met 65% van de wereldbevolking verwacht dat zijn persoonlijke gegevens tegen 2023 onder moderne privacyregelgeving vallen, het respecteren van gegevensprivacy is nog nooit zo belangrijk geweest. Als voorbeeld de invoering van de federale Amerikaanse Data Privacy and Protection Act (ADPPA), samen met de recente goedkeuring van een lappendeken van privacywetten op staatsniveau, heeft het huidige Amerikaanse privacylandschap steeds complexer gemaakt. Dit resulteert in uitdagingen voor organisaties, zowel bij het beheren van exploderende hoeveelheden gegevens als bij het begrijpen hoe specifieke regelgeving inzake gegevensprivacy op hen van toepassing is.
Aangezien bedrijven van elke omvang op de hoogte proberen te blijven van de steeds veranderende wetgeving inzake gegevensprivacy en proactief toezicht houden op relevante regels, moeten ze ook de nodige stappen ondernemen om in kaart te brengen waar consumenten- en arbeidsgegevens zich bevinden, en de potentiële risico's voor die gegevens. Door de cyberbeveiliging te versterken, kunnen organisaties nu en in de toekomst beter voorbereid zijn op regelgeving inzake gegevensprivacy.
Laten we niet vergeten waarom dit zo belangrijk is geworden. Ten eerste zijn consumenten en werknemers beter dan ooit geïnformeerd over persoonlijke rechten en hoe de regelgeving inzake gegevensprivacy op hen van toepassing is. Dit is een belangrijke en positieve ontwikkeling, gezien de dramatische stijging van de risico op boetes en rechtszaken voor niet-naleving — een van de noodzakelijke fundamenten voor de bescherming van individuele rechten.
De convergentie van persoonlijk identificeerbare informatie (PII) en beschermde gezondheidsinformatie (PHI) brengt ook gegevensrisico's met zich mee. Zo kunnen betalingsgegevens van een verzekeringsclaim, samen met een e-mailadres en andere digitale broodkruimels die op internet worden gevonden, worden gebruikt om identiteiten te stelen of te leiden tot gegevensdiefstal. Daarnaast kan de acceptatie en acceptatie op lange termijn van hybride werkmodellen voor uitdagingen zorgen. Sommige organisaties stellen hun werknemers zeer gerichte vragen over gedrag en thuiswerkregelingen om de productiviteit te meten. Afhankelijk van de specifieke vragen kunnen er verdere implicaties voor de privacy zijn.
Landschap van verwarring
Gezien de enorme variaties en jurisdicties van de huidige regelgeving inzake gegevensprivacy en -bescherming, kan er enige verwarring ontstaan. Amerikaanse bedrijven die in North Dakota zijn gevestigd en in het binnenland zaken doen, zijn misschien iets minder bezig met regels die in het buitenland gelden. Daarentegen kunnen Amerikaanse organisaties die goederen en diensten aanbieden in het VK of de EU, voorschriften zoals de Algemene Verordening Gegevensbescherming (AVG) – samen met de mogelijkheid van sancties als deze worden geschonden – wel van toepassing zijn.
Bovendien kunnen vooroordelen in verband met de grootte van het bedrijf in sommige organisaties leiden tot nalevings- of regelgevingsproblemen, zoals het idee dat een bedrijf te klein is om de regelgeving inzake gegevensprivacy toe te passen. Hoewel het waar is dat de meeste nieuwere regelgeving gericht is op bedrijven van een bepaalde omvang, kunnen de daadwerkelijke maatcriteria betrekking hebben op een aantal factoren, zoals het aantal werknemers of de jaaromzet. Of de regelgeving inzake gegevensprivacy van toepassing is, kan ook afhangen van de hoeveelheid consumenteninformatie die een organisatie verwerkt.
Het punt is dat elke reeks voorschriften nuances heeft, en daarom is het belangrijk om zowel de relevantie als de grenzen van elk te begrijpen. Dit moet regelmatig worden gecontroleerd, vooral naarmate organisaties groeien en regels van toepassing worden waar voorheen niet het geval was. Die zijn er bijvoorbeeld geweest recente ontwikkelingen rond het nieuwe EU-UK Data Privacy Framework, ook bekend als Privacy Shield 2.0, met betrekking tot inlichtingenactiviteiten.
Een goede vuistregel is om best practices zo snel mogelijk te volgen, zodat wanneer de behoefte aan formele naleving arriveert, alles op zijn plaats is. Het risico om het bij het verkeerde eind te hebben is groot, waarbij organisaties mogelijk te maken krijgen met enorme boetes voor niet-naleving. Dat zegt niets over de impact op de merkreputatie wanneer een ernstige inbreuk wordt onthuld, inclusief verlies van vertrouwen van de consument, werknemer of investeerder, waarbij de effecten langdurig en pijnlijk kunnen zijn.
Tijd voor federale wetten?
Er worden regelmatig nieuwe wetten inzake gegevensprivacy voorgesteld. Er zijn vijf Amerikaanse staten die in 2023 belangrijke regels in werking zullen laten treden: Californië, Virginia, Colorado, Connecticut en Utah. Met 10% van de Amerikaanse staten die tegen het einde van volgend jaar onder de wetgeving inzake gegevensprivacy vallen, is het duidelijk dat een federale wet nuttig zou zijn.
Met name federale wetgeving zou een cruciale rol kunnen spelen bij het op één lijn brengen van de VS met andere landen op het gebied van gegevensprivacy. Het zou leveranciers en gebruikers ook de broodnodige duidelijkheid verschaffen over hoe ze gevoelige gegevens moeten gebruiken, opslaan en beheren. Dit alleen al zou een grote bijdrage kunnen leveren aan het oplossen van de wijdverbreide verwarring die heerst als gevolg van de bestaande lappendeken van regelgeving. Hoewel de exacte timing van federale wetgeving zoals de voorgestelde ADPPA onduidelijk is, is het niet de vraag of, maar wanneer.
Over het algemeen bestaan gegevens en de wetten die de bescherming ervan regelen, binnen een snel evoluerend regelgevend ecosysteem. Verdere verandering - zowel nationaal als internationaal - is onvermijdelijk. Daarom moeten organisaties zich richten op de verantwoordelijkheden op korte en lange termijn van het omgaan met en beveiligen van gegevens. Het is niet alleen het juiste om ethisch en moreel te doen, het vertegenwoordigt ook een goede besluitvorming voor de gezondheid van het bedrijf.
