Tietosuojasääntely kiihtyy maailmanlaajuisesti. GDPR:n ja CCPA:n lisäksi kymmenillä maista on nyt kattavat tietosuojakehykset. Kanadassa on PIPEDA, Brasiliassa LGPD, Intiassa säännöt ovat kehitteillä, ja lähes jokainen kehittynyt talous ottaa käyttöön tai tiukentaa tietosuojalakia. Jos yrityksesi palvelee kansainvälisiä kävijöitä, sinun pitää tuntea tärkeimmät Euroopan ja Yhdysvaltojen ulkopuoliset kehykset.
Keskeiset tietosuojakehykset eri puolilla maailmaa
Kanada: PIPEDA ja provinssien lait
PIPEDA (Personal Information Protection and Electronic Documents Act) on Kanadan liittovaltion tietosuojalaki. Se koskee organisaatioita, jotka keräävät kanadalaisten asukkaiden henkilötietoja. PIPEDA muistuttaa rakenteeltaan GDPR:ää: se edellyttää suostumusta, datan minimointia, tietoturvaa ja käyttäjien oikeuksia. Joillakin provinsseilla (Quebec, Alberta) on omat tietosuojalakinsa, jotka ovat PIPEDA:akin tiukempia.
PIPEDA:n valvonnasta vastaa Kanadan tietosuojavaltuutettu. Sakot voivat nousta miljooniin dollareihin. Sitä valvotaan aktiivisesti, se ei ole teoreettinen huoli.
Brasilia: LGPD
Brasilian LGPD (Lei Geral de Proteção de Dados) tunnetaan usein "Brasilian GDPR:nä". Se on kattava kehys, joka edellyttää suostumusta, datan minimointia, tietoturvaa ja käyttäjien oikeuksia. LGPD:n seuraamukset ovat ankaria: jopa 2 % liikevaihdosta (tai 50 miljoonaa Brasilian realia). Se koskee organisaatioita, jotka käsittelevät brasilialaisten asukkaiden dataa, riippumatta siitä, missä yritys sijaitsee.
LGPD:n valvonta tiukkenee. Brasilia valvoo sitä aktiivisesti. Jos sinulla on brasilialaisia kävijöitä, vaatimustenmukaisuus on tärkeää.
Meksiko: LFPDPPP
Meksikon LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de Particulares) muistuttaa GDPR:ää ja edellyttää suostumusta ja käyttäjien oikeuksia. Sitä valvotaan vähemmän tiukasti kuin GDPR:ää tai LGPD:tä, mutta rikkomuksista voi seurata merkittäviä sakkoja. Jos toimit Meksikossa, tarvitset perustason GDPR-tasoisen vaatimustenmukaisuuden.
Intia: Digital Personal Data Protection Act
Intia hyväksyi hiljattain Digital Personal Data Protection Act -lain (DPDPA), joka tuli voimaan 2024. Se on GDPR:ää löyhempi, mutta edellyttää suostumusta useimpaan datan keruuseen ja antaa käyttäjille oikeuden nähdä ja poistaa tietonsa. Intian valvonta on vielä rakentumassa, mutta vaatimustenmukaisuutta odotetaan jatkossa.
Aasian ja Tyynenmeren alue: vaihtelevat kehykset
Australiassa Privacy Actin muutokset edellyttävät tiukempaa suostumusta. Singaporessa on PDPA. Hongkongissa on PDPO. Etelä-Koreassa on PIPA. Japanissa on APPI. Thaimaassa on PDPA. Jokainen kehys on hieman erilainen, mutta kaikki edellyttävät jonkinlaista suostumusta ja käyttäjien oikeuksia. Jos toimit Aasian ja Tyynenmeren alueella, oleta GDPR-tasoisen vaatimustenmukaisuuden olevan vähimmäisturvallinen standardi.
Maailmanlaajuinen yhtenäistyminen
Tietosuojalaki yhtenäistyy maailmanlaajuisesti muutaman yhteisen periaatteen ympärille: läpinäkyvyys (käyttäjien pitää tietää, mitä kerätään), suostumus (lupa vaaditaan), datan minimointi (kerää vain tarpeellinen), tietoturva (suojaa se, mitä sinulla on) ja käyttäjien oikeudet (pääsy, poisto, siirto). Jos rakennat analytiikkaa, joka kunnioittaa näitä periaatteita, noudatat useimpia maailmanlaajuisia kehyksiä.
Riittävyyspäätökset ja vastavuoroinen tunnustaminen
Jotkin maat tunnustavat toisten maiden tietosuojalait "riittäviksi". EU tunnustaa Iso-Britannian, Sveitsin ja muita riittäviksi, mikä helpottaa datan siirtoa. GDPR:n riittävyyspäätökset ovat tiukimpia. Jos noudatat GDPR:ää, olet todennäköisesti riittävä useimmissa kahdenvälisissä datansiirroissa.
Käytännön vaatimustenmukaisuus maailmanlaajuisessa toiminnassa
Useimmille yrityksille toimintatapa on: selvitä, mistä sinulla on merkittävästi kävijäliikennettä, priorisoi nämä lainkäyttöalueet ja rakenna analytiikka, joka täyttää tiukimman soveltuvan standardin. Sovella sitä sitten maailmanlaajuisesti. Se on yksinkertaisempaa kuin lainkäyttöaluekohtaisten analytiikka-asetusten ylläpito.
Alueelliset erot ilman pirstoutumista
Et tarvitse eri analytiikkajärjestelmää jokaiselle maalle. Tarvitset yhden järjestelmän, joka on rakennettu korkeimman soveltuvan standardin (yleensä GDPR) mukaan ja joka voi mukautua alueellisiin eroihin (esim. nimenomaiset kieltäytymismekanismit siellä, missä niitä vaaditaan, ja datan paikallinen säilytys siellä, missä se on pakollista).
Miten selvitän, minkä maiden lait koskevat minua? Pitäisikö käyttää analytiikan liikennedataa?
Kyllä, käytä analytiikkaa rajaukseen. Hae kävijöiden maantiede viimeiseltä 12 kuukaudelta: mistä maista tulee merkittävästi liikennettä (5 % tai enemmän)? Näiden maiden lait todennäköisesti koskevat sinua. Selvitä jokainen paljon liikennettä tuova maa: EU = GDPR, Kanada = PIPEDA, Brasilia = LGPD, Intia = DPDPA, Australia = Privacy Act. Priorisoi liikenteen mukaan: 40 % EU-liikennettä tarkoittaa, että GDPR tulee ensin. Tarkista myös: onko sinulla työntekijöitä, toimistoja tai liikekumppaneita missään maassa? Jos on, kyseisen maan lait koskevat sinua liikenteestä riippumatta. Käytä analytiikkaa lähtökohtana ja täydennä toiminnallisilla kysymyksillä. Nyt sinulla on sääntelykarttasi.
LGPD on 2 % liikevaihdosta, GDPR 4 %. Kumpi on oikeasti tiukempi?
GDPR:n 4 % on korkeampi enimmäismäärä. Laskentatapa kuitenkin vaikuttaa. GDPR: 4 % maailmanlaajuisesta liikevaihdosta. LGPD: 2 % liikevaihdosta (epäselvää, onko kyse vain Brasiliasta vai koko maailmasta). Käytännössä: kummassakin valvonta kohdistuu painotetusti suuriin yrityksiin. Pienen yrityksen rikkomus: 50 000-500 000 euroa kummalla tahansa. Koolla on suurempi merkitys kuin prosentilla. Käytännössä: kohtele molempia ankarina. Vältä rikkomukset sen sijaan, että veikkaat prosenttiero. Molemmat ovat vakavia.
Mitkä maat edellyttävät datan paikallista säilytystä ja miten se vaikuttaa analytiikkaani?
Datan paikallinen säilytys on pakollista: Venäjällä, Kiinassa, Intiassa, Indonesiassa (2022 alkaen) ja Vietnamissa. EU säätelee asiaa väljemmin vakiolausekkeilla ja riittävyyspäätöksillä. Analytiikassa: jos käytät yhdysvaltalaista toimittajaa (Google Analytics), sen yhdysvaltalaiset palvelimet rikkovat paikallisen säilytyksen vaatimusta. Ratkaisut: toimittajat, joilla on paikallisia palvelimia (Google Analyticsin EU-palvelimet GDPR:ää varten, Intian palvelimet Intian lakia varten) tai paikalliset tietosuoja edellä toimivat alustat. Tarkista toimittajasi: missä data tallennetaan? Jos ei vaadituissa maissa, sinulla on aukko. Tämä on toimittajavalinta (käyttöönotto), ei toiminnallinen asia (vaatimustenmukaisuus on infrastruktuuria).
Intian laki tuli voimaan 2024 ja Brasilian valvonta tiukkenee. Miten käsittelen liikkuvia maaleja?
Kolme lähestymistapaa: (1) Odota ja katso (riskialtista mutta yleistä uusien valvontajärjestelmien kohdalla). (2) Ylitä vaatimukset (GDPR-standardi, vaikka paikallinen laki olisi löyhempi, turvallisempaa mutta vaatii enemmän vaivaa). (3) Seuraa ja mukauta (rakenna nykyisten vaatimusten mukaan, suunnittele päivitykset lain muuttuessa). Intian DPDPA: tuli voimaan 2024, valvonta rakentuu. Useimmat yritykset omaksuvat GDPR-tasoisen vaatimustenmukaisuuden myös Intiaa varten. Brasilian LGPD: aktiivinen, mutta valvonta keskittyy suuriin yrityksiin. Pienemmillä yrityksillä riski on pienempi. Turvallinen strategia: rakenna GDPR:n mukaan maille, joissa valvonta kehittyy, seuraa sääntelypäivityksiä neljännesvuosittain ja mukauta, jos tulee suuria muutoksia.
Mikä on Schrems II ja miten se vaikuttaa EU:n ja Yhdysvaltojen väliseen analytiikkadatan siirtoon?
Schrems II (2020) kumosi Privacy Shield -järjestelyn ja heikensi vakiolausekkeita EU:n ja Yhdysvaltojen välisissä siirroissa. Tuomioistuin totesi: vakiolausekkeet yksin eivät takaa suojaa, jos vastaanottajamaa sallii massavalvonnan. Vaikutus: tarvitset vakiolausekkeet SEKÄ täydentävät suojatoimet (salaus, pääsynhallinta, datan minimointi). Analytiikassa: jos käytät yhdysvaltalaista toimittajaa, sillä pitää olla vakiolausekkeet ja täydentävät toimenpiteet. Monet toimittajat, myös Google, ovat lisänneet nämä. Tarkista toimittajasi: ottavatko he Schrems II:n huomioon? Jos vain vakiolausekkeet, olet alttiina. Monet tarjoavat EU-datan säilytystä yksinkertaisimpana ratkaisuna (tallenna data EU:ssa, ei siirtoa).
Eroavatko alueet suostumus- ja kieltäytymismallissa? Pitäisikö suostumus käsitellä alueittain?
Alueet eroavat, mutta et tarvitse alueittaista mekaniikkaa. Kaava: useimmat ovat siirtyneet suostumusmalliin (nimenomainen suostumus ennen seurantaa). GDPR = suostumus. CCPA oli historiallisesti kieltäytymismalli (CPRA siirtyy suostumukseen arkaluonteisen datan osalta). LGPD = suostumus. PIPEDA = suostumus. Intia = suostumus. Useimmat modernit lait edellyttävät suostumusta. Toteuta suostumusmalli maailmanlaajuisesti (se ylittää kieltäytymismallin vaatimukset). Yksi suostumusmekanismi: "Saammeko seurata sinua?" Kyllä/ei. CCPA:n historiallista kieltäytymismallia varten lisää "Älä myy tietojani" -linkki (täyttää Kalifornian vaatimuksen). Yksi maailmanlaajuinen suostumus hoitaa alueelliset erot: suostumuspohja plus Kaliforniaa varten oma linkki. Alueittaista analytiikka-asetusten määrittelyä ei tarvita.