California Consumer Privacy Act (CCPA), sebagaimana diubah oleh California Privacy Rights Act (CPRA), merupakan undang-undang privasi tingkat negara bagian paling komprehensif di Amerika Serikat. Meskipun bukan regulasi khusus email seperti CAN-SPAM, CCPA secara signifikan memengaruhi cara bisnis mengumpulkan, menggunakan, dan membagikan alamat email serta data pelanggan. Panduan ini menjelaskan bagaimana undang-undang privasi California memengaruhi email marketing dan menyediakan strategi kepatuhan praktis.
Memahami CCPA dan CPRA
Sebelum membahas implikasi email marketing, mari pahami apa undang-undang ini dan kepada siapa mereka berlaku.
Apa Itu CCPA?
California Consumer Privacy Act, efektif 1 Januari 2020, memberikan penduduk California hak-hak baru atas informasi pribadi mereka dan memberlakukan kewajiban pada bisnis yang mengumpulkannya.
Prinsip Inti CCPA:
Transparansi: Konsumen harus mengetahui data apa yang dikumpulkan dan mengapa
Kontrol: Konsumen dapat mengakses, menghapus, dan menolak penjualan data
Non-Diskriminasi: Bisnis tidak boleh menghukum konsumen karena menggunakan hak mereka
Akuntabilitas: Bisnis harus menerapkan langkah-langkah keamanan yang wajar
Apa Itu CPRA?
California Privacy Rights Act, efektif 1 Januari 2023, mengubah dan memperkuat CCPA:
Penambahan Utama CPRA:
Membuat California Privacy Protection Agency (CPPA) untuk penegakan
Menambahkan kategori "informasi pribadi sensitif" dengan perlindungan ekstra
Memperkenalkan "hak untuk memperbaiki" informasi yang tidak akurat
Menetapkan "hak untuk membatasi penggunaan" data sensitif
Memperluas persyaratan minimalisasi data
Membuat kewajiban baru untuk kontraktor dan penyedia layanan
Siapa yang Harus Mematuhi?
CCPA/CPRA Berlaku untuk Bisnis yang:
Berbisnis di California, DAN
Memenuhi SALAH SATU dari ambang batas ini:
Pendapatan kotor tahunan lebih dari $25 juta
Membeli, menjual, atau membagikan informasi pribadi dari 100.000+ penduduk/rumah tangga California setiap tahun
Memperoleh 50%+ pendapatan tahunan dari penjualan/pembagian informasi pribadi
Klarifikasi Penting:
Anda tidak perlu kehadiran fisik di California
"Berbisnis di California" termasuk memiliki pelanggan California
Ambang batas dievaluasi setiap tahun
Bisnis kecil mungkin masih tercakup jika mereka menangani data pribadi yang signifikan
Mulai verifikasi email dengan BillionVerify hari ini. Dapatkan 100 kredit gratis saat mendaftar - tanpa memerlukan kartu kredit. Bergabunglah dengan ribuan bisnis yang meningkatkan ROI pemasaran email mereka dengan verifikasi email yang akurat.
Tanpa memerlukan kartu kredit · 100+ kredit gratis per hari · Mulai dalam 30 detik
99.9%
Akurasi
Real-time
Kecepatan API
$0.00014
Per Email
100/day
Gratis Selamanya
Informasi pribadi didefinisikan secara luas sebagai informasi yang mengidentifikasi, berkaitan dengan, menggambarkan, dapat dikaitkan secara wajar dengan, atau dapat dihubungkan secara wajar ke konsumen atau rumah tangga tertentu.
Contoh yang Relevan dengan Email Marketing:
Alamat email
Nama
Alamat IP
Pengidentifikasi perangkat
Riwayat penelusuran
Riwayat pembelian
Kesimpulan yang diambil dari salah satu di atas
Informasi Pribadi Sensitif (perlindungan ekstra di bawah CPRA):
Nomor ID pemerintah
Informasi akun keuangan
Geolokasi presisi
Asal ras/etnis
Kepercayaan agama
Data genetik
Data biometrik
Informasi kesehatan
Data kehidupan/orientasi seks
Untuk sebagian besar email marketer, aturan informasi pribadi standar berlaku. Informasi pribadi sensitif biasanya tidak dikumpulkan dalam konteks email marketing.
Hak Konsumen CCPA dan Email Marketing
CCPA memberikan penduduk California hak-hak spesifik yang memengaruhi cara Anda mengelola data pelanggan email.
Hak untuk Mengetahui (Akses)
Artinya: Konsumen dapat meminta pengungkapan tentang:
Kategori informasi pribadi yang dikumpulkan
Bagian spesifik informasi pribadi yang dikumpulkan
Sumber informasi
Tujuan bisnis untuk pengumpulan
Kategori pihak ketiga yang informasinya dibagikan
Implikasi Email Marketing:
Bersiaplah untuk memberikan semua data yang Anda miliki tentang pelanggan
Termasuk alamat email, nama, data keterlibatan, riwayat pembelian
Dokumentasikan sumber dan tujuan pengumpulan data Anda
Lacak pembagian pihak ketiga (ESP, analitik, pengiklan)
Persyaratan Respons Permintaan:
Verifikasi identitas konsumen sebelum merespons
Merespons dalam 45 hari (dapat diperpanjang hingga 90 hari dengan pemberitahuan)
Berikan informasi secara gratis
Kirimkan dalam format portabel dan mudah digunakan
Hak untuk Menghapus
Artinya: Konsumen dapat meminta penghapusan informasi pribadi mereka, dengan pengecualian tertentu.
Implikasi Email Marketing:
Harus menghapus alamat email dan data terkait atas permintaan
Hapus dari daftar marketing, CRM, platform analitik
Arahkan penyedia layanan untuk menghapus juga
Dapat menyimpan entri daftar supresi untuk mencegah penambahan ulang
Pengecualian untuk Penghapusan:
Menyelesaikan transaksi yang datanya dikumpulkan
Mendeteksi insiden keamanan
Menjalankan hak kebebasan berbicara
Mematuhi kewajiban hukum
Penggunaan internal yang sejalan dengan harapan konsumen
Pendekatan Praktis: Perlakukan permintaan penghapusan mirip dengan permintaan berhenti berlangganan, tetapi lebih komprehensif—hapus semua data, bukan hanya berhenti mengirim email.
Hak untuk Memperbaiki (CPRA)
Artinya: Konsumen dapat meminta koreksi informasi pribadi yang tidak akurat.
Implikasi Email Marketing:
Sediakan mekanisme untuk memperbarui informasi profil
Proses permintaan koreksi dalam 45 hari
Perbarui di semua sistem tempat data disimpan
Beri tahu penyedia layanan untuk memperbaiki juga
Hak untuk Menolak Penjualan/Pembagian
Artinya: Konsumen dapat mengarahkan bisnis untuk tidak menjual atau membagikan informasi pribadi mereka.
"Penjualan" di Bawah CCPA: Didefinisikan secara luas—termasuk pertukaran data untuk pertimbangan moneter atau berharga lainnya.
"Pembagian" di Bawah CPRA: Termasuk mengungkapkan data untuk iklan perilaku lintas konteks, bahkan tanpa pembayaran.
Implikasi Email Marketing:
Jika Anda membagikan data pelanggan dengan platform iklan untuk penargetan, itu mungkin merupakan "pembagian"
Penargetan ulang berdasarkan daftar email mungkin memicu hak untuk menolak
Pengayaan data melalui pihak ketiga mungkin melibatkan "penjualan"
Link "Do Not Sell or Share My Personal Information": Diperlukan di situs web Anda jika Anda menjual atau membagikan data. Harus:
Jelas dan mencolok
Mudah ditemukan (biasanya di footer)
Berfungsi tanpa pembuatan akun
Hak untuk Membatasi Penggunaan Informasi Pribadi Sensitif
Artinya: Konsumen dapat membatasi penggunaan informasi pribadi sensitif hanya untuk yang diperlukan untuk penyampaian layanan.
Implikasi Email Marketing: Sebagian besar email marketing tidak melibatkan informasi pribadi sensitif. Namun, jika Anda mengumpulkan:
Data lokasi presisi untuk penawaran lokal
Informasi kesehatan untuk marketing terkait kesehatan
Data keuangan untuk marketing layanan keuangan
Anda harus menyediakan link "Limit the Use of My Sensitive Personal Information" dan menghormati permintaan pembatasan.
Hak Non-Diskriminasi
Artinya: Bisnis tidak dapat mendiskriminasi konsumen yang menggunakan hak CCPA mereka.
Tindakan yang Dilarang:
Menolak barang atau layanan
Mengenakan harga yang berbeda
Memberikan tingkat kualitas yang berbeda
Mengancam salah satu di atas
Implikasi Email Marketing:
Tidak dapat menolak mengirim email transaksional yang diminta
Tidak dapat memberikan konten email yang lebih rendah kepada mereka yang menggunakan hak
Tidak dapat mengenakan biaya ekstra untuk langganan email setelah permintaan penolakan
Diferensiasi yang Diizinkan: Anda dapat menawarkan insentif untuk berbagi data, tetapi harus:
Berhubungan secara wajar dengan nilai data
Diungkapkan di awal
Tidak bersifat memaksa
Kepatuhan CCPA untuk Email Marketer
Sekarang mari kita terjemahkan persyaratan CCPA ke dalam kepatuhan email marketing praktis.
Persyaratan Kebijakan Privasi
Pengungkapan Wajib:
Kategori Informasi Pribadi yang Dikumpulkan: Daftar apa yang Anda kumpulkan dalam 12 bulan terakhir:
Pengenal (nama, email, alamat IP)
Aktivitas internet (browsing, keterlibatan email)
Informasi komersial (riwayat pembelian)
Kesimpulan (preferensi turunan, segmen)
Sumber Informasi Pribadi:
Langsung dari konsumen (formulir pendaftaran)
Secara otomatis (cookies, pembukaan email)
Dari pihak ketiga (daftar yang dibeli, pengayaan)
Tujuan Bisnis:
Komunikasi pemasaran
Personalisasi
Analytics dan peningkatan
Pencegahan penipuan
Kategori Pihak Ketiga:
Penyedia layanan email
Penyedia analytics
Platform periklanan
Layanan pengayaan data
Hak-Hak Konsumen dan Cara Menggunakannya:
Deskripsi setiap hak
Cara mengirimkan permintaan
Proses verifikasi
Kerangka waktu respons
Pengungkapan Jangan Jual/Bagikan: Nyatakan apakah Anda menjual/membagikan data. Jika ya, sertakan tautan penolakan.
Praktik Terbaik Kebijakan Privasi
Persyaratan Format:
Dapat dijangkau secara wajar
Tersedia dalam bahasa yang Anda lakukan transaksi
Diperbarui setidaknya setiap tahun
Tertanggal dengan pembaruan terakhir
Praktik Terbaik:
Gunakan bahasa yang jelas dan sederhana
Atur dengan header dan bagian
Sertakan bagian khusus California
Tautkan secara menonjol dari situs web dan formulir pendaftaran
Praktik Pengumpulan Data
Pemberitahuan pada Pengumpulan: Sebelum mengumpulkan informasi pribadi, beri tahu konsumen tentang:
Kategori informasi yang dikumpulkan
Tujuan untuk pengumpulan
Apakah informasi akan dijual/dibagikan
Periode retensi (atau kriteria untuk menentukan)
Untuk Formulir Pendaftaran Email:
Dengan memberikan alamat email Anda, Anda setuju untuk menerima
komunikasi pemasaran dari BillionVerify. Kami mengumpulkan
email, nama, dan data keterlibatan Anda untuk mempersonalisasi
konten dan meningkatkan layanan kami. Kami tidak menjual
informasi pribadi Anda. Lihat Kebijakan Privasi kami untuk
rincian tentang hak-hak privasi California Anda.
Minimalisasi Data (CPRA): Kumpulkan hanya apa yang masuk akal diperlukan untuk tujuan yang diungkapkan. Untuk pemasaran email:
Alamat email (diperlukan)
Nama (masuk akal untuk personalisasi)
Data demografis ekstensif (mungkin berlebihan tanpa tujuan yang jelas)
Manajemen Pihak Ketiga
Perjanjian Penyedia Layanan: Saat berbagi data pelanggan dengan penyedia layanan email, pastikan kontrak menyertakan:
Batasan penggunaan data untuk tujuan kontraktual
Larangan menjual atau membagikan data
Keharusan mematuhi permintaan konsumen
Tindakan keamanan yang tepat
Pembatasan penggunaan subkontraktor
Periklanan Pihak Ketiga: Jika Anda mengunggah daftar email ke platform periklanan:
Ini mungkin merupakan "pembagian" menurut CPRA
Memerlukan tautan "Jangan Jual atau Bagikan"
Harus menghormati permintaan penolakan
Pertimbangkan menggunakan email yang di-hash untuk mengurangi eksposur
Penanganan Permintaan Konsumen
Proses Verifikasi: Sebelum merespons permintaan, verifikasi bahwa pemohon adalah konsumen sebenarnya:
Untuk Hak Mengetahui/Menghapus:
Cocokkan informasi pengenal di catatan Anda
Minta verifikasi tambahan (konfirmasi email, pertanyaan keamanan)
Metode verifikasi yang wajar berdasarkan risiko
Untuk Penolakan:
Tidak ada verifikasi yang diperlukan
Harus diterima tanpa pembuatan akun
Hormati segera
Proses Respons:
Akui penerimaan dalam 10 hari
Verifikasi identitas
Cari semua informasi pribadi
Penuhi permintaan dalam 45 hari
Dokumentasikan permintaan dan respons
Metode Permintaan yang Ditunjuk: Berikan setidaknya dua metode:
Nomor bebas ongkir
Formulir situs web
Alamat email (dapat diterima)
Jika Anda memiliki akun online: permintaan berbasis akun
Manajemen Daftar Email Menurut CCPA
CCPA mempengaruhi cara Anda membangun, memelihara, dan menggunakan daftar email.
Kepatuhan Pembangunan Daftar
Pengumpulan Pihak Pertama:
Sediakan pemberitahuan pada pengumpulan
Tautkan ke kebijakan privasi
Nyatakan dengan jelas email apa yang akan mereka terima
Jangan perlukan email untuk layanan yang tidak terkait
Daftar Pihak Ketiga: Menggunakan daftar yang dibeli atau disewa berisiko menurut CCPA:
Anda perlu memverifikasi bahwa penjual memiliki persetujuan yang tepat
Anda harus memberikan pemberitahuan pada kontak pertama
Konsumen dapat meminta penghapusan
Mungkin merupakan "pembelian" informasi pribadi
Praktik Terbaik: Bangun daftar secara organik melalui upaya pengumpulan Anda sendiri. Ini lebih sesuai dan berkinerja lebih baik.
Pendekatan Praktis: Jika Anda memiliki pelanggan UE dan California, kepatuhan GDPR umumnya mencakup persyaratan CCPA, ditambah tindakan persetujuan tambahan.
California memimpin jalan, tetapi negara bagian lain mengikuti:
Virginia Consumer Data Protection Act (VCDPA): Efektif Januari 2023 Colorado Privacy Act (CPA): Efektif Juli 2023 Connecticut Data Privacy Act (CTDPA): Efektif Juli 2023 Utah Consumer Privacy Act (UCPA): Efektif Desember 2023
Dan Lebih Banyak Akan Datang: Texas, Oregon, Montana, Delaware, dan negara bagian lain telah melewati atau mengusulkan undang-undang privasi.
Pendekatan Praktis: Bangun kerangka kepatuhan yang dapat beradaptasi dengan undang-undang negara bagian baru. Prinsip inti serupa—transparansi, hak-hak konsumen, dan perlindungan data.
Daftar Periksa Kepatuhan CCPA
Gunakan daftar periksa ini untuk menilai kepatuhan pemasaran email CCPA Anda.
Kebijakan Privasi dan Pemberitahuan
[ ] Kebijakan privasi mencakup semua pengungkapan CCPA yang diperlukan
[ ] Bagian khusus California mengatasi hak-hak negara bagian
[ ] Kebijakan diperbarui dalam 12 bulan terakhir
[ ] Kebijakan dapat diakses dari footer situs web
[ ] Tautan "Jangan Jual atau Bagikan" ada (jika berlaku)
[ ] Tautan "Batasi Informasi Pribadi Sensitif" ada (jika berlaku)
[ ] Pemberitahuan pada pengumpulan disediakan sebelum pengumpulan data
Pengumpulan Data
[ ] Formulir pendaftaran email mencakup pemberitahuan privasi
[ ] Pemberitahuan pada pengumpulan mencakup kategori dan tujuan
[ ] Prinsip minimalisasi data diikuti
[ ] Sumber daftar pihak ketiga didokumentasikan
[ ] Sumber pengumpulan dapat dilacak untuk setiap catatan
Penanganan Permintaan Konsumen
[ ] Setidaknya dua metode pengiriman permintaan tersedia
[ ] Proses verifikasi didokumentasikan
[ ] Proses pengakuan 10 hari ada
[ ] Proses respons 45 hari ada
[ ] Staf dilatih tentang penanganan permintaan
[ ] Log permintaan dipertahankan
Manajemen Data
[ ] Semua lokasi penyimpanan data didokumentasikan
[ ] Perjanjian penyedia layanan mencakup ketentuan CCPA
[ ] Mekanisme penolakan menghormati semua pembagian data
[ ] Pihak ketiga diberitahu tentang permintaan penghapusan
[ ] Penggunaan platform periklanan dievaluasi untuk "pembagian"
Kesalahan CCPA Umum dalam Pemasaran Email
Hindari jebakan kepatuhan yang sering ini.
Kesalahan 1: Mengabaikan CCPA Karena Anda Bukan di California
Masalahnya: Menganggap jarak geografis berarti CCPA tidak berlaku.
Realitasnya: Jika Anda memiliki pelanggan California dan memenuhi ambang batas, Anda harus mematuhi terlepas dari lokasi Anda.
Perbaikannya: Evaluasi basis pelanggan California Anda dan terapkan perlindungan CCPA kepada penduduk tersebut.
Kesalahan 2: Kebijakan Privasi Tidak Lengkap
Masalahnya: Kebijakan privasi tidak mencakup semua pengungkapan CCPA yang diperlukan.
Perbaikannya:
Audit kebijakan terhadap persyaratan CCPA
Tambahkan bagian khusus California
Perbarui setiap tahun
Kesalahan 3: Tidak Ada Proses untuk Permintaan Konsumen
Masalahnya: Kurangnya sistem untuk menangani akses, penghapusan, atau permintaan penolakan.
Perbaikannya:
Buat proses intake untuk setiap jenis permintaan
Latih staf tentang penanganan
Implementasikan pelacakan dan dokumentasi
Uji pemenuhan permintaan
Kesalahan 4: Gagal Menghapus dari Semua Sistem
Masalahnya: Menghapus dari daftar utama tetapi lupa ESP, CRM, atau analytics.
Perbaikannya:
Dokumentasikan semua sistem yang menyimpan data pelanggan
Buat alur kerja penghapusan yang mencakup masing-masing
Verifikasi penghapusan diselesaikan
Pertahankan daftar penolakan
Kesalahan 5: Tidak Memperbarui Kontrak Penyedia Layanan
Masalahnya: Kontrak dengan penyedia layanan email tidak memiliki ketentuan yang diperlukan CCPA.
Perbaikannya:
Tinjau kontrak yang ada
Tambahkan batasan dan kewajiban yang diperlukan
Pastikan bahasa sertifikasi kepatuhan
Perbarui saat peraturan berkembang
Kesalahan 6: Memperlakukan CCPA sebagai Proyek Sekali
Masalahnya: Menerapkan kepatuhan sekali dan tidak memeliharanya.
Perbaikannya:
Jadwalkan ulasan kebijakan tahunan
Pantau pembaruan peraturan
Latih staf baru tentang persyaratan
Audit kepatuhan secara teratur
Membangun Program Kepatuhan Berkelanjutan
Kepatuhan CCPA jangka panjang memerlukan komitmen berkelanjutan.
Praktik Terbaik Dokumentasi
Apa yang Harus Didokumentasikan:
Inventaris data (apa yang Anda kumpulkan dan di mana)
Sumber pengumpulan untuk setiap titik data
Tujuan untuk setiap tipe data
Hubungan dan kontrak pihak ketiga
Log permintaan konsumen
Catatan pelatihan staf
Penilaian kepatuhan
Manfaat Dokumentasi:
Menunjukkan kepatuhan itikad baik
Menyederhanakan pemenuhan permintaan konsumen
Mendukung respons audit
Memungkinkan proses yang konsisten
Pelatihan Staf
Siapa yang Perlu Pelatihan:
Anggota tim pemasaran
Staf layanan pelanggan
Tim IT dan data
Tim hukum dan kepatuhan
Topik Pelatihan:
Dasar-dasar CCPA/CPRA
Ikhtisar hak-hak konsumen
Prosedur penanganan permintaan
Persyaratan penanganan data
Proses eskalasi
Pemantauan Berkelanjutan
Aktivitas Reguler:
Ulasan kebijakan privasi tahunan
Pembaruan inventaris data kuartalan
Audit pemrosesan permintaan bulanan
Pemantauan peraturan berkelanjutan
Penilaian pihak ketiga berkala
Integrasi dengan Operasi Pemasaran Email
Sematkan Kepatuhan dalam Alur Kerja:
Sertakan pemberitahuan privasi dalam proses pendaftaran
Tambahkan verifikasi ke prosedur impor daftar
Bangun penghapusan ke alur kerja berhenti berlangganan
Hubungkan penanganan permintaan ke CRM
Alat yang Mendukung Kepatuhan:
Layanan verifikasi email seperti BillionVerify untuk akurasi data
Platform manajemen persetujuan
Alat otomasi permintaan privasi
Solusi pemetaan data
Kesimpulan
CCPA dan CPRA menambahkan perlindungan privasi penting yang memengaruhi cara email marketer mengumpulkan, menggunakan, dan membagikan data pelanggan. Meskipun kepatuhan memerlukan upaya berkelanjutan, ini sejalan dengan praktik terbaik yang juga meningkatkan efektivitas marketing—pengumpulan yang transparan, data berkualitas, dan penghormatan terhadap preferensi konsumen.
Poin-Poin Penting:
Kenali Kewajiban Anda: Tentukan apakah Anda memenuhi ambang batas CCPA dan persyaratan apa yang berlaku.
Perbarui Kebijakan Privasi Anda: Pastikan pengungkapan CCPA yang komprehensif disertakan dan terkini.
Bangun Proses Penanganan Permintaan: Bersiaplah untuk memenuhi permintaan akses, penghapusan, dan penolakan dalam jangka waktu yang diperlukan.
Kelola Pihak Ketiga: Perbarui kontrak penyedia layanan dan evaluasi praktik pembagian.
Tetap Terkini: Undang-undang privasi berkembang pesat. Pantau perkembangan dan beradaptasi sesuai kebutuhan.
Undang-undang privasi California merupakan pergeseran signifikan menuju kontrol konsumen atas data pribadi. Dengan menerapkan prinsip-prinsip ini dalam program email marketing Anda, Anda tidak hanya mematuhi persyaratan saat ini tetapi mempersiapkan diri untuk lanskap privasi yang lebih luas yang muncul di seluruh negara.
