Le aziende che rientrano nella soglia legale del Montana Consumer Data Privacy Act (MCDPA) hanno tempo fino al 1° ottobre 2024 per prepararsi alla conformità.
Ho quindi creato questa semplice lista di controllo in sei fasi per aiutare le aziende a soddisfare i requisiti delineati dall'MCDPA.
Siete pronti a seguirci?
Lista di controllo della conformità MCDPA: Passo dopo passo
Per semplificare i requisiti dell'MCDPA, ho creato questa semplice lista di controllo in sei fasi.
Parte 1: Eseguire una verifica della privacy
Per conformarsi all'MCDPA, la vostra azienda deve innanzitutto eseguire un audit sulla privacy per identificare tutti i dati personali che raccoglie dai consumatori, i motivi e le modalità di utilizzo.
Chiamato anche inventario dei dati, per completare questo processo si può prendere in considerazione uno dei seguenti metodi:
Parte 2: Requisiti di notifica della privacy
L'MCDPA impone alle aziende di presentare ai consumatori del Montana un'informativa sulla privacy ragionevolmente accessibile, chiara e significativa, che illustri le seguenti informazioni:
- Quali categorie di dati personali raccogliete.
- Lo scopo del trattamento dei dati.
- Come i consumatori possono esercitare i loro diritti e appellarsi alle decisioni prese in base alle richieste.
- Quali categorie di dati condividete con terzi, se del caso.
- Quali sono le categorie di terzi con cui condividete i dati, se del caso.
- Un indirizzo e-mail attivo o un altro meccanismo che i consumatori possano utilizzare per contattarvi.
Parte 3: gestione del consenso per il Trattamento Specifico dei Dati
Le aziende soggette al rispetto dell'MCDPA devono gestire il consenso degli utenti per consentire loro di rinunciare a diversi tipi di trattamento dei dati, tra cui:
- La vendita di dati personali
- Elaborazione dei loro dati per pubblicità mirata
- Trattamento dei dati per finalità di profilazione
È possibile soddisfare questa linea guida utilizzando una gestione del consenso platform (CMP) e presentando ai visitatori del vostro sito web un banner di consenso conforme.
Parte 4: Obblighi contrattuali per la condivisione o la vendita di dati personali
In base all'MCDPA, le aziende che agiscono in qualità di responsabili del trattamento dei dati e che collaborano con terzi responsabili del trattamento dei dati devono utilizzare un contratto vincolante che definisca i seguenti requisiti:
- Includere le istruzioni per il trattamento dei dati, la sua natura, la sua durata e il suo scopo.
- Richiedere un obbligo di riservatezza sui dati.
- Richiedere al trasformatore di dimostrare la conformità all'MCDPA.
- Richiedere all'incaricato del trattamento di cancellare o restituire tutti i dati personali al responsabile del trattamento a discrezione di quest'ultimo.
- Richiedere all'incaricato del trattamento di cancellare o restituire tutti i dati al termine del contratto.
- Richiedere all'incaricato del trattamento di collaborare alle ragionevoli valutazioni del responsabile del trattamento.
- Chiedete a tutti i subappaltatori di firmare un contratto che definisca gli stessi obblighi.
Parte 5: Diritti dei consumatori e richieste verificabili dei consumatori
Se la vostra azienda è soggetta all'MCDPA, dovete presentare ai consumatori del Montana due o più modi per presentare richieste verificabili da parte dei consumatori per dare seguito ai loro diritti:
- Confermate se state trattando i loro dati.
- Richiedere l'accesso ai propri dati
- Correggere le imprecisioni nei loro dati.
- Se possibile, procurarsi una copia portatile.
- Richiesta di cancellazione dei propri dati personali.
- Non possono essere venduti i loro dati.
- Rifiutare il trattamento dei propri dati per la pubblicità mirata.
- Rifiutare la profilazione.
Per soddisfare questo requisito legale, potreste implementare le seguenti soluzioni sul vostro sito web:
- Utilizzare un modulo di richiesta di accesso ai dati(DSAR).
- Fornire un indirizzo e-mail a cui gli utenti possano inviare le richieste.
- Pubblicate una politica sui cookie se il vostro sito utilizza cookie che raccolgono dati sensibili, dati che vendete o dati utilizzati per la pubblicità mirata.
- Utilizzate un banner di consenso per consentire ai consumatori di esercitare i diritti di opt-out.
In base all'MCDPA, entro il 1° gennaio 2025 i siti web dovranno rispettare i meccanismi di opt-out universale (UOOM) come richiesta verificata dei consumatori di dare seguito ai loro diritti di opt-out.
Parte 6: Procedure e pratiche di sicurezza
L'MCDPA richiede alle aziende di implementare adeguate misure di sicurezza amministrative, tecniche e fisiche per proteggere la riservatezza e l'accessibilità delle informazioni personali raccolte.
Alcune misure comuni di sicurezza dei dati che potreste prendere in considerazione includono:
- Anonimizzazione e de-identificazione dei dati
- Crittografia delle informazioni
- Controlli di accesso
- Creare un piano di backup o di ripristino dei dati
FAQ sui requisiti MCDPA
Avete ancora domande sull'MCDPA? Di seguito, rispondo ad alcune domande frequenti sulla legge in arrivo.
L'MCDPA si applica alla mia azienda?
L'MCDPA si applica alla vostra attività se avete sede in Montana o se rivolgete i vostri beni e servizi ai residenti dello Stato e soddisfate una delle seguenti soglie:
- Controlla o tratta i dati personali di non meno di 50.000 consumatori, esclusi i dati trattati esclusivamente per completare le operazioni di pagamento.
- Controlla o elabora i dati personali di non meno di 25.000 consumatori e ricava più del 25% dei ricavi annui lordi dalla vendita di dati.
Quando entra in vigore l'MCDPA?
L'MCDPA entra in vigore il 1° ottobre 2024.
Chi applica l'MCDPA?
Il procuratore generale del Montana mantiene l'autorità di applicare tutti gli aspetti dell'MCDPA.
Quali sono le sanzioni per la violazione dell'MCDPA?
Non è previsto un importo in dollari per le multe in caso di violazione dell'MCDPA.
Tuttavia, altre leggi statali statunitensi prevedono sanzioni fino a 7.500 dollari per violazione e le possibili multe per l'MCDPA potrebbero essere simili.
Termly può aiutare a rispettare l'MCDPA?
Termly offre un generatore di informativa sulla privacy che può aiutare a semplificare la conformità delle aziende a leggi come l'MCDPA.
Il generatore pone semplici domande sulla vostra attività e crea una polizza unica e completa sulla base delle vostre risposte. Il generatore includerà tutte le clausole necessarie come richiesto dall'MCDPA prima dell'entrata in vigore della legge.
Forniamo anche una gestione del consenso Platform (CMP) configurabile per aiutare i siti web a soddisfare i requisiti di opt-out delineati dalla legge sulla privacy dei consumatori del Montana.
Viene fornito con un modulo DSAR gratuito, in modo da fornire agli utenti un metodo affidabile per presentare le richieste di attuazione dei loro diritti.
Riassunto
Le aziende che devono conformarsi all'MCDPA prima che entri in vigore il 1° ottobre 2024, possono utilizzare la mia lista di controllo in sei fasi, facile da seguire, per soddisfare i requisiti legali:
- Eseguite una verifica della privacy per determinare tutti i dati personali che la vostra azienda raccoglie, perché li raccoglie e come vengono utilizzati.
- Preparate un'informativa sulla privacy che soddisfi tutti i requisiti di notifica previsti dalla legge.
- Gestire il consenso degli utenti e offrire loro un metodo per esercitare i propri diritti di opt-out.
- Quando lavorate con terzi responsabili del trattamento dei dati, assicuratevi di stipulare e firmare contratti che rispettino le linee guida descritte nell'MCDPA.
- Presentare agli utenti due o più modi per presentare richieste verificabili da parte dei consumatori per dare seguito ai loro nuovi diritti alla privacy.
- Implementare misure di sicurezza adeguate per proteggere l'integrità di tutti i dati personali in vostro possesso.
È possibile utilizzare soluzioni come Termlygeneratore di informativa sulla privacy e CMP per semplificare ulteriormente la conformità a leggi come l'MCDPA.
Per saperne di più su chi scrive
Scritto da Josh Langeland, CIPM
Ciao, sono Josh! Sono un ingegnere della privacy appassionato dell'uso della tecnologia per rispettare la privacy degli utenti. Mi trovo a mio agio nell'intersezione tra la tecnologia complessa e le leggi sulla privacy in continua evoluzione. Se non sto redigendo una revisione del progetto o riarchitettando un sistema, potrei trovarmi a leggere una biografia o a fare un'escursione nel parco nazionale più vicino. Per saperne di più su chi scrive
