Louisiana se oficiálně připojila k rostoucímu seznamu států, které mají komplexní zákony na ochranu soukromí spotřebitelů. Guvernérův podpis pod senátním návrhem zákona 386 dává vzniknout Louisiana Data Privacy Act (LDPA), čímž se Louisiana stává jedním z více než dvaceti států, které v posledních letech tyto rámce přijaly. Zákon sice vstoupí v účinnost až v roce 2027, ale jeho přijetí stojí za to pochopit už nyní – jak pro podniky, které se budou muset podřídit, tak pro obyvatele, jejichž osobní údaje má chránit.

Čeho se Louisianský zákon o ochraně dat týká

LDPA v zásadě kopíruje vzorec, který se stal známým, když státy zaplňují vakuum vzniklé absencí jednotného federálního zákona o ochraně soukromí. Tyto zákony na úrovni států obvykle přiznávají spotřebitelům právo na přístup k osobním údajům, jejich opravu, výmaz a přenositelnost a zároveň možnost odmítnout určité způsoby využití, jako je cílená reklama nebo prodej osobních informací. Podniky, které shromažďují a zpracovávají údaje spotřebitelů, musí kolem těchto práv vybudovat programy zajištění souladu, což často znamená aktualizaci zásad ochrany osobních údajů, přeškolení zaměstnanců a úpravu toku dat ve vztazích s dodavateli.

Louisianská verze se vztahuje na podniky, které splňují určité prahové hodnoty týkající se množství zpracovávaných spotřebitelských údajů nebo výše příjmů z prodeje osobních informací, což je struktura podobná té, kterou používají jiné státy. Na podrobnostech o tom, na koho přesně se zákon vztahuje, bude pro firmy působící v Louisianě nebo obsluhující její obyvatele nesmírně záležet, pro běžné spotřebitele je však praktický dopad jednodušší: větší právní opora pro dotazování se firem, jaké údaje o nich uchovávají, a možnost požadovat jejich opravu nebo výmaz.

Louisiana se připojuje k přeplněnému a roztříštěnému poli

Na téhle zprávě je pozoruhodné nikoli to, že Louisiana přijala zákon o ochraně soukromí, ale to, že je nyní jedním z více než dvaceti států, které tak učinily, přičemž každý má vlastní definice, prahové hodnoty a mechanismy prosazování. Tento přístup stát po státu se stal výchozím způsobem, jak američtí spotřebitelé získávají ochranu soukromí – při přetrvávající absenci komplexní federální legislativy. Vermont se vydal podobnou cestou a jeho vlastní zákon, podrobně popsaný v našem článku o Vermontském zákoně o ochraně osobních údajů a dohledu, zašel ještě dál, když ke standardním spotřebitelským právům připojil ustanovení specificky zaměřená na sledování.

Mozaikovitá povaha těchto zákonů vytváří skutečné třecí plochy. Firma působící na celostátní úrovni možná bude muset sledovat povinnosti vyplývající z desítek překrývajících se, ale odlišných právních předpisů, z nichž každý má vlastní datum účinnosti, lhůtu k nápravě a orgán dohledu. Spotřebitelé mezitím mohou zjistit, že jejich práva se výrazně liší podle toho, ve kterém státě žijí – něco, co by se v rámci jediného federálního standardu nestávalo. Stejné napětí mezi tvorbou pravidel na státní úrovni a jednotností se objevuje i jinde, jak ukazují nedávné kalifornské úpravy návrhů na ověřování věku, o nichž pojednává náš článek AB 1856 a AB 1043, kde zákonodárci omezili jeden přístup a zároveň ponechali jiný v platnosti.

Harmonogram plnění požadavků a co bude dál

LDPA vstupuje v účinnost 1. ledna 2027, což podnikům dává od okamžiku guvernérova podpisu přibližně sedm měsíců na přípravu. To je smysluplný prostor, nikoli však neomezený, zejména pro společnosti, které dosud nevybudovaly infrastrukturu pro zajištění souladu s ochranou soukromí podle zákonů jiných států. Zákon rovněž obsahuje třicetidenní lhůtu k nápravě, která podnikům umožňuje napravit porušení dříve, než budou čelit sankcím; tato lhůta k nápravě však má skončit 31. července 2027, po čemž se očekává, že regulační orgány budou mít přímější donucovací pravomoci, aniž by firmám předem poskytovaly ochrannou lhůtu.

Tato dvoufázová struktura – dočasné okno pro nápravu, po němž následuje přísnější vymáhání – odráží přístupy jiných států, které se snaží najít rovnováhu mezi poskytnutím času podnikům na přizpůsobení a tím, aby dodržování předpisů nesklouzávalo donekonečna.

Co to znamená pro vás

Pokud žijete v Louisianě, praktické výhody tohoto zákona se dostaví až v roce 2027, směr je však jasný: získáte silnější zákonná práva na to, jak společnosti shromažďují, používají a sdílejí vaše osobní údaje. To zahrnuje možnost požádat o informace, jaké údaje o vás firma uchovává, požadovat opravy, výmaz a odmítnout prodej svých údajů nebo jejich využití pro cílenou reklamu.

Přijetí zákona je mezitím připomínkou, že ochrana soukromí ve Spojených státech zůstává nerovnoměrná a závisí na geografii. To, zda máte důkladná práva ke svým vlastním údajům, často závisí na tom, ve kterém státě náhodou žijete, nikoli na jednotném celostátním standardu. Dokud se to nezmění, zůstává informovanost o tom, jaká ochrana platí tam, kde žijete, jedním z účinnějších způsobů, jak hájit své soukromí.

Praktické závěry

Obyvatelé Louisiany i podniky by měly nadcházející měsíce vnímat jako přípravné okno, nikoli jako lhůtu, která už nastala. Spotřebitelé si mohou začít všímat zásad ochrany osobních údajů firem, s nimiž pravidelně přicházejí do styku, protože mnozí z nich začnou aktualizovat informace s předstihem před datem účinnosti zákona. Firmy působící v Louisianě by měly začít mapovat své datové toky nyní, místo aby čekaly až těsně před lednem 2027, zejména s ohledem na omezenou dobu platnosti lhůty k nápravě. A kdokoli sleduje širší trend státní legislativy v oblasti soukromí, by měl dobře pozorovat, jak další státy, včetně těch s ustanoveními více zaměřenými na sledování, nadále utvářejí podobu digitálního soukromí napříč celou zemí.