Nuova legge sulla protezione dei dati in Oregon

Il 22 giugno, l'SB 619, l'Oregon Consumer Privacy Act (OCPA), è stato approvato dai legislatori di Salem. Se firmato dal governatore Kotek, l'Oregon diventerà l'undicesimo stato americano (e il sesto nel 2023) a promulgare leggi complete sulla privacy che regolano la raccolta, l'uso e la gestione dei dati personali. Trasmissione relativa ai dati dei consumatori. La maggior parte dei requisiti previsti dall’OCPA entrerà in vigore il 1° luglio 2024 (ad eccezione delle organizzazioni senza scopo di lucro, alle quali la legge si applicherà a partire dal 1° luglio 2025).

Per le aziende con sede in Oregon o che operano in questo Stato, la nuova legge sulla protezione dei dati ha alcune importanti ripercussioni. Ecco le disposizioni principali che le aziende dovrebbero tenere in considerazione:

1. ampio campo di applicazione

A differenza di molte altre leggi statali sulla protezione dei dati, l’OCPA non esclude automaticamente le aziende che già rispettano le leggi federali in materia di Protezione dei dati sono soggetti a tali disposizioni. Esistono solo alcune eccezioni per determinati dati già disciplinati da leggi quali l’Health Insurance Portability and Responsabilità etica Act (HIPAA) e dal Gramm-Leach-Bliley Act (GLBA). Inoltre, nell’ambito dell’OCPA le organizzazioni senza scopo di lucro non sono considerate un’eccezione, salvo nel caso di organizzazioni che “individuano e prevengono le frodi in materia assicurativa” o che sono classificate come “istituti finanziari” ai sensi della legislazione statale.

2. esteso Definizioni dei dati raccolti

L'OCPA fa riferimento a “Dati personali” e definisce inoltre una categoria di “dati sensibili” che godono di una protezione speciale. La definizione di “dati personali” contenuta nell’OCPA è tuttavia unica nel suo genere, poiché include esplicitamente i “dati derivati”, ovvero le conclusioni relative a un cliente, nonché i dati associati a un “dispositivo” che possono essere ragionevolmente attribuiti a una o più persone appartenenti a uno “nucleo familiare”. A differenza di leggi simili, l’OCPA non prevede una definizione specifica né eccezioni per i dati pseudonimizzati.

La definizione di “dati sensibili” nella legge dell’Oregon è inoltre più ampia rispetto a quella di altri Stati e comprende, tra l’altro, “l’origine”, “l’identità di genere transgender o non binaria” e “lo status di vittima di un reato”. Inoltre, l’OCPA definisce il termine “dati biometrici” in modo ampio, includendo le informazioni che consentono l’identificazione univoca di una persona. Esiste tuttavia un’eccezione per la “mappatura facciale o la geometria facciale”, a condizione che tali tecnologie non vengano utilizzate per l’identificazione univoca di una persona.

3. nuovi diritti dei consumatori

L'OCPA garantisce ai consumatori una serie di diritti ormai ampiamente diffusi, come il diritto alla conferma della

Elaborazione dei dati, accesso, Correzione, Cancellazioneportabilità dei dati personali e il diritto di opporsi al trattamento mirato dei dati. Pubblicitàdi opporsi alla vendita di dati e a decisioni significative di profilazione. Un aspetto interessante dell'OCPA, tuttavia, è il diritto dei consumatori di richiedere un elenco di "terze parti specifiche" a cui un'azienda può divulgare i propri dati personali. Dati personali divulga. Ciò rappresenta una sfida operativa ed è simile ai requisiti stabiliti nelle leggi sulla privacy sanitaria recentemente promulgate nello Stato di Washington e in Nevada. Inoltre, l'OCPA è la prima legge completa sulla privacy che riconosce esplicitamente il diritto di Cancellazione di "dati derivati".

4. Obblighi più rigorosi per i titolari del trattamento

L'OCPA definisce per colpiti Le aziende hanno una serie di obblighi che sono già noti in altre leggi sulla protezione dei dati, come il mantenimento di un adeguato livello di protezione dei dati. Sicurezza dei datirequisiti contrattuali per gli incaricati del trattamento, pubblicazione di dichiarazioni sulla protezione dei dati e ottenimento del consenso per il trattamento dei dati personali. Elaborazione dati sensibili. Tuttavia, gli obblighi previsti dall'OCPA sono un po' più severi rispetto alle leggi analoghe di altri Stati. Ad esempio, i responsabili del trattamento dei dati devono avere un'esplicita Consenso di profilare i dati dei giovani tra i 13 e i 15 anni allo scopo di prendere decisioni significative. Inoltre, l'OCPA indica che i meccanismi di progettazione destinati a interferire con la scelta dei consumatori possono invalidare il consenso dei consumatori ai sensi della legge. Infine, la legge prevede che le valutazioni d'impatto sulla privacy siano conservate per un periodo di cinque anni. Solo il Colorado ha stabilito periodi di conservazione simili nei suoi regolamenti attuativi.

5. Utilizzo e scambio di dati a fini di ricerca

L’OCPA prevede delle deroghe ai diritti e agli obblighi dei consumatori per determinati utilizzi dei dati personali, quali le procedure operative interne conformi alle aspettative dei consumatori, l’adempimento delle richieste di indagine da parte delle autorità di polizia e il mantenimento della Sicurezza dei dati. A differenza di altre leggi sulla protezione dei dati, tuttavia, l’OCPA non prevede requisiti specifici per l’utilizzo dei dati a fini di ricerca. Purché l’utilizzo dei dati identificativi sia conforme alla normativa vigente, le aziende sono esentate dai diritti e dagli obblighi dei consumatori previsti dalla legge.

La nuova legge sulla protezione dei dati dell'Oregon comporta cambiamenti e sfide per le aziende. È importante che le aziende, in particolare quelle con sede in Oregon o che operano in tale Stato, esaminino attentamente le disposizioni dell'OCPA e adottino misure adeguate per soddisfare i requisiti di legge e garantire la protezione dei dati dei consumatori.