Il gioco della privacy dei dati sta cambiando e negli Stati Uniti si assiste a un'ondata di proposte di legge che cercano di stabilire nuovi standard per il trattamento dei dati degli utenti.
Mentre le aziende di tutto il mondo si stanno ancora adattando ai cambiamenti apportati dal Regolamento generale sulla protezione dei dati dell'UE (GDPR), gli Stati Uniti stanno accogliendo leggi proprie che seguiranno l'esempio del GDPRe rivoluzioneranno il modo in cui le aziende interagiscono con i dati degli utenti.
Cosa possiamo aspettarci dal sistema giuridico statunitense in materia di leggi sui dati? Come seguiranno il percorso tracciato dal GDPR? E cosa significano per voi queste proposte di legge?
1. Come il GDPR sta cambiando l'idea di dati digitali
La missione delGDPR è quella di spostare l'equilibrio di potere verso i consumatori quando si tratta di utilizzare i loro dati personali.
La conformità al GDPR sta imponendo adeguamenti globali nella gestione dei dati, sia nell'UE che nel resto del mondo. I cambiamenti includono:
- Gli utenti devono essere informati in modo semplice su come vengono raccolti e utilizzati i loro dati.
- Gli utenti devono acconsentire alla raccolta dei dati e comprendere il significato di tale consenso.
- l'utente deve essere in grado di rifiutare il consenso e di ritirarlo.
- Le aziende devono spiegare perché raccolgono i dati
- Le aziende non possono forzare il consenso rifiutando o limitando i servizi
Gli Stati Uniti si stanno ispirando ad alcuni di questi punti, con vari Stati americani che stanno elaborando leggi sulla privacy che includono uno o più dei concetti sopra citati.
2. La legge sul consenso
Il Customer Online Notification for Stopping Edge-Provider Network Transgressions (CONSENT) Act è una proposta di legge federale (S. 2639) che garantisce agli utenti maggiori diritti alla privacy.
Vi starete chiedendo chi è esattamente un edge provider e se siete considerati tali.
Il termine edge provider si è originariamente evoluto per indicare grandi aziende come ISP, Facebook, Google, Twitter e altri, che offrono applicazioni e servizi su Internet o forniscono dispositivi per accedere a Internet (tablet, telefoni, ecc.).
Nel 2014, però, la FCC ha ampliato la definizione di edge provider, includendo chiunque invii pacchetti di dati attraverso Internet.
Ciò significa che se la vostra azienda fornisce qualsiasi contenuto online - un negozio di e-commerce, video, immagini o anche solo un blog sulla vostra organizzazione - la FCC vi considera un edge provider.
Il CONSENT Act richiederebbe alla Federal Trade Commission (FTC) di stabilire un requisito di opt-in per il consenso all'uso di informazioni sensibili da parte di tali fornitori di servizi edge.
Chi è interessato?
Chiunque abbia un sito web aziendale negli Stati Uniti dovrebbe attenersi alla legge sul consenso, insieme ai grandi fornitori di servizi come Google, Amazon, YouTube, ecc.
Se avete dei contenuti sul vostro sito o raccogliete e memorizzate dei dati (cosa che probabilmente fate), il CONSENSO si applica alle vostre interazioni con i visitatori e i clienti del sito.
Cosa significa per le aziende?
Se il CONSENT Act passasse, il vostro sito web aziendale dovrebbe farlo:
- Monitorare i dati raccolti sui visitatori del sito web
- Ottenere il consenso esplicito prima di poter utilizzare, condividere o vendere i dati.
- Astenersi dal fare pubblicità agli utenti sulla base dei loro dati, a meno che non siano d'accordo.
- Smettete di usare una casella di "opt-out" per il consenso e implementate un chiaro processo di "opt-in".
- Dettagliate i dati raccolti e utilizzati in modo specifico, senza insabbiarli in caratteri cubitali.
- Fornire un meccanismo chiaro per ritirare il consenso quando un consumatore lo desidera
3. Legge sulla protezione della privacy dei social media e sui diritti dei consumatori del 2018
Il disegno di legge 2728 del Senato intende proteggere la privacy degli utenti sui social media e su altre piattaforme e richiede che i siti web forniscano agli utenti una copia dei dati raccolti su di loro.
La divulgazione dovrebbe anche indicare all'utente finale chi ha avuto accesso ai suoi dati, se i suoi dipendenti possono accedervi e l'utilizzo di tali dati.
Chi è interessato?
Sebbene il titolo del disegno di legge faccia pensare che sia rilevante solo per le piattaforme di social media, esso si applica potenzialmente a qualsiasi sito web che raccolga dati sui visitatori, anche se mira principalmente ai social media.
La legislazione è ancora in evoluzione - il che significa che i risultati sono ancora incerti - ma ci sono forti pressioni a favore di un campo di applicazione della conformità che vada ben oltre le sole piattaforme dei social media.
Cosa significa per le aziende?
Se la legge sulla protezione della privacy dei social media passa e l'interpretazione finale include più dei soli social media, il vostro sito web aziendale dovrà farlo:
- Scrivete i vostri termini di servizio in un linguaggio semplice
- Mostrare agli utenti quali dati sono stati raccolti da loro
- Offrire agli utenti un accesso e un controllo migliori sui dati raccolti su di loro
- Impostare i servizi di opt-out e di disabilitazione del tracciamento
- Stabilire un programma per la privacy (che comprenda la politica sulla privacy, le pratiche per garantire la conformità interna e un piano di risposta agli incidenti).
- Notificare agli utenti, entro 72 ore, eventuali violazioni della privacy.
4. Legge sulla privacy dei consumatori della California del 2018
La legge sulla privacy dei consumatori della California del 2018 (CCPA) era destinata a comparire nelle urne a novembre, ma il 28 giugno 2018 il legislatore dello Stato ha approvato una versione più blanda.
La legge garantisce ai consumatori il diritto di sapere quali dati vengono raccolti dalle aziende e dai fornitori di servizi di rete e offre loro un certo controllo sulle modalità di gestione, conservazione e condivisione di tali dati.
Chi è interessato?
Questa legge sulla privacy dei dati si applica a qualsiasi azienda o fornitore di servizi che consente a qualcuno in California di accedere al proprio sito web o alla propria piattaforma, a condizione che l'azienda soddisfi almeno uno dei seguenti criteri:
- I ricavi lordi annuali superano i venticinque milioni di dollari(25.000.000).
- Annualmente acquista, riceve, vende o condivide per scopi commerciali, da solo o in combinazione, le informazioni personali di 50.000 o più consumatori, famiglie o dispositivi di CA.
- deriva il 50% o più delle sue entrate annuali dal trasferimento in qualsiasi modo, compresa la vendita o la condivisione, delle informazioni personali dei consumatori di CA a terzi per scopi commerciali.
Il CCPA non si applica alle organizzazioni non profit e alle agenzie governative statali e locali della California.
Cosa significa per le aziende?
In vigore dal 1 gennaio 2020il CCPA richiede alle aziende di apportare diverse modifiche alle loro pratiche di raccolta e gestione dei dati, o di incorrere in multe per non conformità di 750 dollari a persona, per ogni violazione.
Ecco le principali misure da tenere a mente per conformarsi al CCPA:
- Divulgare ai consumatori le categorie di dati che raccogliete
- Divulgare le eventuali terze parti a cui si consente l'accesso ai dati.
- Consentire ai consumatori di CA di rinunciare alla vendita dei loro dati.
- Non interrompere o limitare l'uso dei servizi ai consumatori che rifiutano la vendita dei loro dati.
- Impostazione di servizi di opt-in per i consumatori CA di età inferiore ai 16 anni
5. Altre potenziali leggi sulla privacy
Sebbene le leggi sopra citate siano le più importanti che stanno emergendo negli Stati Uniti, l'elenco è lungi dall'essere esaustivo.
La legge sulla sicurezza dei dati e sulla notifica delle violazioni
Proposta nella sessione congressuale 2017-18, la legge sulla sicurezza dei dati e sulla notifica delle violazioni dovrebbe tornare in auge. La legge intende standardizzare le modalità di gestione delle violazioni dei dati e imporrebbe una rigorosa notifica di 72 ore agli utenti interessati.
La legge sull'acquisizione dei dati e sulla responsabilità e sicurezza della tecnologia
Questa proposta proviene dalla Camera dei Rappresentanti e stabilisce uno standard nazionale per la notifica delle violazioni e la sicurezza dei dati.
Attualmente, la maggior parte degli Stati ha leggi sulla notifica delle violazioni, molte delle quali sono in contraddizione tra loro. Gli Stati Uniti si stanno adoperando per ricucire questo mosaico legale in una legislazione generale, al fine di proteggere meglio i dati privati degli utenti di Internet.
Sicurezza a New York
Anche le città stanno entrando nell'arena della legge sulla protezione dei dati, compresa la città di New York con la sua iniziativa NYC Secure.
Questo programma mira a proteggere i cittadini da attività informatiche dannose su Wi-Fi e dispositivi mobili, garantendo al contempo la privacy dei dati.
6. Conclusione
Il GDPR ha scatenato un effetto domino nella sfera giuridica della privacy digitale. Il Commissario per l'informazione del Regno Unito, Elizabeth Denham, ha dichiarato in un recente discorso:
Il GDPR contiene molte cose che riconoscerete dalla legge attuale, ma non fatevi illusioni: questa legge cambia le carte in tavola per tutti.
E ora il nuovo paradigma della privacy dei dati personali si sta facendo strada negli Stati Uniti. Tra le preoccupazioni dei consumatori e le pressioni esercitate dagli standard giuridici internazionali, gli Stati Uniti si stanno rapidamente impegnando per migliorare le leggi sulla privacy di Internet, implementando nuove leggi e regolamenti a tutela della privacy e della protezione dei dati degli utenti.
Sebbene questi progressi vadano in ultima analisi a beneficio del pubblico, possono essere difficili da mantenere e rispettare per le aziende.
Il primo passo per stare al passo con l'evoluzione del mondo dei diritti dei dati è quello di tenersi informati sulle novità e di essere all'avanguardia.
Per saperne di più su chi scrive
Scritto da Natasha Piirainen
Natasha è una Content Specialist con oltre 10 anni di esperienzaprofessionale nello sviluppo di contenutibasati sulla ricerca . Si è laureata in inglese e filosofia al Wheaton College. In Termly sioccupa di privacy dei dati e di gestione del consenso best practice gestione del consenso edè responsabile della manutenzione e dell'aggiornamento di materialecompleto sulla privacy dei dati .
Per saperne di più su chi scrive
Recensito da Masha Komnenic CIPP/E, CIPM, CIPT, FIP Direttore di Global Privacy
