Alle de store privatlivslove deler nogle kerneprincipper: samtykke, åbenhed, dataminimering, sikkerhed og brugerrettigheder. Men de er forskellige i rækkevidde, håndhævelse og straffe. Når du ved, hvordan de adskiller sig, kan du se, hvilke der gælder for din virksomhed, og lægge en plan, der dækker flere love på én gang.
Kerneprincipper i alle privatlivslove
Alle store rammer for privatliv (GDPR, CCPA, LGPD, PIPEDA og så videre) kræver en version af: åbenhed om indsamling af data, tilladelse før indsamling af de fleste personoplysninger, at du kun beholder det nødvendige, at du beskytter data mod misbrug, og at enkeltpersoner har rettigheder over egne oplysninger. Det kan ikke diskuteres. Hvis du respekterer disse principper, overholder du de fleste rammer.
Forskellene, der har betydning
Samtykkemodel: GDPR kræver udtrykkeligt samtykke i form af tilvalg til det meste tracking. CCPA bruger fravalg ved salg af data (men er på vej mod tilvalg). De fleste nyere love følger GDPR's model med tilvalg.
Definition af personoplysninger: GDPR og andre definerer personoplysninger bredt. CCPA er endnu bredere. Bredt betyder, at flere data udløser krav.
Anvendelsesområde: GDPR gælder for indbyggere i EU. CCPA gælder for indbyggere i Californien. LGPD gælder for indbyggere i Brasilien. Flere love kan gælde for den samme bruger, alt efter hvor brugeren er, eller hvor din virksomhed driver forretning.
Straffe: GDPR: op til 4 % af omsætningen. CCPA: 2.500 til 7.500 dollars pr. overtrædelse. LGPD: op til 2 % af omsætningen. Straffene er hårde overalt.
Håndhævelse: GDPR har aktive og hårde håndhævere (nationale tilsyn). Håndhævelsen af CCPA vokser (delstatens justitsminister, private søgsmål). Håndhævelsen af LGPD tager fart. De fleste love bliver håndhævet aktivt.
Detaljeret sammenligning: GDPR, CCPA, LGPD, PIPEDA
Samtykke
GDPR og LGPD: udtrykkeligt tilvalg kræves. CCPA: fravalg ved salg af data (men CPRA går mod tilvalg for følsomme data). PIPEDA: tilvalg til de fleste formål. Strengest: GDPR og LGPD.
Definition af personoplysninger
GDPR: alt, der direkte eller indirekte identificerer en person. CCPA: bredere, omfatter også slutninger og forudsigelser. LGPD og PIPEDA: ligner GDPR. Bredest: CCPA.
Brugerrettigheder
Alle kræver: indsigt, sletning og dataportabilitet. GDPR tilføjer: ret til berigtigelse, ret til begrænsning af behandling og ret til indsigelse. CPRA tilføjer: ret til at få rettet og ret til at begrænse brug. PIPEDA er mindre udtrykkelig, men ligner. Alle er stærke. GDPR og CPRA er mest omfattende.
Dataminimering
GDPR, LGPD, PIPEDA: udtrykkeligt krav om kun at indsamle det nødvendige. CCPA: mindre udtrykkeligt. GDPR er strengest her.
Sikkerhed og underretning om brud
Alle kræver rimelig sikkerhed. GDPR: underret tilsynet inden for 72 timer. CCPA: underret de berørte personer inden for 30 dage (intet krav om at underrette tilsynet, men ofte skal justitsministeren underrettes). LGPD og PIPEDA ligner GDPR. GDPR er strengest på tidsfristen for underretning.
Sådan finder du ud af, hvad du skal overholde
Trin 1: Kortlæg, hvor dine besøgende kommer fra
Brug din analytics til at se, hvor din trafik kommer fra. Hvis der er besøgende fra EU, gælder GDPR. Hvis fra Californien, gælder CCPA. Hvis fra Brasilien, gælder LGPD. De fleste sider har besøgende fra flere lande, og så gælder flere love.
Trin 2: Tjek virksomhedens aktiviteter
Har du kontorer, ansatte eller forretningspartnere i regulerede lande? Det kan gøre en lov gældende, selv uden trafik på hjemmesiden (for eksempel kan en virksomhed med ansatte i EU, som behandler kundedata, være omfattet af GDPR, uanset trafikken på hjemmesiden).
Trin 3: Find den strengeste lov, der gælder
Hvilken er strengest af de love, der gælder for dig? Typisk GDPR. Byg efter den standard, og brug den over for alle. Det er enklere end at følge reglerne land for land.
Trin 4: Tilføj regionale forskelle
Nogle regioner kræver bestemte løsninger (for eksempel lagring af data i landet i nogle asiatiske lande og tydelige knapper til fravalg under CCPA i Californien). Tilføj dem til din grundløsning.
Den praktiske vej: GDPR som grundlag
For de fleste virksomheder er den praktiske vej: Gå ud fra, at GDPR gælder (det gør den som regel, medmindre du kun er aktiv i en uregulerede region), byg efter GDPR's standarder, og læg så de regionale krav oven på. At overholde GDPR går næsten altid videre end de fleste andre rammer. Det gør det enklere, og så er du aldrig i strid med reglerne.
Overholder jeg CCPA, hvis jeg overholder GDPR?
For det meste ja. GDPR's strengere krav til samtykke og dataminimering går videre end kravene i CCPA. CCPA's bredere definition af data betyder, at du skal tage højde for begge områder. Hvis du overholder GDPR, dækker du det meste af CCPA.
Hvilken privatlivslov er dyrest at overholde?
GDPR og LGPD kræver meget infrastruktur (styring af data, sikkerhed, brugerrettigheder). CCPA er enklere. Den egentlige pris er at rette op, hvis du ikke allerede overholdt reglerne, og ikke selve overholdelsen.
Kan jeg bruge én privatlivspolitik til alle lande?
Ja, hvis den oplyser om al din praksis med data og overholder alle love, der gælder. Nogle virksomheder bruger én hovedpolitik plus tillæg for hver region. Det vigtigste er åbenhed om alt, hvad du indsamler.
Hvad er den største forskel på GDPR og CCPA?
Samtykkemodellen: GDPR kræver tilvalg, CCPA brugte fravalg (på vej mod tilvalg). Det forklarer, hvorfor GDPR som regel går videre end CCPA. Én forskel, stor virkning.
Hvilke delstatslove gælder, hvis jeg kun har besøgende fra USA?
Alle delstater med betydelig trafik. Californien (CCPA), Virginia, Colorado, Connecticut, Utah, Montana og Delaware har alle love. De fleste virksomheder bruger bare GDPR-niveau overalt for at undgå opsætning for hver delstat.
Bliver privatlivslovene strengere?
Ja, i hele verden. CCPA er strengere end de tidlige love, CPRA er strengere end CCPA, og nye internationale love følger GDPR's strenge model. Kravene bliver kun strammere.