Американский закон о конфиденциальности и защите данных: что нужно знать брендам

Крупный законопроект, защищающий права потребителей на неприкосновенность частной жизни во всех 50 штатах, вышел из комитета Палаты представителей США, что стало первым случаем, когда такой масштабный законопроект продвинулся так далеко.

Американскому закону о защите данных и конфиденциальности (ADPPA) предстоит пройти долгий путь, прежде чем он станет законом, но бренды должны знать о его положениях и их потенциальном влиянии на бизнес.

Что такое Американский закон о конфиденциальности и защите данных?

ADPPA устанавливает требования к тому, как компании и организации, в том числе некоммерческие, должны обрабатывать персональные данные, включая информацию, которая идентифицирует человека или может быть обоснованно связана с ним.

Законопроект затронет большинство организаций, занимающихся сбором данных. Это также относится к организациям, которые обрабатывают так называемые «покрытые данные» и подпадают под действие Закона о Федеральной торговой комиссии (Закон о Федеральной торговой комиссии). Любой бизнес или некоммерческая организация, которые собирают, обрабатывают или передают данные, которые можно обоснованно связать с отдельными лицами, скорее всего, будут подчиняться закону. Это не будет применяться к государственным организациям.

ADPPA ограничивает использование в бизнесе личных данных. Он в значительной степени запрещает организациям собирать, обрабатывать или передавать личные данные сверх того, что разумно необходимо для предоставления услуги, запрошенной физическим лицом.

Однако законопроект включает 17 допустимых исключений, охватывающих такие действия, как необходимость аутентификации пользователей и предотвращение мошенничества.

Брокеры данных столкнутся с дополнительными обязательствами в соответствии с ADPPA, включая регистрацию в FTC, которая создаст и будет поддерживать доступный для поиска онлайн-реестр, содержащий имена этих организаций. Также будет создан реестр «Не собирать», который позволит пользователям запрашивать у брокеров данных удаление их информации в течение 30 дней.

Защита конфиденциальности потребителей и безопасность данных

Сторонники конфиденциальности уже давно стремятся предоставить потребителям больше информации и контроля над их личной информацией. В соответствии с предлагаемым американским Законом о конфиденциальности и защите данных предприятия должны разрешать пользователям доступ, исправление и удаление своих личных данных.

Предприятиям необходимо иметь механизмы для реагирования на все запросы пользователей, чтобы просматривать и корректировать любые данные, которые организации имеют о них.

С помощью ADPPA законодатели стремятся сократить количество утечек данных, сделав безопасность данных обязательной. Только в первой половине этого года произошло около 2000 утечек данных, многие из которых касались информации, позволяющей установить личность, или PII.

Компании, которые не могут продемонстрировать, что они сделали все возможное для защиты данных клиентов, могут в конечном итоге столкнуться с жесткими штрафами и санкциями, хотя правоприменение еще не полностью разработано (законопроект включает пункт, в котором говорится, что Федеральной торговой комиссии необходимо будет создать бюро конфиденциальности). справиться с этим).

Компании со штатом более 15 сотрудников также должны иметь сотрудника по вопросам конфиденциальности и безопасности данных.

Дополнительные положения ADPPA

Согласно проекту, законопроект о конфиденциальности данных потребует от компаний прозрачности в отношении того, что они делают с данными потребителей и как они их защищают. Им необходимо будет публично раскрыть свою политику конфиденциальности «четким, заметным, не вводящим в заблуждение и легкодоступным способом.

Политики должны будут подробно описывать типы данных, которые собирает организация, а также то, как и когда она их собирает, обрабатывает и передает.

ADPPA ограничивает или запрещает многие формы целевой рекламы, особенно для несовершеннолетних . Некоторые говорят, что это наложит самые строгие ограничения в США и, возможно, во всем мире.

Компании должны быть предельно осторожны, чтобы не оказывать давление на несовершеннолетних с целью раскрытия каких-либо ненужных личных данных или направленного маркетинга или рекламы непосредственно на них.

Потребители могут подать в суд на компании за предполагаемые нарушения конфиденциальности. Через два года после принятия ADPPA пользователи могут подавать иски о таких средствах правовой защиты, как судебный запрет, возмещение убытков и разумные гонорары адвокатов, если они считают, что организация неправильно обработала их личные данные.

Федеральный закон о конфиденциальности данных: нет уверенности

Несмотря на двухпартийное желание что-то сделать с конфиденциальностью данных и поддержкой потребителями положений законопроекта, остаются значительные препятствия на пути его принятия.

Например, законодатели из штатов с существующими правилами конфиденциальности, включая Коннектикут, Колорадо, Юту, Вермонт и Калифорнию, выразили опасения, что ADPPA может превзойти меры защиты, которые они уже приняли для своих граждан. Калифорнийские законодатели, в частности, обеспокоены тем, что это подорвет их знаменательный Калифорнийский закон о конфиденциальности потребителей 2018 года (CCPA), а также другую инициативу, вступающую в силу в следующем году.

После принудительной проверки онлайн-бизнеса генеральный прокурор Калифорнии Роб Бонта объявил в августе о мировом соглашении с Sephora в размере 1,2 миллиона долларов за якобы неуведомление потребителей о продаже их данных, за неспособность обработать запросы пользователей на отказ от такой практики и за неспособность устранить свои нарушения достаточно быстро. Другие ритейлеры получили уведомления о том, что они должны исправить свои нарушения CCPA.

В то время как поправка к ADPPA пытается успокоить законодателей Калифорнии формулировками, в которых конкретно указывается, что CCPA остается в силе, некоторые по-прежнему считают закон штата угрозой и выступают против федерального законодательства.

Неудивительно, что брокеры данных выступают против этого, а Торговая палата США назвала его «неработоспособным».

Независимо от этих битв, на Капитолийском холме есть чувство оптимизма, что ADPPA найдет достаточную поддержку для прохождения. После интенсивных переговоров законопроект был относительно невредим из Комитета Палаты представителей по энергетике и торговле. Однако, учитывая предстоящие в ноябре промежуточные выборы, возможно, законодатели предпочтут позволить следующему Конгрессу решить будущее ADPPA.

Даже если он не будет ратифицирован, импульс, стоящий за ADPPA, предполагает, что будет принят федеральный закон о конфиденциальности данных, и предприятия должны быть готовы и способны отреагировать.