California Consumer Privacy Act (CCPA), zmieniona przez California Privacy Rights Act (CPRA), to najbardziej kompleksowe przepisy o prywatności na poziomie stanowym w Stanach Zjednoczonych. Choć nie są to przepisy dotyczące wyłącznie poczty elektronicznej, jak CAN-SPAM, CCPA znacząco wpływa na sposób, w jaki firmy zbierają, wykorzystują i udostępniają adresy e-mail oraz dane subskrybentów. Ten przewodnik wyjaśnia, jak kalifornijskie przepisy o prywatności wpływają na email marketing i zapewnia praktyczne strategie zgodności.
Zrozumienie CCPA i CPRA
Zanim przejdziemy do implikacji dla email marketingu, poznajmy te przepisy i ich zakres zastosowania.
Czym jest CCPA?
California Consumer Privacy Act, obowiązujący od 1 stycznia 2020 roku, przyznaje mieszkańcom Kalifornii nowe prawa dotyczące ich danych osobowych i nakłada obowiązki na firmy, które je zbierają.
Podstawowe zasady CCPA:
Przejrzystość: Konsumenci muszą wiedzieć, jakie dane są zbierane i dlaczego
Kontrola: Konsumenci mogą uzyskać dostęp, usunąć i zrezygnować ze sprzedaży danych
Brak dyskryminacji: Firmy nie mogą karać konsumentów za wykonywanie swoich praw
Odpowiedzialność: Firmy muszą wdrożyć rozsądne środki bezpieczeństwa
Czym jest CPRA?
California Privacy Rights Act, obowiązujący od 1 stycznia 2023 roku, zmienia i wzmacnia CCPA:
Kluczowe dodatki CPRA:
Utworzenie California Privacy Protection Agency (CPPA) do egzekwowania przepisów
Dodanie kategorii "wrażliwych danych osobowych" z dodatkowymi zabezpieczeniami
Wprowadzenie "prawa do korekty" nieprawidłowych informacji
Ustanowienie "prawa do ograniczenia użycia" wrażliwych danych
Rozszerzenie wymagań minimalizacji danych
Utworzenie nowych obowiązków dla kontrahentów i dostawców usług
Kto musi przestrzegać przepisów?
CCPA/CPRA dotyczy firm, które:
Prowadzą działalność w Kalifornii, ORAZ
Spełniają KTÓRYKOLWIEK z tych progów:
Roczne przychody brutto powyżej 25 milionów dolarów
Kupują, sprzedają lub udostępniają dane osobowe 100 000+ mieszkańców Kalifornii/gospodarstw domowych rocznie
Osiągają 50%+ rocznych przychodów ze sprzedaży/udostępniania danych osobowych
Ważne wyjaśnienia:
Nie potrzebujesz fizycznej obecności w Kalifornii
"Prowadzenie działalności w Kalifornii" obejmuje posiadanie klientów z Kalifornii
Progi są oceniane corocznie
Małe firmy mogą być objęte przepisami, jeśli przetwarzają znaczną ilość danych osobowych
Zacznij weryfikować adresy e-mail z BillionVerify już dziś. Otrzymaj 10 darmowych kredytów po rejestracji - nie wymagana karta kredytowa. Dołącz do tysięcy firm poprawiających ROI z marketingu e-mailowego dzięki dokładnej weryfikacji e-mail.
Nie wymagana karta kredytowa100+ darmowych kredytów dziennieRozpocznij w 30 sekund
Dane osobowe są szeroko definiowane jako informacje, które identyfikują, odnoszą się do, opisują, mogą być w rozsądny sposób powiązane z lub mogą być w rozsądny sposób połączone z konkretnym konsumentem lub gospodarstwem domowym.
Przykłady istotne dla email marketingu:
Adresy e-mail
Nazwiska
Adresy IP
Identyfikatory urządzeń
Historia przeglądania
Historia zakupów
Wnioski wyciągnięte z powyższych danych
Wrażliwe dane osobowe (dodatkowa ochrona zgodnie z CPRA):
Numery identyfikacyjne wydane przez rząd
Informacje o rachunkach finansowych
Dokładna geolokalizacja
Pochodzenie rasowe/etniczne
Przekonania religijne
Dane genetyczne
Dane biometryczne
Informacje zdrowotne
Dane dotyczące życia seksualnego/orientacji
Dla większości email marketerów obowiązują standardowe zasady dotyczące danych osobowych. Wrażliwe dane osobowe zazwyczaj nie są zbierane w kontekście email marketingu.
Prawa konsumentów CCPA a email marketing
CCPA przyznaje mieszkańcom Kalifornii szczególne prawa, które wpływają na sposób zarządzania danymi subskrybentów e-mail.
Prawo do wiedzy (dostępu)
Co to oznacza: Konsumenci mogą żądać ujawnienia:
Kategorii zebranych danych osobowych
Konkretnych elementów zebranych danych osobowych
Źródeł informacji
Celów biznesowych zbierania danych
Kategorii stron trzecich, z którymi udostępniane są informacje
Implikacje dla email marketingu:
Przygotuj się na dostarczenie wszystkich danych, które posiadasz o subskrybencie
Uwzględnij adresy e-mail, nazwiska, dane o zaangażowaniu, historię zakupów
Udokumentuj źródła i cele zbierania danych
Śledź udostępnianie stronom trzecim (ESP, analityka, reklamodawcy)
Wymagania dotyczące odpowiedzi na żądania:
Zweryfikuj tożsamość konsumenta przed odpowiedzią
Odpowiedz w ciągu 45 dni (można przedłużyć do 90 dni z powiadomieniem)
Dostarcz informacje bezpłatnie
Dostarcz w przenośnym, łatwym w użyciu formacie
Prawo do usunięcia
Co to oznacza: Konsumenci mogą żądać usunięcia swoich danych osobowych, z pewnymi wyjątkami.
Implikacje dla email marketingu:
Musisz usunąć adres e-mail i powiązane dane na żądanie
Usuń z list marketingowych, CRM, platform analitycznych
Poinstruuj dostawców usług, aby również usunęli dane
Możesz zachować wpis na liście wykluczeń, aby zapobiec ponownemu dodaniu
Wyjątki od usunięcia:
Dokończenie transakcji, do których dane zostały zebrane
Wykrywanie incydentów bezpieczeństwa
Korzystanie z praw do wolności słowa
Przestrzeganie zobowiązań prawnych
Wewnętrzne użycie zgodne z oczekiwaniami konsumentów
Praktyczne podejście: Traktuj żądania usunięcia podobnie do żądań wypisania się z subskrypcji, ale bardziej kompleksowo—usuń wszystkie dane, nie tylko przestań wysyłać e-maile.
Prawo do korekty (CPRA)
Co to oznacza: Konsumenci mogą żądać korekty nieprawidłowych danych osobowych.
Implikacje dla email marketingu:
Zapewnij mechanizm aktualizacji informacji w profilu
Przetwarzaj żądania korekty w ciągu 45 dni
Aktualizuj we wszystkich systemach, w których dane są przechowywane
Powiadom dostawców usług o konieczności korekty
Prawo do rezygnacji ze sprzedaży/udostępniania
Co to oznacza: Konsumenci mogą zażądać, aby firmy nie sprzedawały ani nie udostępniały ich danych osobowych.
"Sprzedaż" zgodnie z CCPA: Szeroko zdefiniowana—obejmuje wymianę danych za wynagrodzenie pieniężne lub inne wartościowe świadczenie.
"Udostępnianie" zgodnie z CPRA: Obejmuje ujawnianie danych do celów reklamy behawioralnej w różnych kontekstach, nawet bez zapłaty.
Implikacje dla email marketingu:
Jeśli udostępniasz dane subskrybentów platformom reklamowym do targetowania, może to stanowić "udostępnianie"
Retargeting oparty na listach e-mail może uruchamiać prawa do rezygnacji
Wzbogacanie danych za pośrednictwem stron trzecich może wiązać się ze "sprzedażą"
Link "Nie sprzedawaj ani nie udostępniaj moich danych osobowych": Wymagany na stronie internetowej, jeśli sprzedajesz lub udostępniasz dane. Musi być:
Wyraźny i widoczny
Łatwy do znalezienia (zazwyczaj w stopce)
Funkcjonalny bez tworzenia konta
Prawo do ograniczenia użycia wrażliwych danych osobowych
Co to oznacza: Konsumenci mogą ograniczyć użycie wrażliwych danych osobowych do tego, co jest niezbędne do świadczenia usług.
Implikacje dla email marketingu: Większość email marketingu nie obejmuje wrażliwych danych osobowych. Jednak jeśli zbierasz:
Dokładne dane lokalizacyjne do lokalnych ofert
Informacje zdrowotne do marketingu związanego ze zdrowiem
Dane finansowe do marketingu usług finansowych
Musisz zapewnić link "Ogranicz użycie moich wrażliwych danych osobowych" i honorować żądania ograniczenia.
Prawo do niedyskryminacji
Co to oznacza: Firmy nie mogą dyskryminować konsumentów, którzy korzystają ze swoich praw CCPA.
Zakazane działania:
Odmawianie towarów lub usług
Pobieranie różnych cen
Zapewnianie różnych poziomów jakości
Grożenie którymkolwiek z powyższych
Implikacje dla email marketingu:
Nie możesz odmówić wysłania żądanych e-maili transakcyjnych
Nie możesz dostarczać gorszej treści e-mail osobom, które skorzystały z praw
Nie możesz pobierać dodatkowych opłat za subskrypcje e-mail po żądaniach rezygnacji
Dozwolone zróżnicowanie: Możesz oferować zachęty do udostępniania danych, ale muszą one:
Być rozsądnie powiązane z wartością danych
Być ujawnione z góry
Nie być przymusowe
Zgodność CCPA dla email marketerów
Teraz przełóżmy wymagania CCPA na praktyczną zgodność email marketingu.
Wymagania dotyczące polityki prywatności
Wymagane ujawnienia:
Kategorie zebranych danych osobowych: Wymień, co zbierasz w ciągu ostatnich 12 miesięcy:
Bezpośrednio od konsumentów (formularze rejestracji)
Automatycznie (cookies, otwarcia e-mail)
Od stron trzecich (zakupione listy, wzbogacanie)
Cele biznesowe:
Komunikacja marketingowa
Personalizacja
Analityka i doskonalenie
Zapobieganie oszustwom
Kategorie stron trzecich:
Dostawcy poczty e-mail
Dostawcy analityki
Platformy reklamowe
Usługi wzbogacania danych
Prawa konsumentów i sposób ich wykonywania:
Opis każdego prawa
Jak składać żądania
Proces weryfikacji
Ramy czasowe odpowiedzi
Ujawnienie sprzedaży/udostępniania: Określ, czy sprzedajesz/udostępniasz dane. Jeśli tak, dołącz link do rezygnacji.
Najlepsze praktyki polityki prywatności
Wymagania dotyczące formatu:
Rozsądnie dostępna
Dostępna w językach, w których prowadzisz transakcje
Aktualizowana co najmniej raz w roku
Opatrzona datą ostatniej aktualizacji
Najlepsze praktyki:
Używaj jasnego, prostego języka
Organizuj za pomocą nagłówków i sekcji
Uwzględnij sekcję specyficzną dla Kalifornii
Link widoczny na stronie internetowej i formularzach rejestracji
Praktyki zbierania danych
Powiadomienie przy zbieraniu: Przed zbieraniem danych osobowych poinformuj konsumentów o:
Kategoriach zbieranych informacji
Celach zbierania
Czy informacje będą sprzedawane/udostępniane
Okresach przechowywania (lub kryteriach określania)
Dla formularzy rejestracji e-mail:
Podając swój adres e-mail, zgadzasz się na otrzymywanie
komunikacji marketingowej od BillionVerify. Zbieramy
Twój e-mail, nazwisko i dane o zaangażowaniu, aby
personalizować treść i ulepszać nasze usługi. Nie
sprzedajemy Twoich danych osobowych. Zobacz naszą
Politykę prywatności, aby uzyskać szczegółowe informacje
o Twoich prawach do prywatności w Kalifornii.
Minimalizacja danych (CPRA): Zbieraj tylko to, co jest rozsądnie niezbędne do ujawnionych celów. Dla email marketingu:
Adres e-mail (wymagany)
Nazwisko (rozsądne do personalizacji)
Rozbudowane dane demograficzne (może być nadmierne bez wyraźnego celu)
Zarządzanie stronami trzecimi
Umowy z dostawcami usług: Udostępniając dane subskrybentów dostawcom usług e-mail, upewnij się, że umowy zawierają:
Ograniczenia użycia danych do celów umownych
Zakaz sprzedaży lub udostępniania danych
Wymóg przestrzegania żądań konsumentów
Odpowiednie środki bezpieczeństwa
Ograniczenia dotyczące korzystania z podwykonawców
Reklama stron trzecich: Jeśli przesyłasz listy e-mail na platformy reklamowe:
Może to stanowić "udostępnianie" zgodnie z CPRA
Wymaga linku "Nie sprzedawaj ani nie udostępniaj"
Musisz honorować żądania rezygnacji
Rozważ użycie zahaszowanych e-maili, aby zmniejszyć ekspozycję
Obsługa żądań konsumentów
Proces weryfikacji: Przed odpowiedzią na żądania, zweryfikuj, że wnioskodawca jest rzeczywistym konsumentem:
Prawo do wiedzy/usunięcia:
Dopasuj informacje identyfikacyjne w Twoich rekordach
Poproś o dodatkową weryfikację (potwierdzenie e-mail, pytania bezpieczeństwa)
Rozsądne metody weryfikacji na podstawie ryzyka
Dla rezygnacji:
Nie jest wymagana weryfikacja
Musisz zaakceptować bez tworzenia konta
Honoruj natychmiast
Proces odpowiedzi:
Potwierdź odbiór w ciągu 10 dni
Zweryfikuj tożsamość
Zlokalizuj wszystkie dane osobowe
Spełnij żądanie w ciągu 45 dni
Dokumentuj żądanie i odpowiedź
Wyznaczone metody żądania: Zapewnij co najmniej dwie metody:
Numer bezpłatny
Formularz na stronie internetowej
Adres e-mail (akceptowalny)
Jeśli masz konta online: żądania oparte na koncie
Zarządzanie listą e-mail pod CCPA
CCPA wpływa na sposób budowania, utrzymania i używania list e-mailowych.
Zgodność budowy listy
Zbieranie ze źródeł własnych:
Zapewnij powiadomienie przy zbieraniu
Połącz do polityki prywatności
Jasno stwierdź, jakie e-maile będą otrzymywać
Nie wymagaj e-maila dla powiązanych usług
Listy stron trzecich: Używanie zakupionych lub wynajętych list jest ryzykowne pod CCPA:
Musisz zweryfikować, że sprzedawca miał właściwą zgodę
Musisz zapewnić powiadomienie przy pierwszym kontakcie
Konsumenci mogą poprosić o usunięcie
Może stanowić „kupowanie" danych osobowych
Najlepsza praktyka: Buduj listy organicznie poprzez własne wysiłki zbierania. Jest bardziej zgodne i daje lepsze wyniki.
Kalifornia doprowadziła drogę, ale inne stany następują:
Ustawa o ochronie danych konsumentów Virginii (VCDPA): Wchodzi w życie w styczniu 2023 r. Ustawa o ochronie prywatności Kolorado (CPA): Wchodzi w życie w lipcu 2023 r. Ustawa o ochronie danych Connecticut (CTDPA): Wchodzi w życie w lipcu 2023 r. Ustawa o ochronie prywatności konsumentów Utah (UCPA): Wchodzi w życie w grudniu 2023 r.
I więcej nadchodzących: Teksas, Oregon, Montana, Delaware i inne stany uchwaliły lub zaproponowały ustawy o ochronie prywatności.
Praktyczne podejście: Zbuduj ramy zgodności, które mogą się dostosować do nowych przepisów stanowych. Podstawowe zasady są podobne — przejrzystość, prawa konsumentów i ochrona danych.
Kontrola zgodności CCPA
Użyj tej listy kontrolnej, aby ocenić zgodność Twojego marketingu e-mailowego CCPA.
Polityka prywatności i powiadomienia
[ ] Polityka prywatności zawiera wszystkie wymagane ujawnienia CCPA
[ ] Sekcja specyficzna dla Kalifornii dotyczy praw stanowych
[ ] Polityka zaktualizowana w ciągu ostatnich 12 miesięcy
[ ] Polityka dostępna ze stopki strony internetowej
[ ] Link „Nie sprzedawaj lub nie udostępniaj" obecny (jeśli dotyczy)
[ ] Link „Ogranicz użytkownika danych osobowych" obecny (jeśli dotyczy)
[ ] Powiadomienie przy zbieraniu dostarczone przed zbieraniem danych
Zbieranie danych
[ ] Formularze rejestracji e-mail zawierają powiadomienie o ochronie prywatności
[ ] Powiadomienie przy zbieraniu obejmuje kategorie i cele
[ ] Zasada minimalizacji danych jest przestrzegana
[ ] Źródła list stron trzecich są udokumentowane
[ ] Źródła zbierania mogą być śledzone dla każdego rekordu
Obsługa żądań konsumentów
[ ] Co najmniej dwie metody przesyłania żądań dostępne
[ ] Proces weryfikacji udokumentowany
[ ] Proces potwierdzenia w ciągu 10 dni zastosowany
[ ] Proces odpowiedzi w ciągu 45 dni zastosowany
[ ] Personel przeszkolony w obsłudze żądań
[ ] Dziennik żądań utrzymywany
Zarządzanie danymi
[ ] Wszystkie lokalizacje przechowywania danych udokumentowane
[ ] Umowy dostawcy usług zawierają postanowienia CCPA
[ ] Działalność udostępniania/sprzedaży udokumentowana
[ ] Mechanizmy rezygnacji honorują wszystkie udostępnianie danych
[ ] Strony trzecie powiadomione o żądaniach usunięcia
[ ] Użycie platformy reklamowej oceniane dla „udostępniania"
Typowe błędy CCPA w marketingu e-mailowym
Unikaj tych częstych pułapek zgodności.
Błąd 1: Ignorowanie CCPA, ponieważ nie jesteś w Kalifornii
Problem: Założenie, że odległość geograficzna oznacza, że CCPA nie stosuje się.
Rzeczywistość: Jeśli masz klientów z Kalifornii i spełniasz progi, musisz być zgodny niezależnie od Twojej lokalizacji.
Rozwiązanie: Oceń bazę klientów z Kalifornii i zastosuj ochronę CCPA dla tych mieszkańców.
Błąd 2: Niekompletna polityka prywatności
Problem: Polityka prywatności nie zawiera wszystkich wymaganych ujawnień CCPA.
Rozwiązanie:
Przeprowadź audyt polityki względem wymagań CCPA
Dodaj sekcję specyficzną dla Kalifornii
Aktualizuj corocznie
Błąd 3: Brak procesu żądań konsumentów
Problem: Brak systemów do obsługi żądań dostępu, usunięcia lub rezygnacji.
Rozwiązanie:
Utwórz procesy przyjmowania dla każdego typu żądania
Przeszkolić personel na obsłudze
Wdrożyć śledzenie i dokumentację
Test pełnienia żądań
Błąd 4: Niepowodzenie w usunięciu ze wszystkich systemów
Problem: Usunięcie z głównej listy, ale zapomniano ESP, CRM lub analityki.
Rozwiązanie:
Dokumentuj wszystkie systemy przechowujące dane subskrybentów
Utwórz przepływy usuwania obejmujące każdy
Weryfikuj ukończenie usuwania
Utrzymuj listy tłumienia
Błąd 5: Nie aktualizowanie umów dostawcy usług
Problem: Umowy z dostawcami usług poczty e-mail brakuje postanowień wymaganych przez CCPA.
Rozwiązanie:
Przejrzyj istniejące umowy
Dodaj wymagane ograniczenia i obowiązki
Upewnij się, że język certyfikacji zgodności
Aktualizuj wraz z ewolucją przepisów
Błąd 6: Traktowanie CCPA jako projektu jednorazowego
Problem: Wdrożenie zgodności raz i nie utrzymanie jej.
Rozwiązanie:
Zaplanuj roczne przeglądy polityki
Monitoruj aktualizacje przepisów
Przeszkolić nowych pracowników na wymagania
Regularnie sprawdzaj zgodność
Budowanie zrównoważonego programu zgodności
Długoterminowa zgodność CCPA wymaga ciągłego zaangażowania.
Najlepsze praktyki dokumentacji
Co dokumentować:
Inwentaryzacja danych (co zbierasz i gdzie)
Źródła zbierania dla każdego punktu danych
Cele dla każdego typu danych
Relacje i umowy stron trzecich
Dziennik żądań konsumentów
Rekordy szkolenia personelu
Oceny zgodności
Korzyści dokumentacji:
Pokazuje dobrą wiarę zgodności
Upraszcza pełnienie żądań konsumentów
Wspiera odpowiedzi na audyty
Umożliwia spójne procesy
Szkolenie personelu
Kto potrzebuje szkolenia:
Członkowie zespołu marketingowego
Personel obsługi klienta
Zespoły IT i danych
Prawo i zgodność
Tematy szkolenia:
Podstawy CCPA/CPRA
Przegląd praw konsumentów
Procedury obsługi żądań
Wymagania dotyczące obsługi danych
Procesy eskalacji
Bieżące monitorowanie
Regularne działania:
Roczny przegląd polityki prywatności
Kwartalne aktualizacje inwentaryzacji danych
Miesięczne audyty przetwarzania żądań
Bieżące monitorowanie regulacyjne
Okresowe oceny stron trzecich
Integracja z operacjami marketingu e-mailowego
Osadź zgodność w przepływach pracy:
Dołącz powiadomienie o ochronie prywatności do procesów rejestracji
Dodaj weryfikację do procedur importu listy
Zbuduj usunięcie w przepływach pracy wyrejestrowania
Połącz obsługę żądań z CRM
Narzędzia wspierające zgodność:
Usługi weryfikacji e-mail, takie jak BillionVerify dla dokładności danych
Platformy zarządzania zgodą
Narzędzia automatyzacji żądań prywatności
Rozwiązania do mapowania danych
Podsumowanie
CCPA i CPRA dodają ważne zabezpieczenia prywatności, które wpływają na sposób, w jaki email marketerzy zbierają, wykorzystują i udostępniają dane subskrybentów. Chociaż zgodność wymaga ciągłych wysiłków, jest zgodna z najlepszymi praktykami, które również poprawiają skuteczność marketingu—przejrzyste zbieranie, jakość danych i szacunek dla preferencji konsumentów.
Kluczowe wnioski:
Poznaj swoje obowiązki: Określ, czy spełniasz progi CCPA i jakie wymagania mają zastosowanie.
Zaktualizuj swoją politykę prywatności: Upewnij się, że zawiera kompleksowe i aktualne ujawnienia CCPA.
Zbuduj procesy obsługi żądań: Przygotuj się na realizację żądań dostępu, usunięcia i rezygnacji w wymaganych ramach czasowych.
Zarządzaj stronami trzecimi: Zaktualizuj umowy z dostawcami usług i oceń praktyki udostępniania.
Utrzymuj jakość danych: Użyj weryfikacji e-mail i higieny listy, aby wspierać wymagania dokładności.
Bądź na bieżąco: Prawo o prywatności szybko się rozwija. Monitoruj zmiany i odpowiednio się dostosowuj.
Kalifornijskie przepisy o prywatności reprezentują znaczącą zmianę w kierunku kontroli konsumentów nad danymi osobowymi. Przyjmując te zasady w swoim programie email marketingu, nie tylko spełniasz obecne wymagania, ale przygotowujesz się na szerszy krajobraz prywatności, który wyłania się w całym kraju.