รัฐเนวาดารัฐแรกสำหรับกฎหมายการเลือกไม่รับความเป็นส่วนตัว: การแปลงเตรียมดีแค่ไหน?
เผยแพร่แล้ว: 2019-06-13
เมื่อวันที่ 29 พฤษภาคม 2019 ผู้ว่าการรัฐเนวาดาลงนามในกฎหมาย SB 220
กฎหมายฉบับนี้แก้ไขกฎหมายด้านความปลอดภัยและความเป็นส่วนตัวที่มีอยู่ของเนวาดาเพื่อ กำหนดให้ผู้ให้บริการเว็บไซต์หรือบริการออนไลน์เพื่อวัตถุประสงค์ทางการค้าเพื่ออนุญาตให้ผู้บริโภคเลือกไม่ขายข้อมูลระบุตัวบุคคลที่ครอบคลุมซึ่งผู้ประกอบการได้รวบรวมหรือจะรวบรวมเกี่ยวกับผู้บริโภค
กฎหมายจะมีผลบังคับใช้ ในวันที่ 1 ตุลาคม 2019 หลายเดือนก่อนวันที่ California Consumer Privacy Act's (CCPA) จะมีผลบังคับใช้ในวันที่ 1 มกราคม 2020 ดังนั้นจึงกำหนดให้เป็นกฎหมายประเภทแรกที่มีผลบังคับใช้ในสหรัฐอเมริกาตาม GDPR ใน สหภาพยุโรป
SB 220 เป็นการแก้ไขที่สำคัญในกฎหมายความเป็นส่วนตัวที่มีอยู่ของเนวาดา และนำเสนอความท้าทายใหม่ต่ออุตสาหกรรมโดยทั่วไป ในแง่ของกฎหมายนั้น กฎหมายมีขอบเขตที่แคบกว่า CCPA และรวมถึงคำจำกัดความที่แคบกว่าของ "ผู้บริโภค" และ "การขาย" ควบคู่ไปกับการตัดข้อยกเว้นสำหรับสถาบันการเงินที่ครอบคลุมโดยพระราชบัญญัติ Gramm-Leach-Bliley ("GLBA") และ หน่วยงานที่ได้รับการคุ้มครองภายใต้พระราชบัญญัติการเคลื่อนย้ายและความรับผิดชอบในการประกันสุขภาพ (“HIPPA”)
อย่างไรก็ตาม บริษัทต่างๆ ที่ให้ความสำคัญกับการปฏิบัติตาม CCPA จะต้องเปลี่ยนทรัพยากรเพื่อให้สอดคล้องกับ SB 220
ข้อมูลต่อไปนี้เป็นการเปรียบเทียบระดับสูงของ CCPA กับกฎหมายความเป็นส่วนตัวออนไลน์ฉบับแก้ไขของเนวาดา:
ข้อกำหนด SB 220
SB 220 มีข้อกำหนดหลักสี่ข้อ แต่คำจำกัดความและข้อยกเว้นที่สำคัญหลายประการมีผลบังคับกับการบังคับใช้กฎหมาย:
- “ผู้ดำเนินการ” จะต้องสร้าง “ที่อยู่คำขอที่กำหนด” ซึ่งผู้บริโภคอาจส่ง “คำขอที่ตรวจสอบแล้ว” โดยสั่งให้ผู้ดำเนินการไม่ขาย “ข้อมูลที่ครอบคลุม” ที่เก็บรวบรวมเกี่ยวกับผู้บริโภค
- ผู้บริโภคสามารถส่งคำขอที่ตรวจสอบแล้วผ่านที่อยู่คำขอที่กำหนด ได้ตลอดเวลา โดยสั่งให้ผู้ดำเนินการไม่ขายข้อมูลที่ครอบคลุมที่ผู้ประกอบการได้รวบรวมเกี่ยวกับผู้บริโภค
- ผู้ประกอบการที่ได้รับการร้องขอที่ตรวจสอบแล้วจะถูกห้ามไม่ให้ขายข้อมูลที่ครอบคลุมใด ๆ ที่ผู้ประกอบการได้รวบรวมหรือจะรวบรวมเกี่ยวกับผู้บริโภค
- ผู้ประกอบการต้องตอบสนองต่อคำขอที่ยืนยันแล้วของผู้บริโภคภายใน 60 วัน ผู้ปฏิบัติงานอาจขยายระยะเวลาตอบสนองได้ไม่เกิน 30 วัน หาก (ก) ผู้ปฏิบัติงานพิจารณาว่าการขยายเวลาดังกล่าวมีความจำเป็นตามสมควร และ (b) ผู้ประกอบการที่ขยายระยะเวลาตอบสนองแจ้งให้ผู้บริโภคทราบถึงการขยายเวลาดังกล่าว
ให้เราดูว่า Convert กำลังทำอะไรเพื่อปฏิบัติตามกฎหมายความเป็นส่วนตัวของเนวาดาและข้อกำหนดของมัน
ผู้บริโภคในเนวาดาจะมีสิทธิ์ยกเลิกการขายข้อมูลส่วนบุคคล
เช่นเดียวกับกรณีภายใต้ CCPA ผู้บริโภคในเนวาดาจะสามารถเลือกไม่ขาย "ข้อมูลที่ครอบคลุม" ซึ่งรวมถึงรายการใด ๆ ต่อไปนี้ที่รวบรวมผ่านเว็บไซต์หรือบริการออนไลน์:
- ชื่อและนามสกุล
- บ้านหรือที่อยู่ทางกายภาพอื่นๆ ซึ่งรวมถึงชื่อถนนและชื่อเมืองหรือเมือง
- ที่อยู่อีเมล (อีเมล)
- หมายเลขโทรศัพท์
- เลขที่ประกันสังคม.
- ตัวระบุที่ช่วยให้สามารถติดต่อบุคคลใดบุคคลหนึ่งได้ทั้งทางร่างกายหรือทางออนไลน์
- ข้อมูลอื่นใดที่เกี่ยวข้องกับบุคคลที่รวบรวมจากบุคคลนั้นผ่านทางเว็บไซต์อินเทอร์เน็ตหรือบริการออนไลน์ของผู้ให้บริการ และดูแลโดยผู้ให้บริการร่วมกับตัวระบุในรูปแบบที่ทำให้ข้อมูลสามารถระบุตัวบุคคลได้
หลายองค์กรมีทัศนวิสัยเพียงเล็กน้อยว่าข้อมูลใดที่พวกเขาขายและมีอยู่ที่ใด
ที่ Convert เราได้เตรียมพร้อมสำหรับสิ่งนี้ผ่านหลักการย่อข้อมูล GDPR เราไม่ระบุชื่อผู้เยี่ยมชมในการติดตามของเราโดยจัดกลุ่มผู้เยี่ยมชมเว็บไซต์หลายร้อยรายออกเป็น กลุ่มผู้เยี่ยมชม ที่นับเฉพาะการ ปรากฏตัวของผู้เยี่ยมชมเท่านั้น
ผู้เยี่ยมชมแต่ละรายจะไม่ถูกเก็บไว้ใน Convert Experiences เป็นไปไม่ได้ที่จะเชื่อมต่อการนับกลุ่มกับผู้เยี่ยมชมแต่ละคนไม่ว่าด้วยวิธีใด
GDPR เปิดโอกาสให้เราได้พิจารณาอย่างละเอียดถึงสิ่งที่เราจัดเก็บใน Convert และกรณีการใช้งานสำหรับเก็บไว้ในสภาพแวดล้อมที่เน้นความเป็นส่วนตัวมากขึ้น
องค์กรต้องสร้างที่อยู่คำขอที่กำหนด
กฎหมายใหม่ของเนวาดาระบุว่าองค์กรที่อยู่ในขอบเขตของกฎหมาย “ จะต้องสร้างที่อยู่คำขอที่กำหนดซึ่งผู้บริโภคสามารถส่งคำขอที่ตรวจสอบแล้วได้”
ที่ Convert เราใช้ที่อยู่ [email protected] เพื่อรับและตรวจสอบคำขอยกเลิก และสิ่งนี้มีมาตั้งแต่ GDPR คำขอเหล่านี้ถูกส่งไปยังคิวกลาง และเจ้าหน้าที่คุ้มครองข้อมูลของเราจะตอบกลับในเวลาที่เหมาะสมตามข้อกำหนดของ GDPR และกฎหมายความเป็นส่วนตัวอื่นๆ ที่บังคับใช้
คำขอที่ได้รับการยืนยันจะต้องตอบกลับภายใน 60 วัน
GDPR ให้เวลาองค์กร 30 วันในการตอบสนองต่อคำขอของผู้บริโภค ในขณะที่ CCPA จะผ่อนปรนมากขึ้นที่ 45 วัน
กฎหมายเนวาดาขยายระยะเวลานี้ออกไปอีกเป็น 60 วัน ในขณะเดียวกันก็ให้สิทธิ์แก่องค์กรในการขยายเวลา 30 วันหากจำเป็นตามสมควร กฎหมายทั้งสามฉบับมีหลักเกณฑ์การขยายเวลาที่แตกต่างกัน และกำหนดให้ผู้ให้บริการแจ้งผู้บริโภคภายในกรอบเวลาที่ต่างกัน
Convert เตรียมไว้สำหรับการตอบกลับ GDPR 30 วัน และจนถึงตอนนี้เราดำเนินการตามคำขอทั้งหมดเรียบร้อยแล้ว ทำให้ง่ายต่อการตอบสนองต่อคำขอของ Nevada ภายในระยะเวลา 60 วันบังคับ
คำขอต้องได้รับการยืนยันก่อนตอบกลับ
เช่นเดียวกับกรณีภายใต้ GDPR และ CCPA องค์กรต้องตรวจสอบตัวตนของผู้บริโภคก่อนที่จะตอบสนองต่อคำขอ
Convert ยังอำนวยความสะดวกในการตรวจสอบนี้เมื่อผู้บริโภคส่งคำขอยกเลิก โดยส่ง ID ผ่านไฟล์แนบที่ปลอดภัยซึ่งมีเพียงผู้บริโภคเท่านั้นที่จะรู้
Convert ใช้กฎหมายความเป็นส่วนตัวทั้งหมด (EU + US) อย่างจริงจัง
แม้ว่ากฎหมายว่าด้วยความเป็นส่วนตัวจะหยุดชะงักหรือล้มเหลวในรัฐอื่น แต่การผ่าน SB-220 ของเนวาดาทำหน้าที่เป็นเครื่องเตือนใจว่าการรักษาการปฏิบัติตามข้อกำหนดทางกฎหมายและข้อบังคับในโลกดิจิทัลยังคงเป็นความท้าทายในอนาคตอันใกล้
เรากำลังจับตาดูรัฐอื่นๆ อีกหลายแห่งที่รูปแบบการออกกฎหมายที่ได้รับแรงบันดาลใจจาก CCPA บางรูปแบบยังอยู่ระหว่างการพิจารณา (ออริกอน เท็กซัส เมน ยูทาห์) และจะเตรียมพร้อมที่จะดำเนินการในภูมิประเทศที่กฎหมายดังกล่าวใช้งานได้ทั้งหมด
Convert มีการจัดการที่ดีในการดำเนินการประมวลผลข้อมูลทั้งหมดของเราและบุคคลที่สามที่มีการถ่ายโอนข้อมูล
สำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีเตรียมตัวสำหรับ CCPA และกฎหมายความเป็นส่วนตัวฉบับใหม่ที่อาจเป็นไปได้ โปรดดูแผนงาน GDPR ของเรา
