אנו מזכירים ללקוחותינו כי בחודש הבא, ב-1 בינואר 2023, ייכנס לתוקפו החוק החדש להגנת פרטיות הצרכן במדינת קליפורניה – The California Privacy Rights Act (CPRA), אשר עתיד לתקן את החוק הקיים כיום – The California Consumer Privacy Act (CCPA) ולהוסיף עליו.

ה-CPRA, שיחול במקביל ל-CCPA, חל על גופים שעושים עסקים במדינת קליפורניה, ואשר אוספים מידע אישי הנוגע לצרכנים תושבי קליפורניה. עם זאת, תחולתם אינה זהה. כך, למשל, בעוד שאחד מתנאי התחולה של ה-CCPA הוא קיומו של רף הכנסות ממכירת מידע אישי, על פי ה-CPRA, גם הכנסות משיתוף מידע בלבד, הגם שאינו קשור למכירה (לדוגמא, שימוש בקוקיות (Cookies)), יכול לגרום להחלת הוראות החוק. בנוסף, ה-CPRA עלול לחול גם על מידע של עובדים. לכן, גם אם קבעתם שה-CCPA לא חל על פעילותכם, לא מן הנמנע כי ה-CPRA כן יחול.

ה-CPRA מרחיב וקובע חובות נוספות על גופים הפועלים במסגרת החוק, אשר אינן קיימות במסגרת ה-CCPA:

• חובת יידוע נושאי מידע (לרבות חובה של צד שלישי שעושה שימוש במידע ליידע את נושאי המידע);
• החלת עקרונות של נחיצות (necessity) ומידתיות (proportionality) בעת עיבוד מידע על ידי העסק;
• חובה לכלול הוראות מסוימות בהסכמים עם צדדים שלישיים להם יש גישה למידע (בין אם ספקי מיקור חוץ או צדדים שלישיים אחרים);
• חובה להטמיע אמצעי אבטחת מידע.

עוד מבקש ה-CPRA להרחיב את זכויותיהם של נושאי המידע, לרבות הרחבת זכות התביעה האזרחית בעקבות אירועי אבטחה.

כמו כן, הוקמה רשות הגנת מידע חדשה לקליפורניה – The California Privacy Protection Act (CPPA), לה הוענקו סמכויות רחבות, לרבות סמכויות אכיפה מנהלית (זאת, במקביל לפעילות התובע הכללי הפועל מכוח ה-CCPA) וסמכות להתקנת תקנות (שמטרתן להרחיב ולפרש את החוק).

צוות פרטיות בינלאומית של משרדנו ישמח לעמוד לרשותכם ולסייע לכם בבחינת תחולת ה-CPRA על פעילותכם; בחינת המשמעויות הנלוות לכך; ומעבר לתאימות לחוק החדש, ככל שיידרש.

אייל שגיא, אור רוטר הפילוני וצוות פרטיות בינלאומית במחלקת משפט וטכנולוגיה

האמור במסמך זה הוא מידע כללי בלבד ואינו מהווה חוות דעת משפטית או ייעוץ משפטי ואין לעשות בו כל שימוש אחר.