Federalna ustawa o ochronie prywatności, która zapobiegałaby stanowym ustawom o ochronie prywatności, stoi w obliczu niepewnej przyszłości

Nowe krajowe przepisy dotyczące prywatności, obiecujące Amerykanom wiele takich samych praw do prywatności konsumentów, jak ogólne rozporządzenie o ochronie danych (RODO) Unii Europejskiej, przechodzi przez Kongres Stanów Zjednoczonych. Proponowany projekt ustawy nie spełnia jednak wymogów ochrony prywatności danych, które są już zapisane w istniejących stanowych przepisach i regulacjach dotyczących prywatności.

Celem ustawodawstwa federalnego jest zapewnienie jednolitej, krajowej podstawy ochrony danych dla konsumentów przy jednoczesnym zapewnieniu nadzoru rządowego i egzekwowania prawa przez Federalna Komisja Handlu (FTC). W rzeczywistości proponowane Amerykańska ustawa o prywatności i ochronie danych nie spełnia kryteriów określonych w Ustawa o ochronie prywatności konsumentów w Kalifornii (CCPA) z 2018 r. lub w zamian Kalifornijska ustawa o prawach do prywatności (CPRA), który wchodzi w życie 1 stycznia 2023 r., mówią krytycy.

Prawo podlegałoby kompetencji Federalna Komisja Handlu (FTC), co oznacza, że ​​obejmuje tylko te kwestie, które zostały już rozwiązane przez FTC. Należą do nich oszustwa konsumenckie, kradzież tożsamości, prywatność dzieci i niektóre problemy z cyberbezpieczeństwem.

Nancy Pelosi, przedstawicielka Kalifornii, która jako przewodnicząca Izby ma prawo powstrzymać ustawę przed dotarciem na podłogę Izby w celu głosowania, wydał oświadczenie
z 1 września zauważając, że „Amerykańska ustawa o ochronie i prywatności danych nie gwarantuje takiej samej podstawowej ochrony konsumentów, jak obowiązujące w Kalifornii przepisy dotyczące prywatności”. Jej oświadczenie jest interpretowane przez ekspertów w taki sposób, że nie poprze ustawy bez nowego języka wyprzedzającego w celu ochrony prawa Kalifornii i raczej zabije ją, niż podda ją pod głosowanie.

W List otwarty do przywódców Kongresu, 10 prawników generalnych reprezentujących stany, w których obowiązują obecnie przepisy dotyczące prywatności, zachęciło Kongres do przyjęcia przepisów, które wyznaczają jedynie podstawę dla prywatności. „Zachęcamy Kongres do przyjęcia ustawodawstwa, które ustanawia federalne piętro, a nie pułap, dla krytycznych praw do prywatności i szanuje ważną pracę już podjętą przez stany w celu zapewnienia silnej ochrony prywatności naszym mieszkańcom” – napisali. Powołały się na istniejące federalne podstawy innych przepisów, w tym istniejące przepisy dotyczące ochrony prywatności konsumentów, prywatności dzieci i zdrowia oraz HIPAA. „Każda federalna struktura ochrony prywatności musi pozostawić miejsce dla stanów na reagowanie na zmiany w technologii i praktykach gromadzenia danych” – napisał w liście prawnicy generalni. „Dzieje się tak, ponieważ stany są lepiej przygotowane do szybkiego dostosowywania się do wyzwań stawianych przez innowacje technologiczne, które mogą wymykać się nadzorowi federalnemu”.

Fundacja Electronic Frontier również wysłał list do deputowanego Franka Pallone'a, przewodniczącego Komisji Energii i Handlu Izby Reprezentantów oraz sponsora projektu ustawy, prosząc o wzmocnienie przepisów ustawy federalnej io wyeliminowanie wywłaszczania stanowych ustaw o ochronie prywatności. Ustawa o prywatności informacji stanu Illinois, CCPA i ustawa o brokerach danych w stanie Vermont już chronią konsumentów, a inne stany rozważają podobne propozycje. „Podczas gdy EFF wspiera ustawodawstwo federalne, które faktycznie chroni prywatność danych konsumentów, od dawna sprzeciwiamy się temu, jeśli ceną jest zapobieganie silniejszym prawom stanowym” – napisała EFF w liście.

Kalifornia sprzeciwia się osłabionej ochronie

Ustawa spotkała się również z ostrą krytyką ze strony Kalifornii, gdzie wydała Kalifornijska Agencja Ochrony Prywatności memorandum to zaleca, aby delegacja Kongresu Kalifornii, która stanowi 12% Izby Reprezentantów, sprzeciwiła się ustawie.

Ustawodawcy Kalifornii i urzędnicy stanowi przytaczają kilka obszarów, w których twierdzą, że prawo federalne zmniejszyłoby ochronę prywatności zapewnianą obecnie przez obowiązujące przepisy stanowe. Obejmują one zmniejszenie ochrony prywatności osób korzystających z usług związanych z aborcją i zdrowia psychicznego nastolatków.

Ustawa federalna, w obecnej formie, nie zezwala Kalifornii na odzyskanie kar pieniężnych związanych z egzekwowaniem prawa federalnego. Natomiast CCPA umożliwia obecnie odzyskanie znacznych kar za naruszenia prawa stanowego.

Inne zmiany wprowadzone przez ADPPA dla Kalifornii, obecnie objęte CCPA:

• Usunięcie aktualnej rezygnacji z automatycznego podejmowania decyzji
• Zastępując kalifornijską definicję Informacje osobiste z definicją objęte dane która nie obejmuje niektórych „danych pochodnych i unikalnych identyfikatorów” zgodnie z prawem stanu Kalifornia
• Usunięcie pewnych zabezpieczeń w odniesieniu do braku działań odwetowych za korzystanie z praw do prywatności
• Dodanie wymogu uwierzytelniania globalnych żądań rezygnacji — prawo stanu Kalifornia wymaga od firm honorowania sygnałów prywatności przeglądarki jako rezygnacji, podczas gdy ADPPA wymaga wyraźnej zgody w przypadku kategorii poufnych

Debbie Reynolds, globalny ekspert ds. prywatności i ochrony danych oraz dyrektor generalny i dyrektor ds. prywatności Debbie Reynolds Consulting, twierdzi, że ustawa federalna ogranicza prawa do prywatności tylko do pierwotnego użytkownika urządzenia. Na przykład, jeśli asystent cyfrowy, taki jak Alexa, znajduje się w biurze, tylko firma, która kupiła usługę Alexa, będzie chroniła swoją prywatność. Żaden pracownik, który znajduje się nad urządzeniem omawiającym prywatne informacje, nie byłby chroniony przez prawo, ponieważ nie był on konsument usługi urządzenia.

Fiona Campbell-Webster, dyrektor ds. prywatności w MediaMath i były główny radca prawny i globalny inspektor ochrony danych w opartej na chmurze aplikacji Beeswax, aplikacji SaaS przejętej przez Comcast, twierdzi, że konsekwencje są rzeczywiste.

„Myślę, że przed sfinalizowaniem tych przepisów musimy pamiętać o tym, co to będzie oznaczać dla doświadczenia korzystania z treści podczas interakcji w Internecie”, mówi. „Obawy o … niezamierzone konsekwencje dużych platform ostatecznie kontrolujących wszystko”.

Ostrzega, że ​​prywatność ma swoją cenę. „Myślę, że to byłby prawdziwy wstyd widzieć świat, w którym zostaliśmy ukarani, jeśli nie moglibyśmy zapłacić za te wszystkie różne usługi, które teraz otrzymujemy za darmo w pewien sposób”. Ostrzegła, że ​​niektóre niezamierzone konsekwencje ustawy o ochronie prywatności mogą negatywnie wpłynąć na małe firmy, zmuszając je do ponoszenia wyższych kosztów w celu spełnienia nowych przepisów dotyczących prywatności.

Kanada rozważa podobne ustawodawstwo

Stany Zjednoczone nie są jedynym krajem Ameryki Północnej, który pracuje nad stworzeniem nowej, krajowej ustawy o ochronie prywatności. Kanada wprowadziła długo oczekiwaną ustawę o wdrażaniu karty cyfrowej z 2022 r. — Bill C-27 — która zastępuje podobną ustawę, która nie została uchwalona przez kanadyjski parlament w sierpniu 2021 r. Ustawa uchwala Ustawę o ochronie prywatności konsumentów (CPPA), Ustawę o Trybunale Informacji Osobowych i Ochrony Danych oraz Ustawę o Sztucznej Inteligencji i Danych, a także zmienić inne obowiązujące akty prawne.

„To bardzo ważne prawo dla Kanady”, mówi David Goodis, partner w INQ Law w Toronto. „Będzie obowiązywać we wszystkich prowincjach i terytoriach z wyjątkiem Kolumbii Brytyjskiej, Alberty i Quebecu. Quebec uchwalił własne nowe, zaktualizowane prawo na początku tego roku. BC i Alberta rozważają aktualizację swoich bardzo starych przepisów. Oprócz Quebecu CPPA będzie najnowocześniejszym i najbardziej rygorystycznym prawem ochrony prywatności w Kanadzie i mniej więcej na równi z europejskim RODO i kalifornijskim CCPA”.

Jest kilka istotnych różnic między starym Billem C-11 a nowym Billem C-27, mówi Goodis. „Istnieje kilka nowych obowiązków nałożonych na organizacje, które mogą podlegać karom pieniężnym, jeśli nie zostaną spełnione. Na przykład organizacje będą musiały wdrożyć program zarządzania prywatnością, zapewnić swoim usługodawcom równoważną ochronę prywatności podczas przesyłania danych osobowych z firmy do usługodawcy oraz upewnić się, że usługodawca, który wykryje naruszenie bezpieczeństwa, powiadomi organizację. Istnieje również zupełnie nowa część przepisów, która odnosi się do konkretnych problemów związanych z ochroną prywatności dzieci” – wyjaśnia.

Ponadto wg analiza
z globalnej firmy prawniczej DLA Piper, stara ustawa nie zastąpiła praw prowincjonalnych, które są „zasadniczo podobne” do prawa federalnego, co oznaczało, że prowincje Quebec, Alberta i Kolumbia Brytyjska byłyby w stanie zamiast tego zastosować swoje prawa federalnego. Podczas gdy nowa ustawa pozwala rządowi federalnemu decydować, czy przepisy prowincjonalne są zasadniczo podobne i tym samym mogą obowiązywać, nie jest jeszcze jasne, czy Alberta i Kolumbia Brytyjska przejdą zbiórkę — Quebec, który zaktualizował swoje prawo dotyczące prywatności w 2021 r., ma być zwolniony.