Kaliforniya yasası 500 veri aracısını bilgilerinizi silmeye zorluyor

215.000 Kaliforniya sakini, eyaletin DROP platformu aracılığıyla silme talebinde bulunmuştu ve 1 Ağustos itibarıyla bu kişilerin verilerini elinde tutan şirketler artık yasal olarak harekete geçmek zorunda. Bu tarihten itibaren, Kaliforniya’da kayıtlı her veri aracısı, bekleyen silme taleplerini almak ve işleme koymakla yükümlü; bu, bir ABD eyaletinin tüm bir sektöre aynı anda merkezi bir talep dayatması açısından bir ilk.

Platform, tüketicilerle çoğu insanın hiç görmediği bir dünya arasında takas odası işlevi görüyor. Sakinler drop.privacy.ca.gov adresini ziyaret ediyor, Kaliforniya’nın eyalet geçidi veya login.gov üzerinden kimliklerini doğruluyor ve ad, e-posta adresi, telefon numarası ile posta kodunu sağlıyor. İsteğe bağlı olarak, telefonlarına bağlı kalıcı tanımlayıcı olan mobil reklam kimliklerini ve araç tanımlama numaralarını da ekleyebiliyorlar. Tek bir başvuru, kayıtlı tüm aracılara aynı anda bir silme talebi gönderiyor. Daha önce tüketicilerin her şirketle ayrı ayrı iletişime geçmesi gerekiyordu; bazı aracılar vazgeçme formlarını arama motorlarından gizleyerek süreci kasıtlı olarak zorlaştırmıştı.

Yasanın kapsadığı şirketler herkesin bildiği isimler değil. Veri aracıları, satın alma geçmişlerini bir araya getiren, reklamverenler için demografik ve psikografik profiller oluşturan ve cep telefonları, akıllı televizyonlar ve bağlantılı araçlardan elde edilen konum modellerini satan işletmelerdir. Acxiom, LexisNexis, Spokeo ve BeenVerified gibi şirketler bu alanda faaliyet gösteriyor. Ayrıca, çoğu tüketicinin hiç duymadığı ancak yine de onlar hakkında ayrıntılı kayıtlar tutması muhtemel olan reklam teknolojisi platformları ve hedef kitle segmenti satıcıları da var.

Ceza yapısı, uyumsuzluk için gerçek bir maliyet yaratmayı hedefliyor: her bir dikkate alınmayan silme talebi için günlük 200 dolar, aracı harekete geçene kadar. Bu rakam, yüzlerce talep alan bir şirket için hızla katlanabilir. Kaliforniya’nın gizlilik uygulama kurumu, temel kayıt başarısızlıkları için şimdiden para cezaları kesti — Datamasters’a 42.000 dolar, S&P Global’e 62.000 dolar — ve silme zorunluluğunun uygulanmasını artırmayı bekliyor. Ancak cezalar yalnızca kayıtlı aracılar için geçerli: kayıt yaptırmadan faaliyet gösteren herhangi bir şirket, DROP sisteminde hiç görünmez ve mevcut çerçeve kapsamında otomatik bir silme yükümlülüğüyle karşı karşıya kalmaz.

Uyum takvimi, tüketicilerin beklediğinden daha yavaş olabilir. Aracılar, yeni talepleri almak için DROP sistemine en az 45 günde bir erişmek zorunda, ardından her birini işleme koymak için ek 45 günleri var — yani bugün gönderilen bir silme talebinin tamamlanması üç aya kadar sürebilir. Bir aracının veri tabanına silindikten sonra üçüncü bir taraftan satın alınarak yeniden giren veriler de bastırma kuralları kapsamında silinmek zorunda. HIPAA kapsamındaki sağlık kuruluşları, GLBA düzenlemelerine tabi finansal kurumlar ve Fair Credit Reporting Act ile yönetilen şirketlerin tümü muaf tutuluyor; bu da tıbbi geçmişleri ve kredi dosyalarını etkileyen veri ekosisteminin bölümlerini kapsam dışı bırakıyor.

Kaliforniya’nın yasası, Amerika Birleşik Devletleri’nde türünün ilk merkezi silme mekanizmasıdır. Benzer eyalet düzeyindeki yasalar, bir düzineden fazla eyalette bekliyor. Kaliforniya’nın kendisi için bir sonraki kilometre taşı 2028’de geliyor; yasa, kayıtlı veri aracılarının bağımsız gizlilik denetimlerinden geçmesini ve sonuçların 2029’da eyaletin gizlilik kurumuna sunulmasını gerektiriyor.

Etiketler: veri gizliliği, California Delete Act, CalPrivacy, gizlilik yasası, kişisel veriler, veri aracıları