CCPA और प्राइवेसी कानून: राज्य और क्षेत्र के हिसाब से पालन

CCPA अमेरिका का प्राइवेसी कानून है। अगर आपका बिज़नेस अमेरिका में कहीं भी चलता है, तो आपके विज़िटर में शायद कैलिफ़ोर्निया के लोग हों। अगर आप उनका डेटा फ़ॉर्म से लेते हैं, तो CCPA लागू होता है। पर CCPA अकेला प्राइवेसी कानून नहीं है। अब दर्जन भर से ज़्यादा अमेरिकी राज्यों में ऐसे ही प्राइवेसी नियम हैं, और नए आ रहे हैं।

CCPA और दूसरे राज्यों के प्राइवेसी कानून यूरोप के GDPR के अमेरिकी समकक्ष हैं। यह समझना कि आपके फ़ॉर्म पर कौन-से प्राइवेसी कानून लागू होते हैं और हर एक क्या मांगता है, अमेरिका के अलग-अलग इलाकों में नियमों का पालन करते रहने के लिए ज़रूरी है।

आप क्या सीखेंगे: CCPA क्या है और GDPR से कैसे अलग है, किन दूसरे अमेरिकी राज्यों में प्राइवेसी कानून हैं, ये कानून फ़ॉर्म से क्या मांगते हैं, कैसे पता करें कि आपके बिज़नेस पर कौन-से कानून लागू होते हैं, और ऐसे फ़ॉर्म कैसे बनाएं जो एक साथ कई नियमों का पालन करें।

CCPA क्या है?

CCPA (California Consumer Privacy Act) एक प्राइवेसी कानून है जो मुनाफ़े के लिए चलने वाली उन कंपनियों पर लागू होता है जो कैलिफ़ोर्निया के निवासियों से निजी जानकारी लेती हैं। यह 1 जनवरी 2020 से लागू हुआ और तब से अतिरिक्त नियमों से मज़बूत किया गया है।

CCPA आपके फ़ॉर्म पर लागू होता है अगर:

• आपका बिज़नेस कैलिफ़ोर्निया के लोगों से डेटा लेता है
• आपकी सालाना आमदनी 25 मिलियन डॉलर से ज़्यादा है, या
• आप 100,000 या उससे ज़्यादा निवासियों (या परिवारों) से डेटा लेते हैं, या
• आप बिज़नेस के तौर पर उपभोक्ता डेटा बेचते हैं

छोटे बिज़नेस भी अक्सर बिना जाने इन सीमाओं को पूरा कर लेते हैं। अगर आपके पास कॉन्टैक्ट फ़ॉर्म है और आपने कैलिफ़ोर्निया के कुछ सौ निवासियों से जानकारी ली है, तो आप शायद दायरे में आते हैं।

फ़ॉर्म के लिए CCPA की मुख्य ज़रूरतें

प्राइवेसी नोटिस में खुलासा

आपको प्राइवेसी नोटिस देना होगा जो कैलिफ़ोर्निया के विज़िटर को इनके बारे में बताए:

• आप निजी जानकारी की कौन-सी श्रेणियां लेते हैं (नाम, ईमेल, खरीदारी का इतिहास, आदि)
• आप उसे क्यों लेते हैं (पूछताछ का जवाब देने, सेवाएं देने, मार्केटिंग के लिए)
• डेटा कहां से आता है (सीधे उपभोक्ता से फ़ॉर्म पर, तीसरे पक्ष से, एनालिटिक्स से)
• आप उसे कितने समय तक रखते हैं
• आप उसे किसके साथ बांटते हैं (सर्विस प्रोवाइडर, दूसरे बिज़नेस, आदि)

प्राइवेसी नोटिस आसानी से मिलना चाहिए। फ़ुटर में एक लिंक या कहीं दबा हुआ पॉलिसी पेज काफ़ी नहीं है। इसे ऐसी जगह रखें जहां विज़िटर आपका फ़ॉर्म भरने से पहले उसे देखें।

जानने का अधिकार

कैलिफ़ोर्निया के निवासी जानने की रिक्वेस्ट कर सकते हैं कि आपने उनके बारे में कौन-सी निजी जानकारी ली है। आपको यह जानकारी 45 दिनों के अंदर देनी होगी। इसका मतलब है कि आपको ऐसे सिस्टम चाहिए जो ट्रैक करें कि आपके पास हर व्यक्ति का कौन-सा डेटा है, और इन रिक्वेस्ट का जवाब देने की प्रक्रिया चाहिए।

डिलीट करवाने का अधिकार

कैलिफ़ोर्निया के निवासी आपसे अपनी निजी जानकारी डिलीट करने को कह सकते हैं। आपको पालन करना होगा, जब तक उसे रखने का कोई कानूनी कारण न हो (जैसे टैक्स रिकॉर्ड या फ़्रॉड रोकथाम)। यह उनके बारे में आपके पास मौजूद सारे फ़ॉर्म सबमिशन और ग्राहक डेटा पर लागू होता है।

बिक्री से बाहर रहने का अधिकार

अगर आप निजी डेटा दूसरी कंपनियों को बेचते हैं (भले आप इसे "बेचना" न समझते हों), तो कैलिफ़ोर्निया के निवासी इससे बाहर रह सकते हैं। CCPA के तहत "बेचना" में पैसे, सेवाओं या दूसरे कीमती फ़ायदों के बदले तीसरे पक्ष से डेटा बांटना शामिल है। आपको अपनी वेबसाइट पर "Do Not Sell My Personal Information" लिंक देना होगा।

सुधार का अधिकार

उपभोक्ता रिक्वेस्ट कर सकते हैं कि आप उनकी गलत निजी जानकारी सुधारें। आपको वह सब कुछ बदलना ज़रूरी नहीं जो वे कहें, पर आपके पास इन रिक्वेस्ट को देखने और जवाब देने की प्रक्रिया होनी चाहिए।

कोई भेदभाव नहीं

आप किसी के CCPA अधिकार इस्तेमाल करने पर उसके साथ भेदभाव नहीं कर सकते। अगर कोई अपना डेटा डिलीट करवाने को कहता है, तो आप उसे सेवा देने से मना नहीं कर सकते या अपनी सेवाओं के लिए उससे ज़्यादा पैसे नहीं ले सकते।

CCPA बनाम GDPR: मुख्य फ़र्क

CCPA और GDPR दोनों निजी डेटा की रक्षा करते हैं, पर उनमें अहम फ़र्क हैं:

मुख्य फ़र्क यह है कि GDPR आपसे डेटा लेने से पहले इजाज़त मांगने को कहता है। CCPA आपसे लोगों को बताने को कहता है कि वे ऑप्ट-आउट कर सकते हैं।

अमेरिका के दूसरे राज्यों के प्राइवेसी कानून

दर्जन भर से ज़्यादा दूसरे राज्यों ने CCPA जैसे प्राइवेसी कानून पास किए हैं। ये मुख्य हैं:

Virginia (VCDPA)

Virginia Consumer Data Protection Act मुनाफ़े के लिए चलने वाली उन कंपनियों पर लागू होता है जो Virginia के निवासियों का निजी डेटा प्रोसेस करती हैं। यह डेटा एक्सेस, डिलीट, सुधार और बिक्री से ऑप्ट-आउट के उपभोक्ता अधिकार ज़रूरी करता है।

Colorado (CPA)

Colorado Privacy Act उन कंपनियों को कवर करता है जो Colorado के निवासियों का डेटा प्रोसेस करती हैं। CCPA जैसा, पर दायरे और लागू करने में कुछ फ़र्क के साथ।

Connecticut (CTDPA)

Connecticut Data Privacy Act, जुलाई 2024 से लागू। CCPA और VCDPA जैसे उपभोक्ता अधिकार।

Utah (UCPA)

Utah Consumer Privacy Act दूसरों से काफ़ी कम सख्त है, पर फिर भी उपभोक्ताओं को ऑप्ट-आउट के अधिकार ज़रूरी करता है।

Montana, Delaware, Iowa और दूसरे

और राज्यों ने प्राइवेसी कानून पास किए हैं या उन पर विचार कर रहे हैं। ज़्यादातर CCPA के उपभोक्ता ऑप्ट-आउट अधिकार वाले मॉडल पर चलते हैं, ज़रूरतों में थोड़े फ़र्क के साथ।

कैसे पता करें कि आपके फ़ॉर्म पर कौन-से कानून लागू होते हैं

यह पता लगाने के लिए कि आपको कौन-से प्राइवेसी कानूनों का पालन करना है:

1. पहचानें कि आपके विज़िटर कहां से आते हैं। एनालिटिक्स से देखें कि कौन-से राज्य और क्षेत्र शामिल हैं।
2. हर क्षेत्र का कानून देखें। अमेरिकी राज्यों के लिए, राज्य के अटॉर्नी जनरल की वेबसाइट देखें। दूसरे देशों के लिए, उनके प्राइवेसी कानूनों की जानकारी लें।
3. सीमा की शर्तें जांचें। क्या आपकी कंपनी साइज़ की सीमाएं पूरी करती है? क्या उस क्षेत्र में आपके पास काफ़ी ग्राहक हैं?
4. पक्का न हो तो कानूनी सलाहकार से बात करें। प्राइवेसी कानून जटिल है और क्षेत्र के हिसाब से बदलता है। अगर आपका बिज़नेस काफ़ी मात्रा में डेटा लेता है, तो वकील से बात करें।

ऐसे फ़ॉर्म बनाना जो कई प्राइवेसी कानूनों का पालन करें

अगर आपके विज़िटर अलग-अलग राज्यों और देशों से आते हैं, तो आपको लागू होने वाले सबसे सख्त नियम मानने होंगे।

सबके लिए GDPR के नियम मान लें

अगर आपके कोई भी EU विज़िटर हैं, तो GDPR के नियम मानें। GDPR सबसे सख्त प्राइवेसी कानूनों में से एक है, इसलिए GDPR का पालन करने का मतलब अक्सर यह भी होता है कि आप दूसरे कानूनों का भी पालन कर रहे हैं।

संवेदनशील डेटा के लिए साफ़ सहमति लें

अलग-अलग विज़िटर के लिए अलग नियम मानने की कोशिश करने की जगह, हर चीज़ के लिए साफ़ सहमति (GDPR का मानक) लें। यह ज़्यादा साफ़-सुथरा और ज़्यादा सुरक्षात्मक है। सहमति के विकल्प साफ़, खास और डेटा के अलग-अलग इस्तेमाल के लिए अलग रखें।

फ़ॉर्म पर प्राइवेसी नोटिस दें

फ़ॉर्म पेज पर अपने डेटा के तरीकों का साफ़, पढ़ने लायक सारांश रखें। अपनी पूरी प्राइवेसी पॉलिसी का लिंक दें। इससे एक साथ कई कानूनों की खुलासे की ज़रूरतें पूरी होती हैं।

ऑप्ट-आउट आसान बनाएं

लोगों को मार्केटिंग ईमेल से अनसब्सक्राइब करने या अपना डेटा डिलीट करवाने की रिक्वेस्ट करने का तरीका दें। इसे आप जो हर मार्केटिंग ईमेल भेजें उसमें रखें (कानूनी ज़रूरत) और अपनी वेबसाइट पर रखें (अच्छा तरीका)।

अच्छे रिकॉर्ड रखें

दर्ज करें कि आप कौन-सा डेटा लेते हैं, क्यों लेते हैं, कितने समय रखते हैं, और उस तक किसकी पहुंच है। इससे आप डेटा रिक्वेस्ट का जवाब जल्दी दे पाते हैं और अगर कोई नियामक पूछे तो साबित कर सकते हैं कि आप नियमों का पालन कर रहे हैं।

प्राइवेसी कानून के जुर्माने और सज़ाएं

CCPA और राज्यों के प्राइवेसी कानूनों में आर्थिक सज़ाएं हैं:

• CCPA (कैलिफ़ोर्निया): प्रति उल्लंघन 2,500 डॉलर तक, जान-बूझकर किए गए उल्लंघन पर 7,500 डॉलर तक। इसे राज्य का अटॉर्नी जनरल लागू करता है, और कुछ मामलों में उपभोक्ता मुकदमा भी कर सकते हैं।
• Virginia, Colorado, Connecticut, आदि: जुर्माने प्रति उल्लंघन 2,500 से 10,000 डॉलर तक होते हैं, और कुछ में उपभोक्ता मुकदमा भी कर सकते हैं।

ये जुर्माने GDPR के जुर्मानों से कम हैं, पर कई उल्लंघन होने पर या डेटा ब्रीच हज़ारों लोगों को प्रभावित करे तो ये तेज़ी से जुड़ते जाते हैं।

प्राइवेसी कानून के पालन के लिए अपने फ़ॉर्म में क्या करें

अपने फ़ॉर्म में प्राइवेसी की जानकारी जोड़ें, यह दर्ज करें कि हर विज़िटर ने आपकी सहमति की शर्तों का कौन-सा संस्करण स्वीकार किया, और अपनी टीम के लिए डेटा एक्सेस और डिलीट रिक्वेस्ट संभालने की प्रक्रियाएं बनाएं। यह भी दर्ज रखें कि कौन-सा डेटा स्टोर है और कब सबमिट हुआ, ताकि आपके पास पालन के ऑडिट के लिए ज़रूरी रिकॉर्ड रहें।

WEMASY के प्लान और कीमतों के लिए प्राइसिंग पेज देखें।

अक्सर पूछे जाने वाले सवाल