Nevada First State dla przepisów dotyczących rezygnacji z prywatności: jak dobrze jest przygotowany do konwersji?

29 maja 2019 r. gubernator stanu Nevada podpisał ustawę SB 220.

Ta ustawa zmienia obowiązujące przepisy dotyczące bezpieczeństwa i prywatności w stanie Nevada, wymagając od operatora strony internetowej lub usługi online w celach komercyjnych, aby umożliwić konsumentom zrezygnowanie ze sprzedaży wszelkich danych osobowych objętych ochroną, które operator zebrał lub zbierze na temat konsumenta .

Ustawa wchodzi w życie 1 października 2019 r., kilka miesięcy przed wejściem w życie kalifornijskiej ustawy o ochronie prywatności konsumentów (CCPA) z dniem 1 stycznia 2020 r., a zatem ma stać się pierwszym tego rodzaju, który zostanie wdrożony w USA, po RODO w Unia Europejska.

SB 220 to istotna zmiana istniejącego prawa o ochronie prywatności w stanie Nevada i ogólnie stanowi nowe wyzwanie dla branży. Z pozoru prawo ma węższy zakres niż CCPA i zawiera węższe definicje „konsumenta” i „sprzedaży”, wraz z wyjątkami dla instytucji finansowych objętych ustawą Gramm-Leach-Bliley („GLBA”) i podmioty objęte ustawą o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych („HIPPA”).

Niemniej jednak firmy koncentrujące się na zgodności z CCPA muszą teraz przesunąć zasoby, aby uzyskać zgodność z SB 220.

Poniżej przedstawiono porównanie CCPA na wysokim poziomie ze zmienionym prawem prywatności online w stanie Nevada:

Wymagania SB 220

SB 220 ma cztery główne wymagania, ale kilka kluczowych definicji i wyłączeń reguluje stosowanie prawa:

1. „Operator” musi ustanowić „wyznaczony adres żądania”, za pośrednictwem którego konsument może złożyć „zweryfikowane żądanie”, nakazując operatorowi, aby nie dokonywał sprzedaży „poufnych informacji” zebranych na temat konsumenta.
2. Konsument może w dowolnym momencie przesłać zweryfikowane żądanie za pośrednictwem wyznaczonego adresu żądania, nakazując operatorowi, aby nie dokonywał sprzedaży objętych informacjami, które operator zebrał na temat konsumenta.
3. Operator, który otrzyma zweryfikowane żądanie, nie może sprzedawać żadnych informacji objętych ochroną, które operator zebrał lub zbierze na temat konsumenta.
4. Operator musi odpowiedzieć na zweryfikowane żądanie konsumenta w ciągu 60 dni. Operator może przedłużyć okres na odpowiedź o nie więcej niż 30 dni, jeżeli a) operator uzna, że ​​takie przedłużenie jest racjonalnie konieczne; oraz b) operator, który przedłuża okres odpowiedzi, powiadomi konsumenta o takim przedłużeniu.

Przyjrzyjmy się zatem, co robi Convert, aby przestrzegać przepisów dotyczących prywatności w stanie Nevada i jego wymagań?

Konsumenci Nevady będą mieli prawo do rezygnacji ze sprzedaży danych osobowych

Podobnie jak w przypadku CCPA, konsumenci Nevady będą mogli zrezygnować ze sprzedaży „objętych informacji”, które obejmują dowolne z następujących elementów gromadzonych za pośrednictwem strony internetowej lub usługi online:

• Imię i nazwisko.
• Dom lub inny fizyczny adres, który zawiera nazwę ulicy i nazwę miasta lub miejscowości.
• Adres poczty elektronicznej (e-mail).
• Numer telefonu.
• Numer ubezpieczenia społecznego.
• Identyfikator umożliwiający kontakt z konkretną osobą fizycznie lub online.
• Wszelkie inne informacje dotyczące osoby zebrane od osoby za pośrednictwem strony internetowej lub serwisu internetowego operatora i utrzymywane przez operatora w połączeniu z identyfikatorem w postaci umożliwiającej identyfikację tych informacji.

Wiele organizacji ma niewielki wgląd w to, jakie informacje sprzedają i gdzie one istnieją.

W Convert zostaliśmy na to przygotowani dzięki zasadzie minimalizacji danych RODO. Zanonimizowaliśmy identyfikatory odwiedzających w naszym śledzeniu, grupując setki odwiedzających witrynę w grupy odwiedzających, które liczą tylko obecność odwiedzającego.

Poszczególni odwiedzający nie są zapisywani w Konwertuj doświadczeniach. Nie ma możliwości ponownego przyporządkowania liczebności grup do poszczególnych odwiedzających.

RODO dało nam możliwość dokładnego przyjrzenia się temu, co przechowujemy w programie Convert i jaki był przypadek użycia go w środowisku coraz bardziej skoncentrowanym na prywatności.

Organizacje muszą ustalić wyznaczony adres żądania

Nowe prawo Nevady stanowi, że organizacje objęte prawem „ ustanowią wyznaczony adres żądania, za pośrednictwem którego konsument może złożyć zweryfikowane żądanie”.

W Convert używamy adresu [email protected] do przyjmowania i weryfikowania wniosków o rezygnację, co ma miejsce od czasu wprowadzenia RODO. Żądania te są umieszczane w centralnej kolejce, a nasz inspektor ochrony danych odpowiada na nie w odpowiednim czasie, zgodnie z wymogami RODO i innymi egzekwowanymi przepisami dotyczącymi prywatności.

Na zweryfikowane żądania należy odpowiedzieć w ciągu 60 dni

RODO przyznaje organizacjom 30 dni na udzielenie odpowiedzi na prośby konsumentów, podczas gdy CCPA jest łagodniejsza po 45 dniach.

Prawo stanu Nevada przedłuża ten termin do 60 dni, jednocześnie dając organizacjom prawo do przedłużenia o 30 dni, jeśli jest to zasadnie konieczne. Te trzy ustawy mają różne systemy przedłużenia i wymagają od operatorów informowania konsumentów w różnych przedziałach czasowych.

Convert jest przygotowany na 30-dniową odpowiedź RODO i do tej pory pomyślnie spełniliśmy wszystkie nasze żądania, dzięki czemu łatwo jest odpowiedzieć na żądania Nevady w obowiązkowym okresie 60 dni.

Żądanie musi zostać zweryfikowane przed udzieleniem odpowiedzi

Podobnie jak w przypadku RODO i CCPA, organizacje muszą zweryfikować tożsamość konsumenta przed udzieleniem odpowiedzi na żądanie.

Convert ułatwia również tę weryfikację, gdy konsument przesyła żądanie rezygnacji, przesyłając identyfikator za pośrednictwem bezpiecznego załącznika, który zna tylko konsument.

Convert poważnie traktuje wszystkie przepisy dotyczące prywatności (UE + USA)

Chociaż przepisy dotyczące prywatności utknęły w martwym punkcie lub zawiodły w innych stanach, ustęp SB-220 w stanie Nevada przypomina, że ​​utrzymanie zgodności z obowiązkami prawnymi i regulacyjnymi w cyfrowym świecie pozostanie wyzwaniem w najbliższej przyszłości.

Obserwujemy kilka innych stanów, w których jakaś forma ustawodawstwa inspirowanego CCPA jest nadal rozważana (Oregon, Teksas, Maine, Utah) i będziemy przygotowani do działania w środowisku, w którym wszystkie są funkcjonalne.

Convert dobrze radzi sobie ze wszystkimi naszymi operacjami przetwarzania danych i stronami trzecimi, którym dane są przekazywane.

Aby uzyskać więcej informacji o tym, jak przygotować się do CCPA i potencjalnych innych nowych przepisów dotyczących prywatności w Stanach Zjednoczonych, zapoznaj się z naszym planem dotyczącym RODO.