USA’s privatliv

Vi har allerede hjulpet mere end 25.000 websteder med at overholde GDPR, TDDDG og ePrivacy

Vores kunder omfatter nogle af de største hjemmesider og bedst kendte mærker i verden.

… og mange flere.

BEHOV FOR OS OVERHOLDELSE AF PRIVATLIV

… men jeg behandler ingen data overhovedet!?

Et svar, vi hører meget fra amerikanske kunder, er, at de faktisk ikke behandler nogen data, og derfor gælder databeskyttelseslovgivningen ikke for dem.

• Det er vigtigt at bemærke her, at hjemmeside- og app-operatører er ansvarlige for de data, der behandles på deres hjemmeside eller i deres app . Derfor gælder databeskyttelseslovene især for virksomheder, hvis de opfylder en af følgende betingelser:

• 1. Hvis data behandles til vores egne formål , for eksempel via sporingsværktøjer som Google Analytics, Matomo, Hotjar eller lignende

• 2. Deling af data med tredjeparter er også et behandlingstrin. Data deles for eksempel ved at integrere et tredjepartsplugin i hjemmesiden eller appen. Det gælder YouTube-videoer, Facebook-plugins, Google Maps, chatprogrammer eller betalingsudbydere som PayPal

• 3. Når der er integreret annoncering i webstedet eller appen, overføres data automatisk til annoncøren . Overførslen forstås som et trin i databehandlingen.

• Mens stater er lidt forskellige med hensyn til, hvornår samtykke til databehandling skal gives, kræver stort set alle databeskyttelseslove fravalg. I tilfælde af CCPA/CPRA skal dette implementeres eksplicit ved hjælp af et link, der siger “Sælg eller del ikke mine personlige oplysninger”.

Den nye Standard IAB GPP

Gør hjemmesiden sikker med nye standarder: IAB GPP

For på en transparent måde at signalere til- eller fravalg på hjemmesiden eller appen til alle integrerede værktøjer, plugins og reklameudbydere, blev den såkaldte IAB GPP- Standard udviklet af IAB.

• GPP står for Global Privacy Platform og definerer forskellige metoder og grænseflader såsom en CMP (Consent Management Provider, også kendt som “Cookie Banner” eller “Privacy Notice”), der registrerer og kommunikerer samtykke/opt-in eller afvisning/opt-out kan . Standard er i høj grad baseret på IAB TCF- Standard , som er blevet brugt med succes i Europa i årevis og er blevet et must for udgivere og annoncører.
• consentmanager teamet spillede en nøglerolle i udviklingen af ​​GPP-standarden, og det er derfor ikke overraskende, at consentmanager er den første udbyder, der tilbyder produktiv brug af IAB GPP.
  Du kan også finde mere om GPP i vores blog .
• Vigtigt: De fleste databeskyttelseslove kræver også, at webstedsoperatører og appoperatører kan reagere på “browsersignaler”. Et af disse signaler er GPC eller “Global Privacy Control” påkrævet i Californien. Med consentmanager behøver websteder og apps ikke at bekymre sig om held: consentmanager løsningen reagerer automatisk på browsersignaler og implementerer opt-out automatisk.
• Brug GPP og GPC nu

Hvorfor overholde amerikansk privatlivslovgivning nu?

Betal kun for det du bruger

Vores fleksible prismodel

consentmanager CMP er overkommelig og tilgængelig med en fleksibel model: du betaler kun for det, du bruger!

Oversigt:

Hvornår trådte databeskyttelseslovene i kraft i USA?

Dette er de vigtige amerikanske privatlivsnormer

Hvilke databeskyttelseslove er der i USA?

Virksomheder, der er baseret i USA, driver forretning eller leverer tjenester der, eller på anden måde handler med amerikanske borgere, vil sandsynligvis være underlagt en af en række forskellige privatlivslove.

• I modsætning til i mange andre lande er databeskyttelseslovene i USA reguleret på statsniveau – indtil der er en national databeskyttelseslov. Virksomheder bør derfor kontrollere, om eller hvilke føderale love, der gælder for dem. Konkret kan disse være:

• CCPA / CPRA – Californien

  CCPA står for California Consumer Privacy Act og blev vedtaget i 2019. Det gælder især i Californien eller i forhold til californiske beboere. “Opdateringen” til CCPA er CPRA eller California Privacy Rights Act. Under CPRA er nogle regler specificeret og strammet.

• Nevada-NPICICA

  Nevadas privatlivslovgivning, Nevada Privacy of Information Collected on the Internet from Consumers Act (NPICICA), trådte i kraft den 1. oktober 2019, hvilket understreger forbrugernes rettigheder til at kontrollere deres personlige oplysninger indsamlet online. Ændringer såsom Senatets Bill 220 (SB-220) og Senatets Bill 260 (SB-260) udvidede disse rettigheder ved at kræve, at webstedsoperatører leverer mekanismer, der giver forbrugerne mulighed for at fravælge salget af deres data. Mens Nevadas privatlivslovgivning ikke er så omfattende som andre stater såsom Californien, giver de stadig bøder for overtrædelser med bøder på op til $5.000 pr. overtrædelse udstedt af Nevada Attorney General. Virksomheder skal afsløre visse oplysninger i deres privatlivspolitikker og levere mekanismer, der giver forbrugerne mulighed for at fravælge salg af data.

• VCDPA—Virginia

  VCDPA står for Virginia Consumer Data Protection Act og henviser til virksomheder, der driver forretning i staten Virginia eller betjener indbyggere i denne stat. VCDPA trådte i kraft den 1. januar 2023.

• CPA—Colorado

  CPA eller Colorado Privacy Act er privatlivsloven i staten Colorado. Denne lov trådte i kraft den 1. juli 2023 og skal implementeres af virksomheder beliggende i Colorado eller behandler data fra indbyggere i staten. Loven pålægger websteder et krav, den universelle fravalgsmekanisme, som kræver, at websteder giver deres brugere en enkelt fravalgsknap til de marketing- og analysetjenester, som webstedet bruger.

• UCPA-Utah

  Den amerikanske databeskyttelseslov for staten Utah i det vestlige USA kaldes UCPA eller Utah Consumer Privacy Act. I modsætning til de to førnævnte love træder UCPA først i kraft den 31. december 2023. Denne lov påvirker også alle virksomheder, der behandler en vis mængde data (her 100.000 om året) fra statsborgere.

• CAPDP—Connecticut

  CTDPA står for Connecticut Data Privacy Act (også kendt som Connecticut Act Concerning Personal Data Privacy and Online Monitoring) og er den føderale databeskyttelseslov i staten Connecticut. Loven trådte i kraft den 1. juli 2023 og påvirker virksomheder, der er baseret i, driver forretning i eller behandler data fra indbyggere i staten.

• TDPSA – Texas

  Texas Data Privacy and Security Act (TDPSA), med virkning fra 1. juli 2024, gælder for virksomheder, der opererer i Texas eller leverer tjenester til beboere i Texas.

• OCDPA-Oregon

  Oregon Consumer Data Privacy Act (OCDPA), med virkning fra 1. juli 2024, gælder for virksomheder, der opererer i staten eller leverer tjenester til dets beboere. Det omfatter GDPR-lignende roller for dataansvarlige og databehandlere, kræver detaljerede databeskyttelsesmeddelelser og kræver databeskyttelsesvurderinger for højrisikoaktiviteter.

• MTCDPA-Montana

  Montana Consumer Data Privacy Act (MTCDPA), gældende den 1. oktober 2024, gælder for virksomheder, der driver forretning i Montana eller retter sig mod indbyggere i Montana, og fastsætter anvendelighedstærskler baseret på mængden af ​​behandlede personlige data og indtægterne fra salg af personlige data, undtagen visse virksomheder og typer af data.

• CDPA-Iowa

  Iowa Consumer Data Protection Act, der træder i kraft den 1. januar 2025, er rettet mod dataansvarlige og databehandlere, der behandler betydelige mængder personlige oplysninger om Iowa-beboere eller får betydelige indtægter fra salg af sådanne oplysninger.

• DPDPA-Delaware

  Delaware Personal Data Privacy Act, der træder i kraft den 1. januar 2025, fastlægger Delawares holdning til beskyttelse af forbrugerdata, i overensstemmelse med generelle tendenser i USA, men er bemærkelsesværdig ved, at den ikke fritager de fleste nonprofitorganisationer og højere uddannelsesinstitutioner.

• TIPA-Tennessee

  Tennessee Information Protection Act (TIPA), der træder i kraft den 1. juli 2025, sætter strenge kriterier for, hvordan virksomheder skal håndtere personlige oplysninger om beboere i Tennessee. TIPA fastsætter restriktive anvendelighedstærskler baseret på omsætning og mængde af databehandling og definerer detaljerede forbrugerrettigheder, herunder adgang, berigtigelse, sletning, dataportabilitet og indsigelse mod visse dataanvendelser.

• CDPA-Indiana

  Indiana Data Protection Act, der træder i kraft den 1. januar 2026, henvender sig til både “dataansvarlige” og “databehandlere”, der opererer i Indiana eller retter sig mod indbyggere i Indiana. Loven sætter visse tærskler for anvendelighed og fritager forskellige enheder såsom statslige agenturer og HIPAA omfattede enheder.

• MHMD-Washington

  Washington State’s My Health My Data Act (MHMD), som trådte i kraft den 31. marts 2024, stiller strenge krav til virksomheder, der indsamler, deler eller behandler sundhedsdata. MHMD kræver forudgående samtykke til indsamling af sundhedsoplysninger og yderligere samtykke til offentliggørelse for at beskytte forbrugernes privatliv. Loven sætter detaljerede datasikkerhedskrav og begrænser geofencing nær sundhedsudbydere.

• MODPA-Maryland

  Maryland lovgivere har vedtaget Maryland Online Data Privacy Act (MODPA), en privatlivslov, der træder i kraft den 1. oktober 2025 efter vedtagelsen. Nøglebestemmelser i MODPA omfatter et forbud mod salg af følsomme data, strengere dataminimeringskrav, obligatoriske privatlivsvurderinger, unikke målrettede annonceringskrav og fravalgsrettigheder med opdaterede fortrolighedsmeddelelser. Manglende overholdelse kan resultere i bøder på op til $10.000 pr. overtrædelse.

• FDBR-Florida

  Florida Digital Bill of Rights (FDBR) blev underskrevet i lov den 6. juni 2023 og træder i kraft den 1. juli 2024. Denne lov indfører en række foranstaltninger til beskyttelse af forbrugernes privatliv. Det gælder primært for store virksomheder med årlige bruttoindtægter på mere end 1 mia. USD, med visse tærskler gældende for virksomheder, der er stærkt involveret i digital annoncering eller drift af store digitale platforme. FDBR giver brede opt-out-rettigheder til dataindsamling gennem stemme- og ansigtsgenkendelsesteknologier, sætter strenge grænser for indsamling af overvågningsdata uden aktiv brugersamtykke og kræver klare meddelelser for salg af følsomme og biometriske data. Derudover giver loven en særlig beskyttelse af børns data og forbyder offentlige myndigheder at moderere indhold på sociale medier, selvom der er gjort nogle undtagelser.

• NDPA-Nebraska

  Guvernøren i Nebraska underskrev Nebraska Data Privacy Act den 17. april 2024, som træder i kraft den 1. januar 2025. Loven pålægger virksomheder, der behandler personoplysninger i Nebraska, forpligtelser og giver forbrugere rettigheder såsom bekræftelse af databehandling, rettelse af unøjagtigheder, sletning af personoplysninger og fravalg af visse databehandlingsaktiviteter. Loven pålægger dataansvarlige at give klare databeskyttelsesmeddelelser, begrænse dataindsamling, indføre datasikkerhedsprocedurer og foretage databeskyttelsesvurderinger. Nebraska Attorney General kan sanktionere overtrædelser med bøder på op til $7.500 pr. overtrædelse.

• SB 255 – New Hampshire

  Guvernøren i New Hampshire underskrev Senatets lov 255 den 6. marts 2024, som træder i kraft den 1. januar 2025. Loven gælder for virksomheder, der opererer i New Hampshire, som behandler personoplysninger og etablerer dataminimering, formålsbegrænsning og privatlivsforpligtelser, samt forbrugerrettigheder såsom adgang, rettelse, sletning, portabilitet og fravalg. Håndhævelse af loven er det eksklusive ansvar for New Hampshire Attorney General, som har 60 dage til at rette mangler.

• NJPA-New Jersey

  Ved Den 16. januar 2024 underskrev New Jerseys guvernør New Jersey Privacy Act (NJPA), som træder i kraft den 15. januar 2025. NJPA kræver, at virksomheder træffer foranstaltninger svarende til andre statslige privatlivslove, såsom: B. om dataminimering, datasikkerhed og rettigheder for de berørte, med særlig opmærksomhed på følsomme data og beskyttelse af børn. Dataansvarlige og databehandlere skal overholde bestemmelserne om forbrugeranmodninger, datasikkerhed og anmeldelse af databrud. Loven håndhæves udelukkende af New Jersey Attorney General og indeholder bestemmelser om regulering og klageadgang for forbrugere.

• KCDPA-Kentucky

  Kentucky vedtog Kentucky Consumer Data Privacy Act (KCDPA) den 4. april 2024, som træder i kraft den 1. januar 2026. Loven regulerer behandlingen af ​​personoplysninger, etablerer forbrugerrettigheder og bemyndiger Kentucky Attorney General til at håndhæve loven. Loven gælder for registeransvarlige, der behandler data om beboere i Kentucky, med undtagelser for forskellige enheder og typer af data, herunder økonomiske og sundhedsmæssige data. Dataansvarlige skal give klare fortrolighedsmeddelelser, begrænse dataindsamling, sikre sikkerhed og respektere forbrugernes rettigheder med fokus på ikke at behandle følsomme data uden udtrykkeligt samtykke. Håndhævelse er ansvaret for Kentucky Attorney General, som giver en 30-dages varsel til at rette overtrædelser og mulige civile sanktioner.