American Data Privacy and Protection Act: Was Marken wissen müssen

Ein wichtiger Gesetzentwurf zum Schutz der Privatsphäre von Verbrauchern in allen 50 Bundesstaaten hat seinen Weg aus einem Ausschuss des US-Repräsentantenhauses gefunden, was das erste Mal ist, dass ein derart umfassender Gesetzentwurf so weit fortgeschritten ist.

Das amerikanische Datenschutzgesetz (ADPPA) hat noch einen langen Weg vor sich, bevor es Gesetz wird, aber Marken sollten sich seiner Bestimmungen und ihrer potenziellen Auswirkungen auf das Geschäft bewusst sein.

Was ist das amerikanische Datenschutzgesetz?

Das ADPPA legt Anforderungen fest, wie Unternehmen und Organisationen, einschließlich gemeinnütziger Organisationen, mit personenbezogenen Daten umgehen sollten, einschließlich Informationen, die eine Person identifizieren oder vernünftigerweise mit einer Person in Verbindung gebracht werden können.

Der Gesetzentwurf würde die meisten Datenerhebungsstellen betreffen. Sie gilt auch für Unternehmen, die sogenannte „Covered Data“ verarbeiten und dem Federal Trade Commission Act (FTC Act) unterliegen. Jedes Unternehmen oder jede gemeinnützige Organisation, die Daten sammelt, verarbeitet oder überträgt, die vernünftigerweise mit Einzelpersonen in Verbindung gebracht werden können, ist wahrscheinlich dem Gesetz verpflichtet. Es würde nicht für staatliche Stellen gelten.

ADPPA schränkt die geschäftliche Nutzung personenbezogener Daten ein. Es verbietet Organisationen weitgehend, personenbezogene Daten zu erheben, zu verarbeiten oder zu übertragen, die über das hinausgehen, was vernünftigerweise erforderlich ist, um eine von der Person angeforderte Dienstleistung zu erbringen.

Der Gesetzentwurf enthält jedoch 17 zulässige Ausnahmen, die Aktivitäten wie die Notwendigkeit der Authentifizierung von Benutzern und die Verhinderung von Betrug abdecken.

Datenmakler würden unter dem ADPPA mehr Verpflichtungen ausgesetzt sein, einschließlich der Registrierung bei der FTC, die ein durchsuchbares Online-Register mit den Namen dieser Unternehmen einrichten und unterhalten würde. Es würde auch ein „Do Not Collect“-Register geben, mit dem Benutzer verlangen könnten, dass Datenbroker ihre Informationen innerhalb von 30 Tagen löschen.

Verbraucherschutz und Datensicherheit

Befürworter des Datenschutzes sind seit langem bestrebt, den Verbrauchern mehr Transparenz und Kontrolle über ihre persönlichen Daten zu geben. Gemäß dem vorgeschlagenen amerikanischen Datenschutzgesetz müssen Unternehmen den Benutzern den Zugriff auf ihre personenbezogenen Daten sowie deren Berichtigung und Löschung ermöglichen.

Unternehmen müssten über Mechanismen verfügen, um auf alle Benutzeranfragen zu reagieren, um alle Daten anzuzeigen und anzupassen, die Organisationen über sie haben.

Mit ADPPA will der Gesetzgeber die Zahl der Datenschutzverletzungen reduzieren, indem er die Datensicherheit zur Pflicht macht. Allein in der ersten Hälfte dieses Jahres gab es fast 2.000 Datenschutzverletzungen, von denen viele personenbezogene Daten oder PII betrafen.

Unternehmen, die nicht nachweisen können, dass sie ihr Bestes getan haben, um Kundendaten zu schützen, könnten schließlich mit hohen Bußgeldern und Strafen rechnen, obwohl die Durchsetzung noch nicht vollständig ausgearbeitet ist (der Gesetzentwurf enthält eine Klausel, die besagt, dass die FTC ein Datenschutzbüro einrichten muss damit umzugehen).

Unternehmen mit mehr als 15 Mitarbeitern müssten zudem einen Datenschutzbeauftragten und einen Datensicherheitsbeauftragten haben.

Zusätzliche ADPPA-Bestimmungen

So wie es entworfen wurde, würde das Datenschutzgesetz von Unternehmen verlangen, transparent zu sein, was sie mit Verbraucherdaten tun und wie sie sie schützen. Sie müssten ihre Datenschutzrichtlinien „in klarer, auffälliger, nicht irreführender und leicht zugänglicher Weise“ öffentlich machen.

Die Richtlinien müssten detailliert beschreiben, welche Arten von Daten eine Organisation sammelt und wie und wann sie sie sammelt, verarbeitet und überträgt.

Die ADPPA beschränkt oder verbietet viele Formen gezielter Werbung, insbesondere für Minderjährige . Einige sagen, dies würde die strengsten Beschränkungen dieser Art in den Vereinigten Staaten und vielleicht der Welt auferlegen.

Unternehmen müssten äußerst vorsichtig sein, um Druck auf Minderjährige zu vermeiden, unnötige personenbezogene Daten preiszugeben oder Marketing oder Werbung direkt auf sie zu richten.

Verbraucher können Unternehmen wegen angeblicher Datenschutzverletzungen verklagen. Ab zwei Jahren nach der Verabschiedung des ADPPA können Benutzer Rechtsbehelfe wie Unterlassungsansprüche, Schadensersatz und angemessene Anwaltskosten einklagen, wenn sie glauben, dass eine Organisation ihre privaten Daten missbräuchlich behandelt hat.

Bundesdatenschutzgesetz: Keine sichere Wette

Trotz des parteiübergreifenden Wunsches, etwas gegen den Datenschutz und die Unterstützung der Verbraucher für die Bestimmungen des Gesetzentwurfs zu unternehmen, bleiben erhebliche Hindernisse für die Verabschiedung des Gesetzentwurfs.

Zum Beispiel haben Gesetzgeber aus Staaten mit bestehenden Datenschutzbestimmungen, darunter Connecticut, Colorado, Utah, Vermont und Kalifornien, Bedenken geäußert, dass die ADPPA den Schutz übertrumpfen könnte, den sie bereits für ihre Bürger erlassen haben. Insbesondere die kalifornischen Gesetzgeber befürchten, dass dies ihren wegweisenden California Consumer Privacy Act (CCPA) von 2018 sowie eine weitere Initiative, die nächstes Jahr in Kraft tritt, untergraben könnte.

Nach einer Durchsetzung von Online-Unternehmen kündigte der kalifornische Generalstaatsanwalt Rob Bonta im August einen Vergleich über 1,2 Millionen US-Dollar mit Sephora an, weil er den Verbrauchern angeblich nicht mitgeteilt hatte, dass es ihre Daten verkauft, weil er Benutzeranfragen zum Opt-out solcher Praktiken nicht bearbeitet hatte, und für Verstöße nicht schnell genug adressieren. Andere Einzelhändler erhielten Mitteilungen, dass sie ihre CCPA-Verstöße beheben müssen.

Während eine Änderung des ADPPA versucht, die kalifornischen Gesetzgeber zu beschwichtigen, indem ausdrücklich darauf hingewiesen wird, dass das CCPA weiterhin in Kraft ist, sehen einige das Landesgesetz immer noch als bedroht an und lehnen die Bundesgesetzgebung ab.

Es überrascht nicht, dass Datenbroker dagegen sind, und die US-Handelskammer hat es als „undurchführbar“ bezeichnet.

Unabhängig von diesen Kämpfen herrscht auf dem Capitol Hill ein Gefühl des Optimismus, dass die ADPPA genügend Unterstützung für eine Passage finden wird. Nach intensiven Verhandlungen ging der Gesetzentwurf relativ unversehrt aus dem Energie- und Handelsausschuss des Repräsentantenhauses hervor. Angesichts der im November anstehenden Zwischenwahlen ist es jedoch möglich, dass der Gesetzgeber es vorziehen wird, den nächsten Kongress über die Zukunft der ADPPA entscheiden zu lassen.

Selbst wenn es nicht ratifiziert wird, deutet die Dynamik hinter dem ADPPA darauf hin, dass es ein föderales Datenschutzgesetz geben wird und Unternehmen bereit und in der Lage sein sollten, darauf zu reagieren.