هل تعتقد أن الخصوصية لأوروبا فقط؟ فكر مرة اخرى.

تم تنفيذ اللائحة العامة لحماية البيانات (GDPR). وقد أثرت فقط على الشركات العاملة في الاتحاد الأوروبي على أي حال. حق؟

ليس صحيحا.

1. الخصوصية لا يتم "إتمامها" أبدًا. يعد الامتثال مطلبًا دائمًا ويجب على الشركات أن تراقب باستمرار نقاط الاتصال الخاصة بهم ، وممارسات جمع البيانات الخاصة بهم ، ومنطق معالجة البيانات الخاصة بهم ، ونفس مجموعة الاعتبارات لبائعيها ، على أساس مستمر.
2. أثر القانون العام لحماية البيانات على جميع الشركات التي عالجت بيانات مواطني الاتحاد الأوروبي - وليس فقط الشركات الموجودة في أوروبا.
3. كانت اللائحة العامة لحماية البيانات بمثابة قمة جبل الجليد. أصبح العالم على دراية بتهديدات جمع البيانات القاسية ومعالجتها مع الإفلات من العقاب. نعم ، استيقظت أوروبا أولاً. لكن هذا لا يعني أن الولايات المتحدة وبقية العالم ستظل نائمة.

في الواقع ، بدأت الولايات المتحدة بالفعل على الطريق نحو لوائح الخصوصية الثورية. مع تمرير القوانين في ولايات كاليفورنيا ونيفادا وماين ومشاريع القوانين المخطط لها في العديد من الولايات الأخرى ، يجب أن تتوقع الشركات أن تتأثر في الأشهر المقبلة.

تفصل هذه المقالة الأجزاء الحاسمة من قانون / قانون تنظيم الخصوصية لكل ولاية - بما في ذلك من يغطون ، عندما تدخل حيز التنفيذ ، والعقوبات ، وكيفية تحقيق الامتثال ، ولماذا تولت الولايات زمام الأمور أمام الحكومة الفيدرالية لحماية البيانات الشخصية للمستهلكين وكذلك كيف يمكن لتبني امتثال الخصوصية أن يفيد عملك.

اللائحة الفيدرالية الأمريكية؟

في خطاب إلى قادة الكونجرس في العاشر من سبتمبر ، حث الرؤساء التنفيذيون للمائدة المستديرة للأعمال صانعي السياسات على تمرير قانون خصوصية البيانات الوطني الشامل ، في أقرب وقت ممكن ، والذي يعزز الحماية للمستهلكين الأمريكيين ويضع إطارًا لتمكين الابتكار والنمو المستمر في الاقتصاد الرقمي.

تم إرسال الرسالة ، التي وقعها 51 من الرؤساء التنفيذيين ، إلى قيادة مجلسي النواب والشيوخ وقادة مجلس النواب للطاقة والتجارة ولجان التجارة والعلوم والنقل في مجلس الشيوخ.

من منظور الأعمال التجارية في الولايات المتحدة ، لم يكن هناك وقت أفضل لإدخال قانون حماية البيانات الفيدرالي.

ينص القانون العام لحماية البيانات (GDPR) على أن أي شركة تقوم بجمع البيانات عن الأفراد المقيمين داخل الاتحاد الأوروبي يجب أن تمتثل للتشريع - سواء كان مقر تلك الشركة في الاتحاد الأوروبي أم لا. هذا يعني أن العديد من الشركات الأمريكية تمتثل بالفعل للائحة العامة لحماية البيانات من أجل العمل دوليًا ، ولديها إطار عمل لتوسيع هذا الامتثال لسوق الولايات المتحدة.

الأمر مختلف بالنسبة للشركات الوطنية الأمريكية. أصبح الامتثال لحماية البيانات كابوسًا ، مع (يحتمل) ما يصل إلى 50 قانونًا مختلفًا للولاية بمواصفات ومتطلبات مختلفة. من شأن قانون فيدرالي أن يبسط هذا الأمر ، ويوفر تشريعاً واحداً موحداً في جميع الولايات.

قوانين الولاية الأمريكية

ردا على ذلك ، اتخذت الدول إجراءات كثيرة في وقت سابق.

مع تمرير القوانين في ثلاث ولايات ، ومشاريع القوانين المقترحة في دول أخرى ، وقيام العديد من الولايات بتمرير قوانين جديدة للإعلام بخرق البيانات ، نشهد بداية تحول هائل نحو حماية بيانات المستهلك والمساءلة للشركات التي تتحكم فيها وتعالجها.

قام IAPP Westin Research Center بتجميع القائمة أدناه لفواتير الخصوصية الشاملة المقترحة والتي تم إصدارها من جميع أنحاء البلاد لمساعدة جهود الأعمال على مواكبة المشهد المتغير لخصوصية الدولة.

على الرغم من أن العديد من مشاريع القوانين المدرجة في الخريطة ستفشل في أن تصبح قانونًا ، إلا أن مقارنة الأحكام الرئيسية في كل مشروع قانون يمكن أن يكون مفيدًا في فهم كيفية تطور الخصوصية في الولايات المتحدة.

كاليفورنيا

كأحد قوانين الخصوصية الأولى التي تم تمريرها بعد اللائحة العامة لحماية البيانات ، فإن قانون خصوصية المستهلك في كاليفورنيا (CCPA) يعمل كمخطط لفواتير أخرى في الولايات المتحدة. اعتبارًا من 1 كانون الثاني (يناير) 2020 ، يسري قانون خصوصية المستهلك في كاليفورنيا (CCPA) على الأعمال التي تجمع / تعالج البيانات الشخصية لسكان كاليفورنيا أو تقوم بأعمال تجارية في كاليفورنيا.

تخضع هذه الشركات لقانون CCPA إذا كانت:

• تجاوز إجمالي الإيرادات 25 مليون دولار
• شراء أو استلام أو بيع أو مشاركة (إجمالي) المعلومات الشخصية لـ 50000 أو أكثر من المستهلكين أو الأجهزة
• احصل على 50٪ أو أكثر من الإيرادات السنوية من بيع المعلومات الشخصية للمستهلك

تمنح CCPA حقوقًا للمستهلكين مماثلة للائحة العامة لحماية البيانات ، بما في ذلك الكشف عن المعلومات الشخصية وطلبات البيانات الشخصية. يتعين على الشركات الاستجابة لطلبات المستهلكين التي يمكن التحقق منها بالمعلومات ، مثل فئات وبيانات المعلومات الشخصية والأطراف الثالثة وفئات الأطراف الثالثة التي تتم مشاركة البيانات معها والمزيد.

هذا القسم ، المعروف باسم طلبات موضوع البيانات (DSR) ، يمنح المستخدمين الوصول إلى خيارات معلوماتهم الشخصية وحذفها. أيضًا ، تتطلب CCPA أن تعرض الشركات ارتباط "لا تبيع معلوماتي الشخصية" على صفحتها الرئيسية.

سيتم تطبيق قانون CCPA من قبل المدعي العام ويتضمن غرامات تصل إلى 7500 دولار لكل انتهاك فردي.

نيفادا

تم التوقيع على قانون الخصوصية في نيفادا في 29 مايو 2019 ، ولكنه ساري المفعول في 1 أكتوبر 2019 ، قبل ثلاثة أشهر من قانون حماية خصوصية المستهلك (CCPA) المعروف. القوانين متشابهة للغاية ولكن لها اختلاف كبير في كيفية تعريف "البيع". قانون نيفادا أضيق ، لا يغطي جميع مقدمي الخدمات ويكون أكثر تساهلاً مع المؤسسات المالية.

وفقًا لـ InfoLawGroup ، فإن قانون CCPA وقانون نيفادا متشابهان من حيث أن كلاهما يتطلب "الشركات للتوصل إلى عملية للتحقق من شرعية طلب إلغاء الاشتراك من المستهلك ويطلب من الشركات الاستجابة للطلب في غضون 60 يومًا".

على غرار ولاية كاليفورنيا ، تقع مسؤولية إنفاذ نيفادا على عاتق المدعي العام وتشمل غرامات تصل إلى 5000 دولار لكل انتهاك.

مين

تم التوقيع على قانون الخصوصية في ولاية ماين في 6 يونيو 2019 ، ولكنه سيدخل حيز التنفيذ في 1 يوليو 2020. يحظر هذا القانون مزودي خدمة الإنترنت (ISPs) من بيع أو مشاركة أو منح أطراف ثالثة إمكانية الوصول إلى بيانات عملائهم ، ما لم يتم تقديمهم صراحةً موافقة هؤلاء العملاء. مع التغييرات ،

يتمتع سكان ماين الآن بطبقة إضافية من الحماية لرسائل البريد الإلكتروني والمحادثات عبر الإنترنت وسجل المتصفح وعناوين IP وبيانات تحديد الموقع الجغرافي التي يتم جمعها وتخزينها بشكل شائع من قبل شركات قطاع الاتصالات والتكنولوجيا.

لذلك ، في حين أن CCPA تمنح العملاء الحق في الانسحاب ، فإن هذا القانون الجديد يمنع مزودي خدمات الإنترنت من استخدام بيانات العملاء ما لم يختار العميل ذلك. هذا المطلب يتجاوز قانون CCPA أو قانون Nevada وهو فريد نسبيًا بين قوانين الخصوصية الأمريكية ، والتي بشكل عام تفضل الموافقة على الانسحاب.

لا تنتظر - استعد الآن:

وفقًا لمسح أجرته شركة برايس ووترهاوس كوبرز لعام 2018 ، فإن 64٪ من الشركات لم تبدأ بعد في الاستعداد للوائح قانون حماية خصوصية المستهلك في كاليفورنيا.

هل أجلت بدء رحلة الامتثال الخاصة بك؟ هل بدأت العملية ، لكنك تجد نفسك تواجه تحديًا في المواعيد النهائية التي تقترب بسرعة؟

فيما يلي قائمة بالإجراءات الواعية التي يمكنك اتخاذها كعمل تجاري للسير في طريق الامتثال لمعظم القوانين الحالية ، وتلك التي سيتم فرضها في المستقبل القريب.

الخطوة 1: تحديث إشعارات وسياسات الخصوصية

مع كل رسائل البريد الإلكتروني "لقد قمنا بتحديث سياسة الخصوصية الخاصة بنا" (الامتثال للائحة العامة لحماية البيانات) التي تم تلقيها في مايو 2018 ، فمن المعقول توقع موجة أخرى ، هذه المرة ، متوافقة مع قانون حماية خصوصية المستهلك أو نيفادا أو ولاية مين ، في الربع الثالث من عام 2019.

تتطلب هذه القوانين أن تقدم الشركات المشمولة "عند نقطة التجميع أو قبلها" إشعارًا للمستهلكين لإبلاغهم بفئات المعلومات الشخصية التي تجمعها الشركة والغرض من استخدام المعلومات من قبل الشركة.

يجب أن يحدد الإشعار أيضًا بشكل صريح فئات المعلومات الشخصية التي يتم جمعها أو الكشف عنها أو بيعها ، وللمستهلكين حق جديد في إلغاء الاشتراك في بيع معلوماتهم.

ستحتاج الشركات أيضًا إلى تحديث سياسات الخصوصية الخاصة بها لتشمل وصفًا لحقوق المستهلك الجديدة الأخرى.

نظرًا لأنه يتعين على العديد من الشركات تحديد متى تصبح متوافقة مع اللائحة العامة لحماية البيانات (GDPR) ، قبل إجراء تحديثات السياسة المطلوبة قانونًا ، ستحتاج الشركات إلى تحديد ما إذا كانت ستحتفظ بإشعار خصوصية واحد لكل مقيم في الولاية أم لديها سياسة عامة واحدة.

الخطوة 2: تحديث قوائم جرد البيانات وعمليات الأعمال واستراتيجيات البيانات

سيتعين على الشركات أيضًا الاحتفاظ بمخزون البيانات ، وهو أساسًا قاعدة بيانات لتتبع أنشطة معالجة البيانات الخاصة بها ، بما في ذلك العمليات التجارية والجهات الخارجية والمنتجات والأجهزة والتطبيقات التي تعالج بيانات المستهلك الشخصية.

يتعين على الشركات التي كان عليها أن تصبح متوافقة مع القانون العام لحماية البيانات (GDPR) إضافة بعض الأعمدة إلى قوائم جرد البيانات الخاصة بها بما في ذلك ، عمود:

• تحديد ما إذا كان استخدام البيانات يتضمن "بيع" المعلومات ؛
• تحديد فئات المعلومات الشخصية التي يتم نقلها إلى جهات خارجية ؛
• تحديد ما إذا كانت البيانات قد تم جمعها منذ أكثر من 12 شهرًا ، وبالتالي ، من المحتمل أن تكون معفاة.
• يجب أيضًا تحديث قاعدة البيانات لتكون قادرة على تتبع جميع طلبات حقوق المستهلك ، مثل تتبع طلب تم التحقق منه للحصول على معلومات.

الخطوة 3: تنفيذ البروتوكولات لضمان حقوق المستهلك

تضمن هذه القوانين عددًا من حقوق المستهلك التي ستحتاج الشركات إلى اتخاذ خطوات لضمانها.

• الحق في الإشعار - على الرغم من أنه ليس حقًا ممنوحًا تمامًا ، في أو قبل قيام الشركة بجمع المعلومات الشخصية من المستهلك ، يجب إخطار المستهلك بشكل صحيح بفئات المعلومات التي يتم جمعها والأغراض التي يتم استخدام المعلومات من أجلها.

• حق الوصول / الحق في الطلب - بناءً على طلب يمكن التحقق منه ، يجب على الشركة اتخاذ خطوات للإفصاح عن المعلومات الشخصية وتسليمها مجانًا إلى المستهلك ، والتي قد يتم تسليمها عن طريق البريد أو إلكترونيًا. إذا تم توفيرها إلكترونيًا ، فيجب تقديمها في صورة محمولة ، وإلى الحد الممكن تقنيًا ، بتنسيق سهل الاستخدام يسمح للمستهلك بنقل المعلومات الشخصية إلى كيان آخر دون مشكلة. يجوز لشركة ما تقديم معلومات شخصية للمستهلك في أي وقت ، ولكن لا يتعين عليها توفيرها للمستهلك أكثر من مرتين في فترة 12 شهرًا.

• الحق في المعرفة - يحق للمستهلك أن يطلب من الشركة التي تجمع معلومات شخصية أن تكشف عما يلي: (1) فئات المعلومات الشخصية التي تم جمعها ؛ (2) المصادر التي تم جمع المعلومات منها. (3) العمل أو الغرض التجاري من جمع المعلومات أو بيعها ؛ (4) فئات الأطراف الثالثة التي تشارك الأعمال المعلومات معها ؛ (5) الأجزاء المحددة من المعلومات الشخصية التي جمعتها الشركة عن المستهلك.

• الحق في الحذف - يحق للمستهلك أن يطلب ، بناءً على طلب يمكن التحقق منه ، أن تحذف الشركة أي معلومات شخصية عن المستهلك قامت الشركة بجمعها. عند استلام هذا الطلب ، يجب على الشركة حذف المعلومات وتوجيه أي مزودي خدمة لحذف المعلومات من سجلاتها أيضًا ما لم تكن الشركة أو مزود الخدمة بحاجة إلى المعلومات من أجل: (1) حساب المعاملة التي تم جمع المعلومات الشخصية من أجلها ، أو تقديم سلعة أو خدمة يطلبها المستهلك ، أو متوقعة بشكل معقول في سياق علاقة العمل التجارية المستمرة مع المستهلك ، أو تنفيذ عقد بين الشركة والمستهلك ؛ (2) كشف الحوادث الأمنية ؛ الحماية من أي نشاط ضار أو خادع أو احتيالي أو غير قانوني ؛ أو مقاضاة المسؤولين عن هذا النشاط ؛ (3) التصحيح لتحديد وإصلاح أخطاء الوظائف المقصودة الحالية ؛ (4) ممارسة حرية التعبير ، وضمان حق مستهلك آخر في ممارسة حقه في حرية التعبير ، أو ممارسة حق آخر ينص عليه القانون ؛ (5) الانخراط في البحث العلمي أو التاريخي أو الإحصائي العام أو الذي يتلقاه الأقران للصالح العام ؛ (6) لتمكين الاستخدامات الداخلية فقط التي تتماشى بشكل معقول مع توقعات المستهلك بناءً على علاقة المستهلك بالعمل ؛ (7) الامتثال لالتزام قانوني. (8) استخدام المعلومات الشخصية للمستهلك ، داخليًا ، بطريقة قانونية متوافقة مع السياق الذي قدم فيه المستهلك المعلومات.

• الحق في الانسحاب - يحق للعميل إلغاء الاشتراك في بيع المعلومات الشخصية من قبل شركة. يجب أن تتيح الشركات ، في شكل يمكن الوصول إليه بشكل معقول للمستهلكين ، رابطًا واضحًا وواضحًا للصفحة الرئيسية بعنوان "لا تبيع معلوماتي الشخصية" والتي تمكن المستهلك من إلغاء الاشتراك في بيع المعلومات الشخصية للمستهلك. يجب أن تنتظر الشركة 12 شهرًا على الأقل قبل أن تطلب بيع المعلومات الشخصية لأي مستهلك اختار الانسحاب.

الخطوة 4: إجراء تحديثات الأمان

تتطلب هذه القوانين أيضًا من الشركات المشمولة حماية البيانات الشخصية بأمان "معقول". من الناحية العملية ، أدى هذا المعيار إلى قيام الشركات باتباع نهج قائم على المخاطر تجاه معالجة التهديدات التي تتعرض لها سرية البيانات الشخصية وسلامتها وتوافرها. يقومون بتقييم التهديدات على البيانات ، وتصنيف مخاطر نقاط الضعف المكتشفة ، ومعالجة الثغرات عالية الخطورة أولاً.

الخطوة 5: تحديث اتفاقيات معالج الطرف الثالث

للامتثال لقوانين الخصوصية الأمريكية ، ستحتاج الشركات التي لديها شركات أخرى لمعالجة بياناتها إلى تحديث عقود الطرف الثالث بما في ذلك إدخال لغة بند تعاقدية قياسية ؛ طلب قوائم جرد بيانات البائعين ؛ استخدام استبيانات العناية الواجبة ؛ تقديم سجلات المعالجة ؛ تتطلب مزامنة عمليات استجابة المستهلك ؛ تتطلب التقييم والتدقيق في الموقع ؛ والمطالبة بتعيين عناصر البيانات المحددة التي تتم مشاركتها مع كل طرف ثالث ، بما في ذلك تحديد عمليات النقل المؤهلة على أنها "بيع".

بالنسبة لتلك الجهات الخارجية التي دفعت مقابل المعلومات ، سيحتاجون إلى تصميم عمليات إضافية لاستيعاب طلبات المستهلكين لإلغاء الاشتراك في البيع وتوفير حذف تلك البيانات.

الخطوة السادسة: التدريب

أخيرًا ، تتطلب هذه القوانين إبلاغ الموظفين الذين يتعاملون مع استفسارات المستهلكين بجميع متطلباتها. نظرًا للعقوبات المتضمنة ، يجب أن يكون هذا التدريب هو الحد الأدنى ويوصى بتدريب إضافي للموظفين.

هل تعتقد أنه كثير للتنفيذ؟ ستستفيد الشركات من الامتثال:

كان هناك بعض الانتقادات لقوانين الخصوصية والمزاعم بأن هذه القوانين ضارة للشركات.

تكلف برامج الامتثال أموالًا ولكن لا يمكن للشركات أن تتوقع جني الأموال من أحد الأصول ، مثل البيانات ، وعدم إنفاق الأموال للتأكد من أن إجراءاتها متوافقة.

ومع ذلك ، فإن المتطلبات الرئيسية في قوانين الخصوصية ، كما هو مذكور أعلاه ، تتماشى في الغالب مع الفطرة السليمة ، لذلك يجب ألا يكون برنامج الامتثال مطلقًا حفرة لا نهاية لها.

علاوة على ذلك ، حتى لو لم يبدأ الضغط القانوني في التصاعد ، فإن الضغط الأخلاقي والتوعوي سوف يحدث.

يرغب المستهلكون في التعامل مع الشركات التي تحمي فعليًا خصوصية بياناتهم.

نعم ، هناك تكلفة امتثال ، ولكن يجب اعتبار ذلك جزءًا من تكلفة التعامل مع البيانات ، وبناء سمعة العلامة التجارية والحفاظ عليها. كمنظمة متوافقة ، سوف تكون قادرًا على تسويق التزامك ، والذي بدوره يمكن أن يساعد في زيادة المبيعات وولاء العملاء.

تدرك جميع المؤسسات تقريبًا في جميع أنحاء العالم الآن أن الاستثمار في الخصوصية يترجم إلى فوائد تجارية إيجابية. تواجه المنظمات التي استثمرت للاستعداد للائحة العامة لحماية البيانات (GDPR) انتهاكات أقل وأقل تكلفة للبيانات ، فهي تشهد انخفاضًا أقل في المبيعات بسبب مخاوف العملاء المتعلقة بخصوصية العملاء ، وتأثر عدد أقل من سجلات البيانات ، وكان وقت تعطل النظام أقصر .

هذه بعض النتائج التي توصلت إليها دراسة معيار خصوصية بيانات Cisco 2019 التي تم إصدارها مؤخرًا ، والتي تعتمد على بيانات من استطلاع مزدوج التعمية لأكثر من 3200 متخصص في الأمان والخصوصية في 18 دولة. هذه الدراسة هي الأولى في سلسلة تستكشف القضايا الرئيسية التي تواجهها المؤسسات في مجال الخصوصية والأمن السيبراني اليوم.

وفقًا لدراسة Cisco ، تقول 97٪ من الشركات إنها تتلقى المزيد من الفوائد من استثمارات الخصوصية الخاصة بها ، بما يتجاوز مجرد الالتزام بقوانين الخصوصية. وتشمل هذه المزايا الميزة التنافسية ، والجاذبية للمستثمرين ، والكفاءة التشغيلية ، وقدرة أكبر على المرونة والابتكار .

قال ثلاثة أرباع المجيبين إنهم يتلقون اثنين أو أكثر من هذه المزايا. علاوة على ذلك ، تقول غالبية الشركات الآن أن خصوصية البيانات القوية هي عامل تمييز تنافسي في أسواقها.

تسلط هذه النتائج الضوء على حاجة الشركات إلى إجراء تغييرات ليس فقط للامتثال لقوانين الخصوصية ، ولكن أيضًا لتعظيم الفوائد التجارية لاستثمارات الخصوصية الخاصة بهم.

يمكن أن يكون تحسين إدارة البيانات وتعزيز ثقة العملاء وتجربة تأخيرات أقصر في المبيعات وانتهاكات أقل تكلفة للبيانات مفيدة لمؤسستك وتمنحك الميزة التنافسية التي يحتاجها عملك لتزدهر.

الكتابة كبيرة وجريئة على الحائط. الخصوصية ليست فقط لأوروبا ... إنها حاجة اللحظة للشركات في جميع أنحاء العالم. التحول مضطرب. لكنها كانت حتمية.

اخترع البشر الأقفال لحماية أصولهم الملموسة. الآن وبعد أن أصبحت البيانات غير الملموسة ثمينة بنفس القدر (إن لم يكن أكثر) ، فإن التراكم المتهور ومعالجتها سيُستاء منه ، وسيُكره ويُنظر إليه في النهاية على أنه انتهاك.

ممارسات الامتثال للخصوصية تبسط العمليات. وتعزز السمعة من خلال تقليل مخاطر الانتهاكات. في رأيي ، لا يتعلق الأمر بالجهود التي ينطوي عليها الامتثال ، بل يتعلق الأمر كله بالاستيقاظ مبكرًا لحقيقة أن الامتثال قد يكون ميزتك التنافسية الكبيرة التالية.

لقد أرسى التحويل بالفعل أساسًا متينًا. ماذا عنك؟