Il 7 aprile, il Congresso ha sorpreso gli americani pubblicando una bozza di un potenziale disegno di legge federale sulla privacy, l'american Privacy Rights Act(APRA), insieme a una bozza di discussione.
Darebbe agli americani il controllo sulle loro informazioni personali e regolerebbe l'attuale mosaico di leggi a livello statale.
In questa guida, parlerò dell'APRA e del suo impatto su consumatori e imprese.
Punti chiave
Ecco una breve panoramica di tutto quello che c'è da sapere sull'APRA:
- l'aPRA è una proposta di legge federale statunitense sulla privacy dei dati che offre agli americani controlli sulla privacy e diritti di opt-out.
- Le entità coperte devono presentare agli utenti un'informativa sulla privacy e i meccanismi per far valere i propri diritti.
- La legge dà ai consumatori il diritto di intraprendere un'azione privata, di scegliere di non ricevere annunci pubblicitari mirati e di trasferire i propri dati coperti.
cos'è l'american Privacy Rights Act (APRA)?
l'american Privacy Rights Act (APRA) è la più recente iterazione di una potenziale legge federale sulla privacy dei dati che si sta muovendo nel governo degli Stati Uniti.
La direttiva offre agli americani diritti uniformi e controllo sulle modalità di raccolta, trattamento e utilizzo dei loro dati personali da parte di terzi e conferisce ai consumatori un diritto di azione privato.
Data di entrata in vigore dell'APRA
Se approvato, l'aPRA entrerà in vigore 180 giorni dopo la sua promulgazione.
Termini e definizioni chiave dell'APRA
Per aiutarvi a comprendere meglio l'aPRA, leggete le nostre definizioni semplificate di alcuni termini chiave introdotti dalla potenziale legge:
- Entità coperta: l'entità che determina lo scopo e i mezzi di raccolta, elaborazione e trasferimento dei dati coperti.
- Dati coperti: Informazioni che possono identificare o collegare a un individuo o a un dispositivo, escluse le informazioni come i dati de-identificati, i dati dei dipendenti e le informazioni disponibili al pubblico.
- Dati sensibili coperti: Si tratta di un sottoinsieme di dati che include dettagli come le credenziali di accesso, la geolocalizzazione precisa, l'identificazione del governo, la razza, l'etnia, la religione e le attività di navigazione online.
- Grande detentore di dati: Entità coperte che hanno un fatturato annuo pari o superiore a 250 milioni di dollari e che raccolgono ed elaborano i dati coperti di oltre 5.000.000 di persone (o 15.000.000 di dispositivi portatili, o 35.000.000 di dispositivi connessi) o i dati sensibili di oltre 200.000 persone (o 300.000 dispositivi portatili, o 700.000 dispositivi connessi).
- Piccole imprese: Imprese con un fatturato annuo pari o inferiore a 40 milioni di dollari che raccolgono ed elaborano i dati coperti di 200.000 persone o meno (esclusi i dati relativi alle strisciate delle carte di credito e altri dati transitori) e che non ottengono ricavi dal trasferimento dei dati coperti a terzi (queste sono esenti dalla legge).
Qual è lo scopo dell'APRA?
l'aPRA mira a fornire ai cittadini statunitensi una legge uniforme e completa sulla privacy dei dati dei consumatori e a stabilire protezioni per i dati coperti.
Stabilisce standard per la minimizzazione dei dati, in modo che le aziende raccolgano e utilizzino i dati necessari solo per scopi limitati.
Chi sostiene l'aPRA?
l'aPRA è stata presentata da:
- La presidente della Commissione per l'energia e il commercio della Camera , Cathy McMorris Rodgers (R-Wash)
- La presidente della Commissione del Senato per il Commercio, la Scienza e i Trasporti Maria Cantwell (D-Wash)
Cosa comprende l'aPRA?
Di seguito, leggete alcuni dei principali requisiti inclusi nell'attuale bozza dell'American Privacy Rights Act:
- Minimizzazione dei dati: Le entità coperte devono raccogliere solo i dati necessari, proporzionati e limitati per fornire un prodotto o un servizio.
- Trasparenza: Le entità hanno bisogno di un'informativa sulla privacy che illustri in dettaglio le loro pratiche in materia di privacy e sicurezza e le modalità con cui i consumatori possono esercitare i loro controlli sulla privacy e i loro diritti di opt-out.
- Controllo dei consumatori: I consumatori hanno il diritto di accedere, correggere e cancellare i propri dati coperti e di conoscere eventuali terze parti a cui sono stati trasferiti i loro dati.
- Diritti di opt-out: I consumatori possono rinunciare al trasferimento di dati non sensibili, alla pubblicità mirata e agli algoritmi utilizzati per le decisioni conseguenti.
- Interferenza con i diritti dei consumatori: l'aPRA proibisce l'uso di modelli scuri per distogliere l'attenzione di un individuo da un'informativa sulla privacy.
- Divieto di rifiuto del servizio e di rinuncia ai diritti: Le entità coperte non possono compiere ritorsioni nei confronti di persone che esercitano i loro diritti alla privacy ai sensi della legge.
- Sicurezza dei dati: Le entità coperte devono stabilire pratiche di sicurezza per ridurre i rischi prevedibili per i dati dei consumatori.
- Responsabilità esecutive: Le entità coperte devono scegliere un responsabile della privacy e/o della sicurezza dei dati e i grandi detentori di dati devono condurre valutazioni dell'impatto sulla privacy.
- Fornitori di servizi e terze parti: I fornitori di servizi devono attenersi alla legge e interrompere le pratiche relative ai dati se sanno che un'entità coperta la sta violando.
- Intermediari di dati: Gli intermediari di dati devono avere un sito web pubblico che li identifichi come tali e fornire uno strumento che consenta alle persone di seguire i controlli e i diritti di opt-out.
- Applicazione e diritto a cause private: La legge sarà applicata dai procuratori generali degli Stati, dalla Commissione federale per il commercio e dai singoli cittadini, che potranno intentare cause private contro gli enti che violano i loro diritti.
- Prelazione: l'atto prevale sulle leggi statali, ad esclusione di un elenco enumerativo. Come previsto dal California Consumer Privacy Act(CCPA), i residenti in California mantengono il diritto di intraprendere un'azione privata se i loro dati sono parte di una violazione dei dati.
Impatto dell'APRA su imprese e consumatori
l'aPRA avrebbe un impatto sulle imprese e sui consumatori nei seguenti modi:
Come influisce sulle aziende
Tra i modi in cui l'aPRA influisce sulle imprese coperte vi è l'obbligo di:
- Disporre di un'informativa sulla privacy conforme.
- Fornire un meccanismo che consenta ai consumatori di presentare richieste per dare seguito ai loro diritti.
- Eseguire le valutazioni d'impatto sulla privacy, se necessario.
- Garantire che i loro siti web prevedano specifiche per il meccanismo di opt-out universale due anni dopo l'entrata in vigore della legge.
- Implementare misure di sicurezza per proteggere i dati da accessi non autorizzati.
l'impatto sui consumatori
Nell'ambito dell'APRA, i consumatori avranno i seguenti diritti in merito ai loro dati coperti:
- Accedere ai dati coperti che un'entità ha raccolto da loro, ai nomi delle terze parti a cui i dati sono stati trasferiti e a una descrizione dello scopo per cui i dati sono stati trasferiti.
- Correggere le imprecisioni nei loro dati.
- Cancellare i loro dati.
- Esportare i propri dati in un formato portatile.
- Opt-out per la pubblicità mirata, il trasferimento dei propri dati e gli algoritmi utilizzati per le decisioni conseguenti.
- Opt-in per la raccolta di dati sensibili.
- intraprendere un'azione privata contro le entità coperte che violano i loro diritti.
APRA vs. ADPPA
l'aPRA è simile all'ADPPA in quanto entrambi:
- Dare agli utenti il diritto di accedere, correggere e cancellare i propri dati coperti.
- Disporre di linee guida incentrate sulla minimizzazione dei dati.
- Richiedere il consenso opt-in per la raccolta di dati sensibili coperti.
- Consentire ai consumatori di rinunciare al trasferimento dei loro dati coperti.
- Chiedere l'istituzione di un meccanismo di opt-out centralizzato.
Tuttavia, alcune differenze degne di nota tra le leggi proposte includono:
- l'aPRA ha una definizione leggermente più ampia di grande detentore di dati rispetto all'ADPPA.
- l'aPRA prevarrebbe sulle leggi statali, ma prevederebbe elementi di legge più severi, come il CCPA.
- l'aPRA conferisce ai consumatori un diritto di azione in materia di privacy.
Prospettive future dell'APRA
È ancora presto per dire quale sarà il futuro dell'APRA, ma attualmente la proposta di legge sembra godere di un sostegno bipartisan e bicamerale.
I legislatori probabilmente riformuleranno la legge e, secondo fonti come lo IAPP, sono "aperti a un feedback costruttivo".
Per i futuri aggiornamenti sull'APRA, vi invitiamo a consultare il sito.
Natasha Piirainen è una scrittrice specializzata in privacy con una laurea in inglese e filosofia conseguita presso il Wheaton College e oltre 10 anni di esperienza professionale nello sviluppo di contenuti basati sulla ricerca.
Leggi tutti i post di Natasha Piirainen
Revisionato da Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha Komnenic è consulente legale e Direttore della Privacy Globale Termly, laureata in giurisprudenza presso l'Università di Belgrado. È specializzata nell'implementazione, nel monitoraggio e nella verifica della conformità aziendale alle normative sulla privacy (HIPAA, PIPEDA, Direttiva ePrivacy, GDPR, CCPA, POPIA, LGPD).
Leggi tutti i post revisionati da Masha Komnenic CIPP/E, CIPM, CIPT, FIP
