Prywatność w USA

Płać tylko za to, z czego korzystasz

Nasz elastyczny model cenowy

Rozwiązanie CMP consentmanager jest niedrogie i dostępne w elastycznym modelu: płacisz tylko za to, z czego korzystasz!

Przegląd:

Kiedy w USA weszły w życie przepisy dotyczące ochrony danych?

Są to ważne amerykańskie normy dotyczące prywatności

Jakie przepisy dotyczące ochrony danych obowiązują w Stanach Zjednoczonych?

Firmy, które mają siedzibę w Stanach Zjednoczonych, prowadzą tam działalność lub świadczą usługi lub w inny sposób kontaktują się z obywatelami USA, prawdopodobnie podlegają jednemu z wielu przepisów dotyczących prywatności.

• W przeciwieństwie do wielu innych krajów, przepisy dotyczące ochrony danych w USA są regulowane na poziomie stanowym – do czasu powstania krajowego prawa o ochronie danych. Firmy powinny zatem sprawdzić, czy lub jakie przepisy federalne mają do nich zastosowanie. W szczególności mogą to być:

• CCPA / CPRA – Kalifornia

  CCPA oznacza California Consumer Privacy Act i została uchwalona w 2019 roku. Dotyczy to w szczególności stanu Kalifornia lub w odniesieniu do mieszkańców Kalifornii. „Aktualizacja” CCPA to CPRA lub California Privacy Rights Act. W ramach CPRA niektóre przepisy są określone i zaostrzone.

• Nevada-NPICICA

  Ustawa o ochronie prywatności stanu Nevada, ustawa Nevada o prywatności informacji zebranych w Internecie od konsumentów (NPICICA), weszła w życie 1 października 2019 r. i podkreślała prawa konsumentów do kontroli swoich danych osobowych gromadzonych w Internecie. Poprawki takie jak Senat Bill 220 (SB-220) i Senat Bill 260 (SB-260) rozszerzyły te prawa, wymagając od operatorów witryn internetowych zapewnienia mechanizmów umożliwiających konsumentom rezygnację ze sprzedaży ich danych. Chociaż przepisy dotyczące prywatności obowiązujące w Nevadzie nie są tak kompleksowe jak w innych stanach, takich jak Kalifornia, nadal przewidują kary za naruszenia, obejmujące grzywny w wysokości do 5000 dolarów za każde naruszenie, nakładane przez prokuratora generalnego stanu Nevada. Firmy muszą ujawniać pewne informacje w swoich politykach prywatności i zapewniać mechanizmy umożliwiające konsumentom rezygnację ze sprzedaży danych.

• VCDPA — Wirginia

  VCDPA to skrót od Virginia Consumer Data Protection Act i odnosi się do firm prowadzących działalność w stanie Wirginia lub obsługujących mieszkańców tego stanu. VCDPA weszła w życie 1 stycznia 2023 r.

• CPA — Kolorado

  CPA lub Colorado Privacy Act to prawo dotyczące prywatności stanu Kolorado. Ustawa ta weszła w życie 1 lipca 2023 roku i muszą ją wdrożyć firmy zlokalizowane na terenie Kolorado lub przetwarzające dane od mieszkańców stanu. Prawo nakłada na strony internetowe wymóg uniwersalnego mechanizmu opt-out, który wymaga, aby strony internetowe udostępniały swoim użytkownikom jeden przycisk rezygnacji z usług marketingowych i analitycznych wykorzystywanych przez witrynę.

• UCPA-Utah

  Amerykańskie prawo dotyczące ochrony danych obowiązujące w stanie Utah w zachodniej części USA nosi nazwę UCPA lub Utah Consumer Privacy Act. W przeciwieństwie do dwóch wyżej wymienionych ustaw, UCPA wchodzi w życie dopiero 31 grudnia 2023 r. Ustawa ta dotyczy także wszystkich firm, które przetwarzają określoną ilość danych (tutaj 100 000 rocznie) mieszkańców stanu.

• CAPDP — Connecticut

  CTDPA oznacza ustawę o ochronie danych Connecticut (znaną również jako ustawa Connecticut dotycząca prywatności danych osobowych i monitorowania w Internecie) i jest federalnym prawem o ochronie danych w stanie Connecticut. Ustawa weszła w życie 1 lipca 2023 r. i dotyczy firm, które mają siedzibę, prowadzą działalność w tym stanie lub przetwarzają dane od mieszkańców tego stanu.

• TDPSA – Teksas

  Ustawa Texas Data Privacy and Security Act (TDPSA), obowiązująca od 1 lipca 2024 r., ma zastosowanie do firm działających w Teksasie lub świadczących usługi na rzecz mieszkańców Teksasu.

• OCDPA – Oregon

  Ustawa Oregon Consumer Data Privacy Act (OCDPA), obowiązująca od 1 lipca 2024 r., ma zastosowanie do firm działających na terenie stanu lub świadczących usługi na rzecz jego mieszkańców. Obejmuje role administratorów i podmiotów przetwarzających dane na wzór RODO, wymaga szczegółowych informacji o ochronie danych i wymaga ocen ochrony danych w przypadku działań wysokiego ryzyka.

• MTCDPA – Montana

  Ustawa Montana Consumer Data Privacy Act (MTCDPA), obowiązująca od 1 października 2024 r., ma zastosowanie do firm prowadzących działalność w Montanie lub skierowanych do mieszkańców Montany i ustanawia progi obowiązywania na podstawie ilości przetwarzanych danych osobowych i przychodów generowanych ze sprzedaży danych osobowych, z wyłączeniem niektórych firm i typów danych.

• CDPA-Iowa

  Ustawa o ochronie danych konsumentów stanu Iowa, obowiązująca od 1 stycznia 2025 r., jest skierowana do administratorów danych i podmiotów przetwarzających dane, które przetwarzają znaczne ilości danych osobowych mieszkańców stanu Iowa lub czerpią znaczne przychody ze sprzedaży takich informacji.

• DPDPA-Delaware

  Ustawa Delaware o ochronie danych osobowych, obowiązująca od 1 stycznia 2025 r., ustala stanowisko stanu Delaware w sprawie ochrony danych konsumentów, zgodne z ogólnymi trendami w Stanach Zjednoczonych, ale wyróżnia się tym, że nie zwalnia większości organizacji non-profit i instytucji szkolnictwa wyższego.

• TIPA-Tennessee

  Ustawa o ochronie informacji stanu Tennessee (TIPA), obowiązująca od 1 lipca 2025 r., określa rygorystyczne kryteria dotyczące sposobu, w jaki firmy muszą postępować z danymi osobowymi mieszkańców Tennessee. TIPA ustala restrykcyjne progi stosowania w oparciu o obrót i wielkość przetwarzania danych oraz określa szczegółowe prawa konsumentów, w tym dostęp, poprawianie, usuwanie, przenoszenie danych i sprzeciw wobec niektórych sposobów wykorzystania danych.

• CDPA – Indiana

  Ustawa o ochronie danych stanu Indiana, obowiązująca od 1 stycznia 2026 r., dotyczy zarówno „administratorów danych”, jak i „podmiotów przetwarzających dane” działających w stanie Indiana lub skierowanych do mieszkańców stanu Indiana. Prawo określa pewne progi zastosowania i zwalnia różne podmioty, takie jak agencje rządowe i podmioty objęte ustawą HIPAA.

• MHMD – Waszyngton

  Ustawa stanu Waszyngton „Moje zdrowie i moje dane” (MHMD), która weszła w życie 31 marca 2024 r., nakłada surowe wymagania na firmy gromadzące, udostępniające lub przetwarzające dane dotyczące zdrowia. MHMD wymaga uprzedniej zgody na gromadzenie informacji zdrowotnych oraz dodatkowej zgody na ich ujawnienie w celu ochrony prywatności konsumentów opieki zdrowotnej. Prawo określa szczegółowe wymagania dotyczące bezpieczeństwa danych i ogranicza geofencing w pobliżu podmiotów świadczących opiekę zdrowotną.

• MODPA-Maryland

  Ustawodawcy ze stanu Maryland przyjęli ustawę Maryland o ochronie danych w Internecie (MODPA), ustawę o ochronie prywatności, która zacznie obowiązywać 1 października 2025 r. po jej uchwaleniu. Kluczowe postanowienia MODPA obejmują zakaz sprzedaży danych wrażliwych, bardziej rygorystyczne wymogi dotyczące minimalizacji danych, obowiązkowe oceny prywatności, wymogi dotyczące unikalnych reklam ukierunkowanych oraz prawa do rezygnacji w ramach zaktualizowanych informacji o ochronie prywatności. Niezastosowanie się do tych zasad może skutkować karą grzywny w wysokości do 10 000 dolarów za każde naruszenie.

• FDBR-Floryda

  Florida Digital Bill of Rights (FDBR) została podpisana 6 czerwca 2023 r. i zacznie obowiązywać 1 lipca 2024 r. Ustawa ta wprowadza szereg środków mających na celu ochronę prywatności konsumentów. Dotyczy przede wszystkim dużych firm, których roczne przychody brutto przekraczają 1 miliard dolarów, przy czym określone progi mają zastosowanie do firm intensywnie zajmujących się reklamą cyfrową lub obsługujących duże platformy cyfrowe. Ustawa FDBR zapewnia szerokie prawa do rezygnacji z gromadzenia danych za pomocą technologii rozpoznawania głosu i twarzy, ustanawia ścisłe ograniczenia w zakresie gromadzenia danych z monitoringu bez aktywnej zgody użytkownika i wymaga wyraźnych powiadomień o sprzedaży danych wrażliwych i biometrycznych. Ponadto prawo przewiduje szczególną ochronę danych dzieci i zabrania agencjom rządowym moderowania treści w mediach społecznościowych, choć przewidziano wyjątki.

• NDPA – Nebraska

  Gubernator Nebraski podpisał ustawę o ochronie danych stanu Nebraska 17 kwietnia 2024 r., która zacznie obowiązywać 1 stycznia 2025 r. Ustawa nakłada obowiązki na firmy przetwarzające dane osobowe w Nebrasce oraz przyznaje konsumentom uprawnienia takie jak potwierdzenie przetwarzania danych, poprawienie nieścisłości, usunięcie danych osobowych, a także rezygnacja z niektórych czynności związanych z przetwarzaniem danych. Prawo wymaga od administratorów danych przedstawienia jasnych informacji o ochronie danych, ograniczenia gromadzenia danych, wprowadzenia procedur bezpieczeństwa danych i przeprowadzania ocen ochrony danych. Prokurator Generalny stanu Nebraska może nałożyć sankcje za naruszenia karą grzywny do 7500 dolarów za każde naruszenie.

• SB 255 – New Hampshire

  Gubernator stanu New Hampshire podpisał 6 marca 2024 r. ustawę Senatu nr 255, która zacznie obowiązywać 1 stycznia 2025 r. Prawo ma zastosowanie do firm działających w New Hampshire, które przetwarzają dane osobowe i ustanawia minimalizację danych, ograniczenie celu i obowiązki w zakresie prywatności, a także prawa konsumentów, takie jak dostęp, poprawianie, usuwanie, przenoszenie i rezygnacja. Za egzekwowanie prawa odpowiada wyłącznie prokurator generalny stanu New Hampshire, który ma 60 dni na usunięcie uchybień.

• NJPA – New Jersey

  Na 16 stycznia 2024 r. gubernator stanu New Jersey podpisał ustawę o ochronie prywatności stanu New Jersey (NJPA), która zacznie obowiązywać 15 stycznia 2025 r. NJPA wymaga od firm podjęcia środków podobnych do innych stanowych przepisów dotyczących prywatności, takich jak: B. w sprawie minimalizacji danych, bezpieczeństwa danych i praw osób, których to dotyczy, ze szczególnym uwzględnieniem danych wrażliwych i ochrony dzieci. Administratorzy danych i podmioty przetwarzające muszą przestrzegać przepisów dotyczących żądań konsumentów, bezpieczeństwa danych i powiadamiania o naruszeniu danych. Prawo jest egzekwowane wyłącznie przez prokuratora generalnego stanu New Jersey i zawiera przepisy dotyczące regulacji i zadośćuczynienia dla konsumentów.

• KCDPA – Kentucky

  Kentucky uchwaliło ustawę Kentucky Consumer Data Privacy Act (KCDPA) 4 kwietnia 2024 r., która wejdzie w życie 1 stycznia 2026 r. Ustawa reguluje przetwarzanie danych osobowych, ustanawia prawa konsumentów i upoważnia Prokuratora Generalnego stanu Kentucky do egzekwowania prawa. Prawo dotyczy administratorów przetwarzających dane mieszkańców Kentucky, z wyjątkiem różnych podmiotów i rodzajów danych, w tym danych finansowych i zdrowotnych. Administratorzy muszą zapewniać jasne informacje o ochronie prywatności, ograniczać gromadzenie danych, zapewniać bezpieczeństwo i szanować prawa konsumentów, kładąc nacisk na to, aby nie przetwarzać danych wrażliwych bez wyraźnej zgody. Za egzekwowanie prawa odpowiada Prokurator Generalny Kentucky, który z 30-dniowym wyprzedzeniem informuje o skorygowaniu naruszeń i ewentualnych karach cywilnych.