRA somadas por cima. Uma empresa se refere a "CCPA" e "CPRA" como a mesma lei em momentos diferentes de sua história, não como duas leis separadas.

Qual é a diferença entre informações pessoais e informações pessoais sensíveis segundo o CPRA?

Informações pessoais são a categoria mais ampla do CCPA, cobrindo qualquer coisa que identifique ou se relacione com um consumidor específico, enquanto informações pessoais sensíveis são uma lista mais estreita que o CPRA nomeia explicitamente, incluindo geolocalização precisa, acesso a contas financeiras e dados biométricos. Um consumidor pode instruir uma empresa a limitar o uso especificamente da categoria sensível, um direito que não existe para informações pessoais comuns.

O CPRA se aplica a toda empresa que coleta dados de residentes da Califórnia?

O CPRA se aplica com base em limites ligados à receita, ao volume de dados de consumidores processados, ou à parcela da receita proveniente da venda de informações pessoais, cujos detalhes estão em quando o CCPA e o CPRA se aplicam. Vale checar esse recurso contra os números atuais antes de presumir que uma pequena empresa está automaticamente isenta.

Um consumidor pode processar diretamente por uma violação do CPRA?

O CPRA prevê um direito de ação privada limitado a cenários específicos de violação de dados, separado da própria autoridade de fiscalização da CPPA, que cobre o conjunto mais amplo de violações. A evolução do CCPA para o CPRA mostra como a fiscalização se divide entre esses dois caminhos.

Qual é o papel normativo da CPPA além da fiscalização?

A CPPA pode redigir e alterar regulamentos sob o Administrative Procedures Act da Califórnia, o que permite à agência acrescentar exigências específicas ao longo do tempo, como regras para tecnologia de tomada de decisão automatizada, em vez de deixar cada detalhe para o texto da lei original. Uma empresa acompanha diretamente a página de regulamentos da CPPA, já que novas regras podem somar obrigações que a lei em si não detalha.

O CPRA afeta os dados de analytics próprios do mesmo jeito que os dados vendidos a corretores?

As regras do CPRA sobre informações pessoais sensíveis se aplicam independentemente de os dados serem vendidos, já que o direito de limitar cobre como uma empresa usa esses dados internamente, não só se eles mudam de mãos. Uma empresa que vende dados a corretores enfrenta obrigações adicionais sob o Delete Act relacionado, que a CPPA também fiscaliza, além das regras do CPRA que já se aplicam ao uso próprio.

Quando o CPRA entrou em vigor?

O CPRA foi a proposta de referendo de 2020 que alterou o CCPA, e entrou em vigor em 1º de janeiro de 2023. O CCPA original já estava em vigor desde 1º de janeiro de 2020, então os três anos entre as duas datas deram às empresas tempo para construir sobre o trabalho de conformidade do CCPA já existente, em vez de recomeçar do zero. Qualquer processo criado para o CCPA antes de 2023 conta como o ponto de partida sobre o qual as adições do CPRA se somam.

A CPPA substituiu o procurador-geral da Califórnia como responsável pela fiscalização?

O CPRA transferiu a fiscalização, que dependia apenas do procurador-geral da Califórnia, para uma agência dedicada, a CPPA, criada pela mesma proposta de referendo. A CPPA afirma que seu papel abrange implementar e fiscalizar o CCPA, além do Delete Act. Ela também ganhou poder normativo sob a Lei de Procedimentos Administrativos do estado, uma autoridade que o gabinete do procurador-geral não tinha antes sobre essa lei.

O CPRA é uma lei exclusiva da Califórnia?

O CPRA se aplica aos consumidores da Califórnia e surgiu de uma proposta de referendo californiana, então seus direitos e obrigações estão ligados a esse estado. A agência que fiscaliza o CPRA, a California Privacy Protection Agency, é uma agência estadual da Califórnia, e antes de a CPPA existir, a fiscalização cabia ao procurador-geral da Califórnia. Uma empresa fora da Califórnia só precisa considerar o CPRA se coletar informações pessoais de residentes da Califórnia.

O que é o Delete Act, e como ele se relaciona com o CPRA?

O Delete Act é a lei californiana relacionada que estabelece os requisitos de registro e exclusão para corretores de dados, e a CPPA o fiscaliza junto com o CPRA. As duas leis cobrem obrigações diferentes. As regras do CPRA sobre informações pessoais sensíveis se aplicam independentemente de a empresa vender dados, enquanto o Delete Act adiciona obrigações específicas para empresas que vendem dados a corretores. Uma empresa que lida apenas com dados próprios ainda precisa cumprir as regras do CPRA mesmo sem nenhuma exposição ao Delete Act.