Kaikilla tärkeimmillä tietosuojalaeilla on yhteiset perusperiaatteet: suostumus, läpinäkyvyys, datan minimointi, tietoturva ja käyttäjien oikeudet. Ne kuitenkin eroavat soveltamisalaltaan, valvonnaltaan ja seuraamuksiltaan. Vertailun ymmärtäminen auttaa selvittämään, mitkä lait koskevat yritystäsi, ja suunnittelemaan vaatimustenmukaisuusstrategian, joka kattaa useita kehyksiä samanaikaisesti.
Kaikkien tietosuojalakien yhteiset periaatteet
Jokainen merkittävä tietosuojakehys (GDPR, CCPA, LGPD, PIPEDA jne.) edellyttää jonkinlaista versiota seuraavista: läpinäkyvyys datan keruusta, lupa ennen useimpien henkilötietojen keräämistä, vain tarpeellisen säilyttäminen, datan suojaaminen väärinkäytöltä ja yksilöille annetut oikeudet omiin tietoihinsa. Nämä eivät ole neuvoteltavissa. Jos kunnioitat näitä periaatteita, noudatat useimpia kehyksiä.
Erot, joilla on merkitystä
Suostumusmalli: GDPR edellyttää nimenomaista suostumusta useimmalle seurannalle. CCPA käyttää kieltäytymismallia datan myynnissä (mutta on siirtymässä suostumusmalliin). Useimmat uudemmat lait seuraavat GDPR:n suostumusmallia.
Henkilötietojen määritelmä: GDPR ja muut määrittelevät henkilötiedot laajasti. CCPA on vielä laajempi. Laaja määritelmä tarkoittaa, että useampi data aktivoi vaatimustenmukaisuusvaatimukset.
Soveltamisala: GDPR koskee EU:n asukkaita. CCPA koskee Kalifornian asukkaita. LGPD koskee brasilialaisia asukkaita. Useita lakeja voi koskea samaa käyttäjää sen mukaan, missä hän on tai missä yrityksesi toimii.
Seuraamukset: GDPR: jopa 4 % liikevaihdosta. CCPA: 2 500-7 500 dollaria rikkomusta kohden. LGPD: jopa 2 % liikevaihdosta. Seuraamukset ovat ankaria kaikkialla.
Valvonta: GDPR:llä on aktiiviset ja päättäväiset valvojat (kansalliset viranomaiset). CCPA:n valvonta kasvaa (osavaltion oikeusministeri, yksityinen kanneoikeus). LGPD:n valvonta tiukkenee. Useimpia lakeja valvotaan aktiivisesti.
Yksityiskohtainen vertailu: GDPR, CCPA, LGPD, PIPEDA
Suostumus
GDPR ja LGPD: nimenomainen suostumus vaaditaan. CCPA: kieltäytymismalli datan myynnissä (mutta CPRA siirtyy kohti suostumusta arkaluonteisen datan osalta). PIPEDA: suostumus useimpiin tarkoituksiin. Tiukkuudessa voittajat: GDPR ja LGPD.
Henkilötietojen määritelmä
GDPR: kaikki, mikä tunnistaa henkilön suoraan tai epäsuorasti. CCPA: laajempi, kattaa päätelmät ja ennusteet. LGPD ja PIPEDA: samankaltaiset kuin GDPR. Voittaja: CCPA on laajin.
Käyttäjän oikeudet
Kaikki edellyttävät: pääsyä, poistoa ja siirrettävyyttä. GDPR lisää: oikeuden oikaisuun, oikeuden rajoittaa käsittelyä ja oikeuden vastustaa. CPRA lisää: oikeuden oikaista ja oikeuden rajoittaa käyttöä. PIPEDA on vähemmän nimenomainen mutta samankaltainen. Kaikki ovat vahvoja. GDPR/CPRA kattavimmat.
Datan minimointi
GDPR, LGPD, PIPEDA: nimenomainen vaatimus kerätä vain tarpeellinen. CCPA: vähemmän nimenomainen. GDPR voittaa tässä tiukkuudessa.
Tietoturva ja tietomurtoilmoitus
Kaikki edellyttävät kohtuullista tietoturvaa. GDPR: ilmoita viranomaisille 72 tunnin kuluessa. CCPA: ilmoita yksilöille 30 päivän kuluessa (ei viranomaisilmoitusvaatimusta, mutta oikeusministerin ilmoitus vaaditaan usein). LGPD ja PIPEDA samankaltaisia kuin GDPR. GDPR on tiukin ilmoitusajassa.
Omien velvoitteidesi selvittäminen
Vaihe 1: Kartoita kävijöidesi maantiede
Käytä analytiikkaasi selvittääksesi, mistä liikenteesi tulee. Jos kävijöitä tulee EU:sta, GDPR koskee sinua. Jos Kaliforniasta, CCPA koskee sinua. Jos Brasiliasta, LGPD koskee sinua. Useimmilla sivustoilla on kävijöitä useilta lainkäyttöalueilta, mikä aktivoi useita lakeja.
Vaihe 2: Tarkista yrityksen toiminta
Onko sinulla toimistoja, työntekijöitä tai liikekumppaneita säännellyillä lainkäyttöalueilla? Se voi aktivoida lain soveltamisen ilman verkkosivuliikennettäkin (esim. yritys, jonka EU-työntekijät käsittelevät asiakasdataa, voi kuulua GDPR:n piiriin verkkosivuliikenteestä riippumatta).
Vaihe 3: Tunnista tiukin soveltuva laki
Mikä kaikista sinua koskevista laeista on tiukin? Yleensä GDPR. Rakenna vaatimustenmukaisuus sen standardin mukaan ja sovella sitä kaikkialla. Se on yksinkertaisempaa kuin lainkäyttöaluekohtainen vaatimustenmukaisuus.
Vaihe 4: Lisää alueelliset muunnelmat
Jotkin alueet edellyttävät erityisiä mekanismeja (esim. datan paikallinen säilytys joissakin Aasian maissa, nimenomaiset CCPA-kieltäytymispainikkeet Kaliforniassa). Lisää nämä perusvaatimustenmukaisuuden päälle.
Käytännöllinen lähestymistapa: GDPR perustasona
Useimmille yrityksille käytännöllinen tapa on: oleta, että GDPR koskee sinua (yleensä koskee, ellei toimintasi ole puhtaasti kotimaista säätelemättömällä alueella), rakenna GDPR-standardien mukaan ja lisää sen päälle alueelliset vaatimukset. GDPR-vaatimustenmukaisuus ylittää lähes aina useimmat muut kehykset. Se vähentää monimutkaisuutta ja varmistaa, ettet koskaan toimi vaatimusten vastaisesti.
Jos noudatan GDPR:ää, noudatanko myös CCPA:ta?
Pääosin kyllä. GDPR:n tiukempi suostumus ja datan minimointi ylittävät CCPA:n vaatimukset. CCPA:n laajempi datan määritelmä tarkoittaa, että sinun pitää huomioida molemmat soveltamisalat. GDPR:n noudattaminen kattaa suurimman osan CCPA-velvoitteista.
Minkä tietosuojalain noudattaminen on kallein?
GDPR ja LGPD edellyttävät laajaa infrastruktuuria (datan hallinta, tietoturva, käyttäjien oikeudet). CCPA on yksinkertaisempi. Todellinen kustannus on korjaaminen, jos et jo noudattanut vaatimuksia, ei itse vaatimustenmukaisuus.
Voinko käyttää yhtä tietosuojaselostetta kaikille lainkäyttöalueille?
Kyllä, jos se kertoo kaikista datakäytännöistä ja noudattaa kaikkia sovellettavia lakeja. Jotkin yritykset käyttävät yhtä perusselostetta ja alueellisia lisäyksiä. Avoimuus kaikesta keräämästäsi on avainasia.
Mikä on suurin ero GDPR:n ja CCPA:n välillä?
Suostumusmalli: GDPR edellyttää suostumusta, CCPA käytti kieltäytymismallia (siirtymässä kohti suostumusta). Tämä selittää, miksi GDPR-vaatimustenmukaisuus yleensä ylittää CCPA:n. Yksi ero, suuri vaikutus.
Jos palvelen vain yhdysvaltalaisia kävijöitä, mitkä osavaltiolait koskevat minua?
Kaikki osavaltiot, joista on merkittävästi liikennettä. Kaliforniassa (CCPA), Virginiassa, Coloradossa, Connecticutissa, Utahissa, Montanassa ja Delawaressa on kaikissa omat lakinsa. Useimmat yritykset käyttävät vain GDPR-tasoista vaatimustenmukaisuutta kaikkialla välttääkseen osavaltiokohtaiset asetukset.
Tiukkenevatko tietosuojalait?
Kyllä, maailmanlaajuisesti. CCPA on tiukempi kuin varhaiset lait, CPRA on tiukempi kuin CCPA, ja uudet kansainväliset lait seuraavat GDPR:n tiukkaa mallia. Vaatimukset vain kiristyvät.