ธุรกิจกัญชาจำเป็นต้องมีนโยบายความเป็นส่วนตัว

ธุรกิจกัญชาจำเป็นต้องมีนโยบายความเป็นส่วนตัว

ประทับเวลา: 4 ตุลาคม 2023 10:00 น.
โหนดต้นทาง: 2916781

เข้าสู่ปี 2023 และธุรกิจกัญชาจำนวนมากยังคงขาดเอกสารการดำเนินงานที่สำคัญฉบับหนึ่ง: นโยบายความเป็นส่วนตัว ฉันได้เขียนและพูดคุยเกี่ยวกับปัญหานี้ สำหรับปีที่ผ่านมา. และสิ่งต่าง ๆ ก็ไม่ดีขึ้น ดังนั้นเรามาพูดถึงมันอีกครั้งหนึ่ง

ในการเริ่มต้น แคลิฟอร์เนียกำหนดให้มีนโยบายความเป็นส่วนตัวมาเป็นเวลานานมาก (และ “ยาว” อย่างน้อยก็ในแง่ของอินเทอร์เน็ต) ภายใต้ กฎหมายแคลิฟอร์เนียผู้ดำเนินการเว็บไซต์เชิงพาณิชย์ที่รวบรวม "ข้อมูลที่สามารถระบุตัวบุคคลผ่านทางอินเทอร์เน็ตเกี่ยวกับผู้บริโภคแต่ละรายที่อาศัยอยู่ในแคลิฟอร์เนียซึ่งใช้หรือเยี่ยมชมเว็บไซต์เชิงพาณิชย์ของตน" จำเป็นต้องมีนโยบายความเป็นส่วนตัว นั่นเป็นเรื่องที่ต้องแยกแยะมาก ในภาษาอังกฤษ เจ้าของเว็บไซต์ต้องมีนโยบายความเป็นส่วนตัวหากผู้บริโภคในแคลิฟอร์เนียใช้หรือเยี่ยมชมเว็บไซต์ของตน

ธุรกิจกัญชาใดๆ ที่ดำเนินการในแคลิฟอร์เนียและมีเว็บไซต์จะต้องปฏิบัติตามข้อกำหนดนี้อย่างชัดเจน แต่แล้วบริษัทกัญชาในรัฐไอโอวาล่ะ? ตราบใดที่ชาวแคลิฟอร์เนียใช้หรือเยี่ยมชม ก็ต้องปฏิบัติตามข้อกำหนด และเว้นแต่ธุรกิจกัญชาจะสามารถระบุได้อย่างแน่ชัดว่าเว็บไซต์ของตนไม่มีผู้ใช้/ผู้เยี่ยมชมในแคลิฟอร์เนีย แนวทางปฏิบัติที่ดีที่สุดคือขอนโยบายความเป็นส่วนตัว หากคุณอ่านกฎหมายข้างต้น ข้อกำหนดต่างๆ ก็ค่อนข้างจัดการได้และไม่รุนแรงจนเกินไป แต่นั่นไม่ใช่จุดสิ้นสุดของเรื่องราว

ในปี 2018 แคลิฟอร์เนียผ่าน พระราชบัญญัติความเป็นส่วนตัวของผู้บริโภคแคลิฟอร์เนีย (CCPA). CCPA ได้รับแรงบันดาลใจจากสหภาพยุโรปก่อนหน้านี้ ระเบียบว่าด้วยการคุ้มครองข้อมูลทั่วไป (GDPR). เช่นเดียวกับ GDPR CCPA ได้ประมวลสิทธิ์ของผู้บริโภคที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของตน และได้กำหนดข้อกำหนดทางกฎหมายใหม่มากมายสำหรับธุรกิจที่เกี่ยวข้อง (เพิ่มเติมด้านล่าง) ในปี 2020 ผู้ลงคะแนนเสียงในรัฐแคลิฟอร์เนียผ่าน ข้อเสนอที่ 24 หรือที่เรียกว่า California Privacy Rights Act (CPRA)ซึ่งแก้ไขและเพิ่มเติม CCPA และคุณเดิมพันว่ายังมี กฎระเบียบ เพื่อรับมือกับ.

ข้อกำหนดมากมายประการหนึ่งที่ CCPA กำหนดคือการมีนโยบายความเป็นส่วนตัว และแตกต่างจากกฎหมายก่อนหน้านี้ ข้อกำหนดของ CCPA นั้นแข็งแกร่งกว่ามาก ดู โปรดคลิกที่นี่เพื่ออ่านรายละเอียดเพิ่มเติม ตัวอย่างเช่น. นี่เป็นกรณีของ GDPR เช่นกัน สำหรับธุรกิจใดๆ ที่อยู่ภายใต้ระบอบการรักษาความเป็นส่วนตัวที่ใหม่กว่าเหล่านี้ การร่างนโยบายความเป็นส่วนตัวที่เป็นไปตามข้อกำหนดถือเป็นความท้าทาย คำถามล้านดอลลาร์ก็คือ กฎหมายเหล่านี้ใช้กับใคร? สำหรับ CCPA นั้น อัยการสูงสุดแห่งแคลิฟอร์เนียกล่าวว่า:

CCPA ใช้กับธุรกิจที่แสวงหาผลกำไรที่ทำธุรกิจในแคลิฟอร์เนียและมีคุณสมบัติดังต่อไปนี้:

  • มีรายได้รวมต่อปีมากกว่า 25 ล้านเหรียญสหรัฐ
  • ซื้อ ขาย หรือแบ่งปันข้อมูลส่วนบุคคลของผู้อยู่อาศัย ครัวเรือน หรืออุปกรณ์ในแคลิฟอร์เนียตั้งแต่ 100,000 คนขึ้นไป หรือ
  • รับรายได้ต่อปี 50% หรือมากกว่าจากการขายข้อมูลส่วนบุคคลของชาวแคลิฟอร์เนีย

คำถามที่สองล้านดอลลาร์ที่นี่คือความหมายของการทำธุรกิจ แน่นอนว่า CCPA ไม่ได้ให้คำจำกัดความไว้อย่างชัดเจน แต่ในที่อื่นของกฎหมาย CCPA กล่าวว่า "สำหรับวัตถุประสงค์ของชื่อนี้ การดำเนินการเชิงพาณิชย์จะเกิดขึ้นนอกรัฐแคลิฟอร์เนียทั้งหมด หากธุรกิจรวบรวมข้อมูลดังกล่าวในขณะที่ผู้บริโภคอยู่นอกรัฐแคลิฟอร์เนีย และไม่มีการขายข้อมูลส่วนบุคคลของผู้บริโภคส่วนใดเกิดขึ้นในแคลิฟอร์เนีย และไม่มีการขายข้อมูลส่วนบุคคลที่รวบรวมในขณะที่ผู้บริโภคอยู่ในแคลิฟอร์เนีย ย่อหน้านี้จะไม่ห้ามไม่ให้ธุรกิจจัดเก็บข้อมูลส่วนบุคคลเกี่ยวกับผู้บริโภคเมื่อผู้บริโภคอยู่ในแคลิฟอร์เนีย รวมถึงบนอุปกรณ์ เมื่อผู้บริโภคอยู่ในแคลิฟอร์เนีย จากนั้นจึงรวบรวมข้อมูลส่วนบุคคลนั้นเมื่อผู้บริโภคและข้อมูลส่วนบุคคลที่จัดเก็บอยู่นอกแคลิฟอร์เนีย”

ดังนั้นจึงปลอดภัยสำหรับธุรกิจที่จะสรุปได้ว่าแม้แต่ความสัมพันธ์เชิงสัมผัสกับ Golden State ก็อาจต้องปฏิบัติตามข้อกำหนดของ CCPA ตราบใดที่เป็นไปตามเกณฑ์ข้อใดข้อหนึ่งข้างต้น และนั่นหมายความว่าธุรกิจจำเป็นต้องมีนโยบายความเป็นส่วนตัวที่แข็งแกร่ง

แล้ว GDPR ล่ะ? GDPR คือ กว้างยิ่งขึ้น ในขอบเขต:

2. ข้อบังคับนี้ใช้กับการประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลที่อยู่ในสหภาพโดยผู้ควบคุมหรือผู้ประมวลผลที่ไม่ได้จัดตั้งขึ้นในสหภาพ โดยที่กิจกรรมการประมวลผลเกี่ยวข้องกับ:

(ก) การเสนอสินค้าหรือบริการ โดยไม่คำนึงว่าจะต้องชำระเงินให้กับเจ้าของข้อมูลหรือไม่ ให้กับเจ้าของข้อมูลดังกล่าวในสหภาพ หรือ

(b) การติดตามพฤติกรรมของพวกเขาตราบเท่าที่พฤติกรรมของพวกเขาเกิดขึ้นภายในสหภาพ

บริษัทที่เสนอบริการต่างๆ ให้กับผู้อยู่อาศัยในสหภาพยุโรปแม้จะฟรีก็ตาม อาจต้องปฏิบัติตาม GDPR พูดตามตรง นี่ไม่ใช่กรณีของบริษัทโรงงานกัญชาของคุณ มีแนวโน้มที่จะส่งผลกระทบต่อบริษัทกัญชา/แคนนาบินอยด์ที่ขายในอีคอมเมิร์ซมากกว่า แต่แม้แต่บริษัทกัญชาก็สามารถเดินเข้าไปในขอบเขตของ GDPR ได้ด้วยความพยายามทางการตลาดและการขาย

หากกฎหมายข้อใดข้อหนึ่งเหล่านี้มีผลบังคับใช้ – หรือหากธุรกิจคิดที่จะปฏิบัติตามกฎหมายด้วย ได้ ใช้ - จำเป็นต้องมีนโยบายความเป็นส่วนตัว มีทนายความของโจทก์จำนวนมากที่จะฟ้องร้องในบางกรณีผ่านการดำเนินคดีแบบกลุ่ม หากธุรกิจไม่ใช้นโยบายความเป็นส่วนตัว สิ่งต่างๆ จะเลวร้ายยิ่งขึ้นหากนโยบายความเป็นส่วนตัวไม่ถูกต้องหรือบริษัทไม่ปฏิบัติตาม

นโยบายความเป็นส่วนตัวเป็นเอกสารสำคัญ (และมักจำเป็นตามกฎหมาย) สำหรับบริษัทกัญชา หากไม่มีสิ่งนี้ ไม่เพียงแต่มีแนวโน้มที่จะเกิดการละเมิดกฎหมายเท่านั้น แต่ยังอาจเป็นคดีความอีกด้วย ไม่จำเป็นต้องเสียแขนและขา และหากทำถูกต้อง จะช่วยประหยัดเงินและเสียเหงื่อในส่วนหลังได้มาก

ก่อนที่จะจบโพสต์ ฉันควรจะพูดถึงว่านโยบายความเป็นส่วนตัวไม่ใช่สิ่งเดียวที่บริษัทกัญชาต้องกังวลเมื่อพูดถึงเรื่องการปกป้องข้อมูล CCPA, GDPR และกฎหมายอื่นๆ กำหนดข้อกำหนดมากมายนอกเหนือจากการมีนโยบายความเป็นส่วนตัว ตัวอย่างเช่นดู โพสต์นี้ของฉัน จากที่ย้อนกลับไปใน CCPA และคำขอลบ สิ่งนี้อาจซับซ้อนอย่างไม่น่าเชื่อ และเช่นเดียวกับนโยบายความเป็นส่วนตัว การลงทุนในการปฏิบัติตามกฎหมายความเป็นส่วนตัวตั้งแต่เนิ่นๆ จะดีกว่า แทนที่จะลงทุนกับที่ปรึกษาด้านการป้องกันในคราวต่อไป

ประทับเวลา:

เพิ่มเติมจาก แฮร์ริสบริกเกน