فهم إطار الخصوصية في كاليفورنيا

قادت كاليفورنيا الولايات المتحدة في تشريعات خصوصية المستهلك، وتؤثر قوانينها على المواقع الإلكترونية في جميع أنحاء العالم. يُنشئ قانون خصوصية المستهلك في كاليفورنيا (CCPA)، المعدّل بشكل كبير بموجب قانون حقوق الخصوصية في كاليفورنيا (CPRA) الساري اعتباراً من يناير 2023، التزامات على أي شركة تجمع معلومات شخصية من سكان كاليفورنيا — بغض النظر عن مكان تواجد تلك الشركة فعلياً.

بالنسبة لأصحاب المواقع الإلكترونية، تتمحور الآثار العملية حول ملفات تعريف الارتباط وتقنيات التتبع وكيفية مشاركة بيانات المستخدمين مع أطراف ثالثة. بينما يختلف النموذج الكاليفورني اختلافاً جوهرياً عن GDPR الأوروبي، إلا أنه لا يزال يتطلب اهتماماً دقيقاً بآليات الموافقة وحقوق المستخدمين.

CCPA/CPRA: من يخضع للقانون؟

ينطبق القانون على الشركات الربحية التي تستوفي أياً من الحدود التالية:

• إيرادات سنوية إجمالية تتجاوز 25 مليون دولار.
• شراء أو بيع أو مشاركة المعلومات الشخصية لـ 100,000 أو أكثر من سكان كاليفورنيا أو الأسر أو الأجهزة سنوياً.
• استمداد 50 بالمائة أو أكثر من الإيرادات السنوية من بيع أو مشاركة المعلومات الشخصية لسكان كاليفورنيا.

الحد الثاني مهم بشكل خاص للمواقع الإلكترونية التي تعتمد الإعلانات. إذا كان موقعك يستخدم ملفات تعريف ارتباط الطرف الثالث للإعلانات المستهدفة ويستقبل حركة مرور كبيرة من كاليفورنيا، فقد تكون تعالج بيانات أكثر من 100,000 مستخدم كاليفورني سنوياً من خلال تلك الملفات وحدها.

إلغاء الاشتراك مقابل الاشتراك: الفرق الجوهري عن GDPR

هذا هو التمييز الأكثر أهمية الذي يجب على مشغلي المواقع فهمه. بموجب GDPR، الافتراضي هو الاشتراك: لا يمكنك تعيين ملفات تعريف الارتباط غير الأساسية حتى يوافق المستخدم بشكل فعّال. بموجب CCPA/CPRA، الافتراضي هو إلغاء الاشتراك: يمكنك معالجة المعلومات الشخصية (بما في ذلك عبر ملفات تعريف الارتباط) حتى يطلب منك المستخدم التوقف.

هذا يعني أن تجربة الموافقة لزوار كاليفورنيا تبدو مختلفة جوهرياً:

• نهج GDPR: حظر جميع ملفات تعريف الارتباط غير الأساسية. عرض شعار. انتظار الموافقة الإيجابية. ثم فقط تعيين الملفات.
• نهج CCPA/CPRA: يمكن تعيين ملفات تعريف الارتباط بشكل افتراضي. توفير رابط واضح وبارز "لا تبع أو تشارك معلوماتي الشخصية". عندما يمارس المستخدم هذا الحق، توقف عن مشاركة بياناته مع أطراف ثالثة.

ومع ذلك، هناك استثناءات مهمة. بالنسبة للقاصرين تحت سن 16 عاماً، يتحول CCPA/CPRA إلى نموذج الاشتراك — يجب الحصول على موافقة إيجابية قبل بيع أو مشاركة معلوماتهم الشخصية. بالنسبة للأطفال تحت سن 13 عاماً، يجب أن يقدم أحد الوالدين أو الوصي تلك الموافقة.

متطلب "لا تبع أو تشارك"

وسّع CPRA حق "لا تبع" الأصلي في CCPA ليشمل "المشاركة" — التي تستهدف تحديداً نوع تبادل البيانات الذي يحدث عبر ملفات تعريف ارتباط الإعلانات من أطراف ثالثة. عندما يزور مستخدم موقعك وترسل ملفات تعريف الارتباط بيانات تصفحه إلى شبكات الإعلانات، فإن ذلك يشكل مشاركة بموجب CPRA، حتى لو لم تتم أي تبادلات مالية مباشرة.

تشمل التزاماتك:

• رابط واضح بعنوان "لا تبع أو تشارك معلوماتي الشخصية" على صفحتك الرئيسية وفي سياسة الخصوصية.
• آلية للمستخدمين لممارسة هذا الحق بسهولة، دون الحاجة إلى إنشاء حساب.
• تنفيذ الطلب خلال 15 يوم عمل.
• عدم التمييز ضد المستخدمين الذين يمارسون هذا الحق (مثلاً، بتدهور تجربتهم).

Global Privacy Control (GPC)

Global Privacy Control هو إشارة على مستوى المتصفح يمكن للمستخدمين تفعيلها لإبلاغ كل موقع يزورونه تلقائياً بتفضيلهم لإلغاء الاشتراك. المتصفحات الرئيسية بما في ذلك Firefox وBrave تدعم GPC بشكل أصلي، وتضيف إضافات المتصفح الدعم لـ Chrome وغيره.

بموجب لوائح CPRA، يجب على الشركات احترام إشارات GPC كطلب إلغاء اشتراك صالح. لهذا آثار عملية مهمة:

• يجب أن يكون موقعك قادراً على اكتشاف رأس HTTP Sec-GPC: 1 أو خاصية JavaScript navigator.globalPrivacyControl.
• عند اكتشافها، يجب معاملتها كما لو نقر المستخدم على "لا تبع أو تشارك".
• يجب حظر ملفات تعريف ارتباط الطرف الثالث المستخدمة للإعلانات لهؤلاء المستخدمين.

اعتماد GPC ينمو بشكل مطرد. تشير التقديرات إلى أن 5 إلى 10 بالمائة من حركة المرور على الويب تحمل الآن إشارة GPC، وهذه النسبة أعلى بين المستخدمين المهتمين بالخصوصية في كاليفورنيا.

متى تحتاج فعلاً إلى شعار ملفات تعريف الارتباط لكاليفورنيا؟

هنا يحدث الارتباك لدى كثير من الشركات. من الناحية الدقيقة، لا يتطلب CCPA/CPRA شعار موافقة على ملفات تعريف الارتباط بالنمط الأوروبي بسبب نموذج إلغاء الاشتراك. ومع ذلك، تحتاج إلى:

• رابط "لا تبع أو تشارك" يسهل الوصول إليه.
• آلية لقمع مشاركة بيانات الطرف الثالث عندما يلغي المستخدم اشتراكه أو يرسل إشارة GPC.
• سياسة خصوصية تفصح عن فئات المعلومات الشخصية المجمعة والأغراض والأطراف الثالثة التي تتم مشاركة البيانات معها.
• بالنسبة للمواقع التي تخدم أيضاً زوار أوروبيين، شعار موافقة متوافق مع GDPR يمكن أن يتعايش مع آلية إلغاء الاشتراك الخاصة بـ CCPA.

عملياً، تنفذ معظم المواقع الإلكترونية التي تخدم كلاً من الجماهير الأوروبية والكاليفورنية واجهة موافقة موحدة تكيّف سلوكها بناءً على موقع الزائر. هذا يتجنب الحفاظ على نظامي موافقة منفصلين تماماً.

اعتبارات التنفيذ العملي

تنفيذ الامتثال لـ CCPA/CPRA إلى جانب الامتثال لـ GDPR يخلق تحدي الوضع المزدوج. تحتاج منصة إدارة الموافقة الخاصة بك إلى:

1. اكتشاف موقع الزائر بدقة باستخدام تحديد الموقع الجغرافي المبني على عنوان IP.
2. تطبيق الإطار القانوني الصحيح — الاشتراك لزوار المنطقة الاقتصادية الأوروبية/المملكة المتحدة، وإلغاء الاشتراك لزوار كاليفورنيا، وربما لا متطلبات للزوار من مناطق أخرى.
3. إدارة رابط "لا تبع أو تشارك" لزوار كاليفورنيا، سواء داخل الشعار أو كعنصر مستقل في الصفحة.
4. اكتشاف واحترام إشارات GPC قبل تعيين أي ملفات تعريف ارتباط من أطراف ثالثة.
5. التحكم في سلوك ملفات تعريف الارتباط وفقاً لذلك — حظر ملفات تعريف ارتباط الإعلانات من أطراف ثالثة للمستخدمين الذين ألغوا اشتراكهم مع السماح لتحليلات الطرف الأول بالاستمرار.

يجب أن يراعي التنفيذ التقني أيضاً التمييز بين ملفات تعريف ارتباط التحليلات من الطرف الأول (المسموح بها عموماً بموجب CCPA/CPRA كغرض تجاري) وملفات تعريف ارتباط الإعلانات من أطراف ثالثة (التي تشكل مشاركة وتخضع لإلغاء الاشتراك).

الاستهداف الجغرافي لـ FlexyConsent لزوار كاليفورنيا

يتعامل FlexyConsent مع تحدي الوضع المزدوج من خلال الاستهداف الجغرافي التلقائي. عندما يصل زائر من كاليفورنيا إلى موقعك، يعدّل FlexyConsent سلوكه ليتوافق مع متطلبات CCPA/CPRA:

• تفعيل وضع إلغاء الاشتراك: بدلاً من حظر جميع ملفات تعريف الارتباط مقدماً، يعرض FlexyConsent خيار "لا تبع أو تشارك معلوماتي الشخصية" المطلوب بشكل بارز.
• اكتشاف إشارة GPC: يتحقق FlexyConsent تلقائياً من إشارة Global Privacy Control، وعند وجودها، يقمع مشاركة بيانات الطرف الثالث دون الحاجة إلى أي تفاعل من المستخدم.
• الحظر المدرك للفئات: عندما يلغي مستخدم كاليفورني اشتراكه، يحظر FlexyConsent بشكل انتقائي ملفات تعريف ارتباط الإعلانات والتتبع عبر المواقع مع الحفاظ على وظائف التحليلات من الطرف الأول التي تندرج تحت استثناء الغرض التجاري.
• التعايش السلس مع GDPR: نفس تثبيت FlexyConsent يتعامل مع كلا الإطارين. يرى الزوار الأوروبيون شعار موافقة متوافقاً مع GDPR مع ضوابط فئات دقيقة. يرى زوار كاليفورنيا آلية إلغاء الاشتراك المناسبة. يتلقى الزوار من المناطق غير المنظمة إشعاراً بسيطاً أو لا شعار على الإطلاق، حسب إعداداتك.

باعتباره CMP معتمداً من Google يدعم IAB TCF 2.3 وConsent Mode V2، يضمن FlexyConsent أن إشارات الموافقة يتم توصيلها بشكل صحيح لخدمات Google بغض النظر عن الإطار القانوني المطبق. هذا يعني أن إعدادات Google Analytics وGoogle Ads تعمل بشكل صحيح لكل من المستخدمين الأوروبيين المشتركين والمستخدمين الكاليفورنيين غير الملغين للاشتراك.

الخلاصة الرئيسية: قد يبدو نموذج إلغاء الاشتراك في كاليفورنيا أقل تقييداً من نهج الاشتراك في GDPR، لكن المتطلبات العملية — خاصة حول إشارات GPC والتعريف الواسع لـ "المشاركة" — تعني أن معظم المواقع المدعومة بالإعلانات تحتاج إلى حل متطور لإدارة الموافقة. تنفيذ موافقة مستهدفة جغرافياً تتكيف مع كلا الإطارين أكثر موثوقية بكثير من محاولة تطبيق نهج واحد عالمياً.