Onde o link Do Not Sell or Share My Personal Information deve aparecer

O que é o link Do Not Sell or Share My Personal Information?

A seção 1798.135 do Código Civil da Califórnia exige que uma empresa que vende ou compartilha informações pessoais publique um link intitulado "Do Not Sell or Share My Personal Information" nas homepages dela, e esse link é por onde um consumidor da Califórnia envia um pedido de exclusão. O direito por trás dele está na seção 1798.120, que permite ao consumidor determinar "a qualquer momento" que uma empresa não venda nem compartilhe as informações pessoais dele. Copie o título caractere por caractere; a lei escreve as palavras em vez de descrevê-las.

O que exatamente o texto do link precisa dizer?

A redação é fixada pela lei, e a seção 1798.135, subdivisão (a)(1), nomeia o link "Do Not Sell or Share My Personal Information". A subdivisão (a)(2) acrescenta um segundo link, "Limit the Use of My Sensitive Personal Information". A subdivisão (a)(3) permite que a empresa substitua os dois por um único link combinado, e a seção 7015(b) do regulamento da Agência de Proteção da Privacidade da Califórnia determina que uma empresa que escolha esse caminho "deverá intitular o link 'Your Privacy Choices' ou 'Your California Privacy Choices'", com o ícone de exclusão da CPPA ao lado.

A formulação antiga, "Do Not Sell My Personal Information", é anterior às emendas da CPRA e cita uma versão da seção 1798.135 que não vale mais.

Em que parte do site o link precisa ficar?

A seção 7013(c) do regulamento da CPPA posiciona o link com precisão: ele "deverá ser um link visível" e estar "localizado no cabeçalho ou no rodapé da homepage ou das homepages de internet da empresa". A seção 7003(c) define visível como aparecer "de maneira semelhante a outros links publicados de forma semelhante", com tamanho e cor de fonte que correspondam pelo menos aproximadamente aos links ao lado. Para aplicativos móveis, a seção 7003(d) move o link para a política de privacidade, acessível a partir da plataforma ou da página de download do app.

A seção 7013(a)(1) define o que acontece no clique: o link ou exclui o consumidor, ou leva a uma página onde o consumidor "possa conhecer e fazer essa escolha". Uma política de privacidade sem mecanismo de exclusão não faz nem uma coisa nem outra.

O que "compartilhar" significa nesse link?

Compartilhar é definido na seção 1798.140 do Código Civil como transferir "as informações pessoais de um consumidor pela empresa a um terceiro para publicidade comportamental entre contextos", e a mesma seção define publicidade comportamental entre contextos como "o direcionamento de publicidade a um consumidor com base nas informações pessoais dele obtidas a partir da atividade dele em empresas, sites de internet de marcas distintas, aplicativos ou serviços que não sejam" aquele com o qual o consumidor interage intencionalmente. Nenhum dinheiro aparece em lugar nenhum dessa definição. Vender, definido na mesma seção, é o que depende de "contraprestação monetária ou de outro valor".

Essa separação é onde a maioria das explicações sobre o link erra. Um site que solta um pixel de publicidade e não recebe nada em troca não está vendendo, e ainda assim está compartilhando, o que já aciona o link sozinho. A CPRA acrescentou "compartilhar" e reescreveu o título do link em torno disso, uma mudança rastreada na evolução da CCPA para a CPRA. Audite cada tag contra a definição de rastreamento entre sites.

Quem precisa exibir o link?

Uma empresa que vende ou compartilha informações pessoais precisa exibi-lo, e a seção 7013(g) do regulamento da CPPA dispensa a empresa apenas quando ela "não vende nem compartilha informações pessoais" e "declara em sua política de privacidade" que não o faz. As duas condições precisam valer. A seção 7013(h) então proíbe a empresa de vender ou compartilhar informações pessoais coletadas enquanto o aviso do direito de exclusão estava ausente, a menos que o consumidor consinta afirmativamente.

Se uma entidade conta como empresa é definido pela seção 1798.140(d)(1), que lista três condições qualificadoras: receita bruta anual acima de vinte e cinco milhões de dólares, valor que a lei declara ser ajustado nos termos da seção 1798.185(a)(5); comprar, vender ou compartilhar as informações pessoais de 100,000 ou mais consumidores ou domicílios por ano; ou obter 50 por cento ou mais da receita anual com a venda ou o compartilhamento de informações pessoais. Confira o texto legal atual antes de confiar no primeiro valor, já que o mecanismo de ajuste o move. A análise de escopo e limites cobre como essas condições interagem, e o explicativo de direitos do consumidor cobre o que uma empresa qualificada deve além desse link.

Como o link se relaciona com o Global Privacy Control?

A seção 7025(b) do regulamento da CPPA determina que "uma empresa que vende ou compartilha informações pessoais deverá processar qualquer sinal de preferência de exclusão" que atenda aos requisitos dela "como um pedido válido de exclusão da venda ou do compartilhamento", e o Global Privacy Control é o sinal de navegador construído para atender a esses requisitos. A procuradoria-geral da Califórnia afirma que o GPC "precisa ser honrado pelas empresas cobertas como um pedido válido do consumidor para interromper a venda ou o compartilhamento de informações pessoais".

A seção 7025(e) fecha a brecha que as pessoas procuram: "Mesmo que a empresa publique os links mencionados acima, ela ainda precisa processar os sinais de preferência de exclusão". Publicar o link não compra isenção nenhuma do sinal.

A seção 7026(f)(1) então acerta o relógio: pare de vender e compartilhar "assim que for viavelmente possível, e em no máximo 15 dias úteis a partir da data em que a empresa recebe o pedido".

Uma empresa pode abrir mão do link por completo?

A seção 1798.135(b)(1) permite que a empresa pule o link quando ela honra os sinais de preferência de exclusão sem atrito, e a seção 7025(f) do regulamento da CPPA define o que é sem atrito. A empresa não cobra taxa pelo uso do sinal, não muda a experiência do consumidor com o produto e não exibe "uma notificação, pop-up, texto, gráfico, animação, som, vídeo ou qualquer conteúdo intersticial em resposta ao sinal de preferência de exclusão".

A seção 7025(g) acrescenta que o sinal precisa efetivar plenamente o pedido. Uma empresa que compartilha online e também vende informações pessoais fora da internet não pode usar a exceção, porque um sinal de navegador alcança apenas o navegador. A política de privacidade ainda precisa descrever o direito de exclusão, declarar que a empresa processa sinais sem atrito, explicar como habilitar um e listar qualquer outro método de pedido.

O que isso significa para uma configuração de analytics?

Uma configuração de analytics aciona o link quando passa dados de visitantes a um terceiro para direcionamento de publicidade, e não o aciona quando os dados ficam first-party. A análise privacy-first da Flowsery é livre de cookies, hospedada na UE e feita para o GDPR por design. Mapeie cada tag contra a definição da seção 1798.140, usando o guia de conformidade da CCPA para analytics como checklist, e então decida se o link cabe no rodapé.

Perguntas frequentes

"Do Not Sell My Personal Information" ainda é um título de link aceitável?

A seção 1798.135(a)(1) do Código Civil nomeia o link "Do Not Sell or Share My Personal Information", então o título mais curto reflete o texto anterior à CPRA. Um site com a formulação antiga diz aos visitantes da Califórnia que os exclui de vendas enquanto fica em silêncio sobre compartilhamento. Siga a lei.

O link precisa estar em todas as páginas de um site?

A seção 7013(c) do regulamento da CPPA coloca o link "no cabeçalho ou no rodapé da homepage ou das homepages de internet da empresa", no plural porque uma empresa pode ter mais de uma homepage. Um rodapé global cumpre a exigência e, como efeito colateral, coloca o link em todas as páginas.

Uma empresa pode esconder o link atrás de um banner de cookies?

A seção 7003(c) exige que o link apareça "de maneira semelhante a outros links publicados de forma semelhante", com tamanho e cor de fonte comparáveis. Um link que existe apenas dentro de um banner dispensável não está no cabeçalho nem no rodapé, onde a seção 7013(c) o coloca.

Honrar o Global Privacy Control elimina a necessidade do link?

Uma empresa abre mão do link apenas sob as condições sem atrito das seções 7025(f) e 7025(g) do regulamento da CPPA: sem taxa, sem mudança na experiência do produto, sem resposta intersticial ao sinal, quatro declarações na política de privacidade e um sinal que efetive plenamente o pedido. Fora disso, a seção 7025(e) exige tanto o link quanto o processamento do sinal.

Qual é a diferença entre o link de exclusão e o link de informações sensíveis?

A seção 1798.135(a)(1) do Código Civil cobre a venda e o compartilhamento de informações pessoais, enquanto a subdivisão (a)(2) cobre um direito separado de limitar o uso de informações pessoais sensíveis. Os dois direitos vêm de seções legais diferentes e se aplicam de forma independente. A subdivisão (a)(3) permite um único link combinado intitulado "Your Privacy Choices" ou "Your California Privacy Choices".

Em quanto tempo a empresa precisa agir sobre um pedido feito pelo link?

A seção 7026(f)(1) do regulamento da CPPA exige que a empresa pare de vender e compartilhar "assim que for viavelmente possível, e em no máximo 15 dias úteis a partir da data em que a empresa recebe o pedido". Ela também precisa notificar qualquer terceiro que tenha recebido os dados nesse intervalo e determinar que ele honre a exclusão. A seção 7026(k) proíbe pedir ao consumidor que volte atrás por 12 meses.

Onde o link de exclusão aparece em um aplicativo móvel em vez da página inicial?

A seção 7003(d) das regulamentações da CPPA move o link para fora do app e o coloca na política de privacidade. A página da plataforma ou de download do app precisa linkar para essa política, para que o consumidor veja o aviso de exclusão antes de instalar qualquer coisa.

Que tamanho a empresa precisa ter para essa exigência de link se aplicar?

A seção 1798.140(d)(1) estabelece três limites, e basta atender a um deles: receita bruta anual acima de vinte e cinco milhões de dólares, comprar, vender ou compartilhar as informações pessoais de 100.000 ou mais consumidores ou domicílios por ano, ou obter 50 por cento ou mais da receita anual da venda ou do compartilhamento de informações pessoais. O valor da receita é ajustado pela seção 1798.185(a)(5), então vale checar o texto vigente antes de confiar nele.

Um pixel de publicidade que não paga nada ao site ainda conta como compartilhamento de informações pessoais?

Conta, porque a seção 1798.140 define compartilhar como transferir informações pessoais para publicidade comportamental entre contextos, sem mencionar pagamento nessa definição. Vender é a definição que exige uma contrapartida monetária ou de outro valor, e compartilhar fica separado disso. Um pixel que entrega dados de graça a um parceiro publicitário ainda assim aciona o link.

O que uma empresa deve a terceiros depois de processar um pedido de exclusão feito pelo link?

A seção 7026(f)(1) exige que a empresa notifique qualquer terceiro que tenha recebido os dados do consumidor no período antes de o opt-out valer, e instrua esse terceiro a respeitar o pedido também. A própria empresa precisa parar de vender e compartilhar em até 15 dias úteis. A seção 7026(k) depois proíbe pedir a esse consumidor que aceite de novo por 12 meses.