Όλοι οι μεγάλοι νόμοι απορρήτου μοιράζονται βασικές αρχές: συναίνεση, διαφάνεια, ελαχιστοποίηση δεδομένων, ασφάλεια και δικαιώματα χρηστών. Διαφέρουν όμως στο πεδίο εφαρμογής, την επιβολή και τις κυρώσεις. Αν καταλάβεις πώς συγκρίνονται, βρίσκεις ποιοι ισχύουν για την επιχείρησή σου και σχεδιάζεις στρατηγική συμμόρφωσης που καλύπτει πολλά πλαίσια ταυτόχρονα.
Βασικές αρχές σε όλους τους νόμους απορρήτου
Κάθε μεγάλο πλαίσιο απορρήτου (GDPR, CCPA, LGPD, PIPEDA κ.λπ.) απαιτεί κάποια εκδοχή από: διαφάνεια για τη συλλογή δεδομένων, άδεια πριν συλλεχθούν τα περισσότερα προσωπικά δεδομένα, φύλαξη μόνο όσων χρειάζονται, προστασία των δεδομένων από κατάχρηση και δικαιώματα των ατόμων πάνω στις δικές τους πληροφορίες. Αυτά δεν συζητιούνται. Αν σέβεσαι αυτές τις αρχές, συμμορφώνεσαι με τα περισσότερα πλαίσια.
Οι διαφορές που μετράνε
Μοντέλο συναίνεσης: το GDPR απαιτεί ρητή συναίνεση εκ των προτέρων για την περισσότερη παρακολούθηση. Το CCPA χρησιμοποιεί άρνηση εκ των υστέρων για την πώληση δεδομένων (αλλά πηγαίνει προς συναίνεση εκ των προτέρων). Οι περισσότεροι νεότεροι νόμοι ακολουθούν το μοντέλο του GDPR.
Ορισμός προσωπικών δεδομένων: το GDPR και άλλοι ορίζουν τα προσωπικά δεδομένα ευρέως. Το CCPA είναι ακόμα ευρύτερο. Ευρύς ορισμός σημαίνει ότι περισσότερα δεδομένα ενεργοποιούν απαιτήσεις συμμόρφωσης.
Πεδίο εφαρμογής: το GDPR ισχύει για κατοίκους της ΕΕ. Το CCPA για κατοίκους της Καλιφόρνιας. Το LGPD για κατοίκους της Βραζιλίας. Πολλοί νόμοι μπορεί να ισχύουν για τον ίδιο χρήστη, ανάλογα με το πού βρίσκεται ή πού λειτουργεί η επιχείρησή σου.
Κυρώσεις: GDPR: έως 4% των εσόδων. CCPA: $2.500-$7.500 ανά παράβαση. LGPD: έως 2% των εσόδων. Οι κυρώσεις είναι αυστηρές παντού.
Επιβολή: το GDPR έχει ενεργούς, επιθετικούς επιβολείς (εθνικές ρυθμιστικές αρχές). Η επιβολή του CCPA μεγαλώνει (Γενικός Εισαγγελέας της πολιτείας, ιδιωτικό δικαίωμα αγωγής). Η επιβολή του LGPD εντείνεται. Οι περισσότεροι νόμοι εφαρμόζονται ενεργά.
Αναλυτική σύγκριση: GDPR, CCPA, LGPD, PIPEDA
Συναίνεση
GDPR και LGPD: απαιτείται ρητή συναίνεση εκ των προτέρων. CCPA: άρνηση εκ των υστέρων για την πώληση δεδομένων (αλλά το CPRA πηγαίνει προς συναίνεση εκ των προτέρων για ευαίσθητα δεδομένα). PIPEDA: συναίνεση εκ των προτέρων για τους περισσότερους σκοπούς. Νικητές στην αυστηρότητα: GDPR και LGPD.
Ορισμός προσωπικών δεδομένων
GDPR: οτιδήποτε ταυτοποιεί πρόσωπο άμεσα ή έμμεσα. CCPA: ευρύτερο, περιλαμβάνει εικασίες και προβλέψεις. LGPD και PIPEDA: παρόμοια με το GDPR. Νικητής: το CCPA είναι το ευρύτερο.
Δικαιώματα χρηστών
Όλοι απαιτούν: πρόσβαση, διαγραφή και φορητότητα. Το GDPR προσθέτει: δικαίωμα διόρθωσης, δικαίωμα περιορισμού επεξεργασίας, δικαίωμα εναντίωσης. Το CPRA προσθέτει: δικαίωμα διόρθωσης, δικαίωμα περιορισμού χρήσης. Το PIPEDA είναι λιγότερο ρητό αλλά παρόμοιο. Όλα είναι ισχυρά. Το GDPR/CPRA είναι τα πιο ολοκληρωμένα.
Ελαχιστοποίηση δεδομένων
GDPR, LGPD, PIPEDA: ρητή απαίτηση να συλλέγεις μόνο ό,τι είναι απαραίτητο. CCPA: λιγότερο ρητό. Το GDPR κερδίζει σε αυστηρότητα εδώ.
Ασφάλεια και ειδοποίηση παραβίασης
Όλοι απαιτούν εύλογη ασφάλεια. GDPR: ειδοποίηση των αρχών μέσα σε 72 ώρες. CCPA: ειδοποίηση των ατόμων μέσα σε 30 ημέρες (δεν υπάρχει υποχρέωση προς αρχή, αλλά συχνά απαιτείται ειδοποίηση του Γενικού Εισαγγελέα). LGPD και PIPEDA παρόμοια με το GDPR. Το GDPR είναι το αυστηρότερο στη διορία ειδοποίησης.
Πώς βρίσκεις τις υποχρεώσεις συμμόρφωσής σου
Βήμα 1: χαρτογράφησε τη γεωγραφία των επισκεπτών σου
Χρησιμοποίησε τα στατιστικά σου για να δεις από πού έρχεται η επισκεψιμότητα. Αν οι επισκέπτες είναι από την ΕΕ, ισχύει το GDPR. Αν από την Καλιφόρνια, ισχύει το CCPA. Αν από τη Βραζιλία, ισχύει το LGPD. Οι περισσότερες ιστοσελίδες έχουν επισκέπτες από πολλές δικαιοδοσίες, που ενεργοποιούν πολλούς νόμους.
Βήμα 2: έλεγξε τις δραστηριότητες της εταιρείας
Έχεις γραφεία, υπαλλήλους ή επιχειρηματικούς συνεργάτες σε ρυθμιζόμενες δικαιοδοσίες; Αυτό μπορεί να ενεργοποιήσει την εφαρμογή ακόμα και χωρίς επισκεψιμότητα (π.χ. μια εταιρεία με υπαλλήλους στην ΕΕ που επεξεργάζονται δεδομένα πελατών μπορεί να υπάγεται στο GDPR ανεξάρτητα από την επισκεψιμότητα).
Βήμα 3: βρες τον αυστηρότερο ισχύοντα νόμο
Ανάμεσα σε όλους τους νόμους που ισχύουν για σένα, ποιος είναι ο αυστηρότερος; Συνήθως το GDPR. Χτίσε τη συμμόρφωση σε αυτό το πρότυπο και εφάρμοσέ το παντού. Είναι πιο απλό από τη συμμόρφωση ανά δικαιοδοσία.
Βήμα 4: πρόσθεσε περιφερειακές παραλλαγές
Κάποιες περιοχές απαιτούν συγκεκριμένους μηχανισμούς (π.χ. τοπική αποθήκευση δεδομένων σε κάποιες ασιατικές χώρες, ρητά κουμπιά άρνησης του CCPA στην Καλιφόρνια). Πρόσθεσέ τα στη βασική προσέγγιση συμμόρφωσής σου.
Η πρακτική προσέγγιση: το GDPR ως βάση
Για τις περισσότερες εταιρείες, η πρακτική προσέγγιση είναι: υπόθεσε ότι ισχύει το GDPR (συνήθως ισχύει, εκτός αν είσαι αποκλειστικά εγχώριος σε περιοχή χωρίς ρυθμίσεις), χτίσε με βάση τα πρότυπα του GDPR και μετά πρόσθεσε τις περιφερειακές απαιτήσεις. Η συμμόρφωση με το GDPR σχεδόν πάντα ξεπερνά τα περισσότερα άλλα πλαίσια. Αυτό μειώνει την πολυπλοκότητα και εξασφαλίζει ότι δεν θα βρεθείς ποτέ εκτός συμμόρφωσης.
Αν συμμορφώνομαι με το GDPR, συμμορφώνομαι και με το CCPA;
Ως επί το πλείστον ναι. Η αυστηρότερη συναίνεση και ελαχιστοποίηση δεδομένων του GDPR ξεπερνούν τις απαιτήσεις του CCPA. Ο ευρύτερος ορισμός δεδομένων του CCPA σημαίνει ότι πρέπει να καλύψεις και τα δύο πεδία. Η συμμόρφωση με το GDPR καλύπτει τις περισσότερες υποχρεώσεις του CCPA.
Ποιος νόμος απορρήτου είναι ο πιο ακριβός στη συμμόρφωση;
Το GDPR και το LGPD απαιτούν εκτεταμένη υποδομή (διαχείριση δεδομένων, ασφάλεια, δικαιώματα χρηστών). Το CCPA είναι πιο απλό. Το πραγματικό κόστος είναι η αποκατάσταση αν δεν συμμορφωνόσουν ήδη, όχι η ίδια η συμμόρφωση.
Μπορώ να έχω μία πολιτική απορρήτου για όλες τις δικαιοδοσίες;
Ναι, αν γνωστοποιεί όλες τις πρακτικές δεδομένων και συμμορφώνεται με όλους τους ισχύοντες νόμους. Κάποιες εταιρείες χρησιμοποιούν μία βασική πολιτική συν περιφερειακά παραρτήματα. Το κλειδί είναι η διαφάνεια για ό,τι συλλέγεις.
Ποια είναι η μεγαλύτερη διαφορά ανάμεσα σε GDPR και CCPA;
Το μοντέλο συναίνεσης: το GDPR απαιτεί συναίνεση εκ των προτέρων, το CCPA χρησιμοποιούσε άρνηση εκ των υστέρων (και πηγαίνει προς εκ των προτέρων). Αυτό εξηγεί γιατί η συμμόρφωση με το GDPR συνήθως ξεπερνά το CCPA. Μία διαφορά, δυσανάλογη επίδραση.
Αν εξυπηρετώ μόνο επισκέπτες από τις ΗΠΑ, ποιοι νόμοι πολιτειών ισχύουν;
Όλες οι πολιτείες με ουσιαστική επισκεψιμότητα. Η Καλιφόρνια (CCPA), η Βιρτζίνια, το Κολοράντο, το Κονέκτικατ, η Γιούτα, η Μοντάνα και το Ντέλαγουερ έχουν όλες νόμους. Οι περισσότερες εταιρείες χρησιμοποιούν απλώς συμμόρφωση επιπέδου GDPR παντού, για να αποφύγουν τις ρυθμίσεις ανά πολιτεία.
Γίνονται αυστηρότεροι οι νόμοι απορρήτου;
Ναι, παγκοσμίως. Το CCPA είναι αυστηρότερο από τους πρώτους νόμους, το CPRA αυστηρότερο από το CCPA, οι νέοι διεθνείς νόμοι ακολουθούν το αυστηρό μοντέλο του GDPR. Οι απαιτήσεις θα γίνονται μόνο πιο σφιχτές.