Соответствие требованиям Colorado Privacy Act с ConsentX

Colorado Privacy Act (CPA) - это комплексный закон штата Колорадо о приватности потребителей. Он предоставляет жителям Колорадо права в отношении их персональных данных и устанавливает обязанности для организаций, которые контролируют или обрабатывают эти данные.

CPA, как правило, применяется к организациям, ведущим деятельность в Колорадо или ориентированным на жителей Колорадо, которые достигают установленных законом порогов по контролю или обработке персональных данных. Отдельные организации, данные и виды деятельности освобождены от его действия.

Жители Колорадо имеют право на доступ к своим персональным данным, исправление неточных персональных данных, удаление персональных данных, переносимость данных, отказ от продажи персональных данных, отказ от таргетированной рекламы и отказ от отдельных видов профилирования. Потребители могут реализовать эти права с учётом применимых условий и исключений.

CPA требует согласия для отдельных видов обработки, прежде всего для обработки чувствительных данных. Не всякая обработка требует согласия, поэтому организациям следует определить надлежащее правовое основание и применимые требования для каждого вида обработки.

К чувствительным данным относятся отдельные категории персональных данных: сведения, раскрывающие расовое или этническое происхождение, религиозные убеждения, состояние или диагноз психического либо физического здоровья, сведения о половой жизни или сексуальной ориентации, гражданство или иммиграционный статус, отдельные генетические или биометрические данные, а также отдельные данные о детях. В законодательство Колорадо о приватности также вносились поправки, добавившие дополнительные категории, включая данные точной геолокации.

Universal Opt-Out Mechanism (UOOM) позволяет потребителям сообщать о своих решениях в сфере приватности сразу многим компаниям, не направляя отдельный запрос об отказе каждой организации. Колорадо требует, чтобы подпадающие под закон организации соблюдали применимые сигналы UOOM в отношении отдельных прав на отказ.

Да. Global Privacy Control (GPC) в настоящее время признан Департаментом права штата Колорадо действительным Universal Opt-Out Mechanism. Подпадающие под закон организации обязаны соблюдать GPC в отношении применимых прав на отказ, включая отказ от продажи персональных данных и их использования в целях таргетированной рекламы.

Да. Жители Колорадо имеют право отказаться от обработки своих персональных данных в целях таргетированной рекламы.

Да. CPA предоставляет потребителям право отказаться от отдельных видов профилирования, прежде всего от профилирования в целях принятия решений, влекущих юридические или иные аналогично значимые последствия для потребителя.

CPA регулирует обработку персональных данных, а не файлы cookie как таковые. Если файлы cookie, трекеры или аналогичные технологии собирают либо обрабатывают информацию, относящуюся к персональным данным, организациям следует оценить применимые требования CPA и внедрить соответствующие механизмы контроля приватности.

Да. Контролёры обязаны проводить оценки защиты данных для отдельных видов обработки, создающих повышенный риск причинения вреда потребителям. К ним могут относиться обработка, связанная с таргетированной рекламой, профилированием, продажей персональных данных и чувствительными данными.

Подпадающая под закон организация, как правило, обязана ответить на запрос потребителя в течение 45 дней. Этот срок может быть продлён ещё на 45 дней, когда это разумно необходимо, при условии уведомления потребителя о продлении и его причинах.

ConsentX предоставляет технологии, поддерживающие важные операции в рамках Colorado Privacy Act: управление согласием, получение согласия на обработку чувствительных данных, отказы потребителей, поддержку GPC, обнаружение трекеров, блокировку скриптов до согласия, рабочие процессы по правам потребителей и формирование доказательств. Однако сам по себе ConsentX не гарантирует соответствия требованиям CPA. Организациям необходимо оценить весь объём своей обработки данных, уведомления о приватности, меры безопасности, договоры, оценки защиты данных и иные применимые правовые обязанности.