Соответствие нормам CCPA и CPRA: что нужно делать предприятиям, занимающимся коноплей | Cannabiz Media

Исполнение Закон о конфиденциальности потребителей в Калифорнии (CCPA) началась 1 июля 2020 года. CCPA дает потребителям, проживающим в Калифорнии, значительно больший контроль над тем, как компании используют их личную информацию. В результате всем компаниям необходимо было проверить свои данные, системы и процессы, чтобы убедиться, что они полностью соответствуют новым законам.

Только в пятницу, 14 августа 2020 года, Генеральный прокурор штата объявил о правилах осуществлять CCPA были одобрены и вступили в силу немедленно. Однако соблюдение CCPA стало более запутанным для предприятий, поскольку в некоторых случаях правила исполнения вышло за рамки того, что требует статут CCPA.

Однако история еще не закончилась. Фактически, вопросы соответствия только начинались.

В октябре 2020 года губернатор Калифорнии Гэвин Ньюсом подписал две поправки в CCPA в закон. AB 1281 расширил частичные исключения для данных сотрудников и данных между предприятиями (B2B), срок действия которых истекает 1 января 2021 года. AB 713 внес поправки в исключения CCPA, связанные с медицинской информацией и конфиденциальностью в отношении здоровья.

Но это еще не все. Перенесемся в ноябрь 2020 года, и все стало еще более запутанным.

3 ноября 2020 г. избиратели Калифорнии одобрили предложение 24 бюллетеня для голосования. Закон Калифорнии о правах на конфиденциальность от 2020 г. (CPRA), или то, что некоторые называют CCPA 2.0. CPRA не вступит в силу до 1 января 2023 г., но влечет за собой даже больше изменений что предприятиям необходимо будет соблюдать, в том числе

• Новое определение покрытого бизнеса
• Дополнительный язык о совместном использовании данных
• Дополнительные права потребителей
• Новые правила для категории «конфиденциальная личная информация»
• Новое определение «согласия»
• Изменения в определении «поставщика услуг»
• Расширенное частное право на иск в случае утечки данных
• Новые требования к раскрытию информации
• Отмена 30-дневного периода лечения
• Расширенные исключения для данных сотрудников и данных B2B
• Создание Калифорнийского агентства по защите конфиденциальности
• И многое другое

Каждая компания, в том числе предприятия, занимающиеся каннабисом, должны понимать текущие требования CCPA и то, что будет в CPRA. Пришло время приступить к пересмотру и обновлению ваших политик и процедур.

Для некоторых компаний соблюдение этих законов - очень большая задача, но риски несоблюдения - с точки зрения судебных исков и денежных штрафов - слишком велики, чтобы их игнорировать. Ниже приведены 10 начальных действий, которые компании, занимающиеся каннабисом, могут предпринять для соблюдения требований CCPA.

1. Определите бюджет соответствия CCPA

Бюджет соответствия CCPA вашего каннабис-бизнеса зависит от ряда факторов. Важно отметить, что вы должны рассмотреть возможность найма новых сотрудников для управления соблюдением требований сегодня и на постоянной основе. Кроме того, вам нужно будет обучать сотрудников следовать новым рабочим процессам, чтобы соответствовать требованиям CCPA.

Хотя основная часть вашего бюджета будет использована в краткосрочной перспективе для приведения вашей компании в соответствие с новыми правилами, вам также потребуется инвестировать в постоянный мониторинг соблюдения. CCPA, вероятно, будет развиваться, и другие штаты уже наращивают усилия по принятию более строгих законов о конфиденциальности.

2. Нанимайте ключевых сотрудников

Если в вашем бизнесе еще нет специалиста по соблюдению нормативных требований, сейчас самое время нанять его. Кроме того, вам понадобятся опытные сотрудники службы безопасности для внесения необходимых изменений в веб-сайт, системы и т. Д. Вашей компании.

Ключ заключается в том, чтобы один человек был привлечен к ответственности за руководство работой по соблюдению в вашей компании, и это включает в себя соблюдение CCPA. Как правило, этот человек будет на исполнительном уровне и может иметь менеджера и других специалистов в штате (или доступны в качестве консультантов), чтобы помочь им. В зависимости от размера вашего бизнеса соответствие может потребовать целая команда людей.

3. Разработка процессов отображения и хранения данных

Управление данными является важной частью соблюдения CCPA вашего каннабис-бизнеса. У вас должны быть процессы, позволяющие определить, как собирается личная информация, как она классифицируется, как она хранится, где она хранится, как она защищена и как ваш бизнес предотвращает незаконный обмен, продажу или распространение этих данных.

CCPA включает положение, согласно которому компании должны иметь возможность предоставлять потребителям, запрашивающим их личную информацию, все данные, собранные в сроки, разрешенные законом. Если в вашей компании нет процесса для идентификации и сопоставления личной информации с ее источниками, ответ на эти запросы может занять очень много времени, если вообще возможно. Фактически, если ваши процессы неадекватны, ваш бизнес по производству каннабиса может столкнуться с судебными исками и штрафами.

4. Разработать систему реагирования на запросы потребителей.

CCPA дает компаниям период времени для ответа на запросы потребителей относительно собранной о них личной информации. Если в вашей компании нет системы ответов и она не может предоставить запрошенную информацию в соответствии с законом, возможно, вы не сможете адекватно ответить в эти сроки. Опять же, в результате ваш бизнес может столкнуться с дорогостоящими судебными исками и штрафами.

Важно, чтобы ваш бизнес разработал систему реагирования на запросы потребителей, и как можно большую часть этой системы следует автоматизировать. Представьте, если вы получите 10 или 100 запросов в течение месяца. Если системы не автоматизированы, ваша компания не сможет своевременно ответить на все эти запросы и может столкнуться с большими проблемами - юридически и финансово.

5. Создайте систему отказа потребителей

Согласно CCPA, калифорнийские потребители имеют право отказаться от сторонних трекеров и рекламных технологий. Таким образом, вы должны полностью понимать все технологии, используемые на вашем сайте, мобильные приложения и так далее.

Вам также необходимо создать систему отказа потребителей, чтобы потребители могли отказаться от отслеживания в любое время. Как и ваша система реагирования на запросы потребителей (см. № 4 выше), ваша система отказа потребителей должна быть максимально автоматизирована. Хотя сегодня это потребует более высоких затрат на разработку и внедрение, вы сэкономите еще больше времени и денег, если автоматизируете систему сейчас.

6. Обновление политик конфиденциальности

Политика конфиденциальности вашего каннабисного бизнеса должна быть обновлена ​​в соответствии с CCPA. Имейте в виду, что обновление политик конфиденциальности означает обновление как внутренних, так и внешних политик и уведомлений о конфиденциальности.

Другими словами, это юридическое требование относится не только к политике конфиденциальности, опубликованной на вашем сайте. Это также относится к политике конфиденциальности, раскрытиям и уведомлениям, используемым в вашем бизнесе.

7. Разработка правовых и регуляторных рабочих процессов реагирования

Как отреагирует ваша компания, если регулирующий орган запросит информацию о процессах соблюдения требований CCPA? Что если потребитель подаст гражданский иск против вашего предприятия по производству каннабиса, связанного с его личной информацией, в соответствии с CCPA? И то, и другое может произойти в какой-то момент времени, поэтому вам нужны рабочие процессы, чтобы упростить процесс ответа, включая автоматизацию систем, насколько это возможно.

Лидер по соблюдению вашего конопляного бизнеса (см. № 2 выше) должен контролировать процесс реагирования, но все сотрудники, которые играют роль в сборе и предоставлении запрашиваемых данных, должны понимать, что от них ожидается. Эти рабочие процессы должны включать конкретные обязанности и сроки.

8. Определите политику и обучите сотрудников

Каждый работник каннабиса должен пройти обучение по CCPA и понять его важность. Они должны полностью понимать свои обязанности и быть обучены рабочим процессам, которые они должны выполнять в ответ на информационные запросы от потребителей, регулирующих органов и судебные решения.

Обучение CCPA и соблюдению конфиденциальности - не разовая вещь. По мере развития законов, и все больше штатов вводят новые правила конфиденциальности, на постоянной основе потребуется обновленное обучение, чтобы обеспечить постоянную совместимость вашего бизнеса по употреблению каннабиса.

9. Проверьте сторонних поставщиков данных и услуг на соответствие

Если ваша компания полагается на то, что поставщики услуг или третьи стороны будут предоставлять, хранить, управлять или иным образом собирать, делиться, продавать или распространять данные с вашей компанией или от ее имени, вам необходимо проверить их соответствие CCPA. Кроме того, контракты должны быть обновлены с учетом изменений, необходимых в соответствии с правилами CCPA.

Крайне важно, чтобы ваши поставщики услуг по аудиту конопли и сторонние организации на постоянной основе обеспечивали соблюдение CCPA и всех других федеральных законов и законов штата о конфиденциальности. Это важный шаг, который снизит риск вашей компании в долгосрочной перспективе.

10. Мониторинг законов о конфиденциальности в Калифорнии и других штатах

Не только CCPA продолжит развиваться, но и другие штаты изменяют законы о конфиденциальности поставить потребителей под контроль того, как их личная информация используется компаниями. Опять же, вам нужен правильный руководитель и команда по соблюдению, чтобы постоянно следить за соблюдением этих законов, чтобы ваш бизнес по производству каннабиса мог принимать необходимые меры.

Основные выводы о соответствии CCPA

Компании, занимающиеся каннабисом, должны принять меры сейчас, чтобы обеспечить полное соответствие CCPA и CPRA, чтобы снизить риски, связанные с несоблюдением в будущем. Эти 10 шагов должны помочь вам начать работу. Ключ в том, чтобы начать работу над стратегией соответствия вашей компании и ее реализацией сейчас, если вы еще этого не сделали, потому что соблюдение CCPA уже началось.

Применение CPRA не начнется до 1 января 2023 года, но важно понимать, что CPRA влияет на личную информацию, собранную 1 января 2022 года или после этой даты. Другими словами, у вас нет двух лет для увеличения. У вас действительно есть только один год, чтобы ввести в действие правильные системы, соответствующие CPRA.

Для предприятий, которые полагаются на База данных лицензий Cannabiz Media чтобы генерировать потенциальных клиентов и расти, они могут быть уверены, что он уже полностью соответствует требованиям CCPA. Вы можете перейти по ссылке, чтобы узнать больше о как обеспечить соответствие вашего электронного маркетинга и CRM требованиям CCPA.

‍График демо базы данных лицензий Cannabiz Media, чтобы узнать, как она может помочь вашему бизнесу расти.

‍Первоначально опубликовано 3. Обновлено 24/20/12.