Minden jelentős adatvédelmi törvényben közösek az alapelvek: hozzájárulás, átláthatóság, adatminimalizálás, biztonság és felhasználói jogok. De hatókörben, érvényesítésben és büntetésekben eltérnek. Ha érted az eltéréseket, könnyebben kiderítheted, melyik vonatkozik a vállalkozásodra, és olyan megfelelési stratégiát tervezhetsz, amely egyszerre több keretrendszert is lefed.
Az összes adatvédelmi törvény közös alapelvei
Minden jelentős adatvédelmi keretrendszer (GDPR, CCPA, LGPD, PIPEDA stb.) megkövetel valamilyen formában: átláthatóságot az adatgyűjtésről, engedélyt a legtöbb személyes adat gyűjtése előtt, csak a szükséges adat megtartását, az adat védelmét a visszaélésektől, és jogot az egyéneknek a saját információik felett. Ezek nem vitathatók. Ha tiszteletben tartod ezeket az elveket, a legtöbb keretrendszernek megfelelsz.
A számító különbségek
Hozzájárulási modell: A GDPR a legtöbb követéshez kifejezett opt-in hozzájárulást követel. A CCPA az adateladásnál opt-outot használ (de az opt-in felé halad). A legtöbb újabb törvény a GDPR opt-in modelljét követi.
A személyes adat meghatározása: A GDPR és mások tágan határozzák meg a személyes adatot. A CCPA még tágabban. A tág meghatározás azt jelenti, hogy több adat vált ki megfelelési követelményeket.
A hatály: A GDPR az uniós lakosokra vonatkozik. A CCPA a kaliforniai lakosokra. Az LGPD a brazil lakosokra. Több törvény is vonatkozhat ugyanarra a felhasználóra attól függően, hol van, vagy hol működik a vállalkozásod.
Büntetések: GDPR: a bevétel akár 4%-a. CCPA: jogsértésenként 2500-7500 dollár. LGPD: a bevétel akár 2%-a. A büntetések mindenhol súlyosak.
Érvényesítés: A GDPR-nak aktív, határozott érvényesítői vannak (nemzeti szabályozók). A CCPA érvényesítése nő (állami főügyész, magánjogi kereset). Az LGPD érvényesítése erősödik. A legtöbb törvényt aktívan érvényesítik.
Részletes összehasonlítás: GDPR, CCPA, LGPD, PIPEDA
Hozzájárulás
GDPR és LGPD: kifejezett opt-in szükséges. CCPA: opt-out az adateladásnál (de a CPRA az érzékeny adatoknál az opt-in felé mozdul). PIPEDA: a legtöbb célra opt-in. A szigorúság győztese: GDPR és LGPD.
A személyes adat meghatározása
GDPR: bármi, ami közvetlenül vagy közvetve azonosít egy személyt. CCPA: tágabb, a következtetéseket és előrejelzéseket is magában foglalja. LGPD és PIPEDA: a GDPR-hoz hasonló. Győztes: a CCPA a legtágabb.
Felhasználói jogok
Mind megköveteli: a hozzáférést, a törlést és az adathordozhatóságot. A GDPR hozzáteszi: a helyesbítés jogát, a feldolgozás korlátozásának jogát, a tiltakozás jogát. A CPRA hozzáteszi: a helyesbítés jogát, a felhasználás korlátozásának jogát. A PIPEDA kevésbé kifejezett, de hasonló. Mind erős. A GDPR/CPRA a legátfogóbb.
Adatminimalizálás
GDPR, LGPD, PIPEDA: kifejezett követelmény, hogy csak a szükségeset gyűjtsd. CCPA: kevésbé kifejezett. Itt a GDPR a szigorúbb.
Biztonság és adatszivárgás-bejelentés
Mind észszerű biztonságot követel. GDPR: a szabályozókat 72 órán belül értesíteni kell. CCPA: az egyéneket 30 napon belül kell értesíteni (nincs hatósági követelmény, de a főügyész értesítése gyakran kötelező). Az LGPD és a PIPEDA a GDPR-hoz hasonló. A GDPR a legszigorúbb az értesítési határidőben.
A megfelelési kötelezettségeid meghatározása
1. lépés: térképezd fel a látogatóid földrajzát
Használd az analitikádat, hogy kiderítsd, honnan jön a forgalmad. Ha uniós látogatóid vannak, a GDPR vonatkozik rád. Ha kaliforniaiak, a CCPA. Ha brazilok, az LGPD. A legtöbb oldalnak több joghatóságból vannak látogatói, ami több törvényt vált ki.
2. lépés: nézd meg a cég működését
Vannak irodáid, alkalmazottaid vagy üzleti partnereid szabályozott joghatóságokban? Ez weboldal-forgalom nélkül is kiválthatja a hatályt (például egy uniós alkalmazottakkal rendelkező cég, amely ügyféladatot dolgoz fel, a weboldal-forgalomtól függetlenül a GDPR hatálya alá eshet).
3. lépés: azonosítsd a legszigorúbb alkalmazandó törvényt
Az összes rád vonatkozó törvény közül melyik a legszigorúbb? Általában a GDPR. Építsd a megfelelést erre a szabványra, és alkalmazd mindenkire. Ez egyszerűbb, mint a joghatóságonkénti megfelelés.
4. lépés: adj hozzá regionális eltéréseket
Egyes régiók külön mechanizmusokat követelnek (például adatlokalizáció néhány ázsiai országban, kifejezett CCPA leiratkozási gombok Kaliforniában). Add hozzá ezeket az alap megfelelési megközelítésedhez.
A pragmatikus megközelítés: a GDPR mint alap
A legtöbb cégnél a gyakorlati megközelítés: feltételezd, hogy a GDPR vonatkozik rád (általában igen, kivéve, ha kizárólag egy nem szabályozott régióban működsz), építs a GDPR-szabványokra, majd rétegezd rá a regionális követelményeket. A GDPR-megfelelés szinte mindig meghaladja a legtöbb más keretrendszert. Ez csökkenti a bonyolultságot, és biztosítja, hogy soha nem vagy szabálytalan.
Ha megfelelek a GDPR-nak, megfelelek a CCPA-nak is?
Többnyire igen. A GDPR szigorúbb hozzájárulási és adatminimalizálási követelményei meghaladják a CCPA követelményeit. A CCPA tágabb adatfogalma miatt mindkét hatókörrel foglalkoznod kell. A GDPR-megfelelés a CCPA-kötelezettségek nagy részét lefedi.
Melyik adatvédelmi törvénynek a legdrágább megfelelni?
A GDPR és az LGPD kiterjedt infrastruktúrát igényel (adatkezelési rend, biztonság, felhasználói jogok). A CCPA egyszerűbb. A valódi költség a helyreállítás, ha eddig nem feleltél meg, nem maga a megfelelés.
Használhatok egyetlen adatvédelmi tájékoztatót minden joghatóságra?
Igen, ha minden adatkezelési gyakorlatot feltár, és minden alkalmazandó törvénynek megfelel. Néhány cég egy alap tájékoztatót és régiós kiegészítéseket használ. A kulcs az átláthatóság mindenről, amit gyűjtesz.
Mi a legnagyobb különbség a GDPR és a CCPA között?
A hozzájárulási modell: a GDPR opt-int követel, a CCPA opt-outot használt (az opt-in felé halad). Ez magyarázza, miért haladja meg általában a GDPR-megfelelés a CCPA-t. Egy különbség, aránytalanul nagy hatás.
Ha csak amerikai látogatókat szolgálok ki, mely állami törvények vonatkoznak rám?
Minden olyan államé, ahonnan jelentős a forgalom. Kalifornia (CCPA), Virginia, Colorado, Connecticut, Utah, Montana és Delaware mind rendelkezik törvénnyel. A legtöbb cég egyszerűen GDPR-szintű megfelelést alkalmaz mindenkire, hogy elkerülje az államonkénti konfigurálást.
Szigorodnak az adatvédelmi törvények?
Igen, globálisan. A CCPA szigorúbb a korai törvényeknél, a CPRA szigorúbb a CCPA-nál, az új nemzetközi törvények a GDPR szigorú modelljét követik. A követelmények csak szigorodni fognak.