Det finns en klausul i California Consumer Protection Act (CCPA) om dataminimering som Rolling Stones kunde ha skrivit. Det står att man som företag inte alltid kan få den data man vill ha, men man får det man behöver. Dataminimering innebär att bara samla in tillräckligt med data för det nödvändiga syftet, och inte mer. Som ett extremt exempel, om du vill skicka ett elektroniskt nyhetsbrev till någon, skulle du få be om deras e-postadress men inte om en skannad kopia av deras körkort.

Sex år efter att ha beordrat dataminimering i lagen har Kaliforniens Privacy Protection Agency (CPPA) utfärdat en verkställighetsrådgivning förklarar hur allvarligt den tar denna fråga.

CCPA tillåter konsumenter att be organisationer om tillgång till uppgifterna om dem och att korrigera eller radera dem vid behov. Den 2 april rådgivande rapporterar att många organisationer har bett om för mycket information när de uppfyller dessa förfrågningar. Budskapet är tydligt: ​​klipp ut det.

Gör som européerna gör

CPPA:s tillvägagångssätt här speglar nära Europas, enligt Odia Kagan, partner och ordförande för GDPR Compliance & International Privacy Practice på Fox Rothschild LLP.

"Regeln om att inte använda informationen som du får i samband med förfrågningar för några andra ändamål och bara samla in det du behöver är exakt densamma i Europa", säger hon till ISMS.online. "Vi har vägledning från Europeiska dataskyddsmyndigheten om detta."

Så varför tillämpar inte företag helt enkelt dataminimering som efterfrågas när de behandlar förfrågningar? Det är inte en enkel no-brainer, påpekar Kagan; det är en balans mellan bekvämlighet och säkerhet. Det är särskilt viktigt vid behandling av förfrågningar om att få tillgång till och radera information.

"Radera och komma åt är viktigare eftersom du ger information som kan vara riskabel för personen om den äventyras", säger hon.

Geolokaliseringsdata är ett bra exempel. Om någon utger sig för att vara den legitima ägaren av geolokaliseringsdata och begär åtkomst kan de få reda på känslig information. Som Kagan påpekar kan detta inkludera om de gick till en abortklinik – en särskilt känslig fråga i USA idag.

Raderingsförfrågningar är också riskabla. "Tänk om någon ber om att ta bort familjefoton?" tillägger hon. Drive-by-fotoraderingar kanske inte är livshotande, men de är fortfarande mycket upprörande – och potentiellt juridiskt skadliga för datainnehavaren.

Imitation är ett verkligt hot

Imitation när man begär dataåtkomst är ett verkligt hot, vilket visades av University of Oxford-forskaren James Pavur 2019. Med sin fästmös tillstånd, låtsade att vara henne när man lämnar in förfrågningar om dataåtkomst enligt GDPR-bestämmelserna.

Nästan en fjärdedel av de 83 företag som han kontaktade och som innehade uppgifter lämnade dem utan att verifiera hans identitet alls, medan 16 % begärde en lättförfalskad typ av ID. Han fick resultaten av kriminalregistret, tillsammans med resejournaler och skolbetyg.

Företag måste göra sin due diligence, men får inte vara för restriktiva, förklarar Kagan.

"Du vill inte göra det för svårt att utföra en begäran och du vill inte bli inblandad i data som är känslig", påpekar hon. Att samla in för mycket känslig data för att verifiera någons identitet riskerar inte bara att de utsätts för regulatoriska åtgärder; det riskerar också större ansvar om dessa verifieringsuppgifter senare bryts.

Hur man går på linjen

Så hur kan företag stå på gränsen utan att kliva över det? Verkställighetsrådgivningen ger två exempel på hur företag som tar emot förfrågningar kan följa dessa regler.

Det första exemplet är en begäran om att inte sälja personlig information. Det här är det enklaste att navigera, eftersom behandling av opt-out-ansökningar inte kräver någon identifieringsverifiering alls enligt CCPA. Den behöver bara den information som behövs för att referera till kunden, till exempel en e-postadress.

Det andra exemplet handlar om att någon ber ett företag att radera sina personuppgifter, när de inte har ett konto hos organisationen. Detta företag måste verifiera individens identitet.

De mest grundläggande frågorna anges i 11 CCR § 7002(c)–(d) och är i huvudsak dessa:

  • Är informationen vi samlar in mer än vad vi behöver?
  • Vilka är de potentiella negativa effekterna på individer av att samla in eller bearbeta informationen?
  • Finns det skyddsåtgärder (som kryptering eller radering av automatisering) som kan skydda konsumenterna?

I exemplen som ges varnar rådgivaren företag att fråga sig om de behöver samla in mer information än de redan har från konsumenten. CCPA rynkar i allmänhet på pannan när de begär mer information för verifiering om det inte är absolut nödvändigt, och uppmanar företag att ta bort den om den samlas in.

Dags att förbereda

Kagan varnar sina kunder att förbereda sig för dessa frågor genom att göra en riskanalys. Detta inkluderar att bedöma de uppgifter som organisationen har om individen, tillsammans med känsligheten hos dessa uppgifter. De kan bestämma lämplig autentiseringsnivå med tanke på förfrågans karaktär och kan bestämma om de kan använda data de redan har för att hjälpa till att autentisera en person.

Företag bör ta dataminimering på allvar, säger hon, eftersom det håller på att bli en nyckelfråga i datahanteringen. UK Information Commissioner's Office (ICO) har sin egen vägleda, liksom olika delstater i USA. Den amerikanska federala handelskommissionen har också blivit allt mer intresserad av ämnet och prioriterar dataminimering i dess fall mot alkoholleveranstjänsten Drizly, och enligt uppgift fokusera på punkten i dess kommande kommersiella övervaknings- och datasäkerhetsregel.

Olika jurisdiktioner har oftast samma krav: att data som samlas in är nödvändiga för det avsedda syftet.

"Det faktum att det är vanligt och enkelt betyder inte att det är lätt", avslutar Kagan. ”Det är inte lätt att implementera alls. Men standarden är ganska vanlig just nu.”