Am 7. April überraschte der Kongress die Amerikaner mit der Veröffentlichung eines Entwurfs für ein mögliches US-Bundesgesetz zum Datenschutz, dem American Privacy Rights Act(APRA), sowie eines entsprechenden Diskussionsentwurfs.
Es würde den Amerikanern die Kontrolle über ihre persönlichen Daten geben und den derzeitigen Flickenteppich an einzelstaatlichen Rechtsvorschriften regulieren.
In diesem Leitfaden gehe ich auf die APRA ein und erläutere, wie sie sich auf Verbraucher und Unternehmen auswirken kann.
Wichtigste Erkenntnisse
Hier finden Sie einen kurzen Überblick über alles, was Sie über die APRA wissen müssen:
- Das APRA ist ein vorgeschlagener Entwurf für ein US-Bundesdatenschutzgesetz, das den Amerikanern Datenschutzkontrollen und Opt-out-Rechte einräumt.
- Die betroffenen Einrichtungen müssen den Nutzern eine Datenschutzpolitik und Mechanismen zur Durchsetzung ihrer Rechte zur Verfügung stellen.
- Sie gibt den Verbrauchern das Recht, privat zu klagen, gezielte Werbung abzulehnen und ihre erfassten Daten zu übertragen.
Was ist der American Privacy Rights Act (APRA)?
Der American Privacy Rights Act (APRA) ist die neueste Version eines potenziellen Bundesgesetzes zum Datenschutz, das von der US-Regierung eingebracht wird.
Es gibt den Amerikanern einheitliche Rechte und die Kontrolle darüber, wie ihre persönlichen Daten von Dritten gesammelt, verarbeitet und verwendet werden, und gibt den Verbrauchern ein privates Klagerecht.
APRA Datum des Inkrafttretens
Wird das APRA verabschiedet, würde es 180 Tage nach seiner Verabschiedung in Kraft treten.
APRA Schlüsselbegriffe und Definitionen
Damit Sie die APRA besser verstehen, lesen Sie unsere vereinfachten Definitionen einiger Schlüsselbegriffe, die durch das potenzielle Gesetz eingeführt werden:
- Abgedeckte Stelle: Die Einrichtung, die den Zweck und die Mittel der Erhebung, Verarbeitung und Übermittlung der erfassten Daten bestimmt.
- Erfasste Daten: Informationen, mit denen eine Person oder ein Gerät identifiziert oder verknüpft werden kann, ausgenommen Informationen wie de-identifizierte Daten, Mitarbeiterdaten und öffentlich zugängliche Informationen.
- Sensible erfasste Daten: Hierbei handelt es sich um eine Untergruppe von Daten, die Details wie Anmeldedaten, genaue geografische Lage, staatliche Identifikation, Rasse, ethnische Zugehörigkeit, Religion und Online-Browsing-Aktivitäten umfassen.
- Große Dateninhaber: Betroffene Unternehmen, die einen Jahresumsatz von 250 Millionen US-Dollar oder mehr erzielen und die erfassten Daten von mehr als 5.000.000 Personen (oder 15.000.000 tragbaren Geräten oder 35.000.000 verbundenen Geräten) oder die sensiblen Daten von mehr als 200.000 Personen (oder 300.000 tragbaren Geräten oder 700.000 verbundenen Geräten) sammeln und verarbeiten.
- Kleine Unternehmen: Unternehmen mit einem Jahresumsatz von 40 Millionen Dollar oder weniger, die erfasste Daten von 200.000 oder weniger Personen sammeln und verarbeiten (ausgenommen sind Daten aus Kreditkartenabrechnungen und andere flüchtige Daten) und keine Einnahmen aus der Weitergabe erfasster Daten an Dritte erzielen (diese sind von dem Gesetz ausgenommen).
Was ist der Zweck der APRA?
Ziel des APRA ist es, den US-Bürgern ein einheitliches, umfassendes Gesetz zum Schutz der Verbraucherdaten zur Verfügung zu stellen und den Schutz der erfassten Daten zu gewährleisten.
Sie legt Standards für die Datenminimierung fest, so dass Unternehmen nur die notwendigen Daten für begrenzte Zwecke erfassen und verwenden.
Wer unterstützt die APRA?
Die APRA wurde vorgestellt von:
- Die Vorsitzende des Ausschusses für Energie und Handel des Repräsentantenhauses, Cathy McMorris Rodgers (R-Wash)
- Die Vorsitzende des Senatsausschusses für Handel, Wissenschaft und Verkehr, Maria Cantwell (D-Wash)
Was ist im APRA enthalten?
Lesen Sie im Folgenden einige der wichtigsten Anforderungen, die im aktuellen Entwurf des American Privacy Rights Act enthalten sind:
- Datensparsamkeit: Die betroffenen Einrichtungen dürfen nur die für die Bereitstellung eines Produkts oder einer Dienstleistung erforderlichen, angemessenen und begrenzten Daten erfassen.
- Transparenz: Unternehmen brauchen eine Datenschutzerklärung, in der sie ihre Datenschutz- und Sicherheitspraktiken im Einzelnen darlegen und erläutern, wie die Verbraucher ihre Datenschutzkontrollen und Opt-out-Rechte ausüben können.
- Kontrolle durch die Verbraucher: Die Verbraucher haben das Recht, auf ihre erfassten Daten zuzugreifen, sie zu berichtigen und zu löschen und zu erfahren, an welche Dritten ihre Daten übermittelt wurden.
- Widerspruchsrecht: Die Verbraucher können der Übermittlung von nicht sensiblen Daten, gezielter Werbung und Algorithmen, die für Folgeentscheidungen verwendet werden, widersprechen.
- Beeinträchtigung der Verbraucherrechte: Die APRA verbietet die Verwendung dunkler Muster, um die Aufmerksamkeit einer Person von einem Datenschutzhinweis abzulenken.
- Verbot der Dienstverweigerung und des Verzichts auf Rechte: Abgedeckte Einrichtungen dürfen keine Vergeltungsmaßnahmen gegen Personen ergreifen, die ihre Datenschutzrechte gemäß dem Gesetz wahrnehmen.
- Datensicherheit: Die betroffenen Unternehmen müssen Sicherheitspraktiken einführen, um die vorhersehbaren Risiken für die Verbraucherdaten zu mindern.
- Verantwortlichkeiten der Geschäftsleitung: Die betroffenen Unternehmen müssen einen Datenschutz- und/oder Datensicherheitsbeauftragten benennen, und große Dateninhaber müssen Datenschutzfolgenabschätzungen durchführen.
- Dienstleistungsanbieter und Dritte: Dienstleister müssen sich an das Gesetz halten und ihre Datenpraktiken einstellen, wenn sie wissen, dass eine betroffene Einrichtung gegen das Gesetz verstößt.
- Datenmakler: Datenmakler müssen eine öffentliche Website haben, die sie als solche ausweist, und ein Instrument bereitstellen, mit dem Einzelpersonen ihre Kontroll- und Opt-out-Rechte wahrnehmen können.
- Durchsetzung und das Recht auf Privatklagen: Das Gesetz würde von den Generalstaatsanwälten der Bundesstaaten, der Federal Trade Commission und von Einzelpersonen durchgesetzt werden, die Privatklagen gegen Unternehmen einreichen können, die ihre Rechte verletzen.
- Vorkaufsrecht: Das Gesetz hat Vorrang vor einzelstaatlichen Gesetzen, mit Ausnahme einer aufgezählten Liste. Gemäß dem California Consumer Privacy Act(CCPA) haben die Einwohner Kaliforniens weiterhin das Recht, privat zu klagen, wenn ihre Daten von einer Datenschutzverletzung betroffen sind.
Auswirkungen der APRA auf Unternehmen und Verbraucher
Die APRA würde sich in folgender Weise auf Unternehmen und Verbraucher auswirken:
Wie sie sich auf Unternehmen auswirkt
Die APRA hat u. a. Auswirkungen auf die betroffenen Unternehmen, indem sie von ihnen verlangt, dass sie
- Verfügen Sie über eine konforme Datenschutzpolitik.
- Bereitstellung eines Mechanismus, mit dem die Verbraucher die Durchsetzung ihrer Rechte beantragen können.
- Erforderlichenfalls Durchführung von Datenschutz-Folgenabschätzungen.
- Sicherstellen, dass ihre Websites universelle Opt-out-Mechanismen enthalten, die zwei Jahre nach Inkrafttreten des Gesetzes festgelegt werden.
- Implementierung von Sicherheitsmaßnahmen zum Schutz der Daten vor unbefugtem Zugriff.
Wie es sich auf die Verbraucher auswirkt
Die Verbraucher hätten nach dem APRA folgende Rechte in Bezug auf ihre erfassten Daten:
- Zugang zu den erfassten Daten, die eine Einrichtung von ihnen erhoben hat, die Namen der Dritten, an die die Daten übermittelt wurden, und eine Beschreibung des Zwecks, zu dem die Daten übermittelt wurden.
- Korrektur von Ungenauigkeiten in ihren Daten.
- Löschen Sie ihre Daten.
- ihre Daten in ein portables Format exportieren.
- Ablehnung von gezielter Werbung, der Weitergabe ihrer Daten und von Algorithmen, die für Folgeentscheidungen verwendet werden.
- Einwilligung in die Erhebung sensibler Daten.
- Privatklagen gegen Einrichtungen, die ihre Rechte verletzen, einreichen.
APRA vs. ADPPA
Das APRA ist dem ADPPA insofern ähnlich, als dass beide:
- Geben Sie den Nutzern das Recht, auf ihre erfassten Daten zuzugreifen, sie zu korrigieren und zu löschen.
- Es gibt Richtlinien zur Datenminimierung.
- Für die Erhebung sensibler, erfasster Daten muss die Zustimmung der Betroffenen eingeholt werden.
- Den Verbrauchern muss die Möglichkeit gegeben werden, der Übermittlung ihrer erfassten Daten zu widersprechen.
- Forderung nach der Einrichtung eines zentralen Opt-out-Mechanismus.
Es gibt jedoch einige bemerkenswerte Unterschiede zwischen den vorgeschlagenen Gesetzen:
- Die APRA hat eine etwas weiter gefasste Definition des Begriffs " großer Dateninhaber " als das ADPPA.
- Das APRA würde staatlichen Gesetzen vorgehen, aber Bestimmungen für strengere Elemente von Gesetzen wie dem CCPA enthalten.
- Das APRA räumt den Verbrauchern ein Klagerecht zum Schutz der Privatsphäre ein.
Zukunftsaussichten der APRA
Es ist noch zu früh, um zu sagen, wie die Zukunft des APRA aussehen wird, aber das vorgeschlagene Gesetz scheint derzeit von beiden Parteien und beiden Kammern unterstützt zu werden.
Die Gesetzgeber werden das Gesetz höchstwahrscheinlich umformulieren und wurden von Quellen wie der IAPP mit den Worten zitiert, sie seien "offen für konstruktives Feedback".
Schauen Sie auf jeden Fall wieder vorbei, wenn es neue Informationen über die APRA gibt.
Geschrieben von Natasha Piirainen
Natasha Piirainen ist Autorin zum Thema Datenschutz. Sie hat einen Bachelor-Abschluss in Englisch und Philosophie vom Wheaton College und verfügt über mehr als 10 Jahre Berufserfahrung in der forschungsorientierten Entwicklung von Inhalten.
Alle Beiträge von Natasha Piirainen lesen
Überprüft von Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha Komnenic ist Rechtsberaterin und Director of Global Privacy Termly. Sie hat einen Abschluss in Rechtswissenschaften der Universität Belgrad. Sie ist spezialisiert auf die Umsetzung, Überwachung und Prüfung der Einhaltung von Datenschutzbestimmungen (HIPAA, PIPEDA, ePrivacy-Richtlinie, DSGVO, CCPA, POPIA, LGPD) durch Unternehmen.
Alle Beiträge lesen, die von Masha Komnenic CIPP/E, CIPM, CIPT, FIP geprüft wurden
