Regler om privatliv spreder sig hurtigt i verden. Ud over GDPR og CCPA har snesevis af lande nu brede rammer for privatliv. Canada har PIPEDA, Brasilien har LGPD, Indien har regler under udvikling, og næsten alle udviklede økonomier indfører eller strammer privatlivslove. Hvis din virksomhed har besøgende fra andre lande, skal du kende de vigtigste rammer uden for Europa og USA.
Vigtige rammer for privatliv i verden
Canada: PIPEDA og lovene i provinserne
PIPEDA (Personal Information Protection and Electronic Documents Act) er Canadas føderale privatlivslov. Den gælder for organisationer, der indsamler personoplysninger om indbyggere i Canada. PIPEDA ligner GDPR i opbygning. Den kræver samtykke, dataminimering, sikkerhed og brugerrettigheder. Nogle provinser (Quebec, Alberta) har egne privatlivslove, som er endnu strengere end PIPEDA.
PIPEDA håndhæves af Canadas privatlivskommissær. Bøderne kan nå millioner af dollars. Loven bliver håndhævet aktivt og er ikke en teoretisk bekymring.
Brasilien: LGPD
Brasiliens LGPD (Lei Geral de Proteção de Dados) kaldes ofte "Brasiliens GDPR". Det er en bred ramme, der kræver samtykke, dataminimering, sikkerhed og brugerrettigheder. Straffene i LGPD er hårde: op til 2 % af omsætningen (eller 50 millioner brasilianske real). Loven gælder for organisationer, der behandler data om indbyggere i Brasilien, uanset hvor virksomheden ligger.
Håndhævelsen af LGPD er ved at tage fart. Brasilien håndhæver loven aktivt. Hvis du har besøgende fra Brasilien, er det vigtigt at overholde den.
Mexico: LFPDPPP
Mexicos LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de Particulares) ligner GDPR og kræver samtykke og brugerrettigheder. Den håndhæves mindre aggressivt end GDPR eller LGPD, men overtrædelser kan give store bøder. Hvis du driver virksomhed i Mexico, skal du overholde reglerne på et grundlæggende GDPR-niveau.
Indien: Digital Personal Data Protection Act
Indien har for nylig vedtaget Digital Personal Data Protection Act (DPDPA), som gælder fra 2024. Den er mindre streng end GDPR, men kræver samtykke til det meste indsamling af data og giver brugerne ret til indsigt og sletning. Håndhævelsen i Indien er stadig under opbygning, men der forventes, at du overholder loven fremover.
Asien-Stillehavsområdet: Forskellige rammer
Australien har ændringer i Privacy Act, der kræver strengere samtykke. Singapore har PDPA. Hongkong har PDPO. Sydkorea har PIPA. Japan har APPI. Thailand har PDPA. Hver ramme er lidt forskellig, men alle kræver en form for samtykke og brugerrettigheder. Hvis du driver virksomhed i Asien-Stillehavsområdet, så gå ud fra, at GDPR-niveau er den sikre minimumsstandard.
Mønsteret: Lovene nærmer sig hinanden
Privatlivslovene i verden nærmer sig nogle fælles principper: åbenhed (brugerne skal vide, hvad der indsamles), samtykke (der kræves tilladelse), dataminimering (indsaml kun det nødvendige), sikkerhed (beskyt det, du har) og brugerrettigheder (indsigt, sletning og overførsel af data). Hvis din analytics respekterer disse principper, overholder du de fleste rammer i verden.
Tilstrækkelighedsafgørelser og gensidig anerkendelse
Nogle lande anerkender andre landes privatlivslove som "tilstrækkelige". EU anerkender blandt andet Storbritannien og Schweiz som tilstrækkelige, så data kan overføres lettere. EU's tilstrækkelighedsafgørelser er de strengeste. Hvis du overholder GDPR, er du sandsynligvis tilstrækkelig til de fleste aftaler mellem to lande om overførsel af data.
Sådan overholder du reglerne i praksis, når du driver virksomhed globalt
For de fleste virksomheder er fremgangsmåden: Find ud af, hvor du har mange besøgende, prioriter de lande, og byg analytics, der lever op til den strengeste standard, som gælder. Brug så den standard overalt. Det er enklere end at have forskellige opsætninger af analytics i hvert land.
Regionale forskelle uden at splitte det op
Du behøver ikke et andet analysesystem i hvert land. Du skal bruge ét system, der er bygget efter den højeste gældende standard (som regel GDPR), og som kan rumme regionale forskelle (for eksempel tydelige måder at fravælge på, hvor det kræves, og lagring af data i landet, hvor det er påbudt).
Hvordan finder jeg ud af, hvilke landes love der gælder for mig? Skal jeg bruge trafikdata fra analytics?
Ja, brug analytics til at afgrænse det. Hent besøgendes geografi for de sidste 12 måneder: Hvilke lande har betydelig trafik (5 % eller mere)? Deres love gælder sandsynligvis. Undersøg hvert land med meget trafik: EU = GDPR, Canada = PIPEDA, Brasilien = LGPD, Indien = DPDPA, Australien = Privacy Act. Prioriter efter trafik: 40 % trafik fra EU betyder, at GDPR kommer først. Tjek også: Har du ansatte, kontorer eller forretningspartnere i nogle lande? Hvis ja, gælder deres love uanset trafik. Brug analytics som udgangspunkt og supplér med spørgsmål om driften. Nu har du dit overblik over lovene.
LGPD er 2 % af omsætningen, men GDPR er 4 %. Hvilken er egentlig strengest?
GDPR's 4 % er det højeste maksimum. Men udregningen har betydning. GDPR: 4 % af den globale omsætning. LGPD: 2 % af omsætningen (uklart, om det kun er i Brasilien eller globalt). I praksis: Begge viser en tendens til at håndhæve mod store virksomheder. En overtrædelse hos en lille virksomhed: 50.000 til 500.000 euro under begge. Størrelsen betyder mere end procenten. I praksis: Behandl begge som alvorlige. Undgå overtrædelser i stedet for at satse på forskelle i procenter. Begge er alvorlige.
Hvilke lande kræver, at data bliver lagret i landet, og hvad betyder det for min analytics?
Lagring af data i landet er påbudt i: Rusland, Kina, Indien, Indonesien (2022 og frem) og Vietnam. EU regulerer det løsere gennem standardkontraktbestemmelser og tilstrækkelighedsafgørelser. For analytics: Hvis du bruger en amerikansk leverandør (Google Analytics), strider deres servere i USA mod kravet. Løsninger: leverandører med lokale servere (Google Analytics med servere i EU til GDPR, servere i Indien til indisk lov) eller lokale platforme med privatliv først. Tjek din leverandør: Hvor bliver data gemt? Hvis ikke i de krævede lande, har du et hul. Det er et valg af leverandør (opsætning) og ikke et spørgsmål om drift (at overholde reglerne er et spørgsmål om infrastruktur).
Indiens lov trådte i kraft i 2024, og Brasilien strammer håndhævelsen. Hvordan håndterer jeg reglerne, der hele tiden flytter sig?
Tre tilgange: (1) Vent og se (risikabelt, men almindeligt, når håndhævelsen er ny). (2) Overhold mere end nødvendigt (GDPR som standard, selv om den lokale lov er mildere: sikrere, men mere arbejde). (3) Følg med og tilpas (byg efter de nuværende krav og planlæg opdateringer, når loven ændrer sig). Indiens DPDPA: trådte i kraft i 2024, håndhævelsen er under opbygning. De fleste virksomheder bruger GDPR-niveau, også for Indien. Brasiliens LGPD: aktiv, men håndhævelsen rammer mest store virksomheder. Mindre virksomheder løber en lavere risiko. Sikker strategi: Byg efter GDPR i lande, hvor håndhævelsen er under udvikling, følg med i ændringer hvert kvartal, og tilpas, hvis der kommer store ændringer.
Hvad er Schrems II, og hvordan påvirker det mine overførsler af analysedata fra EU til USA?
Schrems II (2020) erklærede Privacy Shield ugyldig og svækkede standardkontraktbestemmelserne for overførsler fra EU til USA. Domstolen sagde: Standardkontraktbestemmelser alene garanterer ikke beskyttelse, hvis modtagerlandet tillader masseovervågning. Konsekvens: Du skal have standardkontraktbestemmelser PLUS supplerende sikkerhedsforanstaltninger (kryptering, adgangskontrol, dataminimering). For analytics: Hvis du bruger en amerikansk leverandør, skal de have standardkontraktbestemmelser plus supplerende foranstaltninger. Mange leverandører, også Google, har tilføjet dem. Tjek din leverandør: Tager de højde for Schrems II? Hvis de kun har standardkontraktbestemmelser, er du udsat. Mange tilbyder lagring af data i EU som den enkleste løsning (gem data i EU, ingen overførsel).
Er reglerne forskellige for tilvalg og fravalg i de forskellige regioner? Skal jeg håndtere samtykke for hver region?
Regionerne er forskellige, men du behøver ikke en løsning for hver region. Mønstret: De fleste er gået over til tilvalg (udtrykkeligt samtykke før tracking). GDPR = tilvalg. CCPA har historisk = fravalg (CPRA går mod tilvalg for følsomme data). LGPD = tilvalg. PIPEDA = tilvalg. Indien = tilvalg. De fleste moderne love kræver tilvalg. Brug tilvalg globalt (det går videre end kravene om fravalg). Ét samtykke: "Må vi tracke dig?" Ja eller nej. Til CCPA's historiske fravalg tilføjer du et "Sælg ikke"-link (opfylder Californien). Ét globalt samtykke dækker de regionale forskelle: tilvalg som grundlag plus et link til Californien. Du behøver ikke en egen opsætning af analytics for hver region.