Forskellen på CCPA og GDPR

Forbrugerne har ret til at anmode om, at en virksomhed offentliggør:

De kategorier af personlige oplysninger, der indsamles.
De kategorier af kilder, hvorfra der indsamles personoplysninger.
Det forretningsmæssige eller kommercielle formål.
De kategorier af tredjeparter, som virksomheden deler personlige oplysninger med.
De specifikke personlige oplysninger, som virksomheden har om en forbruger.
Hvis en virksomhed sælger personlige oplysninger eller videregiver dem til forretningsformål, har forbrugerne ret til at anmode om at få oplyst, hvilke kategorier af oplysninger der sælges eller videregives på denne måde.

Dette gælder for GDPR:
De registrerede har ret til at få en bekræftelse fra den dataansvarlige på, om personoplysninger behandles eller ej, og til at få adgang til personoplysningerne. Når den dataansvarlige besvarer en anmodning om dataadgang, skal han angive følgende:

Formålet med behandlingen
De berørte kategorier af personoplysninger.
De modtagere eller kategorier af modtagere, som personoplysningerne er blevet videregivet til.
Opbevaringsperioden eller, hvis det ikke er muligt, de kriterier, der anvendes til at fastsætte denne periode.
Eksistensen af registreredes rettigheder.
Kilden til personoplysningerne, hvis personoplysningerne ikke indsamles fra den registrerede, og alle tilgængelige oplysninger.
Retten til at indgive en klage til tilsynsmyndigheden.
Eksistensen af dataoverførsler.
Forekomsten af automatiseret beslutningstagning.

Anmodninger om at få en kopi af personlige oplysninger kan afvises, hvis imødekommelse af anmodningen vil påvirke andres rettigheder og frihedsrettigheder negativt.

Forbrugerne har ret til at anmode om sletning af deres personlige oplysninger, som virksomheden har indsamlet. Virksomheden bør svare hurtigt og informere forbrugeren om, hvorvidt deres anmodning er blevet opfyldt.

Dette gælder for GDPR:
Retten til sletning af personoplysninger gælder i følgende tilfælde: GDPR: Retten til sletning af personoplysninger gælder i følgende tilfælde:

Personoplysningerne er ikke længere nødvendige til de formål, hvortil de blev indsamlet.
Den registrerede trækker sit samtykke tilbage.
Den registrerede gør indsigelse mod databehandling på grundlag af legitim interesse.
Den registrerede gør indsigelse mod, at oplysninger behandles til direkte markedsføringsformål.
Personoplysninger behandles ulovligt.
Personoplysninger skal slettes for at overholde en retlig forpligtelse.
Et barn ønsker at slette data i forbindelse med levering af informationssamfundstjenester til et barn.

CCPA vs. GDPR: GDPR’s ret til sletning gælder kun, hvis anmodningen opfylder en af seks specifikke betingelser, mens CCPA’s ret til sletning er bred og ubegrænset (selv om den kan anfægtes af virksomheder).

Som svar på forbrugernes anmodninger skal en virksomhed give personlige oplysninger sikkert i et let anvendeligt format, der gør det let for forbrugeren at overføre oplysningerne fra en enhed til en anden enhed uden hindringer.

Dette gælder for GDPR:
Den dataansvarlige bør sende de ønskede data i et struktureret, almindeligt anvendt og maskinlæsbart format og fremsende dataene til en anden dataansvarlig uden hindringer, når det er teknisk muligt at gøre det, når der anmodes herom. GDPR begrænser udøvelsen af retten til dataportabilitet, hvis det har en negativ indvirkning på andres rettigheder og frihedsrettigheder.

CCPA vs. GDPR:
GDPR giver forbrugerne en yderligere specifik ret til at anmode om, at virksomheder overfører deres data direkte til en anden dataansvarlig.

I CCPA er der ingen.

Dette gælder for GDPR:
GDPR giver registrerede personer ret til ikke at blive underlagt en afgørelse, der udelukkende er baseret på automatiseret behandling, herunder profilering, og som har retsvirkninger eller på lignende måde påvirker dem væsentligt. Forbuddet mod automatiseret beslutningstagning gælder ikke, hvis behandlingen er tilladt ved lov, er nødvendig for at forberede og gennemføre en kontrakt eller sker med den registreredes udtrykkelige samtykke. I sådanne situationer kræver GDPR, at de dataansvarlige gennemfører passende foranstaltninger til at beskytte den registreredes rettigheder, frihedsrettigheder og legitime interesser; som minimum retten til at få menneskelig indgriben fra den dataansvarliges side, til at give udtryk for sit synspunkt og til at anfægte beslutningen.

I CCPA er der ingen.

Dette gælder for GDPR:
De registrerede har ret til at anmode om berigtigelse af urigtige personoplysninger og til at få ufuldstændige personoplysninger suppleret. Denne rettighed er tæt forbundet med princippet om nøjagtighed i GDPR, som kræver, at de registeransvarlige skal holde personoplysninger korrekte.

I CCPA er der ingen, men forbrugeren har dog ret til at fravælge salg af deres data.

Dette gælder for GDPR:
GDPR giver registrerede personer ret til at gøre indsigelse og tilbagekalde deres samtykke til behandling af personoplysninger. De registrerede har ret til at gøre indsigelse mod behandlingen af deres personoplysninger, hvis behandlingen er baseret på legitime interesser, offentlige interesser eller den registreredes samtykke. Som følge af en gyldig indsigelse må den registeransvarlige ikke længere behandle den registreredes personoplysninger, medmindre den registeransvarlige kan påvise tvingende, legitime grunde til behandlingen. Disse grunde skal være tilstrækkeligt tvingende til at tilsidesætte den registreredes interesser, rettigheder og frihedsrettigheder. De registrerede har også ret til at gøre indsigelse mod, at deres oplysninger behandles til direkte markedsføringsformål.

Forbrugerne har ret til når som helst at bede virksomheder, der sælger personlige oplysninger om forbrugeren til tredjeparter, om at stoppe dette salg. Virksomhederne skal vente mindst 12 måneder, før de beder forbrugerne om at vælge at give tilladelse til at sælge deres data igen.

Dette gælder for GDPR:
Ingen, men retten til at gøre indsigelse kan bruges på samme måde.

CCPA stiller ikke direkte krav om datasikkerhed. Der indføres en ret til at anlægge sag mod visse databrud, der skyldes overtrædelse af en virksomheds pligt til at indføre og opretholde rimelige sikkerhedsmetoder og -procedurer, der er tilpasset risikoen i henhold til gældende californisk lovgivning.

Dette gælder for GDPR:
kræver, at organisationer skal vedtage passende tekniske og organisatoriske foranstaltninger for at sikre sikkerheden i forbindelse med behandling af personoplysninger. Disse foranstaltninger kan omfatte følgende:

Kryptering og pseudonymisering af personoplysninger
Sikring af integritet, fortrolighed og tilgængelighed af behandlingssystemet
Hurtig genoprettelse af tilgængeligheden af og adgangen til personoplysninger
Vurdering og evaluering af effektiviteten af tekniske og organisatoriske foranstaltninger.

I henhold til GDPR skal organisationer underrette tilsynsmyndighederne om ethvert brud på persondatasikkerheden, der sandsynligvis vil medføre en risiko for fysiske personers rettigheder og frihedsrettigheder, uden unødig forsinkelse og senest 72 timer efter at de har fået kendskab til bruddet. Oplysningerne kan også gives i flere omgange, og enhver forsinkelse skal begrundes. Organisationer skal også uden unødig forsinkelse underrette berørte registrerede personer om et brud på persondatasikkerheden, som sandsynligvis vil medføre en høj risiko for fysiske personers rettigheder og frihedsrettigheder.

CCPA vs. GDPR:
CCPA kræver ikke udtrykkeligt kryptering, det gør GDPR. Kryptering reducerer dog en virksomheds ansvar i forbindelse med brud på databeskyttelseslove i henhold til begge love. Hvis en virksomhed rammes af et brud, men dataene var krypterede, kan virksomhedens ansvar helt eller delvist reduceres.

Hos CCPA er det Ikke påkrævet.

Dette gælder for GDPR:
Organisationer skal udpege en databeskyttelsesrådgiver, hvis databehandlingsaktiviteterne udføres af en offentlig myndighed (undtagen domstole i deres egenskab af retsinstanser), hvis organisationens kerneaktiviteter består af regelmæssig og systematisk overvågning i stor skala, eller hvis organisationens kerneaktiviteter består af følsomme personoplysninger eller personoplysninger vedrørende straffedomme og lovovertrædelser. Organisationer skal offentliggøre kontaktoplysningerne for den databeskyttelsesansvarlige og videregive dem til tilsynsmyndigheden.

CCPA vs. GDPR:
CCPA kræver ikke en virksomheds DPO, som GDPR gør. Hvis I vælger ikke at udnævne en databeskyttelsesansvarlig, bør I have en plan for databeskyttelse og overholdelse, som omfatter software til dataadministration/overholdelse, der kan hjælpe dig med at udføre de opgaver, der normalt tildeles en databeskyttelsesansvarlig.

En virksomhed skal opbevare optegnelser over forbrugernes anmodninger i henhold til CCPA, og hvordan den har reageret på anmodningerne i mindst 24 måneder. Virksomheden skal indføre og opretholde rimelige sikkerhedsprocedurer og -praksis ved opbevaring af disse optegnelser. (c) Optegnelserne kan opbevares i form af en billet eller logbog, forudsat at billetten eller logbogen indeholder datoen for anmodningen, anmodningens art, den måde, hvorpå anmodningen blev fremsat, datoen for virksomhedens svar, arten af svaret og grundlaget for afslaget på anmodningen, hvis anmodningen afvises helt eller delvist.

Dette gælder for GDPR:
Dataansvarlige er forpligtet til at føre en fortegnelse over behandlingsaktiviteter. Denne forpligtelse gælder ikke for organisationer med færre end 250 personer, medmindre behandlingen sandsynligvis vil medføre en risiko for de registreredes rettigheder og frihedsrettigheder, behandlingen ikke er lejlighedsvis, eller behandlingen omfatter særlige kategorier af oplysninger eller personoplysninger vedrørende straffedomme og lovovertrædelser. Med henblik på at påvise overholdelse af reglerne skal de registeransvarlige også dokumentere brud på persondatasikkerheden og erklæringer om samtykke, når databehandlingen er baseret på de registreredes samtykke.

Bemærk:
Begge forordninger kræver omfattende dokumentation.

I Safe Online laver vi løsninger, der hjælper virksomheder med at håndtere persondata og overholde forordninger som GDPR og CCPA.