Федеральный закон о конфиденциальности, который заменит законы штата о конфиденциальности, столкнется с неопределенным будущим

Новый национальный закон о конфиденциальности, обещающий американцам многие из тех же прав потребителей на конфиденциальность, что и Общий регламент ЕС по защите данных (GDPR), проходит через Конгресс США. Однако предлагаемый законопроект не соответствует требованиям защиты конфиденциальности данных, уже закрепленным в существующих законах и правилах штата о конфиденциальности.

Цель федерального законодательства состоит в том, чтобы обеспечить единую национальную основу для конфиденциальности данных для потребителей, обеспечивая при этом государственный надзор и правоприменение со стороны Федеральная торговая комиссия (ФТК). В действительности предложенный Американский закон о конфиденциальности и защите данных не соответствует контрольным показателям, установленным в Закон о конфиденциальности потребителей в Калифорнии (CCPA) от 2018 года или взамен Закон Калифорнии о правах на конфиденциальность (CPRA), который вступает в силу 1 января 2023 года, говорят критики.

Закон будет подпадать под действие Федеральная торговая комиссия (FTC), что означает, что он охватывает только те вопросы, которые уже были рассмотрены FTC. К ним относятся мошенничество с потребителями, кража личных данных, конфиденциальность детей и некоторые проблемы кибербезопасности.

Нэнси Пелоси, представитель штата Калифорния, которая как спикер палаты представителей имеет право не допустить, чтобы законопроект попал в зал палаты для голосования, выступил с заявлением
1 сентября, отметив, что «Американский закон о конфиденциальности и защите данных не гарантирует такие же основные средства защиты прав потребителей, как существующие законы о конфиденциальности в Калифорнии». Ее заявление эксперты интерпретируют как означающее, что она не поддержит законопроект без новой формулировки преимущественного права для защиты законов Калифорнии и скорее уничтожит его, чем вынесет на голосование.

В одном из Открой письмо лидерам Конгресса, 10 генеральных прокуроров, представляющих штаты, в которых в настоящее время действуют законы о конфиденциальности, призвали Конгресс принять закон, устанавливающий только базовый уровень конфиденциальности. «Мы призываем Конгресс принять закон, который устанавливает федеральный минимум, а не потолок, для важнейших прав на неприкосновенность частной жизни и уважает важную работу, уже проделанную штатами для обеспечения надежной защиты конфиденциальности наших жителей», — написали они. Они сослались на существующие федеральные нормы для других законов, включая существующие меры защиты конфиденциальности потребителей, конфиденциальность детей и конфиденциальность здоровья, а также HIPAA. «Любая федеральная система конфиденциальности должна оставлять штатам возможность принимать законы в ответ на изменения в технологиях и методах сбора данных», — написал генеральный прокурор в письме. «Это связано с тем, что штаты лучше подготовлены к тому, чтобы быстро приспосабливаться к вызовам, связанным с технологическими инновациями, которые могут ускользнуть от федерального контроля».

Фонд электронных рубежей также направила письмо члену палаты представителей Фрэнку Паллоне, председателю комитета Палаты представителей по энергетике и торговле и спонсору законопроекта, с просьбой усилить положения федерального законопроекта и отменить приоритет законов штата о конфиденциальности. Закон Иллинойса о конфиденциальности информации, CCPA и Закон Вермонта о брокерах данных уже защищают потребителей, и другие штаты рассматривают аналогичные предложения. «Хотя EFF поддерживает федеральное законодательство, которое фактически защищает конфиденциальность данных потребителей, мы долгое время выступали против этого, если ценой является упреждение более строгих законов штата», — говорится в письме EFF.

Калифорния выступает против ослабления защиты

Законопроект также вызвал резкую критику со стороны Калифорнии, где Калифорнийское агентство по защите конфиденциальности выпустило меморандум который рекомендует делегации Конгресса Калифорнии, которая составляет 12% Палаты представителей, выступить против законопроекта.

Законодатели Калифорнии и официальные лица штата называют несколько областей, в которых, по их утверждению, федеральный закон ослабит защиту конфиденциальности, предусмотренную в настоящее время существующими законами штата. К ним относятся снижение защиты конфиденциальности для лиц, пользующихся услугами, связанными с абортами, и психическим здоровьем подростков.

Федеральный законопроект в его нынешнем виде не позволяет Калифорнии взыскивать денежные штрафы, связанные с применением федерального закона. Напротив, CCPA в настоящее время допускает взыскание значительных штрафов за нарушения закона штата.

Другие изменения, которые ADPPA внесет в Калифорнию, на которые в настоящее время распространяется действие CCPA:

• Удаление текущего отказа от автоматизированного принятия решений
• Замена калифорнийского определения персональная информация с определением покрываемые данные который не включает некоторые «производные данные и уникальные идентификаторы» в соответствии с законодательством Калифорнии.
• Отмена некоторых мер защиты в отношении непреследования за осуществление прав на неприкосновенность частной жизни.
• Добавление требования для аутентификации глобальных запросов на отказ — закон Калифорнии требует, чтобы компании соблюдали сигналы конфиденциальности браузера в качестве отказа, тогда как ADPPA требует явного согласия для деликатных категорий.

Дебби Рейнольдс, глобальный эксперт по конфиденциальности и защите данных, а также генеральный директор и главный специалист по конфиденциальности Debbie Reynolds Consulting, говорит, что федеральный закон ограничивает права на неприкосновенность частной жизни только первоначальным потребителем устройства. Например, если цифровой помощник, такой как Alexa, находится в офисе, конфиденциальность будет защищена только у компании, купившей услугу Alexa. Любой сотрудник, который находится над устройством и обсуждает личную информацию, не будет защищен законом, поскольку он не является потребитель обслуживания устройства.

Фиона Кэмпбелл-Вебстер, директор по конфиденциальности в MediaMath и бывший главный юрисконсульт и глобальный специалист по защите данных облачного приложения Beeswax, SaaS-приложения, приобретенного Comcast, говорит, что последствия могут быть в реальной жизни.

«Я думаю, что до того, как эти законы будут приняты, нам нужно помнить о том, что это будет означать для опыта потребления контента при взаимодействии в Интернете», — говорит она. «Опасения по поводу… непреднамеренных последствий того, что большие платформы в конечном итоге контролируют все».

Она предупреждает, что конфиденциальность имеет свою цену. «Я думаю, что было бы очень обидно увидеть мир, в котором мы были бы оштрафованы, если бы не могли платить за все эти различные услуги, которые мы теперь получаем бесплатно, определенным образом». Она предупредила, что некоторые непредвиденные последствия законопроекта о конфиденциальности могут негативно сказаться на малых компаниях, заставив их платить более высокие расходы, чтобы соответствовать новым правилам конфиденциальности.

Канада рассматривает аналогичный закон

США — не единственная североамериканская страна, работающая над созданием нового национального закона о конфиденциальности. Канада представила долгожданный Закон о внедрении цифровой хартии 2022 года. Билл C-27 - который заменяет аналогичный законопроект, который не был принят канадским парламентом в августе 2021 года. Законопроект вводит в действие Закон о защите конфиденциальности потребителей (CPPA), Закон о Трибунале по защите личной информации и данных и Закон об искусственном интеллекте и данных, а также вносить изменения в другие действующие акты.

«Это очень важный закон для Канады, — говорит Дэвид Гудис, партнер INQ Law в Торонто. «Он будет применяться во всех провинциях и территориях, кроме Британской Колумбии, Альберты и Квебека. Ранее в этом году Квебек принял свой собственный обновленный закон. Британская Колумбия и Альберта рассматривают возможность обновления своих уже очень старых законов. Помимо Квебека, CPPA будет самым современным и строгим законом о конфиденциальности в Канаде, примерно наравне с GDPR в Европе и CCPA в Калифорнии».

По словам Гудиса, между старым Bill C-11 и новым Bill C-27 есть несколько существенных различий. «На организации возложено несколько новых обязанностей, несоблюдение которых может повлечь за собой денежные штрафы. Например, организациям потребуется внедрить программу управления конфиденциальностью, обеспечить эквивалентную защиту конфиденциальности своих поставщиков услуг при передаче личной информации от компании поставщику услуг, а также гарантировать, что поставщик услуг, обнаруживший нарушение безопасности, уведомит организацию. Существует также совершенно новая часть законодательства, которая касается конкретных проблем, связанных с защитой частной жизни детей», — объясняет он.

Кроме того, согласно анализ
от глобальной юридической фирмы DLA Piper, старый законопроект не заменял провинциальные законы, которые «по существу аналогичны» федеральному закону, а это означало, что провинции Квебек, Альберта и Британская Колумбия могли вместо этого применять свои законы. из федерального. В то время как новый законопроект позволяет федеральному правительству решать, являются ли провинциальные законы по существу схожими и, следовательно, могут оставаться в силе, пока не ясно, пройдут ли проверку Альберта и Британская Колумбия — Квебек, который обновил свой закон о конфиденциальности в 2021 году, как ожидается, будет освобожден.