Primo Stato del Nevada per le leggi sull'esclusione dalla privacy: quanto è preparato il convertitore?

Il 29 maggio 2019, il governatore del Nevada ha firmato la legge SB 220.

Questa legge modifica la legge sulla sicurezza e sulla privacy esistente del Nevada per richiedere a un operatore di un sito Web o di un servizio online per scopi commerciali di consentire ai consumatori di rinunciare alla vendita di qualsiasi informazione di identificazione personale coperta che l'operatore ha raccolto o raccoglierà sul consumatore .

La legge entra in vigore il 1 ottobre 2019 , diversi mesi prima della data di entrata in vigore del California Consumer Privacy Act (CCPA) del 1 gennaio 2020, ed è quindi destinata a diventare la prima del suo genere ad essere implementata negli Stati Uniti, a seguito del GDPR in l'Unione Europea.

SB 220 è un emendamento sostanziale alla legge sulla privacy esistente del Nevada e rappresenta una nuova sfida per il settore in generale. A prima vista, la legge ha una portata più ristretta rispetto al CCPA e include definizioni più ristrette di "consumatore" e "vendita", oltre a ritagliare eccezioni per gli istituti finanziari coperti dal Gramm-Leach-Bliley Act ("GLBA") e soggetti coperti dall'Health Insurance Portability and Accountability Act ("HIPPA").

Tuttavia, le aziende che si concentrano sulla conformità al CCPA devono ora spostare le risorse per diventare conformi all'SB 220.

Quanto segue fornisce un confronto di alto livello tra il CCPA e la legge sulla privacy online rivista del Nevada:

Requisiti SB 220

SB 220 ha quattro requisiti principali, ma diverse definizioni ed esclusioni chiave regolano l'applicazione della legge:

1. Un "operatore" deve stabilire un "indirizzo di richiesta designato" attraverso il quale un consumatore può presentare una "richiesta verificata" indirizzando l'operatore a non effettuare alcuna vendita di "informazioni coperte" raccolte sul consumatore.
2. Il consumatore può presentare una richiesta verificata tramite l'indirizzo di richiesta designato, in qualsiasi momento, invitando un operatore a non effettuare alcuna vendita delle informazioni coperte che l'operatore ha raccolto sul consumatore.
3. A un operatore che riceve una richiesta verificata è vietato vendere qualsiasi informazione coperta che l'operatore ha raccolto o raccoglierà sul consumatore.
4. Un operatore deve rispondere alla richiesta verificata di un consumatore entro 60 giorni. L'operatore può prorogare il periodo di risposta non oltre 30 giorni se (a) l'operatore determina che tale proroga è ragionevolmente necessaria; e (b) un operatore che prolunghi il periodo di risposta notifichi al consumatore tale proroga.

Quindi diamo un'occhiata a cosa sta facendo Convert per rispettare la legge sulla privacy del Nevada e i suoi requisiti?

I consumatori del Nevada avranno il diritto di rinunciare alla vendita di informazioni personali

Come nel caso del CCPA, i consumatori del Nevada potranno rinunciare alla vendita di "informazioni coperte", che include uno qualsiasi dei seguenti elementi raccolti tramite un sito Web o un servizio online:

• Un nome e un cognome.
• Un indirizzo di casa o altro indirizzo fisico che include il nome di una via e il nome di una città o paese.
• Un indirizzo di posta elettronica (e-mail).
• Un numero di telefono.
• Un numero di previdenza sociale.
• Un identificatore che consente a una persona specifica di essere contattata fisicamente o online.
• Qualsiasi altra informazione relativa a una persona raccolta dalla persona attraverso il sito Web Internet o il servizio online dell'operatore e conservata dall'operatore in combinazione con un identificatore in una forma che renda le informazioni identificabili personalmente.

Molte organizzazioni hanno poca visibilità su quali informazioni vendono e dove esistono.

In Convert siamo stati preparati per questo attraverso il principio di minimizzazione dei dati GDPR. Abbiamo reso anonimi gli ID visitatore nel nostro monitoraggio raggruppando centinaia di visitatori del sito Web in gruppi di visitatori che contano solo la presenza del visitatore.

I singoli visitatori non vengono memorizzati in Convert Experiences. Non è possibile ricollegare in alcun modo i conteggi dei gruppi ai singoli visitatori.

Il GDPR ci ha fornito l'opportunità di dare un'occhiata a ciò che stavamo archiviando in Convert e quale fosse il caso d'uso per mantenerlo in un ambiente sempre più incentrato sulla privacy.

Le organizzazioni devono stabilire un indirizzo di richiesta designato

La nuova legge del Nevada afferma che le organizzazioni nell'ambito della legge " stabiliscono un indirizzo di richiesta designato attraverso il quale un consumatore può presentare una richiesta verificata".

In Convert, utilizziamo l'indirizzo [email protected] per accettare e verificare le richieste di opt-out, e questo è in vigore dal GDPR. Queste richieste vengono incanalate in una coda centrale e il nostro responsabile della protezione dei dati risponde in modo tempestivo seguendo i requisiti del GDPR e le altre leggi sulla privacy che vengono applicate.

Le richieste verificate devono ricevere risposta entro 60 giorni

Il GDPR concede alle organizzazioni 30 giorni per rispondere alle richieste dei consumatori, mentre il CCPA è più indulgente a 45 giorni.

La legge del Nevada estende questa tempistica ulteriormente a 60 giorni, dando anche alle organizzazioni il diritto a un'estensione di 30 giorni se ragionevolmente necessario. Le tre leggi hanno diversi regimi di proroga e richiedono agli operatori di informare i consumatori entro diverse finestre temporali.

Convert è pronto per la risposta di 30 giorni del GDPR e finora abbiamo soddisfatto con successo tutte le nostre richieste, semplificando la risposta alle richieste del Nevada entro il periodo di tempo obbligatorio di 60 giorni.

La richiesta deve essere verificata prima di rispondere

Come nel caso del GDPR e del CCPA, le organizzazioni devono verificare l'identità del consumatore prima di rispondere a una richiesta.

Convert facilita anche questa verifica quando un consumatore invia una richiesta di rinuncia, inviando un ID tramite un allegato sicuro che solo il consumatore conoscerebbe.

Convert prende sul serio tutte le leggi sulla privacy (UE + USA).

Sebbene le legislazioni sulla privacy si siano bloccate o fallite in altri stati, l'approvazione dell'SB-220 da parte del Nevada serve a ricordare che mantenere la conformità agli obblighi legali e normativi in ​​un mondo digitale rimarrà una sfida nel prossimo futuro.

Stiamo osservando molti altri stati in cui una qualche forma di legislazione ispirata al CCPA è ancora allo studio (Oregon, Texas, Maine, Utah) e saranno preparati a operare in un panorama in cui sono tutti funzionali.

Convert ha una buona gestione di tutte le nostre operazioni di elaborazione dei dati e delle terze parti a cui i dati vengono trasferiti.

Per ulteriori informazioni su come prepararsi per il CCPA e potenziali altre nuove leggi sulla privacy degli Stati Uniti, consulta la nostra roadmap del GDPR.