營銷人員現在應該採取具體步驟，為2023年CA的CPRA做準備

上週，加州選民通過了《提案24》，即《加州隱私權和執行法》（CPRA）。 它以僅在今年才生效的《加利福尼亞消費者隱私法》（CCPA）為基礎。 CPRA計劃在2023年取代它。

除其他外，CPRA擴展了涵蓋的數據類型（與第三方“共享”的任何數據）； 它還闡明了需要特別注意的敏感個人信息的特定類別。 它使消費者（和員工）可以選擇退出“自動決策技術”（機器學習）。 並且它創建了專門的執法機構以確保合規性。

我們邀請了許多數字營銷商和技術公司為品牌，發行商和廣告商提供具體建議，以說明他們現在或應該為CPRA做準備。 我們的專家包括Ethyca首席執行官Cillian Kieran ； Wpromote數字智能副總裁Simon Poulton ； 數字政策顧問Kristina Podnar ； Aqilliz首席執行官Gowthaman Ragothaman； 和Tealium的首席營銷官Heidi Bullock 。

Kristina Podnar，數字政策顧問兼作者

引入/增加透明度。 CPRA圍繞數據使用引入了一系列新要求，旨在提高透明度。 對於經過適應該法規的營銷商來說，這將是GDPR的縮水。 但是對於任何尚未受GDPR約束的營銷商來說，這都是艱難的攀登。 企業應該開始通過設計和治理實踐來關注數據隱私。 具體而言，請注意數據最小化。 換句話說，僅收集您需要做的事情，說您將為用戶做的事情，告訴用戶您將保留他們的數據多長時間，不要超出自己的營銷需求的時間範圍，而只能做根據您告訴用戶的數據，您將對其進行處理。 營銷人員將需要開始關注他們收集什麼數據，為什麼收集它們以及在整個生命週期中如何管理這些數據。

顯示您做什麼和不控制。 大多數數字營銷人員都忽略了AI和ML在營銷堆棧中的進步，而只關注前端功能和所需的客戶體驗結果。 CPRA的結果將需要改變，因為CPRA現在認識到需要圍繞這種機器驅動功能加強監管。 營銷人員現在需要告訴用戶是否正在對他們進行概要分析，並使用這些功能來投放廣告和促銷。 企業需要針對當今已經存在的跨設備，跨渠道，跨業務的跟踪和銷售進行調整。 為什麼？ 因為在CPRA下，用戶現在可以說“不要那樣追踪我”。 從用戶的角度來看，這應該消除營銷系統中的“令人毛骨悚然”的噪音。 但是，這無疑會使營銷人員更加困難，並導致更多業務轉向零和第一方數據模型。

停止控制用戶。 與上述相關，CPRA專門限制企業禁止用戶參與任何跨上下文行為廣告。 換句話說，營銷人員需要保持透明，不能再以被動的方式將用戶推向服務或產品（例如，營銷人員不能使用暗模式來收集協議/同意）。 營銷人員的任務是重新考慮包括CMP在內的同意結構，以避免當今普遍存在的黑暗模式和隱含同意。

Wpromote數字智能副總裁Simon Poulton

符合CCPA。 由於CPRA直到2023年才生效，因此請在不久的將來（如果您尚未這樣做）著重遵守CCPA。 在許多情況下，CPRA擴展了CCPA涵蓋的內容，因此此處的合規性仍將是朝著正確方向邁出的一步。 請注意，CPRA涵蓋的所有法規將適用於2022年1月1日起收集的所有數據。

分享=銷售。 根據CCPA，某些品牌（例如星巴克）明確表示，他們不認為共享數據是銷售。 現在已經明確定義，品牌應該注意所有數據共享要點。

庫存您的cookie。 如果您還沒有這樣做的話，那麼現在正是時候複查網站上存在的所有cookie和數據共享功能，並對它們的作用進行分類。 您的法律團隊可能需要盡快（而不是稍後）進行審查。

Ethyca創始人兼首席執行官Cillian Kieran

查看您對收集，處理或存儲的數據進行分類的能力。 CPRA中關於如何對用戶數據進行分類還有很多細微差別，並且包括營銷人員在內的處理者需要能夠謹慎對待不同類別的個人信息。 一個明顯的例子是引入敏感的個人信息（SPI）。 CPRA允許用戶指定其SPI僅用於商品或服務的基本交付。 這需要對後端系統中的數據流進行更細粒度的控制。

查看所有合同，無論您是承包商還是承包商。 對於您與合作夥伴之間的數據關係，CPRA需要更高的特異性。 受CPRA約束的企業使用的任何分包商也必須能夠提供CPRA級別的隱私保護。 根據IAPP的規定，“第三方，服務提供商或承包商[必須]達成一項協議，將接受者約束到該行為所提供的相同級別的隱私保護中，授予企業採取合理和適當步驟糾正未經授權的使用的權利，並且要求接收者在無法遵守時通知企業。”

從表面上看，我們將為您提供一個簡單的方法（儘管您需要花費大量時間來重新檢查數據“銷售”與數據“共享”）。 您在首頁上放置的“請勿出售我的個人信息”鏈接，將其調整為：“請勿出售或分享我的個人信息。”

Aqilliz首席執行官Gowthaman Ragothaman

永久保留第三方數據。 CPRA中的一項重大修訂與CCPA的“請勿出售”條款的修訂有關，該條款現在涵蓋了數據共享的做法，通常將其用作跨站點行為廣告和受眾群體定位的一部分。

對於已經開始努力應對即將淘汰的第三方Cookie的營銷商和大型科技公司而言，這不足為奇。 在此階段，營銷人員應該已經在探索替代方法，以限制將第三方數據用於受眾群體定位。 與已經開發出自己的或加入數據聯合會的第一方數據池的發布者網絡進行戰略合作，將是至關重要的。 營銷人員還必須充分審查發布商合作夥伴，以確保以明顯的，符合道德的方式獲取數據。

保持計數。 與歐盟的《通用數據保護條例》相似，CPRA要求更為嚴格的報告要求，這反映了GDPR在《加工活動記錄》中的條款。 無論數據共享發生在何處，公司都將有責任直接或間接披露有關給定消費者的所有信息。

有鑑於此，營銷人員應準備加強現有技術投資，以納入記錄保存工具。 現在，盡職調查將比以往更加重要。 在整個生命週期中擁有數據的歷史記錄，對於確保營銷人員為CPRA要求的更嚴格的報告和披露做好充分準備至關重要。

專注於必要的東西，而不是擁有的東西。 CPRA還擴大了其定義為“敏感個人信息”的範圍。 除了諸如信用卡號和政府頒發的標識符之類的金融帳戶信息外，現在還擴展到包括種族或族裔血統，性取向，宗教信仰，以及最重要的是“精確地理位置”，這對於定位受眾至關重要。 根據CPRA，消費者現在將能夠限制敏感個人信息的使用和披露。

當營銷人員著眼於細分受眾群和目標定位工作的未來時，將需要進行重大更改。 儘管從歷史上看，該行業一直沉迷於數據豐富的心態，但營銷人員將需要通過將數據最小化放在心上，以進行重要的思維轉變。 為了確保適當的數據最小化實踐，企業不僅應重新檢查其數據保留實踐以確保適當的保留時間，而且還應考慮將數據，存儲和目標最小化集成到其數據管理策略中。 還應包括用於收集和使用敏感個人信息的退出選項。 受眾互動策略將需要重新定義，並進一步發展。 現在還應該在更好地實現數據最小化文化的基礎上選擇技術供應商和基礎架構。

海蒂·布洛克（Heidi Bullock），Tealium首席營銷官

在同意的情況下了解您的數據。 品牌需要知道其數據的確切內容和來源，尤其是當我們面對充滿眾多新法規的未來時。 這包括查明所收集的數據類型（從呼叫中心到電子郵件和網站數據），以及數據在整個公司中的流動方式。 需要考慮的其他因素包括數據的來源，如何存儲以及品牌如何使用數據。 所有這些都需要在收集到的個人同意的背景下完成，這為如何使用每個人的數據制定了規則。

更新品牌政策。 最好重新審視CCPA政策，並確保所有流程都得到更新以遵守最新法規，包括CPRA的新更正權。 確保政策仍與員工和消費者保持一致並清晰易懂，有助於維護對整個品牌隱私的總體了解。

保持消費者的信任。 這是至關重要的，特別是因為這些法規符合消費者的最大利益。 Tealium最近的一項研究發現，在COVID之前，有91％的消費者希望州或聯邦政府採取嚴格的法規來保護其數據。

確認新的治理概念。 CPRA現在限製品牌在新的存儲限制要求中保留個人信息的時間，因此在收集，利用或共享消費者數據時確保使用合理的窗口時，務必考慮此時間表。 以自動化，實時的方式在個人級別上管理數據的能力對於公司遵守這些新概念至關重要。

指定隱私專家。 隨著越來越多的法規浮出水面，品牌在內部分配任務以保持問責制和組織性變得至關重要。 內部流程與面向消費者的溝通同樣重要。 現在，比以往任何時候都更需要對Martech擁有深刻了解的隱私專家，因為僅Martech的複雜性就使公司事先變得忙碌。