Was Sie über die jüngsten IAB-Änderungen zur CCPA-Compliance wissen sollten

Kürzlich hat das IAB (Interactive Advertising Bureau) Änderungen an der CCPA-Vereinbarung zur Compliance veröffentlicht.

Was Sie über die jüngsten IAB-Änderungen zur CCPA-Compliance wissen sollten

Die Änderungen richten sich an alle Unterzeichner der Limited Service Provider Agreement (LSPA) und fordern sie auf, ihre Registrierungsinformationen zu aktualisieren. Im Zusammenhang mit dem California Consumer Privacy Act (CCPA), der einige Unternehmen dazu verpflichtet haben könnte, die IAB Privacy Limited Service Provider Agreement (LSPA) zu unterzeichnen, um den Compliance-Prozess abzuschließen, gibt es nun – nur ein Jahr nach ihrer Einführung – Aktualisierungen dieser Vereinbarung. Dies geschieht, nachdem das IAB die Vorschriften und Marktpraktiken seit der ersten Veröffentlichung der Vereinbarung überprüft und sich Zeit genommen hat zu überlegen, was aktualisiert werden muss.

Eine der größten Änderungen betrifft die Pflichten der Publisher und die Definition des Begriffs „Weiterverkauf" (Re-Sale). Unternehmen, die die Vereinbarung bereits unterzeichnet haben, müssen im Rahmen ihrer Registrierung neue Informationen bereitstellen; hierfür hatten die Unternehmen Zeit bis zum 7. Mai 2021.

Die Aktualisierungen der LSPA gelten seit dem 7. Mai 2021, und es wird erwartet, dass Unternehmen diese Änderungen einhalten und sich daran anpassen.

Überarbeitungen der LSPA

Werfen wir einen Blick auf die wesentlichen Änderungen seit der ersten Veröffentlichung der CCPA-IAB-Vereinbarung:

Definition von „Weiterverkauf" (Re-Sale)

Zuvor war die Definition etwas mehrdeutig; die neue Überarbeitung enthält eine aktualisierte Fassung. Sie besagt nun klarer, dass es sich um „einen Verkauf durch einen Downstream-Teilnehmer nach einem Verkauf an diesen Downstream-Teilnehmer durch die Publisher Digital Property" handelt, wodurch stärker herausgestellt wird, was als „Weiterverkauf" gilt.

Aktualisierte Hinweispflichten für Publisher

Die neuen Änderungen umfassen nun unterschiedliche Hinweispflichten für Publisher, wenn ein Verbraucher auf einen Link klickt.

• Eine klare Offenlegung, dass Downstream-Teilnehmer die personenbezogenen Daten des Verbrauchers, die ihnen vom Publisher verkauft wurden, weiterverkaufen dürfen.

• Eine klare Offenlegung, dass der Verbraucher das Recht hat, dem Weiterverkauf seiner personenbezogenen Daten zu widersprechen (Opt-out). Der Publisher muss diesen Prozess nun einfacher und zugänglicher für den Verbraucher gestalten, indem er ihm eine Liste der Downstream-Teilnehmer zur Verfügung stellt, bei denen er widersprechen kann. Diese Ergänzung erfüllt die Anforderung der „ausdrücklichen Benachrichtigung" gemäß CCPA für Downstream-Teilnehmer.

• Wegfall der Pflicht zur „90-Tage-Rückblickperiode" in Bezug auf Verkäufe. Diese war in der ursprünglichen Version der LSPA enthalten, wurde jedoch nie in den endgültigen Verordnungstext übernommen und wurde daher zur Klarstellung nun entfernt. Wegfall verschiedener anderer Pflichten, die für die nach dem CCPA oder dessen Verordnungen erforderliche Benachrichtigung nicht relevant sind, um näher am CCPA-Gesetz zu bleiben.

• Neue Einschränkungen beim Weiterverkauf personenbezogener Daten: Die neue Vereinbarung besagt nun, dass ein Downstream-Teilnehmer bei Non-Opt-Out-Transaktionen, bei denen das LSPA-Transaktionssignal auf „Ja" gesetzt ist, personenbezogene Daten nur dann weiterverkaufen darf, wenn er gemäß CCPA ebenfalls einen „Meine personenbezogenen Daten nicht verkaufen"-Link bereitstellt.

• Änderungen bei Anfragen zur Datenlöschung: Im Rahmen der neuen Vereinbarung müssen Unternehmen nun eine Zusicherung und Gewährleistung abgeben, dass die Unterzeichner die Spezifikation des IAB Tech Lab für Anfragen zur Datenlöschung umsetzen werden.

• Keine Anforderungen mehr für IPDPs: Die Definition von „In Process Data Providers" sowie alle weiteren Verweise auf dieses Konzept wurden gestrichen.

LSPA-Registrierung

Die IAB-Organisation stellt für diese neu erforderliche Registrierung eine neue, optimierte Weboberfläche bereit. Diese Oberfläche enthält auch Verwaltungsfunktionen für Unternehmen, die die LSPA unterzeichnet haben.

Für Unternehmen, die sich bereits registriert haben, wurden die Daten in das neue System migriert. Sie sollten eine E-Mail zu diesem Vorgang erhalten haben, die sie im neuen System willkommen heißt. Über diese Oberfläche können Unternehmen ihre Registrierung verwalten und Links mit Nachweisen zu ihrem Opt-out-Hinweis bereitstellen, um die oben genannten geänderten Hinweispflichten zu erfüllen.

Aktualisierter US Privacy String

Ein weiterer wichtiger Punkt: Auch der US Privacy String wurde aktualisiert.

• Version 1–1.1 besagte (zusammengefasst): Publisher müssen ein Ja/Nein-Signal senden, das angibt, ob der Publisher eine ausdrückliche Benachrichtigung bereitgestellt hat.

• Version 1.2 besagt nun (zusammengefasst): Das Ja/Nein-Signal für CCPA gibt nun an, ob ein Publisher eine Benachrichtigung bereitgestellt hat, die dem Verbraucher die Möglichkeit gibt, dem Verkauf seiner personenbezogenen Daten zu widersprechen (Opt-out).

Weitere Informationen darüber, wie UniConsent für CCPA-Compliance funktioniert, finden Sie hier.

Über UniConsent

UniConsent ist Teil der datenschutzorientierten User Experience Platform von Transfon, die täglich Dutzende Millionen Nutzer bedient, um sowohl Nutzern als auch Publishern im Zeitalter nach der DSGVO ein nahtloses Datenschutzerlebnis zu bieten. Kontaktieren Sie uns für weitere Informationen: hello@uniconsent.com