Соответствие требованиям Oregon Consumer Privacy Act с ConsentX

Oregon Consumer Privacy Act (OCPA) - это комплексный закон штата Орегон о приватности потребителей. Он вступил в силу 1 июля 2024 года и предоставляет жителям Орегона права в отношении их персональных данных, устанавливая обязанности для подпадающих под него компаний.

Жители Орегона, как правило, имеют право знать, какие персональные данные собрал контролёр, получить подтверждение обработки своих персональных данных, получить их копию, запросить исправление неточных персональных данных, запросить их удаление, получить сведения об отдельных третьих лицах, получивших их данные, отказаться от таргетированной рекламы, отказаться от продажи персональных данных и отказаться от профилирования, влекущего юридические или иные аналогично значимые последствия. Департамент юстиции Орегона обобщает эти права в схеме L.O.C.K.E.D.: List (перечень), Opt-out (отказ), Copy (копия), Know (информированность), Edit (исправление) и Delete (удаление).

Не для всех видов обработки персональных данных. Однако контролёры обязаны получить согласие до обработки чувствительных данных. OCPA также требует действенного механизма отзыва согласия, причём отозвать согласие должно быть не сложнее, чем его дать.

К чувствительным данным относятся сведения, раскрывающие расовую или этническую принадлежность, национальное происхождение, религиозные убеждения, психическое или физическое состояние либо диагноз, сексуальную ориентацию, трансгендерный или небинарный статус, статус потерпевшего от преступления, гражданство или иммиграционный статус, а также генетические или биометрические данные, отдельные данные о точном местоположении и персональные данные детей. Персональные данные детей младше 13 лет прямо отнесены к чувствительным данным.

Да. Жители Орегона имеют право отказаться от обработки своих персональных данных в целях таргетированной рекламы.

Да. Потребители имеют право отказаться от продажи своих персональных данных. OCPA также предусматривает механизмы, позволяющие уполномоченному представителю реализовать отдельные права на отказ от имени потребителя.

Да. Потребители могут отказаться от профилирования, если оно используется в целях принятия решений, влекущих юридические или иные аналогично значимые последствия.

OCPA требует, чтобы подпадающие под закон контролёры предоставляли механизм, посредством которого потребители или уполномоченные представители могут сообщать о своём отказе с помощью подходящих технологий или механизмов. Такой механизм должен требовать утвердительного, добровольного и однозначного выбора, а не опираться на настройку по умолчанию. Организациям следует оценивать требования Орегона наряду с требованиями об универсальном отказе в законах других штатов.

OCPA регулирует обработку персональных данных, а не файлы cookie как отдельную технологию. Тем не менее файлы cookie, пиксели, рекламные теги, SDK и другие отслеживающие технологии могут собирать либо обрабатывать персональные данные или обеспечивать таргетированную рекламу. Поэтому обнаружение трекеров, управление настройками приватности и применение выбора потребителей могут быть важными элементами программы соблюдения OCPA.

Да. Контролёры обязаны предоставлять разумно доступное, понятное и содержательное уведомление о приватности с описанием категорий обрабатываемых персональных данных, целей обработки, применимых прав потребителей, категорий данных, передаваемых третьим лицам, соответствующих категорий третьих лиц и способов подачи запросов потребителями.

Да. Контролёры обязаны проводить и документировать оценки защиты данных для видов обработки, создающих повышенный риск причинения вреда потребителям. К ним могут относиться таргетированная реклама, обработка чувствительных данных, продажа персональных данных и отдельные виды профилирования.

Контролёры, как правило, обязаны ответить на запрос потребителя без необоснованной задержки и не позднее 45 дней с момента его получения. Этот срок обычно может быть продлён ещё на 45 дней, когда это разумно необходимо, при условии уведомления потребителя в течение первоначального срока ответа с объяснением причины продления.

Да. Контролёры обязаны установить процедуру, позволяющую потребителям обжаловать отказ в совершении действий по запросу о приватности. Контролёр, как правило, обязан рассмотреть апелляцию в течение 45 дней и предоставить сведения, позволяющие потребителю обратиться к Генеральному прокурору Орегона в случае отказа.

Да. Потребители могут назначить уполномоченного представителя для реализации отдельных прав на отказ от их имени. OCPA также допускает подачу запросов об отказе через такие механизмы, как интернет-ссылки, настройки браузера, расширения браузера, глобальные настройки устройства или иные подходящие технологии.

Да. OCPA предусматривает усиленную защиту данных детей. Персональные данные детей младше 13 лет отнесены к чувствительным данным, а закон также содержит дополнительные меры защиты потребителей младше 16 лет, включая ограничения в отношении таргетированной рекламы, профилирования и отдельных случаев продажи персональных данных.

Применение OCPA обеспечивает Генеральный прокурор Орегона через Департамент юстиции штата. Орегон опубликовал разъяснения для потребителей и компаний с описанием закона и порядка его применения.

ConsentX помогает практически реализовать важные механизмы контроля приватности: управление согласием, обнаружение трекеров, блокировку скриптов до согласия, обработку отказов потребителей, рабочие процессы по запросам о правах и формирование доказательств для аудита. Однако никакое программное обеспечение само по себе не может гарантировать соблюдение закона. Организациям следует оценить свою программу приватности в целом на соответствие OCPA и всем другим применимым законам.