รัฐบัญญัติความเป็นส่วนตัวของผู้บริโภคในรัฐแคลิฟอร์เนีย

รัฐบัญญัติความเป็นส่วนตัวของผู้บริโภคในรัฐแคลิฟอร์เนีย (อังกฤษ: California Consumer Privacy Act – CCPA) คือรัฐบัญญัติเพื่อเพิ่มสิทธิใน ความเป็นส่วนตัวและเพื่อคุ้มครองผู้บริโภคที่พำนักอยู่ในรัฐแคลิฟอร์เนีย สหรัฐ กฎหมายฉบับนี้ผ่านสภานิติบัญญัติแห่งรัฐแคลิฟอร์เนียและได้รับการลงชื่อรับรองเป็นกฎหมายโดยเจอร์รี บราวน์ ผู้ว่าการรัฐแคลิฟอร์เนีย เมื่อวันที่ 28 มิถุนายน ค.ศ. 2018 และเป็นการแปรญัตติตอนที่ 4 ของแผนกที่ 3 ของประมวลกฎหมายแพ่งรัฐแคลิฟอร์เนีย  รัฐบัญญัติได้รับการเสนอขึ้นสภาโดยสมาชิกสภารัฐแคลิฟอร์เนีย เอ็ด เชาว์ และสมาชิกวุฒิสภารัฐแคลิฟอร์เนีย โรเบิร์ต เฮิร์ตซเบิร์ก ผ่านมติ AB-375
มีการแปรญัตติกฎหมาย CCPA ในรูปแบบของร่างกฎหมายวุฒิสภาที่ 1121 ร่างกฎหมายผ่านเมื่อวันที่ 13 กันยายน ค.ศ. 2018 และได้รับการลงชื่อให้เป็นกฎหมายเมื่อวันที่ 11 ตุลาคม ค.ศ. 2019 กฎหมาย CCPA จะมีผลบังคับใช้ในวันที่ 1 มกราคม ค.ศ. 2020

เจตนารมณ์ของกฎหมาย 
เจตนารมณ์ของรัฐบัญญัติฉบับนี้คือการมอบสิทธิ์ดังต่อไปนี้ให้กับผู้พำนักอยู่ในรัฐแคลิฟอร์เนีย:

 สิทธิ์ที่จะทราบว่ามีข้อมูลส่วนตัวใดบ้างที่ถูกเก็บรวบรวม
 สิทธิ์ที่จะทราบว่าข้อมูลส่วนตัวถูกขายหรือเปิดเผยหรือไม่ และข้อมูลดังกล่าวถูกขายหรือเปิดเผยให้ใคร
 สิทธิ์ที่จะปฏิเสธไม่ให้ข้อมูลส่วนตัวถูกขาย
 สิทธิ์ที่จะเข้าถึงข้อมูลส่วนตัวของตนเอง
 สิทธิ์ที่จะขอให้ธุรกิจลบข้อมูลส่วนตัวใดๆ เกี่ยวกับผู้บริโภคที่ถูกเก็บรวบรวมจากผู้บริโภคคนนั้น
 สิทธิ์ที่จะไม่ถูกเลือกปฏิบัติเมื่อใช้สิทธิ์ในความเป็นส่วนตัวของตนเอง

เงื่อนไขในการปฏิบัติตาม 
กฎหมาย CCPA มีผลบังคับใช้กับธุรกิจใดๆ รวมถึงองค์กรที่แสวงหากำไรใดๆ ที่เก็บรวบรวมข้อมูลส่วนตัวของผู้บริโภค ที่ประกอบธุรกิจในรัฐแคลิฟอร์เนีย และมีลักษณะตรงกับหลักเกณฑ์ข้อใดข้อหนึ่งดังต่อไปนี้:

มีรายได้สุทธิต่อปีเกิน 25 ล้านดอลลาร์
ซื้อหรือขายข้อมูลส่วนตัวของผู้บริโภคหรือครัวเรือน ตั้งแต่ 50,000 หน่วยขึ้นไป
ได้รับรายได้จากการขายข้อมูลส่วนตัวของผู้บริโภค มากกว่ากึ่งหนึ่งจากรายได้ต่อปี

องค์กรจะต้องมีการจัดเตรียมและคงไว้ซึ่งขั้นตอนและวิธีปฏิบัติในการรักษาความปลอดภัยอย่างเหมาะสมเพื่อคุ้มครองข้อมูลของผู้บริโภค

ความรับผิดชอบ 
จัดเตรียมขั้นตอนในการได้มาซึ่งความยินยอมที่จะแบ่งปันข้อมูลเพื่อวัตถุประสงค์ต่างๆ โดยต้องได้รับความยินยอมจากบิดามารดาหรือผู้ปกครองสำหรับเยาวชนที่มีอายุน้อยกว่า 13 ปี และความยินยอมจากตัวเยาวชนเองในกรณีที่มีอายุระหว่าง 13 ถึง 16 ปี 
หน้าแรกในเว็บไซต์ของธุรกิจจะต้องมีลิงก์ “ห้ามขายข้อมูลส่วนตัวของข้าพเจ้า” (Do Not Sell My Personal Information) ซึ่งเมื่อคลิกแล้วจะนำผู้ใช้ไปสู่เว็บเพจที่ทำให้ตัวผู้ใช้เอง หรือผู้ได้รับมอบอำนาจ สามารถขอถอนความยินยอมจากการขายข้อมูลส่วนตัวของตนเอง
กำหนดให้มีวิธีในการยื่นคำขอในการเข้าถึงข้อมูล อย่างน้อยหนึ่งในวิธีนั้นคือ การยื่นคำขอผ่านหมายเลขโทรศัพท์ที่ไม่เสียค่าใช้จ่าย
ปรับปรุงนโยบายความเป็นส่วนตัวให้ระบุข้อมูลใหม่ตามกฎหมาย รวมถึงคำอธิบายสิทธิ์ของผู้พำนักในรัฐแคลิฟอร์เนีย
หลีกเลี่ยงการขอความยินยอมอีกครั้ง ภายใน 12 เดือนหลังจากที่ผู้พำนักในรัฐแคลิฟอร์เนียขอถอนความยินยอม

วิธีการบังคับ 
บริษัท นักรณรงค์ องค์กร และอื่นๆ สามารถได้รับอนุญาตให้ใช้สิทธิ์ในการถอนความยินยอม ในนามของผู้พำนักในรัฐแคลิฟอร์เนีย
บริษัทที่ตกเป็นเหยื่อของการโจรกรรมข้อมูล หรือการรั่วไหลทางข้อมูลอื่นๆ สามารถถูกสั่งโดยศาลในคำพิพากษาจากคดีที่ฟ้องในนามกลุ่มบุคคล ให้ชดใช้ค่าเสียหายเป็นมูลค่าตั้งแต่ 100 ดอลลาร์ถึง 750 ดอลลาร์ต่อผู้พำนักในรัฐแคลิฟอร์เนียและต่อกรณี หรือค่าเสียหายตามจริง อย่างใดก็ตามที่มีมูลค่ามากกว่า รวมถึงมาตรการเยียวยาอื่นใดที่ศาลเห็นสมควร โดยสำนักงานอัยการรัฐแคลิฟอร์เนียสามารถเลือกที่จะดำเนินคดีกับบริษัทโดยไม่ต้องรอให้มีผู้ใดฟ้องคดีแพ่งเสียก่อน
ค่าปรับไม่เกิน 7,500 ดอลลาร์ต่อการละเมิดกฎหมายโดยเจตนาในแต่ละกรณี และไม่เกิน 2,500 ดอลลาร์ต่อการละเมิดกฎหมายโดยไม่เจตนาในแต่ละกรณี
ประกาศเกี่ยวกับความเป็นส่วนตัวจะต้องเข้าถึงได้ และมีรูปแบบอื่นเป็นทางเลือกเสริมพร้อมชี้แจงอย่างชัดเจน

คำจำกัดความของข้อมูลส่วนตัว 
กฎหมาย CCPA จำกัดความหมายของข้อมูลส่วนตัวไว้ว่า ข้อมูลส่วนตัวคือข้อมูลที่สามารถระบุตัวตน, นำไปเกี่ยวข้อง, นำไปอธิบาย, เป็นไปได้ที่จะนำไปเชื่อมโยง, หรือเป็นไปได้ที่จะนำไปเชื่อมต่อ โดยตรงหรือโดยอ้อม กับผู้บริโภคคนใดคนหนึ่งหรือครัวเรือนใดครัวเรือนหนึ่ง เช่นนามจริง นามแฝง ที่อยู่ตามไปรษณีย์ สิ่งระบุตัวตนอันเป็นเอกลักษณ์ สิ่งระบุตัวตนออนไลน์ ที่อยู่ไอพี ที่อยู่อีเมล์ ชื่อบัญชี หมายเลขประกันสังคม หมายเลขใบอนุญาตขับขี่ หมายเลขหนังสือเดินทาง หรือสิ่งระบุตัวตนอื่นๆ

นอกจากนี้ ในประมวลกฎหมายแพ่งรัฐแคลิฟอร์เนียตอนที่ 4 แผนกที่ 3 ยังให้คำจำกัดความกับข้อมูลส่วนตัวไว้ว่าหมายถึงข้อมูลใดๆ ที่ระบุตัวตน, นำไปเกี่ยวข้อง, นำไปอธิบาย, หรือสามารถนำไปเชื่อมโยงได้กับ บุคคลใดบุคคลหนึ่ง เช่นชื่อ ลายมือชื่อ หมายเลขประกันสังคม คำอธิบายลักษณะเฉพาะทางกายภาพ ที่อยู่ หมายเลขโทรศัพท์ หมายเลขหนังสือเดินทาง หมายเลขบัตรประจำตัวของรัฐหรือหมายเลขใบอนุญาตขับขี่ หมายเลขกรมธรรม์ ข้อมูลการศึกษา การว่าจ้าง ประวัติการทำงาน หมายเลขบัญชีธนาคาร หมายเลขบัตรเครดิต หมายเลขบัตรเดบิตหรือข้อมูลทางการเงินอื่นๆ ข้อมูลทางการแพทย์ หรือข้อมูลเกี่ยวกับประกันสุขภาพ เป็นต้น
ข้อมูลที่เปิดเผยสู่สาธารณะ คือข้อมูลที่สามารถเข้าถึงได้จากระเบียนส่วนปกครองท้องถิ่น ระเบียนของรัฐ และระเบียนของรัฐบาลกลาง ไม่ถือว่าเป็นข้อมูลส่วนตัว

ข้อแตกต่างหลักระหว่างกฎหมาย CCPA กับระเบียบการคุ้มครองข้อมูลทั่วไป (กฎหมาย GDPR) ของสหภาพยุโรปได้แก่ขอบเขตของกฎหมายและพื้นที่ที่กฎหมายมีอำนาจครอบคลุม คำจำกัดความเกี่ยวกับข้อมูลที่ได้รับความคุ้มครอง ระดับความเฉพาะเจาะจง และสิทธิ์ในการถอนความยินยอมในการขายข้อมูล กฎหมาย CCPA ยังแตกต่างจากกฎหมาย GDPR ในคำจำกัดความของข้อมูลส่วนตัว เนื่องจากในบางกรณีกฎหมาย CCPA จำกัดการบังคับใช้กฎหมายกับข้อมูลส่วนตัวที่เก็บรวบรวมมาจากผู้บริโภคเองเท่านั้น โดยไม่ได้ครอบคลุมถึงข้อมูลที่ถูกซื้อ หรือได้มาจากบุคคลที่สาม ในขณะที่กฎหมาย GDPR ครอบคลุมข้อมูลส่วนตัวในทุกกรณี ไม่ว่าจะเก็บรวบรวมมาอย่างไร เว้นเสียแต่ว่าเจ้าของข้อมูลเองเป็นคนเผยแพร่ต่อสาธารณะ ซึ่งถือว่าเป็นการจำกัดความที่กว้างกว่ามากเมื่อเทียบกับกฎหมาย CCPA

ดูเพิ่ม 
ระเบียบการคุ้มครองข้อมูลทั่วไป

อ้างอิง 

กฎหมายภาวะเฉพาะส่วนตัว
ภาวะเฉพาะส่วนตัวสารสนเทศ
กฎหมายข้อมูล
การคุ้มครองข้อมูล
พ.ศ. 2561