CCPA для B2B: льготы для данных сотрудников и поставщиков — миф или реальность?

Кому нужен CCPA, если вы работаете B2B?

Если вы думаете, что Калифорнийский закон о конфиденциальности (CCPA) касается только компаний, продающих товары напрямую потребителям, — вы ошибаетесь. С 2023 года, после вступления в силу поправок CPRA, исключения для данных сотрудников и деловых контактов (B2B) постепенно отменяются. Это значит, что даже если вы поставляете услуги другим компаниям, ваши процессы обработки персональных данных могут подпадать под регулирование.

Featured Snippet Bait: Да, исключения для B2B-данных в CCPA/CPRA больше не действуют. С 1 января 2023 года данные сотрудников, соискателей и деловых контактов (включая представителей поставщиков) защищены наравне с потребительскими данными.

Что было раньше: B2B-исключение

Изначально CCPA (2018) освобождал от большинства требований данные, собранные в контексте B2B-отношений: контактные данные сотрудников партнёров, представителей поставщиков и т.д. Это было логично: закон создавался для защиты потребителей, а не корпоративных переговорщиков. Но CPRA (поправки 2020 года) решил, что «личные данные — они и в Африке личные».

Представьте: вы читаете договор с поставщиком, а его условия по защите данных занимают 15 страниц мелким шрифтом. Примерно так же увлекательно, как чистить межплиточные швы зубной щёткой. Но теперь это необходимо.

Когда исключение перестало работать

С 1 января 2023 года B2B-исключение полностью отменено. Теперь данные сотрудников, соискателей и деловых контактов (включая представителей поставщиков) подпадают под все требования CCPA/CPRA: право на доступ, удаление, отказ от продажи данных и т.д. Исключение сохранилось только для данных, собранных в ходе коммуникаций между компаниями (например, переписка по электронной почте), но не для самих контактных данных.

Что это значит для вашего бизнеса

Если вы обрабатываете данные сотрудников партнёров или контакты поставщиков, вы обязаны:

• Уведомлять их о сборе данных (политика конфиденциальности).
• Предоставлять возможность запросить удаление или доступ к данным.
• Не продавать их данные без согласия (если вы передаёте данные третьим лицам за вознаграждение).

Да, это больно. Но штрафы за несоблюдение — до $7,500 за каждое нарушение — ещё больнее.

Как подготовиться: чек-лист

1. Проверьте, какие данные вы собираете о сотрудниках партнёров и представителях поставщиков. 2. Обновите политику конфиденциальности, включив в неё раздел о B2B-данных. 3. Настройте процессы обработки запросов на доступ/удаление. 4. Обучите сотрудников, работающих с контрагентами.

Подробнее о требованиях CCPA/CPRA читайте на официальном сайте Генерального прокурора Калифорнии.

FAQ