December var en milstolpemånad för Kaliforniens dataintegritetsvakthund då den flyttade en uppsättning föreslagna lagändringar till den offentliga kommentarsfasen. Revideringarna cementerar en del av det tänkande som har gjort Kalifornien till en av pionjärerna inom regional integritetslagstiftning de senaste åren. Och de ger viss välbehövlig tydlighet för företag som är verksamma i staten.

En kort historik över kaliforniska integritetsbestämmelser

Historien om dessa ändringar börjar i november 2020 med väljarnas godkännande av Proposition 24, ett folkomröstningsinitiativ som resulterade i California Privacy Rights Act (CPRA). Denna lag ändrade California Consumer Privacy Act (CCPA) från 2018.

CCPA hade infört konsumentskydd – inklusive rätten att veta vilken personlig information ett företag samlar in om dem och begära att den raderas, och rätten att välja bort försäljning av deras information. CPRA lade till fler skydd, inklusive rätten att begränsa användningen av personlig information och att korrigera felaktiga register. Den utökade också CCPA:s "sälj inte"-mandat om konsumentdata till att omfatta datadelning. Slutligen skapade Prop 24 California Privacy Protection Agency (CPPA).

Detta var en separat myndighet med tillsyn över att administrera och upprätthålla CCPA; ett arbete som tidigare enbart sköttes av justitieministerns kontor.

I juli 2022 började CCPA skapa regler för att anta dessa CPRA-föreskrifter, och harmonisera CCPA och CPRA. Den införde de reviderade bestämmelserna i november. De godkändes den 29 mars av Office of Administrative Law, men överklagades omedelbart av Handelskammaren i domstol. Den hävdade att de slutgiltiga bestämmelserna skulle ha antagits senast den 1 juli 2022, med verkställighet tidigast ett år efter denna punkt, och bad domstolen att uppehålla bestämmelserna till ett år efter det att de hade godkänts (29 mars 2024).

CCPA har inte suttit apropå att förbudet ska löpa ut. Den 1 december presenterade de några nya förslag till ändringar av CCPA:s föreskrifter. Det är dessa förslag som diskuterades vid ett styrelsemöte den 8 december (punkt tre på dagordningen) och sedan gick vidare till nästa steg när den går in i den officiella regelgivningsprocessen.

Packar upp de senaste föreslagna versionerna

De senaste föreslagna ändringarna är för det mesta okontroversiella, förklarar Cobun Zweifel-Keegan, DC-chef för International Association of Privacy Professionals (IAPP).

"De flesta av dessa är inte kreativa avgångar från byrån", säger han till ISMS.online. "Jag tror att de mest är avsedda att förtydliga och uppdatera standarder för att göra saker i linje med de ändringar som lagstiftaren gjorde."

Förtydligande regler förväntades hjälpa till med upprätthållandet av både CCPA och CPRA, fortsätter han.

"Den nya lagen ger CPPA mycket uttryckligen befogenhet att förtydliga vissa standarder som inte specifikt anges i själva lagen," tillägger Zweifel-Keegan.

Odia Kagan, partner på advokatbyrån Fox Rothschild LLP, kallar de föreslagna ändringarna för "nya, nya regler." De klargör punkter som det inte fanns en gemensam konsensus om och fokuserar på nyanser inom områden som konsumenternas samtycke.

"Det finns nya exempel på vad som inte utgör samtycke", säger hon till ISMS.online.

Revideringarna säger till exempel uttryckligen att det inte indikerar samtycke om du stänger ett popup-fönster som ber om tillåtelse att samla in och använda data istället för att uttryckligen klicka på en "ja". Den varnar också för vilseledande tekniker som att sätta nedräkningstimer bredvid samtyckesval för panikanvändare.

Klart tal, snälla

Anmärkningsvärt är också fokus på tydligt språk. De föreslagna ändringarna kräver klarspråk som varnar företag att beskriva kategorierna av källor från vilka data samlas in, tillsammans med tredje parter som de kan delas med. Som CCPA specificerar i sin förklaring av de föreslagna ändringarna, behöver konsumenterna en "meningsfull förståelse" för var företag får sina personuppgifter.

Sådana justeringar kommer att bidra till att göra CCPA mer konsumentvänlig, förklarar Kagan.

"Om du säger 'vi samlar in dina skyddade klassificeringar' förstår ingen vad det är", säger hon.

Försvara rätten att radera

Kanske en av de mest meningsfulla föreslagna ändringarna påverkar rätten att radera information. Den kräver att både företag och deras tjänsteleverantörer och entreprenörer säkerställer att information förblir raderad.

"Det är intressant, eftersom de saker som du får från datamäklare är under förstoringsglaset nu - särskilt eftersom FTC precis har utfärdat två beslut som rör datamäklare och informationen du får från dem", säger Kagan.

Dessa beslut, båda utfärdade i januari efter CPPA:s föreslagna regeländringar, avsåg exakt platsdata som såldes av X-Mode Social och InMarket Media.

Hålla jämna steg med teknisk innovation

Det finns gott om andra förtydligande ändringar i CPPA:s förslag, av vilka några verkar konstigt specifika. Till exempel varnar man för att företag som samlar in data i förstärkt eller virtuell verklighet (AR/VR) måste varna konsumenten innan de går in i AR/VR-miljön. Detta återinfördes efter att ha utelämnats tidigare för att förenkla implementeringen. Detta är dock inte förvånande, eftersom byråns roll delvis är att skapa regleringar som håller integritetslagar relevanta i ett snabbt utvecklande tekniskt landskap som innehåller sådana innovationer.

Detta behov av att hålla jämna steg med den tekniska utvecklingen gäller särskilt för en annan pågående regelgivningsprocess fokuserad på automatiserat beslutsfattande, som kommer att se en separat uppsättning regler från CPPA.

"Det behövs mer förtydligande i sådana situationer som teknik för automatiserad beslutsfattande", säger Zweifel-Keegan. "Det är egentligen bara en liten regel i stadgan men kan bli hela denna flersidiga uppsättning regler som hjälper till att förklara vilka krav som finns."

CPPA arbetar också med ytterligare två uppsättningar regler inom riskbedömning och cybersäkerhet. När det driver decembers "nya" bestämmelser från spetsstadiet till officiellt regelskapande territorium. Det har fortfarande mycket att göra – och de som gör affärer i Kalifornien måste hålla ett öga på vad det gör.

Vad kan företag göra när de spårar dessa pågående förändringar? I tider av osäkerhet, se till väletablerade bästa praxis som kommer att få dig nära – eller hela vägen – dit du behöver vara när regelprocessen är över.

Standarder som ISO 27001 för säkerhetshantering och dess utvidgning ISO 27701 (som lägger grunden för effektiva system för hantering av integritetsinformation) är en solid grund för efterlevnad. De kommer att förbereda företag för att möta nya standarder för hantering och skydd av konsumentdata när de uppstår.