La legge federale sulla privacy che pregiudicherebbe le leggi statali sulla privacy deve affrontare un futuro incerto

Una nuova legge nazionale sulla privacy che promette agli americani molti degli stessi diritti alla privacy dei consumatori del Regolamento generale sulla protezione dei dati (GDPR) dell'Unione Europea si sta facendo strada attraverso il Congresso degli Stati Uniti. Tuttavia, il disegno di legge proposto non soddisfa le tutele della privacy dei dati già sancite dalle leggi e dai regolamenti statali sulla privacy esistenti.

L'obiettivo della legislazione federale è quello di fornire un'unica base nazionale per la privacy dei dati dei consumatori, fornendo al contempo la supervisione e l'applicazione del governo da parte del Federal Trade Commission (FTC). In realtà, la proposta Legge americana sulla privacy e sulla protezione dei dati non soddisfa i parametri di riferimento fissati nel California Consumer Privacy Act (CCPA) del 2018, o in sostituzione Legge sui diritti sulla privacy della California (CPRA), che entrerà in vigore il 1 gennaio 2023, affermano i critici.

La legge rientrerebbe nella competenza dell'art Federal Trade Commission (FTC), il che significa che copre solo le questioni già affrontate dalla FTC. Questi includono la frode dei consumatori, il furto di identità, la privacy dei bambini e alcuni problemi di sicurezza informatica.

Nancy Pelosi, rappresentante della California che in qualità di presidente della Camera ha il potere di impedire che il disegno di legge raggiunga l'aula della Camera per un voto, ha rilasciato una dichiarazione
il 1 settembre rilevando che "l'American Data Privacy and Protection Act non garantisce le stesse tutele essenziali per i consumatori delle leggi sulla privacy esistenti in California". La sua dichiarazione viene interpretata dagli esperti nel senso che non sosterrà il disegno di legge senza un nuovo linguaggio di prelazione per proteggere le leggi della California e lo ucciderebbe piuttosto che portarlo ai voti.

In un lettera aperta ai leader del Congresso, 10 procuratori generali che rappresentano gli stati che attualmente hanno leggi sulla privacy hanno incoraggiato il Congresso ad approvare una legislazione che stabilisce solo una linea di base per la privacy. "Incoraggiamo il Congresso ad adottare una legislazione che stabilisca un piano federale, non un tetto, per i diritti fondamentali alla privacy e rispetti l'importante lavoro già intrapreso dagli stati per fornire una forte protezione della privacy ai nostri residenti", hanno scritto. Hanno citato le linee di base federali esistenti per altre leggi, comprese le protezioni della privacy dei consumatori esistenti, la privacy dei bambini e la privacy della salute e HIPAA. "Qualsiasi quadro federale sulla privacy deve lasciare spazio agli stati per legiferare in modo reattivo ai cambiamenti nella tecnologia e nelle pratiche di raccolta dei dati", hanno scritto i procuratori generali nella lettera. "Questo perché gli stati sono meglio attrezzati per adattarsi rapidamente alle sfide presentate dall'innovazione tecnologica che potrebbero eludere il controllo federale".

Anche la Electronic Frontier Foundation inviato una lettera al Rep. Frank Pallone, presidente della Commissione Energia e Commercio della Camera e promotore del disegno di legge, chiedendo il rafforzamento delle disposizioni del disegno di legge federale e l'eliminazione della prelazione sulle leggi statali sulla privacy. L'Illinois Information Privacy Act, il CCPA e il Data Broker Act del Vermont proteggono già i consumatori e altri stati stanno esaminando proposte simili. "Sebbene l'EFF supporti la legislazione federale che protegge effettivamente la privacy dei dati dei consumatori, ci opponiamo da tempo a farlo se il prezzo è la prelazione di leggi statali più forti", ha scritto l'EFF nella lettera.

La California si oppone alle protezioni indebolite

Il disegno di legge ha anche attirato forti critiche dalla California, dove la California Privacy Protection Agency ha emesso un memorandum che raccomanda che la delegazione del Congresso della California, che costituisce il 12% della Camera dei rappresentanti, si opponga al disegno di legge.

I legislatori della California e i funzionari statali citano diverse aree in cui affermano che la legge federale ridurrebbe le tutele della privacy attualmente fornite dalle leggi statali esistenti. Questi includono la riduzione delle protezioni della privacy per le persone che vedono servizi relativi all'aborto e alla salute mentale degli adolescenti.

Il disegno di legge federale, come attualmente scritto, non consente alla California di recuperare le sanzioni pecuniarie associate all'applicazione della legge federale. Al contrario, il CCPA consente attualmente il recupero di sanzioni significative per le violazioni della legge statale.

Altre modifiche che ADPPA apporterebbe per la California, attualmente coperta da CCPA:

• Rimozione dell'attuale opt-out dal processo decisionale automatizzato
• Sostituendo la definizione di California di Informazioni personali con una definizione di dati coperti che non include alcuni "dati derivati ​​e identificatori univoci" ai sensi della legge della California
• Eliminazione di alcune tutele rispetto alla non ritorsione per l'esercizio dei diritti alla privacy
• Aggiungendo un requisito per autenticare le richieste di opt-out globali: la legge della California richiede alle aziende di rispettare i segnali di privacy dei browser come opt-out, mentre ADPPA richiede un consenso esplicito per le categorie sensibili

Debbie Reynolds, esperta globale di protezione e privacy dei dati e CEO e chief privacy officer di Debbie Reynolds Consulting, afferma che il disegno di legge federale limita i diritti alla privacy solo al consumatore originale di un dispositivo. Ad esempio, se un assistente digitale, come Alexa, si trova in un ufficio, solo l'azienda che ha acquistato il servizio Alexa avrà la propria privacy protetta. Qualsiasi dipendente che è in sovraccarico dal dispositivo per discutere di informazioni private non sarebbe protetto dalla legge poiché non lo era Consumer del servizio del dispositivo.

Fiona Campbell-Webster, chief privacy officer di MediaMath ed ex capo consulente legale e responsabile globale della protezione dei dati di Beeswax basata su cloud, un'applicazione SaaS acquisita da Comcast, afferma che ci sono conseguenze nella vita reale.

"Penso che dobbiamo essere consapevoli, prima che queste leggi siano finalizzate, a cosa significherà per l'esperienza del consumo di contenuti dell'interazione su Internet", afferma. "Le preoccupazioni per... le conseguenze indesiderate delle grandi piattaforme che alla fine controllano tutto".

Avverte che la privacy ha un prezzo. "Penso che sarebbe un vero peccato vedere un mondo in cui saremmo penalizzati se non potessimo pagare tutti questi diversi servizi che ora otteniamo gratuitamente in un certo modo". Alcune conseguenze indesiderate della legge sulla privacy, ha avvertito, potrebbero avere un impatto negativo sulle piccole aziende, costringendole a pagare costi più elevati per soddisfare le nuove normative sulla privacy.

Il Canada considera una legislazione simile

Gli Stati Uniti non sono l'unico paese nordamericano a lavorare per creare una nuova legge nazionale sulla privacy. Il Canada ha introdotto il tanto atteso Digital Charter Implementation Act, 2022 — Bill C-27 — che sostituisce un disegno di legge simile che non è stato approvato dal parlamento canadese nell'agosto 2021. Il disegno di legge promulgherebbe il Consumer Privacy Protection Act (CPPA), il Personal Information and Data Protection Tribunal Act e l'Artificial Intelligence and Data Act, nonché modificare altri atti esistenti.

"Questa è una legge molto importante per il Canada", afferma David Goodis, partner di INQ Law a Toronto. “Si applicherà in tutte le province e territori ad eccezione della Columbia Britannica, dell'Alberta e del Quebec. Il Quebec ha approvato la sua nuova legge aggiornata all'inizio di quest'anno. BC e Alberta stanno valutando la possibilità di aggiornare le loro leggi ormai molto vecchie. A parte il Quebec, la CPPA sarà la legge sulla privacy più moderna e rigorosa del Canada, e più o meno alla pari con il GDPR europeo e il CCPA della California".

Ci sono alcune differenze significative tra il vecchio disegno di legge C-11 e il nuovo disegno di legge C-27, afferma Goodis. “Ci sono diversi nuovi doveri imposti alle organizzazioni che possono comportare sanzioni pecuniarie se non rispettate. Ad esempio, le organizzazioni dovranno implementare un programma di gestione della privacy, garantire che i loro fornitori di servizi dispongano di una protezione della privacy equivalente durante il trasferimento di informazioni personali dall'azienda al fornitore di servizi e garantire che un fornitore di servizi che scopra una violazione della sicurezza informi l'organizzazione. C'è anche una parte completamente nuova della legislazione che affronta le preoccupazioni specifiche sulla protezione della privacy dei bambini", spiega.

Inoltre, secondo .
dello studio legale globale DLA Piper, il vecchio disegno di legge non ha sostituito le leggi provinciali che sono "sostanzialmente simili" alla legge federale, il che significava che le province di Quebec, Alberta e British Columbia avrebbero invece potuto applicare le loro leggi di quello federale. Mentre il nuovo disegno di legge consente al governo federale di decidere se le leggi provinciali sono sostanzialmente simili e quindi autorizzate a rimanere in vigore, non è ancora chiaro se Alberta e British Columbia passeranno l'adunata - Quebec, che ha aggiornato la sua legge sulla privacy nel 2021, dovrebbe essere esente.