Companiile cu cannabis au nevoie de politici de confidențialitate

Companiile cu cannabis au nevoie de politici de confidențialitate

Marca temporală: 4 octombrie 2023 10:00
Nodul sursă: 2916781

Este 2023 și multor companii cu canabis încă lipsesc un document de operare critic: o politică de confidențialitate. Am tot scris și vorbit despre această problemă pentru ani. Și lucrurile nu se îmbunătățesc. Deci hai să mai vorbim despre asta.

Pentru început, California a cerut politici de confidențialitate de foarte mult timp (ei bine, „lung” cel puțin în ceea ce privește internetul). Sub Legislația din California, operatorii de site-uri web comerciale care colectează „informații de identificare personală prin Internet despre consumatorii individuali rezidenți în California care folosesc sau vizitează site-ul său web comercial” au nevoie de o politică de confidențialitate. Este mult de digerat. În limba engleză, proprietarii de site-uri web trebuie să aibă o politică de confidențialitate dacă consumatorii din California își folosesc sau vizitează site-ul web.

Orice afacere de canabis care operează în California și are un site web este în mod clar supusă acestei cerințe. Dar ce zici de o companie de canabis din Iowa? Ei bine, atâta timp cât rezidenții din California îl folosesc sau îl vizitează, se aplică cerința. Și dacă afacerea cu canabis poate spune definitiv că site-ul său nu are utilizatori/vizitatori din California, cea mai bună practică este să obțineți doar o politică de confidențialitate. Dacă citiți legea de mai sus, cerințele sunt relativ gestionabile și nu prea intense. Dar acesta nu este sfârșitul poveștii.

În 2018, California a trecut de Legea privind confidențialitatea consumatorilor din California (CCPA). CCPA este inspirată de cele mai vechi ale Uniunii Europene Regulamentul general privind protecția datelor (GDPR). La fel ca GDPR, CCPA a codificat o serie de drepturi ale consumatorilor cu privire la informațiile lor personale. Și a impus o serie de noi cerințe legale întreprinderilor aplicabile (mai multe despre asta mai jos). În 2020, alegătorii din California au trecut de Prop. 24, a/k/a, California Privacy Rights Act (CPRA), care a modificat și completat CCPA. Și pariezi că există și regulament a face față.

Una dintre nenumăratele cerințe pe care CCPA le-a impus a fost să aibă o politică de confidențialitate. Și, spre deosebire de legislația anterioară, cerința CCPA este mult mai robustă. Vedea aici de exemplu. Acesta este și cazul GDPR. Pentru orice afacere care face obiectul unuia dintre aceste regimuri de confidențialitate mai noi, elaborarea unei politici de confidențialitate conformă este o provocare. Deci întrebarea de un milion de dolari este cui se aplică aceste legi? Pentru CCPA, spune procurorul general din California:

CCPA se aplică companiilor cu scop profit care desfășoară afaceri în California și îndeplinesc oricare dintre următoarele:

  • Să aibă un venit anual brut de peste 25 milioane USD;
  • Cumpărați, vindeți sau partajați informațiile personale ale a 100,000 sau mai mulți rezidenți, gospodării sau dispozitive din California; sau
  • Obține 50% sau mai mult din veniturile lor anuale din vânzarea informațiilor personale ale rezidenților din California.

A doua întrebare de un milion de dolari aici este ce înseamnă să faci afaceri. Desigur, CCPA nu definește clar asta. Dar în altă parte a legii, CCPA spune: „În scopul acestui titlu, conduita comercială are loc în întregime în afara Californiei, dacă afacerea a colectat acele informații în timp ce consumatorul se afla în afara Californiei, nicio parte din vânzarea informațiilor personale ale consumatorului nu a avut loc în California. și nu sunt vândute informații personale colectate în timp ce consumatorul se afla în California. Acest alineat nu interzice unei companii să stocheze, inclusiv pe un dispozitiv, informații personale despre un consumator atunci când consumatorul se află în California și apoi să colecteze acele informații personale atunci când consumatorul și informațiile personale stocate se află în afara Californiei.”

Prin urmare, este sigur pentru companii să presupună că chiar și relațiile tangențiale cu Golden State le-ar putea supune cerințelor CCPA atâta timp cât unul dintre pragurile de mai sus este îndeplinit. Și asta înseamnă că afacerea are nevoie de o politică de confidențialitate solidă.

Dar GDPR? GDPR este chiar mai larg în vedere:

2. Prezentul regulament se aplică prelucrării datelor cu caracter personal ale persoanelor vizate care se află în Uniune de către un operator sau un operator care nu este stabilit în Uniune, în cazul în care activitățile de prelucrare sunt legate de:

(a) oferirea de bunuri sau servicii, indiferent dacă este necesară o plată a persoanei vizate, către aceste persoane vizate din Uniune; sau

(b) monitorizarea comportamentului lor, în măsura în care comportamentul lor are loc în Uniune.

O companie care pur și simplu oferă servicii, chiar și gratuit, rezidenților UE, poate ajunge să fie supusă GDPR. Pentru a fi corect, acesta nu va fi cazul companiei dumneavoastră de canabis. Este mai probabil să afecteze companiile de cânepă/canabinoizi care vând în comerțul electronic. Dar chiar și companiile de canabis pot intra pe teritoriul GDPR cu eforturi de marketing și vânzări.

Dacă se aplică oricare dintre aceste legi – sau dacă o companie chiar consideră legile ar putea aplicați – este necesară o politică de confidențialitate. Există o mulțime de avocați ai reclamanților care vor da în judecată, în unele cazuri, prin acțiune de grup, dacă o companie nu reușește să folosească o politică de confidențialitate. Lucrurile se înrăutățesc și dacă politica de confidențialitate este inexactă sau compania nu aderă la ea.

O politică de confidențialitate este un document cheie (și adesea obligatoriu din punct de vedere legal) pentru orice companie de canabis. Fără ea, este probabil nu numai o încălcare a legii, ci și un proces. Nu trebuie să coste un braț și un picior și, dacă este făcut corect, poate economisi o mulțime de bani și transpirație pe partea din spate.

Înainte de a încheia postarea, ar trebui să menționez că o politică de confidențialitate nu este singurul lucru de care trebuie să își facă griji companiile de canabis când vine vorba de protecția datelor. CCPA, GDPR și alte legi impun numeroase cerințe dincolo de simpla politică de confidențialitate. De exemplu, vezi acest post al meu de ceva vreme în urmă cu CCPA și solicitările de ștergere. Lucrurile astea pot deveni incredibil de complicate. Și, ca și în cazul politicilor de confidențialitate, este mai bine să investiți în conformitate cu legea confidențialității devreme, în loc de apărare pe viitor.

Timestamp-ul:

Mai mult de la Harris Bricken