CCPA és CPRA megfelelőség: mit kell tenniük a kannabisz-vállalkozásoknak most | Cannabiz Media

Végrehajtása a Kaliforniai fogyasztói adatvédelmi törvény (CCPA) 1. július 2020-jén kezdődött. A CCPA lényegesen nagyobb ellenőrzést biztosít a Kaliforniában élő fogyasztóknak abban, hogy a vállalatok hogyan használják fel személyes adataikat. Ennek eredményeként minden vállalatnak felül kellett vizsgálnia adatait, rendszereit és folyamatait, hogy megbizonyosodjon arról, hogy azok teljes mértékben megfelelnek az új törvényeknek.

Az állam főügyésze csak 14. augusztus 2020-én, pénteken jelentette be a szabályozást. végre a CCPA-t azonnal jóváhagyták és hatályba léptették. A CCPA-nak való megfelelés azonban zavaróbbá vált a vállalkozások számára, mivel egyes esetekben a végrehajtási előírásokat meghaladta azt, amit a CCPA statútum megkövetel.

A történetnek azonban még nem volt vége. Valójában a megfelelési problémák csak most kezdődtek.

2020 októberében Kalifornia kormányzója, Gavin Newsom aláírta két módosítás a CCPA törvénybe iktatja. Az AB 1281 kiterjesztette a munkavállalói adatokra és a vállalkozások közötti (B2B) adatokra vonatkozó részleges mentességet, amely korábban 1. január 2021-jén járt le. Az AB 713 módosította a CCPA orvosi információkkal és egészségügyi adatvédelemmel kapcsolatos mentességeit.

De ez nem volt minden. Gyorsan előre 2020 novemberére, és a dolgok még zavarosabbak lettek.

3. november 2020-án a kaliforniai szavazók jóváhagyták a 24. számú szavazási javaslatot Kalifornia 2020. évi adatvédelmi törvénye (CPRA), vagy amit egyesek CCPA 2.0-nak neveznek. A CPRA csak 1. január 2023-jén lép életbe, de még azt is magával hozza több változás hogy a vállalkozásoknak meg kell felelniük többek között

• A lefedett vállalkozás új meghatározása
• További nyelv az adatok megosztásáról
• További fogyasztói jogok
• Új szabályok az „érzékeny személyes adatok” kategóriájára
• A „beleegyezés” új meghatározása
• Változások a „szolgáltató” definíciójában
• Kibővített magánéleti keresetjog adatvédelmi incidens esetén
• Új közzétételi követelmények
• A 30 napos gyógyulási időszak megszüntetése
• Kibővített mentesség a munkavállalói és a B2B adatokra
• A California Privacy Protection Agency megalapítása
• És még

Minden vállalatnak, beleértve a kannabisz-üzletágakat is, meg kell értenie a CCPA jelenlegi követelményeit és azt, hogy mi várható a CPRA-ban. Itt az ideje, hogy elkezdje felülvizsgálni és átalakítani irányelveit és eljárásait.

Egyes cégek számára a törvények betartása nagyon nagy feladat, de a be nem tartás kockázata – a perek és pénzbírságok tekintetében – túl nagy ahhoz, hogy figyelmen kívül hagyja. Az alábbiakban felsorolunk 10 első lépést, amelyet a kannabisz-vállalkozások megtehetnek, hogy megfeleljenek a CCPA-nak.

1. Határozza meg a CCPA-megfelelőségi költségvetést

Az Ön kannabiszvállalkozásának CCPA-megfelelési költségvetése számos tényezőtől függ. Fontos, hogy meg kell fontolnia új alkalmazottak felvételét a megfelelőség menedzseléséhez még ma és folyamatosan. Ezenkívül meg kell tanítania az alkalmazottakat az új munkafolyamatok követésére annak érdekében, hogy megfeleljenek a CCPA követelményeinek.

Míg a költségvetés nagy részét rövid távon arra fordítják, hogy vállalata megfeleljen az új előírásoknak, be kell fektetnie a megfelelőség folyamatos ellenőrzésébe is. A CCPA valószínűleg fejlődni fog, és más államok már fokozzák erőfeszítéseiket a szigorúbb adatvédelmi törvények elfogadására.

2. Béreljen kulcsfontosságú alkalmazottakat

Ha vállalkozása még nem rendelkezik megfelelőségi szakértővel, most itt az ideje, hogy alkalmazzon egyet. Ezenkívül tapasztalt biztonsági személyzetre lesz szüksége a szükséges változtatások végrehajtásához cége webhelyén, rendszerein stb.

A kulcs az, hogy legyen egy személy, akit felelősségre vonnak a megfelelőségi erőfeszítésekért az Ön vállalatában, és ez magában foglalja a CCPA-megfelelést is. Általában ez a személy a vezetői szinten van, és lehet, hogy egy menedzser és más szakemberek (vagy tanácsadóként állnak rendelkezésre), akik segítik őket. Vállalkozásának méretétől függően a megfeleléshez egy egész csapatra is szükség lehet.

3. Adatleképezési és -megőrzési folyamatok kidolgozása

Az adatkezelés fontos része a kannabisz-üzletág CCPA-megfelelőségének. Eljárásokkal kell rendelkeznie annak azonosítására, hogyan gyűjtik a személyes adatokat, hogyan kategorizálják, hogyan tárolják, hol tárolják, hogyan védik őket, és hogyan akadályozza meg vállalkozása ezen adatok illegális megosztását, értékesítését vagy terjesztését.

A CCPA tartalmaz egy olyan rendelkezést, amely szerint a vállalatoknak képesnek kell lenniük arra, hogy a személyes adataikat kérő fogyasztókat a törvény által megengedett időn belül minden összegyűjtött adatot átadjanak. Ha vállalkozása nem rendelkezik a személyes adatok azonosítására és forrásaihoz való hozzárendelésére szolgáló eljárással, az ilyen kérések megválaszolása rendkívül időigényes, ha nem lehetetlen lehet. Valójában, ha a folyamatok nem megfelelőek, a kannabisz-üzletága perekkel és szankciókkal nézhet szembe.

4. Fogyasztói megkeresésekre reagáló rendszer kidolgozása

A CCPA határidőt biztosít a vállalatoknak, hogy válaszoljanak a fogyasztók róluk gyűjtött személyes adatokra vonatkozó kéréseire. Ha cége nem rendelkezik válaszrendszerrel, és nem tudja a törvény által megengedett módon előállítani a kért információkat, akkor előfordulhat, hogy nem tud megfelelően válaszolni ezen az időn belül. Ennek eredményeként ismét költséges perek és büntetések várhatnak a vállalkozására.

Alapvető fontosságú, hogy vállalkozása fogyasztói kérésekre válaszoló rendszert dolgozzon ki, és ennek a rendszernek a lehető legnagyobb részét automatizálni kell. Képzelje el, ha egy hónapon belül 10 vagy 100 kérelmet kap. Ha a rendszerek nem automatizáltak, előfordulhat, hogy vállalkozása nem tud időben válaszolni ezekre a kérésekre, és sok bajba kerülhet – jogilag és pénzügyileg.

5. Hozzon létre egy fogyasztói leiratkozási rendszert

A CCPA értelmében a kaliforniai fogyasztóknak jogukban áll lemondani a harmadik fél nyomkövetőiről és hirdetési technológiáiról. Ennek megfelelően teljes mértékben meg kell értenie a webhelyén, a mobilalkalmazásaiban stb. használt összes technológiát.

Létre kell hoznia egy fogyasztói leiratkozási rendszert is, hogy a fogyasztók bármikor leiratkozhassanak a nyomon követésről. A fogyasztói kérésekre válaszoló rendszerhez hasonlóan (lásd fent a 4. pontot), a fogyasztói leiratkozási rendszert is a lehető legnagyobb mértékben automatizálni kell. Bár ez ma magasabb fejlesztési és megvalósítási költséget jelent, később még több időt és pénzt takaríthat meg, ha most automatizálja a rendszert.

6. Frissítse az adatvédelmi szabályzatot

A kannabiszvállalkozásának adatvédelmi irányelveit frissíteni kell, hogy megfeleljen a CCPA-nak. Ne feledje, hogy az adatvédelmi szabályzatok frissítése a belső és külső adatvédelmi szabályzatok és közlemények frissítésére is vonatkozik.

Más szóval, ez a jogi követelmény nem csak a webhelyén közzétett adatvédelmi szabályzatra vonatkozik. Ez vonatkozik az adatvédelemmel kapcsolatos irányelvekre, közzétételekre és közleményekre is, amelyeket a vállalkozása során használnak.

7. Jogi és szabályozói válaszmunkafolyamatok kidolgozása

Hogyan reagál a vállalata, ha egy szabályozó hatóság tájékoztatást kér az Ön CCPA-megfelelési folyamatairól? Mi a teendő, ha a fogyasztó a CCPA alapján polgári jogi keresetet indít az Ön kannabisz-üzlete ellen a személyes adataival kapcsolatban? Mindkettő megtörténhet egy bizonyos időpontban, ezért munkafolyamatokra van szükség a válaszfolyamat egyszerűsítéséhez, beleértve a rendszerek lehetőség szerinti automatizálását.

A kannabisz-üzletág megfelelőségi vezetőjének (lásd fent a 2. pontot) felügyelnie kell a válaszadási folyamatot, de minden alkalmazottnak, akinek szerepe van a kért adatok gyűjtésében és szolgáltatásában, meg kell értenie, mit várnak el tőlük. Ezeknek a munkafolyamatoknak konkrét felelősségeket és határidőket kell tartalmazniuk.

8. Irányelvek meghatározása és az alkalmazottak képzése

A kannabisz-üzletág minden alkalmazottját ki kell képezni a CCPA-ról, és meg kell értenie annak fontosságát. Teljes mértékben meg kell érteniük felelősségüket, és képzésben kell részesülniük azokról a munkafolyamatokról, amelyeket a fogyasztóktól, szabályozó hatóságoktól és bírósági eljárásokra adott válaszként kell végrehajtaniuk.

A CCPA és az adatvédelmi megfelelőségi képzés nem egyszeri dolog. Ahogy a törvények fejlődnek, és egyre több állam lép életbe új adatvédelmi szabályozást, folyamatosan frissített képzésekre lesz szükség annak biztosítására, hogy kannabiszüzlete mindenkor maradéktalanul megfeleljen az előírásoknak.

9. Tekintse át a harmadik felek adatait és szolgáltatóit a megfelelőség szempontjából

Ha vállalata szolgáltatókra vagy harmadik felekre támaszkodik, hogy adatokat biztosítsanak, tároljanak, kezeljenek vagy más módon gyűjtsenek, osszanak meg, értékesítsenek vagy terjesszenek az Ön vállalkozásával vagy nevében, akkor felül kell vizsgálnia a CCPA-nak való megfelelésüket. Ezenkívül a szerződéseket frissíteni kell a CCPA-szabályok alapján szükséges változtatások figyelembevétele érdekében.

Elengedhetetlen, hogy az Ön kannabisz-üzlete folyamatosan ellenőrizze a szolgáltatókat és a harmadik feleket annak biztosítása érdekében, hogy továbbra is megfeleljenek a CCPA-nak és az összes többi szövetségi és állami adatvédelmi törvénynek. Ez egy kritikus lépés, amely hosszú távon csökkenti a vállalat kockázatát.

10. Figyelje Kalifornia és más államok adatvédelmi törvényeit

Nemcsak a CCPA fog tovább fejlődni, hanem más Az államok módosítják az adatvédelmi törvényeket hogy a fogyasztók irányítsák személyes adataikat a vállalatok által. Ismét szükség van a megfelelő megfelelőségi vezetőre és csapatra, aki folyamatosan figyelemmel kíséri ezeket a törvényeket, így a kannabisz-üzlete szükség szerint intézkedhet.

A legfontosabb tudnivalók a CCPA-megfelelésről

A kannabisz-üzletágaknak most kell lépéseket tenniük annak biztosítására, hogy teljes mértékben megfeleljenek a CCPA-nak és a CPRA-nak, hogy csökkentsék a jövőbeni be nem tartással járó kockázatokat. Ez a 10 lépés segít az indulásban. A legfontosabb az, hogy már most elkezdje a munkát a vállalat megfelelőségi stratégiáján és megvalósításán, ha még nem tette meg, mert a CCPA végrehajtása már megkezdődött.

A CPRA végrehajtása csak 1. január 2023-jén kezdődik meg, de fontos megérteni, hogy a CPRA a 1. január 2022-jén vagy azt követően gyűjtött személyes adatokat érinti. Valójában csak egy éved van arra, hogy a megfelelő rendszereket beállítsa a CPRA-nak való megfeleléshez.

Azon vállalkozások számára, amelyek támaszkodnak a Cannabiz Media License Database a potenciális ügyfelek generálásához és a növekedéshez, biztosak lehetnek abban, hogy már teljes mértékben megfelel a CCPA-nak. A linket követve többet megtudhat róla hogyan biztosíthatja, hogy e-mail marketingje és CRM-je megfeleljen a CCPA-nak.

‍Ütemezzen egy demót a Cannabiz Media License Database adatbázisból, hogy megtudja, hogyan segítheti elő vállalkozása növekedését.

‍Eredeti megjelenés: 3/24/20. Frissítve: 12/4/20.