As empresas de cannabis precisam de políticas de privacidade

As empresas de cannabis precisam de políticas de privacidade

Carimbo de data / hora: 4 de outubro de 2023 10h00
Nó Fonte: 2916781

Estamos em 2023 e muitas empresas de cannabis ainda carecem de um documento operacional crítico: uma política de privacidade. Tenho escrito e falado sobre esse assunto por anos. E as coisas não estão melhorando. Então vamos falar sobre isso mais uma vez.

Para começar, a Califórnia exige políticas de privacidade há muito tempo (bem, “longo”, pelo menos em termos de Internet). Sob A lei da Califórnia, os operadores de sites comerciais que coletam “informações pessoalmente identificáveis ​​através da Internet sobre consumidores individuais residentes na Califórnia que usam ou visitam seu site comercial” precisam de uma política de privacidade. Isso é muito para digerir. Em inglês, os proprietários de sites devem ter uma política de privacidade se os consumidores da Califórnia usarem ou visitarem seus sites.

Qualquer empresa de cannabis que opere na Califórnia e tenha um site está claramente sujeita a este requisito. Mas e uma empresa de cannabis com sede em Iowa? Bem, desde que os residentes da Califórnia o usem ou visitem, o requisito se aplica. E, a menos que o negócio da cannabis possa dizer definitivamente que seu site não tem usuários/visitantes na Califórnia, é uma boa prática obter apenas uma política de privacidade. Se você ler a lei acima, verá que os requisitos são relativamente administráveis ​​e não muito intensos. Mas esse não é o fim da história.

Em 2018, a Califórnia aprovou o Lei de Privacidade do Consumidor da Califórnia (CCPA). A CCPA é inspirada na experiência anterior da União Europeia Regulamento geral de proteção de dados (GDPR). Tal como o GDPR, a CCPA codificou uma série de direitos do consumidor no que diz respeito às suas informações pessoais. E impôs uma série de novos requisitos legais às empresas aplicáveis ​​(mais sobre isso abaixo). Em 2020, os eleitores da Califórnia aprovaram o Proposta 24, também conhecida como Lei de Direitos de Privacidade da Califórnia (CPRA), que alterou e complementou o CCPA. E você pode apostar que também há regulamentos lidar com.

Um dos inúmeros requisitos impostos pela CCPA foi ter uma política de privacidade. E, diferentemente da lei anterior, a exigência da CCPA é muito mais robusta. Ver SUA PARTICIPAÇÃO FAZ A DIFERENÇA por exemplo. Este também é o caso do GDPR. Para qualquer empresa sujeita a um destes regimes de privacidade mais recentes, elaborar uma política de privacidade compatível é um desafio. Portanto, a pergunta de um milhão de dólares é: a quem se aplicam essas leis? Para a CCPA, o Procurador-geral da Califórnia diz:

A CCPA se aplica a empresas com fins lucrativos que fazem negócios na Califórnia e atendem a qualquer um dos seguintes:

  • Ter uma receita bruta anual superior a US$ 25 milhões;
  • Comprar, vender ou compartilhar informações pessoais de 100,000 ou mais residentes, residências ou dispositivos da Califórnia; ou
  • Obtenha 50% ou mais de sua receita anual com a venda de informações pessoais de residentes da Califórnia.

A segunda pergunta de um milhão de dólares aqui é o que significa fazer negócios. É claro que a CCPA não define isso claramente. Mas em outra parte da lei, a CCPA diz “Para os fins deste título, a conduta comercial ocorre totalmente fora da Califórnia se a empresa coletou essas informações enquanto o consumidor estava fora da Califórnia, nenhuma parte da venda das informações pessoais do consumidor ocorreu na Califórnia , e nenhuma informação pessoal coletada enquanto o consumidor estava na Califórnia é vendida. Este parágrafo não proibirá uma empresa de armazenar, inclusive em um dispositivo, informações pessoais sobre um consumidor quando o consumidor estiver na Califórnia e, em seguida, coletar essas informações pessoais quando o consumidor e as informações pessoais armazenadas estiverem fora da Califórnia.”

Portanto, é seguro para as empresas presumir que mesmo relações tangenciais com o Golden State poderiam sujeitá-las aos requisitos da CCPA, desde que um dos limites acima seja cumprido. E isso significa que a empresa precisa de uma política de privacidade robusta.

E quanto ao GDPR? O GDPR é ainda mais amplo na mira:

2. O presente regulamento aplica-se ao tratamento de dados pessoais de titulares de dados que se encontrem na União por um responsável pelo tratamento ou subcontratante não estabelecido na União, sempre que as atividades de tratamento estejam relacionadas com:

(a) A oferta de bens ou serviços, independentemente de ser ou não exigido um pagamento ao titular dos dados, a esses titulares de dados na União; ou

(b) A monitorização do seu comportamento, desde que o seu comportamento ocorra na União.

Uma empresa que simplesmente oferece serviços, mesmo que gratuitos, a residentes na UE, pode acabar sujeita ao GDPR. Para ser justo, este não será o caso da sua empresa comum de cannabis. É mais provável que afete empresas de cânhamo/canabinoides que vendem no comércio eletrônico. Mas mesmo as empresas de cannabis podem entrar no território do GDPR com esforços de marketing e vendas.

Se alguma dessas leis se aplicar – ou se uma empresa achar que as leis poderia aplicar – é necessária uma política de privacidade. Existem muitos advogados de demandantes que irão processar, em alguns casos por meio de ação coletiva, se uma empresa não empregar uma política de privacidade. As coisas ficam ainda piores se a política de privacidade for imprecisa ou se a empresa não a respeitar.

Uma política de privacidade é um documento fundamental (e muitas vezes exigido por lei) para qualquer empresa de cannabis. Sem ele, não só é provável que haja uma violação legal, mas também talvez um processo judicial. Não precisa custar um braço e uma perna e, se bem feito, pode economizar muito dinheiro e suor no final.

Antes de terminar o post, devo mencionar que uma política de privacidade não é a única coisa com que as empresas de canábis precisam de se preocupar quando se trata de protecção de dados. CCPA, GDPR e outras leis impõem vários requisitos além de simplesmente ter uma política de privacidade. Por exemplo, veja este meu post há algum tempo sobre CCPA e solicitações de exclusão. Essas coisas podem ficar incrivelmente complicadas. E, tal como acontece com as políticas de privacidade, é melhor investir no cumprimento das leis de privacidade desde o início, em vez de recorrer a um advogado de defesa no futuro.

Carimbo de hora:

Mais de Harris Brick