Negara Bagian Pertama Nevada Untuk Hukum Penyisihan Privasi: Seberapa Baik Konversi Disiapkan?

Pada 29 Mei 2019, Gubernur Nevada menandatangani undang-undang SB 220.

Undang-undang ini mengubah undang-undang keamanan dan privasi Nevada yang ada untuk mewajibkan operator situs web atau layanan online untuk tujuan komersial untuk mengizinkan konsumen memilih keluar dari penjualan informasi pengenal pribadi tercakup yang telah dikumpulkan atau akan dikumpulkan oleh operator tentang konsumen .

Undang-undang tersebut mulai berlaku 1 Oktober 2019 , beberapa bulan sebelum tanggal efektif Undang-Undang Privasi Konsumen California (CCPA) pada 1 Januari 2020, dan oleh karena itu ditetapkan untuk menjadi yang pertama diterapkan di AS, mengikuti GDPR di Uni Eropa.

SB 220 adalah amandemen substansial terhadap undang-undang privasi yang ada di Nevada, dan menghadirkan tantangan baru bagi industri secara umum. Secara sekilas, undang-undang tersebut memiliki cakupan yang lebih sempit daripada CCPA, dan mencakup definisi yang lebih sempit tentang "konsumen" dan "penjualan", bersama dengan mengukir pengecualian untuk lembaga keuangan yang tercakup dalam Gramm-Leach-Bliley Act (“GLBA”) dan entitas yang tercakup di bawah Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (“HIPPA”).

Meskipun demikian, perusahaan yang berfokus pada kepatuhan CCPA sekarang harus mengalihkan sumber daya agar sesuai dengan SB 220.

Berikut ini memberikan perbandingan tingkat tinggi CCPA dengan undang-undang privasi online Nevada yang direvisi:

Persyaratan SB 220

SB 220 memiliki empat persyaratan utama, tetapi beberapa definisi dan pengecualian utama mengatur penerapan hukum:

1. "Operator" harus menetapkan "alamat permintaan yang ditunjuk" di mana konsumen dapat mengajukan "permintaan terverifikasi" yang mengarahkan operator untuk tidak melakukan penjualan "informasi tertutup" yang dikumpulkan tentang konsumen.
2. Konsumen dapat mengajukan permintaan terverifikasi melalui alamat permintaan yang ditentukan, kapan saja, mengarahkan operator untuk tidak melakukan penjualan informasi tertutup yang telah dikumpulkan operator tentang konsumen.
3. Operator yang menerima permintaan terverifikasi dilarang melakukan penjualan apa pun atas informasi tercakup yang telah dikumpulkan atau akan dikumpulkan oleh operator tentang konsumen.
4. Operator harus menanggapi permintaan terverifikasi konsumen dalam waktu 60 hari. Operator dapat memperpanjang periode respons tidak lebih dari 30 hari jika (a) operator menentukan bahwa perpanjangan tersebut secara wajar diperlukan; dan (b) operator yang memperpanjang periode respons memberi tahu konsumen tentang perpanjangan tersebut.

Jadi mari kita lihat apa yang Convert lakukan untuk mematuhi Undang-Undang Privasi Nevada dan persyaratannya?

Konsumen Nevada akan Memiliki Hak untuk Menyisih dari Penjualan Informasi Pribadi

Seperti halnya di bawah CCPA, konsumen Nevada akan dapat memilih keluar dari penjualan “informasi yang tercakup”, yang mencakup salah satu item berikut yang dikumpulkan melalui situs web atau layanan online:

• Nama depan dan belakang.
• Sebuah rumah atau alamat fisik lainnya yang mencakup nama jalan dan nama kota atau kota kecil.
• Alamat surat elektronik (email).
• Sebuah nomor telepon.
• Nomor jaminan sosial.
• Pengidentifikasi yang memungkinkan orang tertentu untuk dihubungi baik secara fisik maupun online.
• Setiap informasi lain mengenai seseorang yang dikumpulkan dari orang tersebut melalui situs internet atau layanan online operator dan dikelola oleh operator dalam kombinasi dengan pengenal dalam bentuk yang membuat informasi tersebut dapat diidentifikasi secara pribadi.

Banyak organisasi memiliki sedikit visibilitas ke informasi apa yang mereka jual dan di mana keberadaannya.

Di Convert kami telah siap untuk ini melalui prinsip minimalisasi data GDPR. Kami menganonimkan ID pengunjung dalam pelacakan kami dengan mengelompokkan ratusan pengunjung situs web ke dalam grup pengunjung yang hanya menghitung kehadiran pengunjung.

Pengunjung individu tidak disimpan dalam Pengalaman Konversi. Tidak mungkin menghubungkan kembali jumlah grup ke pengunjung individu dengan cara apa pun.

GDPR memberi kami kesempatan untuk melihat dengan cermat apa yang kami simpan di Convert dan apa gunanya menyimpannya di lingkungan yang semakin berfokus pada privasi.

Organisasi Harus Menetapkan Alamat Permintaan yang Ditunjuk

Undang-undang baru Nevada menyatakan bahwa organisasi dalam lingkup undang-undang “ harus menetapkan alamat permintaan yang ditunjuk di mana konsumen dapat mengajukan permintaan yang diverifikasi.”

Di Convert, kami menggunakan alamat [email protected] untuk menerima dan memverifikasi permintaan opt-out, dan ini sudah ada sejak GDPR. Permintaan ini disalurkan ke antrean pusat dan Petugas Perlindungan Data kami menanggapinya secara tepat waktu mengikuti persyaratan GDPR dan undang-undang privasi lainnya yang sedang ditegakkan.

Permintaan Terverifikasi Harus Ditanggapi Dalam 60 Hari

GDPR memberi organisasi waktu 30 hari untuk menanggapi permintaan konsumen, sedangkan CCPA lebih lunak pada 45 hari.

Undang-undang Nevada memperpanjang batas waktu ini hingga 60 hari, sementara juga memberi organisasi hak untuk perpanjangan 30 hari jika diperlukan secara wajar. Ketiga undang-undang tersebut memiliki aturan perpanjangan yang berbeda dan mengharuskan operator untuk memberi tahu konsumen dalam rentang waktu yang berbeda.

Konversi disiapkan untuk respons 30 hari GDPR dan sejauh ini kami telah berhasil memenuhi semua permintaan kami, membuatnya mudah untuk menanggapi permintaan Nevada dalam jangka waktu wajib 60 hari.

Permintaan Harus Diverifikasi Sebelum Merespon

Seperti halnya dalam GDPR dan CCPA, organisasi harus memverifikasi identitas konsumen sebelum menanggapi permintaan.

Convert juga memfasilitasi verifikasi ini ketika konsumen mengajukan permintaan opt-out, dengan mengirimkan ID melalui lampiran aman yang hanya diketahui oleh konsumen.

Convert mengambil semua Hukum Privasi (UE + AS) Serius

Meskipun undang-undang privasi telah terhenti atau gagal di negara bagian lain, pengesahan SB-220 di Nevada berfungsi sebagai pengingat bahwa menjaga kepatuhan terhadap kewajiban hukum dan peraturan di dunia digital akan tetap menjadi tantangan dalam waktu dekat.

Kami sedang mengamati beberapa negara bagian lain di mana beberapa bentuk undang-undang yang diilhami CCPA masih dalam pertimbangan (Oregon, Texas, Maine, Utah) dan akan siap untuk beroperasi di lanskap di mana semuanya berfungsi.

Convert memiliki pegangan yang baik pada semua operasi pemrosesan data kami dan pihak ketiga yang menjadi tujuan transfer data.

Untuk informasi lebih lanjut tentang cara mempersiapkan CCPA, dan potensi undang-undang privasi AS baru lainnya, lihat peta jalan GDPR kami.