Zvezni zakon o zasebnosti, ki bi prevzel državno zakonodajo o zasebnosti, se sooča z negotovo prihodnostjo

Nova nacionalna zakonodaja o zasebnosti, ki Američanom obljublja številne enake pravice do zasebnosti potrošnikov kot Splošna uredba Evropske unije o varstvu podatkov (GDPR), se prebija skozi ameriški kongres. Vendar pa predlagani predlog zakona ne izpolnjuje varstva zasebnosti podatkov, ki je že vključeno v obstoječe državne zakone in predpise o zasebnosti.

Cilj zvezne zakonodaje je zagotoviti enotno nacionalno podlago za zasebnost podatkov za potrošnike, hkrati pa zagotoviti vladni nadzor in uveljavljanje s strani Zvezna komisija za trgovino (FTC). V resnici predlagano Ameriški zakon o zasebnosti in varstvu podatkov ne dosega meril uspešnosti, določenih v Kalifornijski zakon o zasebnosti potrošnikov (CCPA) iz leta 2018 ali v nadomestku Kalifornijski zakon o zasebnosti (CPRA), ki začne veljati 1. januarja 2023, pravijo kritiki.

Zakon bi spadal v pristojnost Zvezna komisija za trgovino (FTC), kar pomeni, da pokriva samo tista vprašanja, ki jih FTC že obravnava. Sem spadajo goljufije potrošnikov, kraje identitete, zasebnost otrok in nekatera vprašanja kibernetske varnosti.

Nancy Pelosi, kalifornijska predstavnica, ki ima kot predsednica predstavniškega doma pooblastila, da prepreči, da bi predlog zakona prišel v poslansko dvorano za glasovanje, izdal izjavo
1. septembra, ko ugotavlja, da "ameriški zakon o zasebnosti in varstvu podatkov ne zagotavlja enake bistvene zaščite potrošnikov kot obstoječi kalifornijski zakoni o zasebnosti." Strokovnjaki si njeno izjavo razlagajo tako, da ne bo podprla predloga zakona brez novega prednostnega jezika za zaščito kalifornijskih zakonov in bi ga raje uničila, kot dala na glasovanje.

V Odprto pismo Voditeljem kongresa je 10 generalnih pravobranilcev, ki zastopajo države, ki imajo trenutno zakone o zasebnosti, spodbudilo kongres, da sprejme zakonodajo, ki določa le izhodišče za zasebnost. "Spodbujamo kongres, da sprejme zakonodajo, ki določa zvezno spodnjo mejo, ne zgornjo mejo, za kritične pravice do zasebnosti in spoštuje pomembno delo, ki so ga države že opravile, da bi zagotovile močno zaščito zasebnosti za naše prebivalce," so zapisali. Navedli so obstoječa zvezna izhodišča za druge zakone, vključno z obstoječo zaščito zasebnosti potrošnikov, zasebnostjo otrok in zdravstveno zasebnostjo ter HIPAA. "Vsak zvezni okvir zasebnosti mora državam pustiti prostor, da se z zakonodajo odzivajo na spremembe v tehnologiji in praksah zbiranja podatkov," so v pismu zapisali generalni državni tožilci. "To je zato, ker so države bolje opremljene za hitro prilagajanje izzivom, ki jih predstavljajo tehnološke inovacije, ki se lahko izmikajo zveznemu nadzoru."

Electronic Frontier Foundation tudi poslal pismo poslancu Franku Palloneu, predsedniku odbora predstavniškega doma za energijo in trgovino ter pokrovitelju predloga zakona, s prošnjo, da se okrepijo določbe zveznega zakona in da se odpravi prednostna pravica državnih zakonov o zasebnosti. Illinois Information Privacy Act, CCPA in Vermontov Zakon o posredniku podatkov že ščitita potrošnike, druge države pa preučujejo podobne predloge. "Čeprav EFF podpira zvezno zakonodajo, ki dejansko ščiti zasebnost podatkov potrošnikov, temu že dolgo nasprotujemo, če je cena prednost pred strožjimi državnimi zakoni," je EFF zapisal v pismu.

Kalifornija nasprotuje oslabljeni zaščiti

Predlog zakona je požel tudi močne kritike iz Kalifornije, kjer ga je izdala kalifornijska agencija za varstvo zasebnosti memorandum ki priporoča, da kalifornijska kongresna delegacija, ki predstavlja 12 % predstavniškega doma, nasprotuje zakonu.

Kalifornijski zakonodajalci in državni uradniki navajajo več področij, kjer trdijo, da bi zvezni zakon zmanjšal zaščito zasebnosti, ki jo trenutno zagotavljajo obstoječi državni zakoni. Ti vključujejo zmanjšanje zaščite zasebnosti za posameznike, ki obiskujejo storitve, povezane s splavom, in duševno zdravje najstnikov.

Zvezni predlog zakona, kot je trenutno napisan, Kaliforniji ne dovoljuje izterjave denarnih kazni, povezanih z njenim izvrševanjem zveznega zakona. Nasprotno pa CCPA trenutno omogoča izterjavo znatnih kazni za kršitve državne zakonodaje.

Druge spremembe, ki bi jih ADPPA uvedla za Kalifornijo, ki jo trenutno pokriva CCPA:

• Odstranjevanje trenutne zavrnitve avtomatiziranega odločanja
• Zamenjava kalifornijske definicije Osebni podatki z definicijo zajeti podatki ki ne vključuje nekaterih "izpeljanih podatkov in edinstvenih identifikatorjev" v skladu s kalifornijsko zakonodajo
• Odstranitev nekaterih zaščit v zvezi z ne-maščevanjem za uveljavljanje pravic do zasebnosti
• Dodajanje zahteve za preverjanje pristnosti globalnih zahtev za izključitev – kalifornijska zakonodaja zahteva, da podjetja spoštujejo signale zasebnosti brskalnika kot izključitev, medtem ko ADPPA zahteva izrecno izvolitev za občutljive kategorije

Debbie Reynolds, globalna strokovnjakinja za zasebnost in zaščito podatkov ter izvršna direktorica in glavna uradnica za zasebnost Debbie Reynolds Consulting, pravi, da zvezni zakon omejuje pravice do zasebnosti le na prvotnega uporabnika naprave. Na primer, če je digitalni pomočnik, kot je Alexa, v pisarni, bo zasebnost zaščitena le pri podjetju, ki je kupilo storitev Alexa. Noben uslužbenec, ki je nad glavo naprave in razpravlja o zasebnih informacijah, ne bi bil zaščiten z zakonom, ker ni bil Potrošnik storitve naprave.

Fiona Campbell-Webster, glavna uradnica za zasebnost pri MediaMathu ter nekdanja glavna pravna svetovalka in uradnica za globalno varstvo podatkov družbe Beeswax, ki temelji na oblaku, aplikacije SaaS, ki jo je kupil Comcast, pravi, da obstajajo posledice v resničnem življenju.

»Mislim, da se moramo zavedati, kaj bo to pomenilo za izkušnjo uživanja vsebine med interakcijo na internetu,« pravi. "Zaskrbljenost zaradi ... nenamernih posledic velikih platform, ki končno nadzorujejo vse."

Opozarja, da ima zasebnost svojo ceno. "Mislim, da bi bilo res škoda videti svet, v katerem bi bili kaznovani, če ne bi mogli plačati vseh teh različnih storitev, ki jih zdaj na določen način dobimo brezplačno." Nekatere nenamerne posledice predloga zakona o zasebnosti, je opozorila, bi lahko negativno vplivale na mala podjetja in jih prisilile v plačilo višjih stroškov, da bi izpolnili nove predpise o zasebnosti.

Kanada razmišlja o podobni zakonodaji

ZDA niso edina severnoameriška država, ki si prizadeva pripraviti nov, nacionalni zakon o zasebnosti. Kanada je predstavila težko pričakovani Zakon o izvajanju digitalne listine, 2022 — Račun C-27 — ki nadomešča podoben zakon, ki ga kanadski parlament ni sprejel avgusta 2021. Predlog zakona bi uzakonil Zakon o varstvu zasebnosti potrošnikov (CPPA), Zakon o sodišču za varstvo osebnih podatkov in podatkov ter Zakon o umetni inteligenci in podatkih ter spreminja druge obstoječe akte.

"To je zelo pomemben zakon za Kanado," pravi David Goodis, partner pri INQ Law v Torontu. Veljal bo v vseh provincah in ozemljih, razen v Britanski Kolumbiji, Alberti in Quebecu. Quebec je v začetku tega leta sprejel svoj nov, posodobljen zakon. BC in Alberta razmišljata o posodobitvi svojih zdaj zelo starih zakonov. Poleg Quebeca bo CPPA najsodobnejši in najstrožji zakon o zasebnosti v Kanadi in približno enak evropski GDPR in kalifornijskemu CCPA.”

Med starim predlogom zakona C-11 in novim predlogom zakona C-27 obstaja nekaj pomembnih razlik, pravi Goodis. »Organizacijam je naloženih več novih obveznosti, ki lahko pritegnejo denarne kazni, če jih ne upoštevajo. Organizacije bodo morale na primer uvesti program upravljanja zasebnosti, zagotoviti svojim ponudnikom storitev enakovredno zaščito zasebnosti pri prenosu osebnih podatkov iz podjetja k ponudniku storitev in zagotoviti, da ponudnik storitev, ki odkrije kršitev varnosti, obvesti organizacijo. Obstaja tudi popolnoma nov del zakonodaje, ki obravnava posebne pomisleke v zvezi z varovanjem zasebnosti otrok,« pojasnjuje.

Poleg tega po besedah Analiza
iz globalne poslovne pravne družbe DLA Piper, stari predlog zakona ni nadomestil pokrajinskih zakonov, ki so "bistveno podobni" zveznemu zakonu, kar je pomenilo, da bi province Quebec, Alberta in Britanska Kolumbija namesto tega lahko uporabljale svoje zakone zveznega. Medtem ko novi zakon dovoljuje zvezni vladi, da se odloči, ali so si pokrajinski zakoni v bistvu podobni in zato dovoljeni veljati, še ni jasno, ali bosta Alberta in Britanska Kolumbija prestali izbor – Quebec, ki leta 2021 posodobil svoj zakon o zasebnosti, naj bi bil izvzet.