Florida hat die Florida Digital Bill of Rights (FDBR) verabschiedet, die nun teilweise in Kraft ist.
Das FDBR ist ein interessanter Rechtsakt, der im Vergleich zu anderen Gesetzen der US-Bundesstaaten zum Datenschutz einzigartige Definitionen verwendet.
Im Folgenden fasse ich Floridas neues Datenschutzgesetz zusammen, einschließlich der Frage, für wen es gilt, der wichtigsten Begriffe und Definitionen sowie der Maßnahmen, die die für die Datenverarbeitung Verantwortlichen ergreifen müssen, um es einzuhalten.
- Was ist die Florida Digital Bill of Rights (FDBR)?
- FDBR Schlüsselbegriffe und Definitionen
- Was deckt die Florida Digital Bill of Rights ab?
- Anforderungen der Florida Digital Bill of Rights
- Floridas Datenschutzgesetz im Vergleich zu anderen Staaten: Gemeinsamkeiten und Unterschiede
- Wie wird sich das FDBR auf die Verbraucher auswirken?
- Wie wirkt sich das FDBR auf die Unternehmen aus?
- Wer muss sich an Floridas neues Datenschutzgesetz halten?
- Wie können sich die Unternehmen auf den FDBR vorbereiten?
- Wie wird das FDBR durchgesetzt?
- Bußgelder und Strafen gemäß der Florida Digital Bill of Rights
- Wie kann Termly bei der Einhaltung des FDBR helfen?
- Zusammenfassung
Was ist die Florida Digital Bill of Rights (FDBR)?
Die Florida Digital Bill of Rights ist ein Gesetz, das erklärt, welche Rechte die Einwohner Floridas in Bezug auf die Verarbeitung und Nutzung ihrer persönlichen Daten durch verschiedene Stellen haben.
In einem zweiten Abschnitt werden Leitlinien für Regierungsangestellte in Bezug auf soziale Mediendienste und Verpflichtungen für für die Verarbeitung Verantwortliche, die Suchmaschinen betreiben, beschrieben, und in einem weiteren Abschnitt werden spezifische Regeln für den Schutz von Daten von Kindern unter 18 Jahren in Online-Räumen dargelegt.
Außerdem wird beschrieben, welche Strafen bei Verstößen gegen Teile des neuen Gesetzes drohen.
FDBR Datum des Inkrafttretens
Floridas Digital Bill of Rights trat am 1. Juli 2024 in Kraft.
Die Bestimmungen über Staatsbedienstete und soziale Medienplattformen traten im Juli 2023 in Kraft, wie in Abschnitt 1, Abschnitt 112.23 beschrieben.
FDBR Schlüsselbegriffe und Definitionen
Die Florida Digital Bill of Rights verwendet mehrere einzigartige Definitionen für Begriffe, die wir aus anderen US-Datenschutzgesetzen kennen, und das Verständnis der Unterschiede ist für die Einhaltung der Vorschriften unerlässlich.
Nachfolgend habe ich die wichtigsten Begriffe mit den Definitionen, wie sie im FDBR stehen, aufgeführt:
- Kind: Ein Verbraucher oder Verbraucher, die unter 18 Jahre alt sind.
-
Einverstanden: Bezieht sich der Begriff auf einen Verbraucher, so bedeutet er eine eindeutige bestätigende Handlung, die die frei gegebene, spezifische, informierte und unzweideutige Zustimmung des Verbrauchers zur Verarbeitung personenbezogener Daten des Verbrauchers darstellt. Der Begriff umfasst eine schriftliche Erklärung, einschließlich einer auf elektronischem Wege verfassten Erklärung, oder jede andere eindeutige bestätigende Handlung.
-
Der Begriff umfasst nicht einen der folgenden Punkte:
- (a) Akzeptanz allgemeiner oder weit gefasster Nutzungsbedingungen oder ähnlicher Dokumente, die Beschreibungen der Verarbeitung personenbezogener Daten zusammen mit anderen, nicht damit zusammenhängenden Informationen enthalten.
- (b) Überfahren, Stummschalten, Pausieren oder Schließen eines bestimmten Inhalts.
- (c) Einigung durch die Verwendung dunkler Muster.
-
Der Begriff umfasst nicht einen der folgenden Punkte:
-
Verbraucher: Eine Person, die in diesem Bundesstaat ansässig ist oder ihren Wohnsitz dort hat und nur als Einzelperson oder im Haushalt handelt.
- Der Begriff umfasst nicht eine Person, die in einem kommerziellen oder arbeitsrechtlichen Kontext handelt.
-
Controller: (a) Ein Einzelunternehmen, eine Personengesellschaft, eine Gesellschaft mit beschränkter Haftung, eine Kapitalgesellschaft, eine Vereinigung oder eine juristische Person, die die folgenden Anforderungen erfüllt:
- 1. Ist für den Gewinn oder den finanziellen Nutzen seiner Aktionäre oder Eigentümer organisiert oder betrieben;
- 2. Führt Geschäfte in diesem Staat durch;
- 3. Erhebt personenbezogene Daten über Verbraucher oder ist die Einrichtung, in deren Namen solche Informationen erhoben werden;
- 4. Bestimmt die Zwecke und Mittel der Verarbeitung personenbezogener Daten über Verbraucher allein oder gemeinsam mit anderen;
- 5. einen weltweiten Bruttojahresumsatz von mehr als 1 Milliarde Dollar erwirtschaftet; und
- 6. Erfüllt mindestens eine der folgenden Bedingungen:
- a. 50 Prozent oder mehr seiner weltweiten Bruttojahreseinnahmen aus dem Verkauf von Online-Werbung erzielt, einschließlich der Bereitstellung gezielter Werbung oder des Verkaufs von Online-Anzeigen;
- b. einen intelligenten Lautsprecher für Verbraucher und einen Sprachsteuerungs-Komponentendienst mit einem integrierten virtuellen Assistenten betreibt, der mit einem Cloud-Computing-Dienst verbunden ist, der eine freihändige verbale Aktivierung verwendet. Für die Zwecke dieses Unterabsatzes umfasst ein intelligenter Lautsprecher für Verbraucher und ein Sprachsteuerungskomponentendienst keine Kraftfahrzeuge oder Lautsprecher oder Geräte, die mit einem Fahrzeug verbunden sind, das von einem Kraftfahrzeughersteller oder einer seiner Tochtergesellschaften oder verbundenen Unternehmen betrieben wird; oder
- c. Betreibt einen App-Store oder eine digitale Vertriebsplattform, die mindestens 250.000 verschiedene Softwareanwendungen zum Herunterladen und Installieren anbietet.
- (b) oder jedes Unternehmen, das einen für die Verarbeitung Verantwortlichen kontrolliert oder von diesem kontrolliert wird. Im Sinne dieses Absatzes bedeutet der Begriff "Kontrolle":
- 1. Besitz von mehr als 50 Prozent der im Umlauf befindlichen Aktien einer beliebigen Klasse von stimmberechtigten Wertpapieren eines Kontrolleurs oder die Befugnis, für diese zu stimmen;
- 2. Kontrolle in irgendeiner Weise über die Wahl der Mehrheit der Direktoren oder von Personen, die ähnliche Funktionen ausüben; oder
- 3. Die Befugnis, einen beherrschenden Einfluss auf die Geschäftsführung eines Unternehmens auszuüben.
- Dunkles Muster: Eine Benutzeroberfläche, die so gestaltet oder manipuliert ist, dass sie die Autonomie, die Entscheidungsfindung oder die Wahlmöglichkeiten des Benutzers untergräbt oder beeinträchtigt, und die alle Praktiken einschließt, die die Federal Trade Commission als dunkle Muster bezeichnet, aber nicht darauf beschränkt ist.
-
Persönliche Daten: alle Informationen, einschließlich sensibler Daten, die mit einer identifizierten oder identifizierbaren Person verknüpft sind oder vernünftigerweise verknüpft werden können. Der Begriff schließt pseudonyme Daten ein, wenn die Daten von einem für die Verarbeitung Verantwortlichen oder einem Auftragsverarbeiter in Verbindung mit zusätzlichen Informationen verwendet werden, die die Daten vernünftigerweise mit einer bestimmten oder bestimmbaren Person in Verbindung bringen.
- Der Begriff umfasst keine deidentifizierten Daten oder öffentlich zugängliche Informationen.
-
Persönliche Informationen: Informationen, die mit einem identifizierten oder identifizierbaren Kind verknüpft sind oder vernünftigerweise verknüpft werden können, einschließlich biometrischer Informationen und eindeutiger Identifikatoren des Kindes. Oder einen der folgenden Punkte:
- a. Der Vorname oder die ersten Initialen und der Nachname einer Person in Kombination mit einem oder mehreren der folgenden Datenelemente für diese Person:
- (I) Eine Sozialversicherungsnummer;
- (II) Die Nummer eines Führerscheins oder Personalausweises, die Nummer eines Reisepasses, eine militärische Identifikationsnummer oder eine andere ähnliche Nummer, die auf einem staatlichen Dokument zur Überprüfung der Identität ausgestellt wurde;
- (III) Die Nummer eines Finanzkontos oder einer Kredit- oder Debitkarte in Verbindung mit einem erforderlichen Sicherheitscode, Zugangscode oder Passwort, der/das für den Zugang zum Finanzkonto einer Person erforderlich ist;
- (IV) Informationen über die Krankengeschichte, den psychischen oder physischen Zustand einer Person oder die medizinische Behandlung oder Diagnose durch einen Angehörigen der Gesundheitsberufe; oder
- (V) Die Krankenversicherungspolicennummer oder die Teilnehmeridentifikationsnummer einer Person und jede eindeutige Kennung, die von einem Krankenversicherer zur Identifizierung der Person verwendet wird;
- (VI) biometrische Daten einer Person gemäß der Definition in Abschnitt 1495 501.702; oder (VII) Informationen über die Geolokalisierung einer Person.
- b. Einen Benutzernamen oder eine E-Mail-Adresse in Kombination mit einem Passwort oder einer Sicherheitsfrage und -antwort, die den Zugang zu einem Online-Konto ermöglichen würden.
- Der Begriff umfasst keine Informationen über eine Person, die von einer Bundes-, Landes- oder lokalen Regierungsbehörde öffentlich zugänglich gemacht wurden. Der Begriff umfasst auch keine Informationen, die verschlüsselt, gesichert oder durch eine andere Methode oder Technologie geändert wurden, die Elemente entfernt, die eine Person persönlich identifizieren, oder die die Informationen anderweitig unbrauchbar machen.
- a. Der Vorname oder die ersten Initialen und der Nachname einer Person in Kombination mit einem oder mehreren der folgenden Datenelemente für diese Person:
- Verarbeitung: Jeder Vorgang oder jede Reihe von Vorgängen, die mit personenbezogenen Daten oder einer Reihe von personenbezogenen Daten durchgeführt werden, unabhängig davon, ob dies mit automatisierten Mitteln geschieht.
- Verarbeiter: Eine Person, die personenbezogene Daten im Auftrag eines für die Verarbeitung Verantwortlichen verarbeitet.
-
Sensible persönliche Daten: Alle Informationen, einschließlich sensibler Daten, die mit einer identifizierten oder identifizierbaren Person verknüpft sind oder vernünftigerweise verknüpft werden können. Der Begriff schließt pseudonyme Daten ein, wenn die Daten von einem für die Verarbeitung Verantwortlichen oder einem Auftragsverarbeiter in Verbindung mit zusätzlichen Informationen verwendet werden, die die Daten mit einer identifizierten oder identifizierbaren Person in Verbindung bringen.
- Der Begriff umfasst keine deidentifizierten Daten oder öffentlich zugängliche Informationen.
Was deckt die Florida Digital Bill of Rights ab?
Das FDBR deckt drei verschiedene datenschutzrechtliche Fragen ab, die die Einwohner Floridas und den Staat selbst betreffen:
- Ein Abschnitt beschreibt die Rechte, die Verbraucher, die in einem persönlichen oder häuslichen Kontext handeln, in Bezug auf die Erhebung, Verarbeitung und Nutzung ihrer personenbezogenen Daten durch die für die Verarbeitung Verantwortlichen haben.
- Ein weiterer Abschnitt verbietet es Regierungsangestellten, ihre Position oder staatliche Ressourcen zu nutzen, um Inhalte oder Konten auf Social-Media-Plattformen zu entfernen.
- Im dritten Abschnitt werden die Schutzmaßnahmen für personenbezogene Daten von Kindern im Internet erläutert und festgelegt.
Interessanterweise verwendet das FDBR unterschiedliche Definitionen für personenbezogene Daten und personenbezogene Informationen (beide erscheinen im Abschnitt Schlüsselbegriffe oben), die für die verschiedenen Abschnitte des Gesetzes gelten:
- Personenbezogene Daten sind Informationen, die von den für die Verarbeitung Verantwortlichen über in Florida ansässige Personen gesammelt, verarbeitet und genutzt werden.
- Persönliche Informationen beziehen sich auf die Sicherheitsrichtlinien in Online-Räumen für Kinder unter 18 Jahren.
Anforderungen der Florida Digital Bill of Rights
Als Datenschutzgesetz enthält das Florida-Gesetz eine Vielzahl von Anforderungen, von denen einige direkt für Unternehmen gelten, die personenbezogene Daten von Verbrauchern in Florida sammeln und verwenden.
Um Ihnen zu helfen, die relevanten Teile des FDBR zu verstehen, habe ich die Leitlinien in diesem nächsten Abschnitt zusammengefasst.
Anforderungen an den für die Verarbeitung personenbezogener Daten Verantwortlichen
Gemäß Abschnitt 13. Abschnitt 501.71 des Gesetzes müssen die für die Verarbeitung Verantwortlichen die Verarbeitung personenbezogener Daten auf das beschränken, was "angemessen, relevant und vernünftigerweise notwendig" ist, basierend auf den Zwecken, die sie den Verbrauchern präsentieren.
Die für die Verarbeitung Verantwortlichen müssen außerdem technische und physische Maßnahmen ergreifen, um die Integrität und Vertraulichkeit der Informationen zu schützen.
Für die Verarbeitung von Daten, die über das erforderliche Maß hinausgehen, oder von sensiblen personenbezogenen Daten benötigen Sie die Zustimmung der Verbraucher.
Wenn Sie den Verkauf biometrischer oder sensibler personenbezogener Daten planen, müssen Sie außerdem auf Ihrer Website einen sichtbaren Hinweis mit folgendem Wortlaut geben, wie in Abschnitt 14 beschrieben . Abschnitt 501.711 Teil (2):
- HINWEIS: Diese Website kann Ihre sensiblen persönlichen Daten verkaufen
- HINWEIS: Diese Website kann Ihre biometrischen persönlichen Daten verkaufen
Lernen Sie den Unterschied zwischen einem Datenverantwortlichen und einem Datenverarbeiter kennen.
Datenschutz-Bewertungen
Die für die Verarbeitung Verantwortlichen müssen Datenschutzbewertungen durchführen und dokumentieren, um bestimmte Datenverarbeitungstätigkeiten durchzuführen, wie in Abschnitt 16 beschrieben . Abschnitt 501.713 des FDBR.
Sie müssen eine DPA durchführen, um Daten für die folgenden Zwecke zu verarbeiten:
- Gezielte Werbung
- Der Verkauf von personenbezogenen Daten
- Verarbeitung von Daten zum Zwecke der Profilerstellung, wenn sie ein vernünftigerweise vorhersehbares Risiko für den Verbraucher darstellt
- Verarbeitung sensibler Daten
- Verarbeitungstätigkeiten, die personenbezogene Daten betreffen, die ein erhöhtes Risiko für den Verbraucher darstellen
Die Datenschutzbewertung des für die Verarbeitung Verantwortlichen muss alle folgenden Punkte berücksichtigen:
- Identifizierung und Abwägung der direkten und indirekten Vorteile für den für die Verarbeitung Verantwortlichen, den Verbraucher und andere Beteiligte gegenüber den potenziellen Risiken für die Verbraucherrechte, die durch Schutzmaßnahmen gemildert werden.
- Berücksichtigen Sie die Verwendung von anonymisierten Daten, die berechtigten Erwartungen des Verbrauchers, den Kontext der Verarbeitung und die Beziehung zwischen dem für die Verarbeitung Verantwortlichen und dem Verbraucher.
Sie können eine einzige Bewertung verwenden, um eine vergleichbare Reihe von Vorgängen oder Tätigkeiten zu erfassen, wenn das angenommene Risiko für den Verbraucher einen ähnlichen Umfang hat.
Die für die Verarbeitung Verantwortlichen können sich auch auf eine Bewertung stützen, die zur Einhaltung eines anderen Gesetzes oder einer anderen Vorschrift durchgeführt wurde, die mit den im FDBR enthaltenen Leitlinien vergleichbar ist.
Vertragliche Verpflichtungen in Bezug auf Drittverarbeiter
Das FDBR umreißt die vertraglichen Anforderungen zwischen für die Verarbeitung Verantwortlichen und Auftragsverarbeitern in Abschnitt 15. Abschnitt 501.712 Teil (2).
Konkret heißt es, dass zwischen dem für die Verarbeitung Verantwortlichen und dem Auftragsverarbeiter ein Vertrag bestehen muss, in dem alle folgenden Punkte festgelegt sind:
- Klare Anweisungen für die Verarbeitung der Daten
- Art und Zweck der Verarbeitung
- Die Art der Daten, die verarbeitet werden
- Die Dauer der Bearbeitung
- Die Rechte und Pflichten der beiden beteiligten Parteien
- Die Anforderung, dass der Auftragsverarbeiter sicherstellt, dass jede Person, die die Daten verarbeitet, zur Vertraulichkeit der Informationen verpflichtet ist
- die Verpflichtung des Auftragsverarbeiters, alle Daten nach Beendigung des Vertrags auf Anweisung des für die Verarbeitung Verantwortlichen zu löschen oder zurückzugeben, es sei denn, das Gesetz schreibt eine Speicherung vor
- Die Anforderung, dass der Auftragsverarbeiter alle in seinem Besitz befindlichen Informationen auf angemessene Anfrage des für die Verarbeitung Verantwortlichen zur Verfügung stellt, um nachzuweisen, dass der Auftragsverarbeiter diesen Teil des FDBR einhält
- die Verpflichtung des Auftragsverarbeiters, eine angemessene Bewertung durch den für die Verarbeitung Verantwortlichen oder einen benannten Prüfer zuzulassen und daran mitzuwirken
- Die Auflage, dass alle Unterauftragnehmer einen Vertrag mit denselben Bestimmungen abschließen müssen
Ein Auftragsverarbeiter kann einen qualifizierten unabhängigen Prüfer beauftragen, seine Richtlinien und technischen oder organisatorischen Maßnahmen zur Erfüllung dieser Anforderungen zu bewerten.
Der Auftragsverarbeiter muss dem für die Verarbeitung Verantwortlichen den Bericht auf Anfrage zur Verfügung stellen.
Leitlinien zum Umgang mit Daten von Kindern
Online-Dienste, die Spiele, Produkte, Dienste oder Funktionen anbieten, die hauptsächlich von Kindern genutzt werden können, müssen bestimmte Richtlinien des FDBR befolgen.
Insbesondere, wie in Abschnitt 2. Abschnitt 501.1735, dürfen diese Plattformen nicht:
- die personenbezogenen Daten eines Kindes zu verarbeiten, wenn die Plattform tatsächlich weiß (oder vorsätzlich außer Acht lässt), dass die Verarbeitung dem Kind erheblichen Schaden zufügen oder seine Privatsphäre gefährden könnte.
- ein Profil eines Kindes zu erstellen, es sei denn, die Online-Plattform weist nach, dass sie über angemessene Sicherheitsvorkehrungen verfügt und die Erstellung des Profils für die Bereitstellung des Dienstes erforderlich ist.
Plattformen, die einen zwingenden Grund dafür nachweisen können, dass die Profilerstellung kein erhebliches Risiko für den Schaden oder die Privatsphäre darstellt, dürfen diese Art der Verarbeitung jedoch fortsetzen.
Darüber hinaus können die Einrichtungen nicht:
- personenbezogene Daten, die für die Bereitstellung eines Online-Dienstes nicht erforderlich sind, zu sammeln, zu verkaufen, weiterzugeben oder aufzubewahren, es sei denn, sie können nachweisen, dass dies dem Kind keinen erheblichen Schaden zufügt und seine Privatsphäre nicht gefährdet.
- die personenbezogenen Daten für andere Zwecke als den ursprünglichen Zweck der Erhebung zu verwenden, es sei denn, sie weisen nach, dass dies dem Kind keinen erheblichen Schaden zufügt und seine Privatsphäre nicht gefährdet.
- genaue geografische Daten des Kindes zu sammeln, zu verkaufen oder weiterzugeben, es sei denn, dies ist für das Funktionieren des Dienstes unbedingt erforderlich.
- Sammeln Sie keine genauen geografischen Daten über das Kind, ohne einen offensichtlichen Hinweis darauf zu geben, dass die Daten gesammelt werden.
- Verwenden Sie dunkle Muster, um das Kind in eine Richtung zu lenken, die es sonst nicht einschlagen würde.
- die personenbezogenen Daten zur Schätzung des Alters oder der Altersspanne für andere Zwecke zu verwenden oder diese Daten länger als nötig zu speichern.
Social-Media-Beschränkungen für Regierungsangestellte
Gemäß Abschnitt 1. Abschnitt 112.23 Teil (2) und (3) der Florida Digital Bill of Rights dürfen Regierungsbehörden, Beamte oder Angestellte nicht mit Social-Media-Plattformen über bestimmte Anliegen kommunizieren.
Insbesondere können staatliche Stellen nicht die Entfernung von Inhalten oder Konten verlangen oder Vereinbarungen zum Zwecke der Inhaltsmoderation einleiten.
Sie können auch keine Arbeitsbeziehungen mit einer Social-Media-Plattform für die Moderation von Inhalten einrichten oder unterhalten.
Diese Abschnitte gelten jedoch nicht, wenn die staatliche Stelle oder der Beamte aus einem der folgenden Gründe handelt:
- Routinekontoverwaltung des Kontos der staatlichen Stelle, einschließlich der Entfernung oder Überarbeitung ihrer Inhalte oder ihres Kontos.
- Entfernung von Inhalten, die eine Straftat oder einen Verstoß gegen das öffentliche Recht Floridas zum Gegenstand haben.
- Löschung eines Kontos im Zusammenhang mit der Begehung einer Straftat oder der Verletzung des öffentlichen Rechts in Florida.
- Ermittlungen im Zusammenhang mit der Verhinderung von Körperverletzungen, dem Verlust von Menschenleben oder Sachschäden.
Bestimmungen für Kontrolleure, die Eigentümer von Suchmaschinen sind
Das FDBR umreißt in Abschnitt 13 Richtlinien, die Kontrolleure, die Suchmaschinen betreiben, befolgen müssen . Abschnitt 501.71 Teil (4).
Die für die Verarbeitung Verantwortlichen müssen eine aktuelle Beschreibung der wichtigsten Parameter, die zur Bestimmung der Rangfolge in den Suchmaschinen herangezogen werden, und ihrer relativen Bedeutung zur Verfügung stellen.
Sie sollte Einzelheiten über die "Priorisierung oder Depriorisierung von politischer Parteinahme oder politischer Ideologie in den Suchergebnissen" enthalten.
Die Beschreibung muss an einem leicht zugänglichen Ort verfügbar sein, ohne dass eine Anmeldung oder Benutzerregistrierung erforderlich ist.
Diese für die Verarbeitung Verantwortlichen sind jedoch nicht verpflichtet, Algorithmen oder andere Informationen offen zu legen, die eine Täuschung oder Schädigung der Verbraucher durch die Manipulation von Suchergebnissen ermöglichen könnten.
Floridas Datenschutzgesetz im Vergleich zu anderen Staaten: Gemeinsamkeiten und Unterschiede
Das FDBR umreißt Verbraucherrechte und einige Datenschutzverpflichtungen, die andere US-Datenschutzgesetze widerspiegeln, aber es unterscheidet sich in Umfang und Ausmaß von den anderen bestehenden Gesetzen, wie z. B. dem Datenschutzgesetz:
- Kalifornisches Verbraucherschutzgesetz (CCPA), geändert durch das kalifornische Datenschutzgesetz (CPRA)
- Colorado Datenschutzgesetz (CPA)
- Connecticut-Datenschutzgesetz (CTDPA)
- Delaware-Gesetz zum Schutz persönlicher Daten (DPDPA)
- Verbraucherdatenschutzgesetz von Indiana (Indiana CDPA)
- Iowa Verbraucherdatenschutzgesetz (Iowa CDPA)
- Kentucky Verbraucherdatenschutzgesetz (KCDPA)
- Minnesota-Gesetz zum Schutz der Verbraucherdaten (MCDPA)
- Maryland Online-Datenschutzgesetz (MODPA)
- Montana Verbraucherdatenschutzgesetz (MCDPA)
- Nebraska-Datenschutzgesetz (NDPA)
- New Hampshire-Datenschutzgesetz (NHDPL)
- New Jersey-Datenschutzgesetz (NJDPA)
- Oregon Consumer Privacy Act (OCPA)
- Tennessee-Informationsschutzgesetz (TIPA)
- Gesetz zum Datenschutz und zur Datensicherheit in Texas (TDPSA)
- Gesetz zum Schutz der Privatsphäre der Verbraucher in Utah (UCPA)
- Virginia Verbraucherdatenschutzgesetz (VCDPA)
Zu den Hauptunterschieden des FDBR gehört sein sehr begrenzter Anwendungsbereich, der auf größere Unternehmen abzielt, die Browser und/oder Suchmaschinen kontrollieren.
Sie gilt nicht für kleine und mittlere Unternehmen, Datenmakler und andere Online-Unternehmen, die in der Regel personenbezogene Daten von Verbrauchern sammeln, verarbeiten und nutzen.
In der nachstehenden Tabelle können Sie jedoch Aspekte des Gesetzes mit diesen anderen staatlichen Gesetzen vergleichen.
| Staatliches Recht | Opt-in-Einwilligung für bestimmte Arten der Datenverarbeitung | Opt-out-Zustimmung für bestimmte Arten der Datenverarbeitung | Muss den Nutzern eine Datenschutzrichtlinie (oder einen Hinweis) zur Verfügung stellen | Erfordert Datenschutzbeurteilungen | Umreißt vertragliche Verpflichtung mit Drittverarbeitern | Ermöglicht zivilrechtliche Klagen oder das Recht auf Privatklage | Muss die globalen Datenschutzkontrollen/Browser-Datenschutzeinstellungen beachten |
| FDBR | ✓ | ✓ | ✓ | ✓ | |||
| CCPA/CPRA | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ |
| CPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| CTDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| DPDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| Indiana CDPA | ✓ | ✓ | ✓ | ✓ | |||
| Iowa CDPA | ✓ | ✓ | ✓ | ||||
| KCDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| MN CDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| MT CDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| MODPA | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| NHDPL | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| NJDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| OCPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| TIPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| TDPSA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| UCPA | ✓ | ✓ | ✓ | ||||
| VCDPA | ✓ | ✓ | ✓ | ✓ |
Wie wird sich das FDBR auf die Verbraucher auswirken?
Das RBG wirkt sich auf die Verbraucher aus, indem es ihnen Rechte und die Kontrolle darüber einräumt, wie ihre persönlichen Daten von den für die Datenverarbeitung Verantwortlichen erfasst, verarbeitet und genutzt werden.
Genauer gesagt, Abschnitt 8. In Abschnitt 501.705 werden die meisten Verbraucherrechte beschrieben, zu denen alle folgenden gehören:
- sich zu vergewissern, ob ein für die Verarbeitung Verantwortlicher ihre personenbezogenen Daten verarbeitet, und Zugang zu diesen Daten zu erhalten
- Ungenauigkeiten in ihren persönlichen Daten zu korrigieren
- die vom Verbraucher zur Verfügung gestellten oder über ihn erhaltenen personenbezogenen Daten ganz oder teilweise zu löschen
- eine Kopie ihrer Daten in einem tragbaren Format und, falls verfügbar, in einem digitalen Format zu erhalten
- Abmeldung von gezielter Werbung
- dem Verkauf ihrer persönlichen Daten widersprechen
- Abmeldung vom Profiling
- Abmeldung von der Erhebung sensibler personenbezogener Daten, einschließlich der genauen Geolokalisierung und der Verarbeitung sensibler Daten
- Ablehnung der Erfassung personenbezogener Daten durch eine Sprach- oder Gesichtserkennungsfunktion
Darüber hinaus dürfen Geräte, die über eine der folgenden Funktionen zur Datenerfassung verfügen, nicht zur Überwachung verwendet werden, wenn die Funktionen nicht vom Verbraucher ohne Genehmigung aktiviert werden:
- Spracherkennung
- Gesichtserkennung
- Videoaufzeichnung
- Audioaufnahme
- Alle anderen elektronischen Merkmale
- Andere visuelle Merkmale
- Thermische Eigenschaften
- Olfaktorische Merkmale
Für wen gilt das FDBR?
Das FDBR umfasst nur die personenbezogenen Daten von Einwohnern Floridas, die als Einzelpersonen oder im Namen eines Haushalts gemäß Abschnitt 5 handeln . Abschnitt 501.702 des Gesetzes.
Ausgeschlossen sind alle Personen, die sich in diesem Staat zu beruflichen oder gewerblichen Zwecken aufhalten.
Wie wirkt sich das FDBR auf die Unternehmen aus?
Das RBG wirkt sich über die bereits erwähnten vertraglichen Verpflichtungen, Datenschutz-Folgenabschätzungen und Verpflichtungen gegenüber Suchmaschinen hinaus auf verschiedene Weise auf Unternehmen aus.
Sie wirkt sich auch auf Ihre Datenschutz- und Cookie-Richtlinien aus, auf die ich im nächsten Abschnitt näher eingehe.
Wie wirkt sich das FDBR auf meine Datenschutzpolitik aus?
Unternehmen, die als für die Verarbeitung Verantwortliche gelten, sollten planen, ihre Datenschutzrichtlinien zu aktualisieren, um die in der Florida Digital Bill of Rights beschriebenen Anforderungen zu erfüllen.
Gemäß Abschnitt 14. Abschnitt 501.711 müssen qualifizierte für die Verarbeitung Verantwortliche den Verbrauchern einen "angemessen zugänglichen" und "klaren" Datenschutzhinweis vorlegen, der alle folgenden Punkte enthält:
- Kategorien von personenbezogenen Daten und sensiblen personenbezogenen Daten, die von dem für die Verarbeitung Verantwortlichen verarbeitet werden
- Ihr Zweck für die Verarbeitung der Daten
- Wie Verbraucher ihre durch das FDBR gewährten Rechte ausüben können, einschließlich der Frage, wie sie gegen Entscheidungen eines für die Verarbeitung Verantwortlichen auf der Grundlage ihrer Anträge Widerspruch einlegen können
- Die Kategorien personenbezogener Daten, die der für die Verarbeitung Verantwortliche gegebenenfalls mit Dritten teilt
- Die Kategorien von Dritten, mit denen der für die Verarbeitung Verantwortliche Daten austauscht, falls vorhanden
- Eine Beschreibung der Methoden (gemäß Abschnitt 501.709 des FDBR), wie Verbraucher Anträge zur Ausübung ihrer Rechte gemäß dem Gesetz stellen können
Lesen Sie unsere Leitfäden, um zu erfahren, was eine Datenschutzrichtlinie ist und welche allgemeinen Anforderungen an eine Datenschutzrichtlinie gestellt werden.
Wie wird sich das FDBR auf meine Cookie-Richtlinie auswirken?
Das FDBR kann sich auf die Cookie-Politik der für die Datenverarbeitung Verantwortlichen auswirken, insbesondere wenn Sie Internet-Cookies für gezielte Werbung verwenden oder die aus Cookies gewonnenen Informationen verkaufen.
Wie in Abschnitt 8 erläutert . Abschnitt 501.705 des Gesetzes erläutert, haben Floridianer das Recht, dem Verkauf ihrer persönlichen Daten und gezielter Werbung zu widersprechen.
Sie müssen also Ihre Cookie-Richtlinie aktualisieren, um zu beschreiben, ob Sie Cookies für diese Zwecke verwenden und wie die Verbraucher ihr Recht auf Ablehnung wahrnehmen können.
Wer muss sich an Floridas neues Datenschutzgesetz halten?
Die Florida Digital Bill of Rights unterscheidet sich von den anderen Gesetzen der US-Bundesstaaten, da sie sich eher an Unternehmen als an Datenmakler und kleine bis mittlere Unternehmen richtet.
Gemäß Abschnitt 6. Abschnitt 501.703 gilt sie für Unternehmen, die in Florida geschäftlich tätig sind oder Waren und Dienstleistungen für Einwohner des Bundesstaates anbieten, die auch die Definition in Abschnitt 5. Abschnitt 501.702 die Definition des Begriffs " für die Verarbeitung Verantwortlicher" erfüllen (siehe Abschnitt "Schlüsselbegriffe und Definitionen" oben).
Sie müssen gewinnorientiert sein, einen Bruttojahresumsatz von mehr als 1 Milliarde US-Dollar erzielen und eine der folgenden zusätzlichen Bedingungen erfüllen:
- Erzielen Sie 50 % oder mehr Ihrer Einnahmen aus dem Verkauf von Online-Anzeigen.
- Betrieb eines intelligenten Lautsprechers oder eines Dienstes mit Sprachbefehlskomponenten (die mit Fahrzeugen verbundenen Dienste sind jedoch ausgenommen).
- Betreiben Sie einen App-Store oder eine digitale Plattform, die mindestens 250.000 verschiedene Softwareanwendungen anbietet.
Darüber hinaus besagt Abschnitt 5 Abschnitt 501.702, dass jeder, der von einem für die Verarbeitung Verantwortlichen kontrolliert wird oder einen solchen kontrolliert, ebenfalls unter die Definition fällt.
Unter Kontrolle versteht das Gesetz ausdrücklich:
- Besitz von mehr als 50 % der ausstehenden Aktien einer Stimmrechtsklasse
- die Kontrolle über die Wahl der Mehrheit der Direktoren zu haben
- Die Befugnis, Einfluss auf die Unternehmensführung auszuüben.
Sie sind nur dann verpflichtet, das FDBR zu befolgen, wenn Ihr Unternehmen diese Anforderungen erfüllt.
Wer ist von der FDBR ausgenommen?
Gemäß Abschnitt 6. Abschnitt 501.703 Teil (2) sind die folgenden Stellen ausgenommen und müssen das FDBR nicht befolgen:
- Staatliche Stellen oder politische Untergliederungen des Staates
- Finanzinstitute, die dem Gramm-Leach-Bliley Act (GLBA) unterliegen
- Abgedeckte Einrichtung oder Geschäftspartner, die den Datenschutz-, Sicherheits- und Sicherheitsverletzungsmitteilungen des US-Gesundheitsministeriums, dem Health Insurance Portability and Accountability Act (HIPAA) und dem Health Information Technology for Economic and Clinical Health Act unterliegen
- Gemeinnützige Organisationen
- Postsekundäre Bildungseinrichtungen
- Verarbeitung personenbezogener Daten für eine rein persönliche oder häusliche Tätigkeit
- Verarbeitung personenbezogener Daten ausschließlich zum Zweck der Messung oder Berichterstattung über Werbeleistung, Reichweite oder Häufigkeit
Wie können sich die Unternehmen auf den FDBR vorbereiten?
Einrichtungen, die als für die Datenverarbeitung Verantwortliche im Sinne des FDBR gelten, sollten einige wichtige Schritte einplanen, um sich auf die Umsetzung dieses Gesetzes vorzubereiten:
- Aktualisieren Sie Ihre Datenschutzrichtlinie, um alle angegebenen Details, einschließlich der Beschreibung der Verbraucherrechte, aufzunehmen.
- Wenn Sie biometrische oder sensible Daten verkaufen, sollten Sie auf Ihrer Website einen entsprechenden Hinweis anbringen.
- Stellen Sie sicher, dass jeder Vertrag, den Sie mit Drittverarbeitern abschließen, den Richtlinien des FDBR entspricht.
- Wenn Sie Verarbeitungstätigkeiten durchführen, die ein hohes Risiko für Verbraucher darstellen, müssen Sie die entsprechenden Datenschutzbewertungen durchführen und dokumentieren.
- Wenn Ihr Unternehmen eine Suchmaschine betreibt, sollten Sie auf Ihrer Website einen sichtbaren Hinweis auf Ihre Link-Ranking-Parameter einbauen.
- Für Einrichtungen, die Dienstleistungen erbringen, die hauptsächlich von Kindern genutzt werden, müssen Sie alle gesetzlich vorgeschriebenen Verpflichtungen erfüllen.
Wie wird das FDBR durchgesetzt?
Die Generalstaatsanwaltschaft hat die ausschließliche Befugnis, Verstöße gegen die Florida Digital Bill of Rights durchzusetzen und kann gegen jede Person vorgehen, die ihrer Meinung nach das Gesetz wegen unlauterer oder irreführender Handlungen oder Praktiken verletzt.
Bußgelder und Strafen gemäß der Florida Digital Bill of Rights
Der Generalstaatsanwalt von Florida kann bei Verstößen gegen das FDBR zivilrechtliche Strafen von bis zu 50.000 $ verhängen, wie in Abschnitt 23 erläutert . Abschnitt 501.72 Teil (1) des Gesetzes.
Die Verbraucher in Florida haben jedoch kein privates Klagerecht nach diesem Gesetz.
Wie kann Termly bei der Einhaltung des FDBR helfen?
Termly hilft Unternehmen bei der Einhaltung von Gesetzen wie der Florida Digital Bill of Rights, indem es Richtliniengeneratoren und eine consent management platform (CMP) bereitstellt, die von unserem Rechtsteam und Datenschutzexperten unterstützt werden.
Unser Datenschutzerklärung Generator folgt dem FDBR und verschiedenen anderen US-Gesetzen, und wir aktualisieren sie regelmäßig, um mit neuen und sich ändernden Gesetzen aus aller Welt Schritt zu halten.
Die Nutzung könnte nicht einfacher sein - es werden grundlegende Fragen zu Ihrem Unternehmen und der Verarbeitung personenbezogener Daten gestellt, und auf der Grundlage Ihrer Antworten wird dann eine einzigartige Datenschutzrichtlinie erstellt.
Nachfolgend sehen Sie einen Screenshot einer der Fragen, die gestellt werden.
Wir bieten auch ein CMP mit einem cookie consent -Banner an, das Sie so konfigurieren können, dass es die Opt-out-Anforderungen erfüllt, die in Gesetzen wie dem FDBR beschrieben sind.
Ein Beispiel dafür finden Sie unten.
Zusammenfassung
Die Florida Digital Bill of Rights ist ein einzigartiges Datenschutzgesetz des US-Bundesstaates, das jetzt in Kraft getreten ist.
Wenn Sie als für die Verarbeitung Verantwortlicher im Sinne des FDBR gelten, sollten Sie Ihre Datenschutz-Cookie-Richtlinie aktualisieren und mit allen Drittverarbeitern konforme Verträge abschließen.
Führen Sie Bewertungen der Datenverarbeitung durch, bevor Sie Informationen verarbeiten, die ein höheres Risiko für die Verbraucher darstellen könnten, und denken Sie daran, Formulare für die Beantragung des Zugangs zu den Daten auf Ihrer Website einzufügen, damit die Nutzer ihre Datenschutzrechte problemlos wahrnehmen können.
Vereinfachen Sie die Einhaltung von Vorschriften für Ihr Unternehmen mit dem TermlyDatenschutzerklärung Generator oder CMP.
Geschrieben von Natasha Piirainen
Natasha Piirainen ist Autorin zum Thema Datenschutz. Sie hat einen Bachelor-Abschluss in Englisch und Philosophie vom Wheaton College und verfügt über mehr als 10 Jahre Berufserfahrung in der forschungsorientierten Entwicklung von Inhalten.
Alle Beiträge von Natasha Piirainen lesen
Rezensiert von Josh Langeland, CIPM
Josh Langeland ist Datenschutzingenieur und hat einen Bachelor-Abschluss in Informatik von der University of Minnesota. Er setzt sich leidenschaftlich dafür ein, Technologien zum Schutz der Privatsphäre von Nutzern einzusetzen, und ist an der Schnittstelle zwischen komplexer Technologie und sich ständig ändernden Datenschutzgesetzen tätig.
Alle Beiträge lesen, die von Josh Langeland, CIPM, geprüft wurden
KOSTENLOSE Datenschutzerklärung erstellen
