加州拟议《隐私权法案》，修订强化CCPA，更加趋向GDPR条款

 

前言：《加利福尼亚消费者隐私法案》（CCPA）是目前美国最强大的隐私权法案。尽管它是根据《欧盟通用数据保护条例》（GDPR）制定的，但它缺乏全方位的消费者保护措施。如果2018年投票倡议的拟议修正案在11月能获得通过，将会增加对消费者的保护，使之更加符合《欧盟通用数据保护条例》（GDPR）条款。新法案被称为《加利福尼亚隐私权法案》（ California Privacy Rights Act 简称 CPRA），它主张扩大对敏感个人信息的保护范围，为未成年人增加新的保护措施，建立新的独立执法机构。

 

新加利福尼亚州隐私权法案的条款

 

这项新的隐私权法案是由加州人为保护消费者隐私起草的，该州在2020年1月1日正式实施了《加利福尼亚消费者隐私法案》（CCPA）。立法活动先锋Alastair Mactaggart在接受美国有线电视新闻网CNN（Cable News Network的缩写）采访时表示，新法案的提出是因企业在2019年《加利福尼亚消费者隐私法案》（CCPA）通过之初发动的重大攻击。《加利福尼亚隐私权法案》（CPRA）的一项关键规定是，今后对该法的任何修正都必须是"促进隐私权法的目的和意图"

 

与《加利福尼亚消费者隐私法案》（CCPA）一样，该法案之所以成为可能，是因为加州的投票创议规则允许任何征集到足够签名的提案进行投票——在这个案例中，拟议的《加利福尼亚隐私权法案》（CPRA）收集了90万个签名。它将在2020年11月的投票中提交加州选民。

 

如果该法案通过，将会在几个关键领域扩大对消费者的保护。将大大扩展“敏感个人信息”的定义，将授予消费者更正个人信息的权利，在处理16岁以下数据主体的事务中将提高同意要求，数据违约责任条款也将有所调整。此外，将设立一个新的执行机构来执行《加利福尼亚消费者隐私法案》（CCPA）和《加利福尼亚隐私权法案》（CPRA）的条款。

 

扩大敏感个人信息的范围

 

关于《加利福尼亚消费者隐私法案》（CCPA）的一个普遍抱怨是，与《欧盟通用数据保护条例》（GDPR）不同，它没有需要特别保护的特殊类型的敏感个人信息，例如，没有那些对于身份盗窃或实施保密计划至关重要的条例。

 

《加利福尼亚隐私权法案》（CPRA）不仅会创建此类数据保护规范，而且还会在其中加入对会被滥用的个人身份信息的保护，如：社会安全号码，金融帐户信息，驾照号码和护照号码，地理位置数据，所有各种个人人口统计信息和生物统计信息，对这些信息的保护将超出当前的《健康保险携带和责任法案》 Health Insurance Portability and Accountability Act (HIPAA) 要求的范围。

 

消费者还将在使用此类信息方面享有新的权利。其中包括企业保留的物理位置数据的可见性和控制权，以及在企业被授权拥有这些数据的情况下消费者对健康和财务信息的额外访问权。消费者还可以在他们周围创建一个约250英亩的地理位置“屏障”，这样他们就不能被跟踪。这允许广告商看到他们所处的一般区域，但不能看到他们进入的具体业务和地点。

 

更正权

 

关于《加利福尼亚消费者隐私法案》（CCPA）的另一个普遍抱怨是，它没有为消费者提供纠正存储数据的权力。他们可以要求删除个人数据，也可以选择不出售个人数据，但无法访问和更正它。如果存储的信息不正确，新的隐私权法案将允许更正请求。

 

增加了对未成年人的保护

 

根据《加利福尼亚隐私权法案》（CPRA），16岁以下的加利福尼亚州居民将享受更多的数据保护权——要求企业在分享或出售来自这个年龄段的任何平台用户的数据时，必须获得明确的选择同意。

 

目前未获得自愿加入同意许可的罚款也将增加两倍。年龄在13至16岁之间的儿童可以自行同意被收集数据，13岁以下的消费者必须征得父母同意，这类用户也属于《儿童在线隐私保护法》 Children’s Online Privacy Protection Act (COPPA)的保护范围。《加利福尼亚消费者隐私法案》（CCPA）实际上从一个方面加强了《儿童在线隐私保护法》 (COPPA)的执行，它特别要求网站和应用在收集数据之前询问用户的年龄；因为只要不询问用户年龄，网站即可在联邦一级规避《儿童在线隐私保护法》 (COPPA)。

 

新的执法机构

 

目前，违反《加利福尼亚消费者隐私法案》（CCPA）的行为由加州司法部长办公室监管。《加利福尼亚隐私权法案》（CPRA）将成立一个新的执法机构——加州隐私保护署(California Privacy Protection Agency)来接管这项职责。

 

新机构将由该州的普通基金提供1000万美元的资金，并将把隐私执法人员的数量与联邦贸易委员会为类似职能设置的人数（目前约40名）挂钩。

 

《加利福尼亚消费者隐私法案》（CCPA）只是在今年年初才生效。如果新的《加利福尼亚隐私权法案》（CPRA）获得通过，它将在2023年初成为州法律，其大部分条款将在当年7月生效。不过，这些条款将适用于从2022年初开始收集的个人信息。

 

*本文出自SCA安全通信联盟，转载请注明出处。（SCA安全通信联盟原创文章对外开白，欢迎加微信MrYe9173751开白）