Відповідність вимогам CCPA та CPRA: що бізнес-виробники каннабісу мають зробити зараз | Cannabiz Media

Примусове виконання Каліфорнійський закон про конфіденційність споживачів (CCPA) began on July, 1 2020. The CCPA gives consumers who reside in California significantly more control over how companies use their personal information. As a result, all companies needed to review their data, systems, and processes to ensure they were in full compliance with the new laws.

It wasn’t until Friday, August 14, 2020, that the state’s Attorney General announced the regulations to здійснювати the CCPA were approved and effective immediately. However, complying with the CCPA became more confusing for businesses, because in some instances, the нормативно-правові акти went beyond what the CCPA statute requires.

The story wasn’t over yet though. In fact, compliance issues were just getting started.

In October 2020, California Governor Gavin Newsom signed дві поправки to the CCPA into law. A.B. 1281 extended partial exemptions for employee data and business-to-business (B2B) data, which was previously set to expire on January 1, 2021. A.B. 713 amended the CCPA’s exemptions related to medical information and health privacy.

But that wasn’t all. Fast forward to November 2020, and things got even more confusing.

On November 3, 2020, California voters approved ballot proposition 24, the Каліфорнійський закон про права на конфіденційність 2020 року (CPRA), or what some people refer to as CCPA 2.0. CPRA won’t take effect until January 1, 2023, but it brings with it even більше змін that businesses will need to comply with including

• New definition of a covered business
• Additional language about sharing data
• Additional consumer rights
• New rules for a category of “sensitive personal information”
• New definition of “consent”
• Changes to the definition of “service provider”
• Expanded private right of action for data breaches
• New disclosure requirements
• Removal of the 30-day cure period
• Extended exemptions for employee and B2B data
• Establishment of the California Privacy Protection Agency
• І ще

Every company, including cannabis businesses, should understand the current requirements under the CCPA and what’s coming in the CPRA.  Now is the time to start reviewing and revamping your policies and procedures.

For some companies, compliance with these laws is a very big task, but the risks of noncompliance – in terms of lawsuits and monetary penalties – are just too big to ignore. Following are 10 initial actions cannabis businesses can take to comply with CCPA.

1. Визначте бюджет відповідності вимогам CCPA

Бюджет вашого бізнесу з канабісу на відповідність CCPA залежить від низки факторів. Важливо, що вам потрібно розглянути наймання нових співробітників для керування відповідністю сьогодні та на постійній основі. Крім того, вам потрібно буде навчити працівників дотримуватися нових робочих процесів, щоб відповідати вимогам CCPA.

Хоча основна частина вашого бюджету буде використана в короткостроковій перспективі, щоб привести вашу компанію у відповідність з новими правилами, вам також потрібно буде інвестувати в постійний моніторинг відповідності. CCPA, ймовірно, розвиватиметься, і інші штати вже нарощують зусилля, щоб прийняти більш суворі закони про конфіденційність.

2. Найміть ключових співробітників

Якщо у вашій компанії ще немає спеціаліста з комплаєнсу, зараз саме час його найняти. Крім того, вам знадобиться досвідчений персонал служби безпеки, щоб внести необхідні зміни на веб-сайт, системи тощо вашої компанії.

Головне, щоб у вашій компанії була одна особа, яка відповідатиме за дотримання вимог законодавства, зокрема CCPA. Як правило, ця особа буде на керівному рівні та може мати менеджера та інших спеціалістів у штаті (або доступних як консультанти), які допомагатимуть їм. Залежно від розміру вашого бізнесу для дотримання вимог може знадобитися ціла команда людей.

3. Розробка процесів відображення та зберігання даних

Управління даними є важливою частиною дотримання вимог CCPA вашого бізнесу з канабісу. Ви повинні мати процеси, щоб визначити, як збирається особиста інформація, як вона класифікується, як зберігається, де зберігається, як захищається та як ваш бізнес запобігає незаконному обміну, продажу чи розповсюдженню цих даних.

The CCPA includes a provision that says companies must be able to provide consumers who request their personal information with all data collected within the timeframe allowed by law. If your business doesn’t have a process in place to identify and map personal information to its sources, responding to these requests could be extremely time-consuming if not impossible. In fact, if your processes are inadequate, your cannabis business could end up facing lawsuits and penalties.

4. Розробити систему реагування на запити споживачів

The CCPA gives companies a period of time to respond to consumers’ requests for the personal information collected about them. If your company doesn’t have a response system in place and can’t produce the requested information as allowed by law, then you may not be able to respond adequately within that timeframe. Again, your business could face costly lawsuits and penalties as a result.

Важливо, щоб ваш бізнес розробив систему реагування на запити споживачів, і якомога більша частина цієї системи повинна бути автоматизована. Уявіть, що ви отримуєте 10 або 100 запитів протягом місяця. Якщо системи не автоматизовані, ваш бізнес може не відповісти на всі ці запити вчасно та матиме багато проблем – юридичних і фінансових.

5. Створіть систему відмови споживача

Відповідно до CCPA споживачі Каліфорнії мають право відмовитися від трекерів і рекламних технологій сторонніх розробників. Таким чином, вам потрібно повністю розуміти всі технології, які використовуються на вашому веб-сайті, у мобільних додатках тощо.

Вам також потрібно створити систему відмови споживачів, щоб споживачі могли в будь-який час відмовитися від відстеження. Як і ваша система відповіді на запити споживачів (див. №4 вище), ваша система відмови споживачів має бути максимально автоматизована. Хоча сьогодні це включатиме вищі витрати на розробку та впровадження, ви заощадите ще більше часу та грошей пізніше, якщо автоматизуєте систему зараз.

6. Оновіть Політику конфіденційності

Політику конфіденційності вашої компанії, що займається продажем марихуани, потрібно оновити, щоб відповідати CCPA. Майте на увазі, що оновлення політики конфіденційності стосується оновлення як внутрішньої, так і зовнішньої політики конфіденційності та повідомлень.

Іншими словами, ця юридична вимога стосується не лише політики конфіденційності, опублікованої на вашому веб-сайті. Це також стосується політики конфіденційності, розкриття інформації та повідомлень, які використовуються у вашій компанії.

7. Розробка процесу реагування юридичних і регуляторних органів

Як ваша компанія відреагує, якщо регулятор запитає інформацію про ваші процеси дотримання вимог CCPA? Що робити, якщо споживач подає цивільний позов проти вашого бізнесу з канабісу, пов’язаний із його особистою інформацією відповідно до CCPA? І те, і інше може відбутися в певний момент часу, тому вам потрібні робочі процеси, щоб оптимізувати процес реагування, включаючи автоматизацію систем, наскільки це можливо.

Керівник відділу відповідності вашого бізнесу з виробництва канабісу (див. №2 вище) повинен контролювати процес реагування, але всі співробітники, які беруть участь у зборі та наданні запитаних даних, повинні розуміти, що від них очікується. Ці робочі процеси мають включати конкретні обов’язки та часові рамки.

8. Визначте політику та навчіть працівників

Кожен працівник каннабісного бізнесу повинен пройти навчання щодо CCPA та розуміти його важливість. Вони повинні повністю розуміти свої обов’язки та пройти навчання щодо робочих процесів, які вони повинні виконувати у відповідь на інформаційні запити від споживачів, регуляторів і судових позовів.

Навчання щодо дотримання вимог CCPA та конфіденційності не є одноразовим. У міру того, як закони розвиваються, і все більше штатів приймають нові положення щодо конфіденційності, необхідно буде постійно оновлювати навчання, щоб гарантувати, що ваш бізнес з марихуаною завжди повністю відповідає нормам.

9. Перевірте сторонні дані та постачальників послуг на відповідність

Якщо ваша компанія покладається на постачальників послуг або третіх сторін, щоб надавати, зберігати, керувати чи іншим чином збирати, ділитися, продавати чи поширювати дані з вашою компанією або від її імені, вам потрібно перевірити їхню дотримання вимог CCPA. Крім того, контракти слід оновити, щоб врахувати необхідні зміни відповідно до норм CCPA.

Вкрай важливо, щоб ваш бізнес з канабісом постійно перевіряв постачальників послуг і третіх осіб, щоб переконатися, що вони й надалі дотримуються CCPA та всіх інших федеральних законів і законів штату про конфіденційність. Це важливий крок, який зменшить ризик вашої компанії в довгостроковій перспективі.

10. Слідкуйте за законодавством Каліфорнії та інших штатів щодо конфіденційності

Не тільки CCPA продовжуватиме розвиватися, але й інші штати змінюють закони про конфіденційність надати споживачам контроль над тим, як компаніями використовується їх особиста інформація. Знову ж таки, вам потрібен належний керівник відділу відповідності та команда для постійного моніторингу цих законів, щоб ваш бізнес з канабісу міг вжити необхідних заходів.

Основні висновки щодо відповідності CCPA

Cannabis businesses need to take action now to ensure they’re fully compliant with the CCPA and CPRA in order to reduce the risks associated with noncompliance in the future. These 10 steps should help you get started. The key is to begin working on your company’s compliance strategy and implementation now if you haven’t done so already because enforcement of the CCPA already began.

Enforcement of the CPRA doesn’t start until January 1, 2023, but it’s important to understand that the CPRA affects personal information collected on or after January 1, 2022. In other words, you don’t have two years to ramp up. You really only have one year to put the right systems in place to comply with the CPRA.

Для підприємств, які покладаються на База даних ліцензій Cannabiz Media залучати потенційних клієнтів і розвиватися, вони можуть бути впевнені, що він уже повністю відповідає CCPA. Ви можете перейти за посиланням, щоб дізнатися більше як переконатися, що маркетинг електронної пошти та CRM відповідають CCPA.

TheСплануйте демонстраційну версію бази даних Cannabiz Media License, щоб дізнатися, як це може допомогти вашому бізнесу розвиватися.

TheСпочатку опубліковано 3/24/20. Оновлено 12.