Primul stat din Nevada pentru legile privind renunțarea la confidențialitate: Cât de bine este pregătit conversia?

La 29 mai 2019, guvernatorul Nevada a semnat legea SB 220.

Această lege modifică legea de securitate și confidențialitate existentă din Nevada pentru a solicita unui operator al unui site web sau al unui serviciu online în scopuri comerciale să permită consumatorilor să renunțe la vânzarea oricăror informații de identificare personală acoperite pe care operatorul le-a colectat sau le va colecta despre consumator .

Legea intră în vigoare la 1 octombrie 2019 , cu câteva luni înainte de data intrării în vigoare a Legii privind confidențialitatea consumatorilor din California (CCPA) de 1 ianuarie 2020 și, prin urmare, urmează să devină prima de acest gen care va fi implementată în SUA, după GDPR în Uniunea Europeana.

SB 220 este o modificare substanțială la legea privind confidențialitatea existentă din Nevada și reprezintă o nouă provocare pentru industrie în general. Pe față, legea are un domeniu de aplicare mai restrâns decât CCPA și include definiții mai restrânse ale „consumator” și „vânzare”, împreună cu stabilirea de excepții pentru instituțiile financiare acoperite de Legea Gramm-Leach-Bliley („GLBA”) și entități acoperite de Legea privind portabilitatea și responsabilitatea asigurărilor de sănătate („HIPPA”).

Cu toate acestea, companiile care se concentrează pe conformitatea cu CCPA trebuie acum să schimbe resursele pentru a deveni conforme cu SB 220.

Următoarele oferă o comparație la nivel înalt a CCPA cu legea revizuită a confidențialității online din Nevada:

SB 220 Cerințe

SB 220 are patru cerințe principale, dar câteva definiții și excluderi cheie guvernează aplicarea legii:

1. Un „operator” trebuie să stabilească o „adresă de solicitare desemnată” prin care un consumator poate depune o „cerere verificată” prin care să îi îndrume operatorul să nu vândă „informații acoperite” colectate despre consumator.
2. Consumatorul poate înainta o cerere verificată prin adresa de solicitare desemnată, în orice moment, îndrumându-i operatorului să nu vândă informațiile acoperite pe care operatorul le-a colectat despre consumator.
3. Un operator care primește o solicitare verificată îi este interzis să vândă orice informații acoperite pe care operatorul le-a colectat sau le va colecta despre consumator.
4. Un operator trebuie să răspundă la cererea verificată a unui consumator în termen de 60 de zile. Operatorul poate prelungi perioada de răspuns cu cel mult 30 de zile dacă (a) operatorul stabilește că o astfel de prelungire este necesară în mod rezonabil; și (b) un operator care prelungește perioada de răspuns notifică consumatorul cu privire la o astfel de prelungire.

Deci, să vedem ce face Convert pentru a respecta Legea privind confidențialitatea din Nevada și cerințele acesteia?

Consumatorii din Nevada vor avea dreptul de a renunța la vânzarea informațiilor personale

Așa cum este cazul în temeiul CCPA, consumatorii din Nevada vor putea renunța la vânzarea „informațiilor acoperite”, care include oricare dintre următoarele articole colectate printr-un site web sau un serviciu online:

• Un prenume și un prenume.
• O adresă de domiciliu sau altă adresă fizică care include numele unei străzi și numele unui oraș sau oraș.
• O adresă de e-mail (e-mail).
• Un număr de telefon.
• Un număr de securitate socială.
• Un identificator care permite unei anumite persoane să fie contactată fizic sau online.
• Orice alte informații referitoare la o persoană colectate de la persoana respectivă prin intermediul site-ului web de internet sau al serviciului online al operatorului și păstrate de operator în combinație cu un identificator într-o formă care face ca informațiile să poată fi identificate personal.

Multe organizații au puțină vizibilitate asupra informațiilor pe care le vând și unde există acestea.

La Convert am fost pregătiți pentru asta prin principiul minimizării datelor GDPR. Am anonimizat ID-urile vizitatorilor în urmărirea noastră, grupând sute de vizitatori ai site-ului web în grupuri de vizitatori care numără doar prezența vizitatorului.

Vizitatorii individuali nu sunt stocați în Experiențe Convertiți. Nu este posibil să reconectați numărul de grup la vizitatorii individuali în niciun fel.

GDPR ne-a oferit ocazia de a arunca o privire atentă asupra a ceea ce stocam în Convert și care a fost cazul de utilizare pentru păstrarea acestuia într-un mediu din ce în ce mai centrat pe confidențialitate.

Organizațiile trebuie să stabilească o adresă de solicitare desemnată

Noua lege a Nevada prevede că organizațiile din domeniul de aplicare al legii „ vor stabili o adresă de solicitare desemnată prin care un consumator poate depune o cerere verificată”.

La Convert, folosim adresa [email protected] pentru a primi și a verifica solicitările de renunțare, iar acest lucru este în vigoare încă de la GDPR. Aceste solicitări sunt canalizate într-o coadă centrală, iar responsabilul nostru cu protecția datelor le răspunde în timp util, conform cerințelor GDPR și ale altor legi de confidențialitate care sunt aplicate.

Solicitările verificate trebuie să primească răspuns în termen de 60 de zile

GDPR acordă organizațiilor 30 de zile pentru a răspunde solicitărilor consumatorilor, în timp ce CCPA este mai indulgent la 45 de zile.

Legea Nevada extinde acest termen până la 60 de zile, oferind, de asemenea, organizațiilor dreptul la o prelungire de 30 de zile, dacă este necesar în mod rezonabil. Cele trei legi au regimuri de extindere diferite și impun operatorilor să informeze consumatorii în intervale de timp diferite.

Convert este pregătit pentru răspunsul GDPR de 30 de zile și, până acum, am îndeplinit cu succes toate solicitările noastre, ceea ce face mai ușor să răspundem la solicitările Nevada în perioada obligatorie de 60 de zile.

Solicitarea trebuie verificată înainte de a răspunde

Așa cum este cazul în conformitate cu GDPR și CCPA, organizațiile trebuie să verifice identitatea consumatorului înainte de a răspunde la o solicitare.

Convert facilitează, de asemenea, această verificare atunci când un consumator trimite o cerere de renunțare, prin trimiterea unui ID printr-un atașament securizat pe care doar consumatorul l-ar cunoaște.

Convert ia în serios toate legile privind confidențialitatea (UE + SUA).

Deși legislațiile privind confidențialitatea s-au blocat sau au eșuat în alte state, aprobarea SB-220 de către Nevada servește ca un memento că menținerea conformității cu obligațiile legale și de reglementare într-o lume digitală va rămâne o provocare în viitorul apropiat.

Urmărim alte câteva state în care o formă de legislație inspirată de CCPA este încă în luare în considerare (Oregon, Texas, Maine, Utah) și vom fi pregătiți să funcționeze într-un peisaj în care toate sunt funcționale.

Convert are un bun control asupra tuturor operațiunilor noastre de prelucrare a datelor și a terților cărora le sunt transferate datele.

Pentru mai multe informații despre cum să vă pregătiți pentru CCPA și despre eventualele alte legi noi privind confidențialitatea din SUA, consultați foaia noastră de parcurs GDPR.