Liittovaltion tietosuojalaki, joka ehkäisee osavaltion tietosuojalakeja, on epävarma tulevaisuus

Uusi kansallinen tietosuojalaki, joka lupaa amerikkalaisille monia samoja kuluttajansuojaoikeuksia kuin Euroopan unionin yleinen tietosuoja-asetus (GDPR), etenee läpi Yhdysvaltain kongressin. Lakiehdotus ei kuitenkaan täytä tietosuojaa, joka on jo kirjattu olemassa oleviin osavaltion tietosuojalakeihin ja -määräyksiin.

Liittovaltion lain tavoitteena on tarjota yhtenäinen kansallinen perusta kuluttajien tietosuojalle samalla kun se tarjoaa hallituksen valvonnan ja täytäntöönpanon. Federal Trade Commission (FTC). Todellisuudessa ehdotettu American Data Privacy and Protection Act ei täytä asetuksessa asetettuja vertailuarvoja California Consumer Privacy Act (CCPA) 2018 tai sen tilalle Kalifornian Privacy Rights Act (CPRA), joka tulee voimaan 1. tammikuuta 2023, kriitikot sanovat.

Laki kuuluisi toimivaltaan Federal Trade Commission (FTC), mikä tarkoittaa, että se kattaa vain ne asiat, jotka FTC on jo käsitellyt. Näitä ovat kuluttajapetokset, identiteettivarkaudet, lasten yksityisyys ja jotkin kyberturvallisuusongelmat.

Nancy Pelosi, Kalifornian edustaja, jolla on edustajainhuoneen puhemiehenä valta estää lakiesitys saapumasta parlamenttiin äänestystä varten, antoi lausunnon
syyskuun 1. päivänä ja huomautti, että "Amerikan tietosuoja- ja tietosuojalaki ei takaa samaa olennaista kuluttajansuojaa kuin Kalifornian nykyiset tietosuojalait." Asiantuntijat tulkitsevat hänen lausuntonsa tarkoittavan, että hän ei tue lakiesitystä ilman uutta etuoikeuskieltä Kalifornian lakien suojelemiseksi, ja tappaisi sen mieluummin kuin tuottaisi sen äänestykseen.

Vuonna avoin kirje kongressin johtajille, 10 lakimiestä, jotka edustavat osavaltioita, joilla on tällä hetkellä yksityisyyttä koskevia lakeja, rohkaisivat kongressia hyväksymään lainsäädäntöä, joka asettaa vain yksityisyyden perustan. "Kannustamme kongressia hyväksymään lainsäädäntöä, joka asettaa liittovaltion tason, ei kattoa kriittisille yksityisyyden suojaa koskeville oikeuksille, ja kunnioittaa tärkeää työtä, jota osavaltiot ovat jo tehneet tarjotakseen vahvan yksityisyyden suojan asukkaillemme", he kirjoittivat. He mainitsevat muiden lakien olemassa olevat liittovaltion lähtökohdat, mukaan lukien nykyiset kuluttajansuojan, lasten yksityisyyden ja terveyden yksityisyyden suojat sekä HIPAA. "Kaikkien liittovaltion tietosuojakehysten on jätettävä valtioille tilaa säätää lakeja tekniikan ja tiedonkeruukäytäntöjen muutoksille", oikeusministeri kirjoitti kirjeessä. "Tämä johtuu siitä, että osavaltioilla on paremmat valmiudet sopeutua nopeasti teknologisen innovaation asettamiin haasteisiin, jotka saattavat jäädä liittovaltion valvonnan ulkopuolelle."

Myös Electronic Frontier Foundation lähetti kirjeen edustaja Frank Pallonelle, edustajainhuoneen energia- ja kauppakomitean puheenjohtajalle ja lakiesityksen sponsorille, pyytäen, että liittovaltion lakiehdotuksen määräyksiä vahvistetaan ja että osavaltioiden yksityisyyden suojaa koskevien lakien etuoikeus poistetaan. Illinois Information Privacy Act, CCPA ja Vermontin Data Broker Act suojelevat jo kuluttajia, ja muut osavaltiot tarkastelevat samanlaisia ​​ehdotuksia. "Vaikka EFF tukee liittovaltion lainsäädäntöä, joka todella suojelee kuluttajien tietosuojaa, olemme pitkään vastustaneet sen tekemistä, jos hinta on vahvempi osavaltion lakien etuoikeus", EFF kirjoitti kirjeessä.

Kalifornia vastustaa heikentynyttä suojaa

Lakiesitys sai myös voimakasta kritiikkiä Kaliforniassa, jossa Kalifornian tietosuojavirasto julkaisi muistio joka suosittelee, että Kalifornian kongressin valtuuskunta, joka muodostaa 12 prosenttia edustajainhuoneesta, vastustaa lakiesitystä.

Kalifornian lainsäätäjät ja osavaltion virkamiehet mainitsevat useita alueita, joilla he väittävät, että liittovaltion laki heikentäisi nykyisten osavaltion lakien tarjoamaa yksityisyyden suojaa. Näitä ovat aborttiin liittyvien palveluiden ja teinien mielenterveyden näkevien henkilöiden yksityisyyden suojan vähentäminen.

Liittovaltion lakiesitys, sellaisena kuin se on tällä hetkellä kirjoitettu, ei salli Kalifornian periä rahallisia seuraamuksia, jotka liittyvät sen liittovaltion lain täytäntöönpanoon. Sitä vastoin CCPA sallii tällä hetkellä merkittävien seuraamusten palauttamisen osavaltion lakien rikkomisesta.

Muita muutoksia, joita ADPPA tekisi Kaliforniassa, jota tällä hetkellä koskee CCPA:

• Poistetaan nykyinen automaattisen päätöksenteon poistaminen
• Korvaa Kalifornian määritelmän Henkilötiedot määritelmän kanssa katettuja tietoja joka ei sisällä Kalifornian lain mukaisia ​​"johdannaisia ​​tietoja ja yksilöllisiä tunnisteita".
• Tiettyjen suojausten poistaminen yksityisyyden suojaa koskevien oikeuksien käyttämättä jättämisestä
• Lisätään vaatimus maailmanlaajuisten opt-out-pyyntöjen todentamisesta – Kalifornian laki edellyttää, että yritykset kunnioittavat selaimen tietosuojasignaaleja kieltäytymisenä, kun taas ADPPA edellyttää nimenomaista osallistumista arkaluonteisiin luokkiin

Debbie Reynolds, globaali tietosuoja- ja tietosuojaasiantuntija sekä Debbie Reynolds Consultingin toimitusjohtaja ja tietosuojavastaava, sanoo liittovaltion lakiesityksen rajoittavan yksityisyyden suojan vain laitteen alkuperäiseen kuluttajaan. Jos esimerkiksi digitaalinen avustaja, kuten Alexa, on toimistossa, vain Alexa-palvelun ostaneen yrityksen yksityisyys on suojattu. Työntekijä, joka on laitteen yllä ja keskustelee yksityisistä tiedoista, ei ole lain suojaama, koska he eivät olleet kuluttaja laitteen palvelusta.

Fiona Campbell-Webster, MediaMathin tietosuojavastaava ja Comcastin hankkiman pilvipohjaisen Beeswaxin, SaaS-sovelluksen, entinen päälakimies ja globaali tietosuojavastaava, sanoo, että sillä on tosielämän seurauksia.

"Mielestäni meidän on oltava tietoisia siitä, mitä tämä tarkoittaa Internetin vuorovaikutuksessa olevan sisällön kulutuksen kannalta, ennen kuin nämä säädökset viimeistellään", hän sanoo. "Huolet… tahattomista seurauksista, kun suuret alustat lopulta hallitsevat kaikkea."

Hän varoittaa, että yksityisyydellä on hintansa. "Mielestäni olisi todella sääli nähdä maailma, jossa meitä rangaistaan, jos emme pystyisi maksamaan kaikista näistä erilaisista palveluista, jotka nyt saamme tietyllä tavalla ilmaiseksi." Hän varoitti, että jotkin yksityisyyslaskun tahattomat seuraukset voivat vaikuttaa kielteisesti pieniin yrityksiin ja pakottaa ne maksamaan korkeampia kustannuksia täyttääkseen uudet tietosuojasäännökset.

Kanada harkitsee samanlaista lainsäädäntöä

Yhdysvallat ei ole ainoa Pohjois-Amerikan maa, joka pyrkii laatimaan uutta kansallista tietosuojalakia. Kanada esitteli kauan odotetun Digital Charter Implementation Actin 2022 - Bill C-27 — joka korvaa samanlaisen lain, joka ei mennyt läpi Kanadan parlamentissa elokuussa 2021. Lakiehdotuksella säädettäisiin Consumer Privacy Protection Act (CPPA), Personal Information and Data Protection Tribunal Act ja Artificial Intelligence and Data Act sekä muuttaa muita voimassa olevia säädöksiä.

"Tämä on erittäin tärkeä laki Kanadalle", sanoo David Goodis, INQ Law:n kumppani Torontossa. "Se koskee kaikkia provinsseja ja alueita paitsi Brittiläisessä Kolumbiassa, Albertassa ja Quebecissä. Quebec hyväksyi oman uuden, päivitetyn lakinsa aiemmin tänä vuonna. BC ja Alberta harkitsevat nyt hyvin vanhojen lakiensa päivittämistä. Quebecia lukuun ottamatta CPPA tulee olemaan Kanadan nykyaikaisin ja tiukin tietosuojalaki, ja se on suunnilleen yhtä suuri kuin Euroopan GDPR ja Kalifornian CCPA.

Vanhan Bill C-11:n ja uuden Bill C-27:n välillä on muutamia merkittäviä eroja, Goodis sanoo. "Organisaatioille on asetettu useita uusia velvollisuuksia, jotka voivat saada rahallisia seuraamuksia, jos niitä ei noudateta. Organisaatioiden tulee esimerkiksi ottaa käyttöön yksityisyydenhallintaohjelma, varmistaa, että palveluntarjoajilla on vastaava tietosuojasuoja siirrettäessä henkilötietoja yrityksestä palveluntarjoajalle ja varmistettava, että tietoturvaloukkauksen havaitseva palveluntarjoaja ilmoittaa siitä organisaatiolle. Lainsäädännössä on myös täysin uusi osa, joka käsittelee lasten yksityisyyden suojaamiseen liittyviä erityisiä huolenaiheita, hän selittää.

Lisäksi mukaan analyysi
globaalin liikelakitoimisto DLA Piperin vanha lakiesitys ei korvannut maakuntien lakeja, jotka ovat "olennaisesti samanlaisia" kuin liittovaltion laki, mikä tarkoitti, että Quebecin, Albertan ja Brittiläisen Kolumbian maakunnat olisivat voineet soveltaa lakejaan sen sijaan. liittovaltiosta. Vaikka uusi lakiehdotus antaa liittohallitukselle mahdollisuuden päättää, ovatko provinssien lait olennaisesti samanlaisia ​​ja ovatko ne siten voimassa, ei ole vielä selvää, hyväksyvätkö Alberta ja Brittiläinen Kolumbia kokouksen – Quebecin, joka päivitti tietosuojalakinsa vuonna 2021, odotetaan olevan vapautettu.