Ustawa stanu Teksas dotycząca brokerów danych: kolejne ramy ochrony prywatności na poziomie stanowym

W Europie często mówimy o złożonych i nadmiernie regulowanych środowiskach. Jednak Stany Zjednoczone mają swoje własne, specyficzne wyzwania: oprócz przepisów federalnych, poszczególne stany tworzą własne zasady dotyczące prywatności i ochrony danych. Przykładem jest Teksas, stan często postrzegany jako środowisko „stawiające na pierwszym miejscu wolność”, który wprowadził obowiązki brokerów danych w celu ochrony prywatności konsumentów i poprawy cyberbezpieczeństwa.

Wymogi ustawy Texas Data Broker Act

Ustawa ma zastosowanie do podmiotów gospodarczych, których głównym źródłem przychodów jest gromadzenie, przetwarzanie lub przekazywanie danych osobowych, które nie zostały zebrane bezpośrednio od osób fizycznych.

Brokerzy danych muszą:

✅ Rejestrować się co roku w sekretariacie stanu Teksas, uiszczając wymagane opłaty.

✅ Ujawniać swój status, umieszczając wyraźną informację na stronach internetowych lub w aplikacjach mobilnych.

✅ Prowadzić kompleksowy program bezpieczeństwa informacji, obejmujący zabezpieczenia administracyjne, techniczne i fizyczne (patrz sekcja 509.007).

✅ Regularnie szkolić pracowników i kontrahentów w zakresie praktyk bezpieczeństwa danych.

✅ Nadzorować zewnętrznych dostawców usług i zapewnić, że umowy zawierają wymagania dotyczące bezpieczeństwa.

✅ Szyfrować dane wrażliwe, wdrażać kontrole dostępu, monitorować systemy oraz egzekwować protokoły dotyczące haseł i uwierzytelniania.

✅ Przeprowadzać coroczne przeglądy programu bezpieczeństwa oraz przeglądy po incydentach w przypadku naruszeń.

✅ Nieprzestrzeganie tych wymogów może skutkować karami cywilnymi (co najmniej 100 USD dziennie, maksymalnie 10 000 USD rocznie) oraz zakwalifikowaniem naruszeń jako nieuczciwych praktyk handlowych, które mogą być ścigane przez prokuratora generalnego stanu Teksas.

Kto jest objęty przepisami, a kto jest z nich zwolniony?

☑️ Ustawa definiuje „brokera danych” jako podmiot, którego podstawową działalnością jest monetyzacja danych osobowych gromadzonych pośrednio.

Zwolnienia obejmują:

✅ Dane pozbawione elementów umożliwiających identyfikację

✅ Dane pracowników

✅ Informacje dostępne publicznie

✅ Organizacje non-profit, podmioty rządowe i niektóre branże podlegające regulacjom (np. instytucje finansowe podlegające ustawie GLBA, agencje informacji kredytowej podlegające ustawie FCRA)

Link do ustawy

Autor: Sebastian Burgemejster