לראשונה: חברה קליפורנית נקנסת בגין הפרה של חוקי הפרטיות של קליפורניה

חברת ספורה, ענקית הקוסמטיקה מבית LVMH, נקנסה ב- 1.2 מיליון דולר על אי עמידה ברגולציות פרטיות של קליפורניה (CCPA). הקנס ניתן לאחר שהחברה קיבלה אזהרה מהתובע הכללי וזמן היערכות.

משרד התובע הכללי של קליפורניה יצא במהלך חקירה וביקורת שכלל למעלה ממאה חברות, ובחן את האופן שבו הן עומדות בכללי ה-CCPA. התובע הכללי, רוב בונטה, מסר כי בעוד שאר החברות שנבדקו שינו את מדיניות הפרטיות שלהן, ספורה לא נקטה בשום פעולה כדי להגן על פרטיות לקוחותיה ולעמוד בחובות המוטלת עליה לעניין זה.

על פי הודעת משרד התובע הכללי, ספורה מסרה לגורמי צד שלישי מידע על לקוחות האונליין שלה. המידע כלל מיקום, היסטורית קניות ומידע לגבי המכשיר דרכו נעשתה הרכישה, זאת מבלי ליידע את הקונים ומבלי לאפשר להם לחסום מכירת מידע שכזה (Opt-Out).

חטיבה אחרת של תאגיד LVNH נמצא כרגע בחקירה נוספת על הפרת מדיניות פרטיות, בדרך של איסוף מידע ביומטרי דרך אפליקציית מדידה וירטואלית של מוצרים. הקנס הגבוה הוא תוצאה של פשרה בין התובע הכללי ל-LVNH.

המסר של התובע הכללי הוא שהגיעה העת שחברות יגנו על המידע של הצרכנים ויכבדו את זכותם לפרטיות.

במסגרת הפשרה, חויבה ספורה בצעדים הבאים:

• להבהיר את מדיניות הפרטיות של החברה ולהודיע באופן ברור על כל ממשק שבו מידע על הלקוחות נמסר או נמכר לצד שלישי.
• לספק מנגנוני Opt-Out כדי לאפשר לצרכנים לבטל הסכמה להעברה של מידע לצדדים שלישיים.
• להתאים את ההסכמים עם הצדדים השלישיים לדרישות ה-CCPA.
• להעביר למשרד התובע הכללי דיווחים שוטפים לגבי המהלכים בהם נוקטת החברה כדי לכבד את דרישות החוק.

הסכם זה מחדד את החובות החלות על חברות (גם ישראליות) להן ממשק עם לקוחות בקליפורניה כדי לעמוד ב-CCPA, ובין היתר:

• כל שיתוף מידע עם צד שלישי, גם אם הצד השלישי מעניק כנגד זה שירותים, הדבר מהווה "מכירה" ולכן מחייב גילוי ברור במדיניות הפרטיות.
• כלל ההודעות הנוגעות לפרטיות ולזכויות הצרכנים ינוסחו ויוצגו בצורה ברורה ובהירה.
• יש להציג הודעה המבהירה האם שימוש בממשק עשוי להוביל למכירת מידע אישי לצדדים שלישיים.
• יש לציין איזה מידע אישי נאסף או נמסר ב-12 החודשים האחרונים במסגרת מדיניות הפרטיות.
• אין להתנות בתנאים או להקשות על מימוש זכויות, למעט לעניין ווידוא זהות מבקש הזכויות.
• כאשר לקוח בוחר באופצית Opt-Out, אין להעביר אותו לאתר של גורם צד שלישי שמנהל העדפות פרסום.
• יש לוודא שהממשק תומך בניהול העדפת פרטיות גלובליות דוגמת GPC ואין להכריח את הלקוח לבצע Opt-Out באתר עצמו.

***

מחלקת רגולציה במשרד ברנע תשמח לעמוד לשירותכם בכל שאלה הנובעת מכללי ה-CCPA, ובשאלות פרטיות מקומיות וגלובליות אחרות.