Nevada First State for Privacy Opt-out-Gesetze: Wie gut ist Convert vorbereitet?

Am 29. Mai 2019 unterzeichnete der Gouverneur von Nevada das Gesetz SB 220.

Dieses Gesetz ändert das bestehende Sicherheits- und Datenschutzgesetz von Nevada, um einen Betreiber einer Website oder eines Online-Dienstes für kommerzielle Zwecke zu verpflichten, Verbrauchern zu gestatten, den Verkauf von abgedeckten personenbezogenen Daten abzulehnen, die der Betreiber über den Verbraucher gesammelt hat oder sammeln wird .

Das Gesetz tritt am 1. Oktober 2019 in Kraft, mehrere Monate vor dem Datum des Inkrafttretens des California Consumer Privacy Act (CCPA) am 1. Januar 2020, und wird daher als erstes seiner Art in den USA nach der DSGVO umgesetzt die EU.

SB 220 ist eine wesentliche Änderung des bestehenden Datenschutzgesetzes von Nevada und stellt die Branche im Allgemeinen vor eine neue Herausforderung. Auf den ersten Blick hat das Gesetz einen engeren Geltungsbereich als der CCPA und enthält engere Definitionen von „Verbraucher“ und „Verkauf“ sowie Ausnahmen für Finanzinstitute, die unter den Gramm-Leach-Bliley Act („GLBA“) fallen unter das Health Insurance Portability and Accountability Act („HIPPA“) fallende Unternehmen.

Nichtsdestotrotz müssen Unternehmen, die sich auf die CCPA-Compliance konzentrieren, jetzt Ressourcen verlagern, um mit SB 220 konform zu werden.

Das Folgende bietet einen Vergleich des CCPA auf hoher Ebene mit dem überarbeiteten Online-Datenschutzgesetz von Nevada:

SB 220-Anforderungen

SB 220 hat vier Hauptanforderungen, aber mehrere Schlüsseldefinitionen und Ausschlüsse regeln die Anwendung des Gesetzes:

1. Ein „Betreiber“ muss eine „bestimmte Anfrageadresse“ einrichten, über die ein Verbraucher eine „verifizierte Anfrage“ einreichen kann, in der er den Betreiber anweist, „verdeckte Informationen“, die über den Verbraucher gesammelt wurden, nicht zu verkaufen.
2. Der Verbraucher kann jederzeit eine verifizierte Anfrage über die angegebene Anfrageadresse stellen und einen Betreiber anweisen, keine abgedeckten Informationen zu verkaufen, die der Betreiber über den Verbraucher gesammelt hat.
3. Einem Betreiber, der eine verifizierte Anfrage erhält, ist es untersagt, abgedeckte Informationen zu verkaufen, die der Betreiber über den Verbraucher gesammelt hat oder sammeln wird.
4. Ein Betreiber muss innerhalb von 60 Tagen auf die verifizierte Anfrage eines Verbrauchers antworten. Der Betreiber kann die Reaktionsfrist um höchstens 30 Tage verlängern, wenn (a) der Betreiber feststellt, dass eine solche Verlängerung vernünftigerweise erforderlich ist; und (b) ein Betreiber, der die Antwortfrist verlängert, benachrichtigt den Verbraucher über eine solche Verlängerung.

Schauen wir uns also an, was Convert unternimmt, um das Datenschutzgesetz von Nevada und seine Anforderungen einzuhalten.

Verbraucher in Nevada haben das Recht, den Verkauf personenbezogener Daten abzulehnen

Wie es im CCPA der Fall ist, können Verbraucher in Nevada den Verkauf von „abgedeckten Informationen“ ablehnen, die alle der folgenden Elemente umfassen, die über eine Website oder einen Onlinedienst gesammelt werden:

• Ein Vor- und Nachname.
• Eine private oder andere physische Adresse, die den Namen einer Straße und den Namen einer Stadt oder Gemeinde enthält.
• Eine E-Mail-Adresse (E-Mail-Adresse).
• Eine Telefonnummer.
• Eine Sozialversicherungsnummer.
• Eine Kennung, die es ermöglicht, eine bestimmte Person physisch oder online zu kontaktieren.
• Alle anderen Informationen über eine Person, die von der Person über die Internet-Website oder den Online-Dienst des Betreibers gesammelt und vom Betreiber in Kombination mit einer Kennung in einer Form gepflegt werden, die die Informationen persönlich identifizierbar macht.

Viele Organisationen haben wenig Einblick in die Informationen, die sie verkaufen und wo sie vorhanden sind.

Darauf sind wir bei Convert durch das DSGVO-Prinzip der Datenminimierung vorbereitet. Wir haben Besucher-IDs in unserem Tracking anonymisiert, indem wir Hunderte von Website-Besuchern in Besuchergruppen gruppiert haben , die nur die Anwesenheit des Besuchers zählen.

Einzelne Besucher werden nicht in Convert Experiences gespeichert. Ein Rückschluss von Gruppenzählungen auf einzelne Besucher ist in keiner Weise möglich.

Die DSGVO bot uns die Gelegenheit, einen genauen Blick darauf zu werfen, was wir in Convert speichern und was der Anwendungsfall für die Aufbewahrung in einer zunehmend datenschutzorientierten Umgebung war.

Organisationen müssen eine bestimmte Anfrageadresse einrichten

Das neue Gesetz von Nevada besagt, dass Organisationen im Geltungsbereich des Gesetzes „ eine bestimmte Anfrageadresse einrichten müssen, über die ein Verbraucher eine verifizierte Anfrage stellen kann“.

Bei Convert verwenden wir die Adresse [email protected], um Opt-out-Anfragen entgegenzunehmen und zu überprüfen, und dies ist seit der DSGVO in Kraft. Diese Anfragen werden in eine zentrale Warteschlange geleitet und unser Datenschutzbeauftragter antwortet zeitnah auf sie gemäß den Anforderungen der DSGVO und der anderen Datenschutzgesetze, die durchgesetzt werden.

Verifizierte Anfragen müssen innerhalb von 60 Tagen beantwortet werden

Die DSGVO gewährt Organisationen 30 Tage, um auf Verbraucheranfragen zu reagieren, während der CCPA mit 45 Tagen nachsichtiger ist.

Das Gesetz von Nevada verlängert diese Frist auf 60 Tage und räumt Organisationen auch das Recht auf eine 30-tägige Verlängerung ein, wenn dies vernünftigerweise erforderlich ist. Die drei Gesetze haben unterschiedliche Verlängerungsregelungen und verlangen von den Betreibern, die Verbraucher innerhalb unterschiedlicher Zeitfenster zu informieren.

Convert ist auf die 30-Tage-Antwort der DSGVO vorbereitet und bisher haben wir alle unsere Anfragen erfolgreich erfüllt, was es einfach macht, innerhalb der obligatorischen Frist von 60 Tagen auf die Anfragen von Nevada zu reagieren.

Die Anfrage muss vor der Beantwortung überprüft werden

Wie im Rahmen der DSGVO und des CCPA müssen Organisationen die Identität des Verbrauchers überprüfen, bevor sie auf eine Anfrage antworten.

Convert erleichtert diese Überprüfung auch, wenn ein Verbraucher eine Opt-out-Anfrage stellt, indem er eine ID über einen sicheren Anhang übermittelt, den nur der Verbraucher kennt.

Convert nimmt alle Datenschutzgesetze (EU + US) ernst

Obwohl die Datenschutzgesetze in anderen Bundesstaaten ins Stocken geraten sind oder versagt haben, erinnert Nevadas Verabschiedung von SB-220 daran, dass die Einhaltung gesetzlicher und regulatorischer Verpflichtungen in einer digitalen Welt in naher Zukunft eine Herausforderung bleiben wird.

Wir beobachten mehrere andere Staaten, in denen eine Form von CCPA-inspirierter Gesetzgebung noch in Betracht gezogen wird (Oregon, Texas, Maine, Utah) und bereit sein werden, in einer Landschaft zu operieren, in der sie alle funktionieren.

Convert hat alle unsere Datenverarbeitungsvorgänge und die Dritten, an die Daten übertragen werden, gut im Griff.

Weitere Informationen zur Vorbereitung auf CCPA und mögliche andere neue US-Datenschutzgesetze finden Sie in unserer DSGVO-Roadmap.