New Jersey føjer sig til det statslige kludetæppe af databeskyttelseslove
New Jerseys lov om forbrugerdatabeskyttelse, formelt citeret som PL 2023, c. 266 (NJDPL), placerer staten blandt et voksende antal jurisdiktioner, der giver indbyggerne formel kontrol over deres persondata. Ifølge juridisk analyse fra Stauss PLLC følger loven generelt strukturen i Virginias databeskyttelseslov, en af de tidligste og mest kopierede skabeloner i landet. Men samme analyse peger på noget, der er værd at lægge mærke til: hele afsnit og bestemmelser, som findes i love som Connecticuts, mangler i New Jerseys version.
Den forskel er betydningsfuld. I takt med at flere stater vedtager deres egen lov om forbrugerdatabeskyttelse, varierer detaljerne om, hvem der er omfattet, hvilke rettigheder der findes, og hvor strengt disse rettigheder håndhæves, betydeligt fra stat til stat. New Jerseys tilgang viser, hvordan selv love, der er bygget på den samme grundlæggende ramme, kan afvige på væsentlige punkter, når de først er endeligt vedtaget. Staterne fortsætter med at føje sig til dette kludetæppe i et jævnt tempo. Louisiana blev for nylig den 22. stat til at vedtage en omfattende databeskyttelseslovgivning, hvilket understreger, hvor hurtigt dette retsområde udvider sig, og hvor uensartede compliance-forpligtelserne er blevet for virksomheder, der opererer på tværs af flere stater.
Hvem skal overholde: Tærskelværdier, der udløser loven
Som de fleste statslige databeskyttelseslove gælder New Jerseys lov ikke for enhver virksomhed. Den fastsætter specifikke tærskler, der afgør, om en virksomhed kvalificerer sig som en "dataansvarlig", der er underlagt lovens krav. Generelt gælder loven for enheder, der behandler persondata for mindst 100.000 forbrugere i New Jersey, eksklusive data, der udelukkende behandles for at gennemføre en betalingstransaktion. Den gælder også for mindre virksomheder – dem, der behandler data for mindst 25.000 forbrugere – hvis de opnår indtægter fra at sælge disse persondata.
Et bemærkelsesværdigt træk: New Jerseys lov indeholder ikke en omsætningstærskel for dataansvarlige, i modsætning til Californiens databeskyttelseslov, der fastsætter et specifikt beløb for at være omfattet. Det betyder, at en virksomheds samlede omsætning ikke i sig selv er en faktor, der afgør, om New Jerseys lov finder anvendelse. I stedet forbliver fokus på mængden af forbrugerdata, der behandles, og om disse data sælges.
Forbrugerrettigheder under NJDPL, og hvad der mangler
Forbrugere i New Jersey får under denne lov generelt rettigheder, der ligner andre statslige databeskyttelseslove: muligheden for at bekræfte, om en virksomhed behandler deres data, få adgang til disse data, rette unøjagtigheder, anmode om sletning og modtage en bærbar kopi af deres oplysninger. Forbrugere kan typisk også fravælge at få deres data brugt til målrettet annoncering, solgt til tredjeparter eller brugt i visse former for profilering, der har juridiske eller tilsvarende betydelige konsekvenser.
Hvor tingene bliver mere nuancerede, er i de detaljer, som Stauss PLLC's analyse fremhæver som fraværende sammenlignet med Connecticuts lov. Connecticuts lov citeres ofte af databeskyttelsesadvokater for at indeholde mere detaljerede forbrugerbeskyttelser og procedurekrav end nogle af de tilsvarende stater. Det faktum, at New Jerseys lov udelader bestemmelser, som Connecticut inkluderer, antyder, at selvom forbrugerne i New Jersey har meningsfulde rettigheder, er håndhævelsesmekanismerne og de specifikke beskyttelser måske ikke så omfattende, som hvad indbyggere i andre stater med nyere eller mere detaljerede love modtager.
Hvad dette betyder for dig
Hvis du bor i New Jersey, giver denne lov dig for første gang reelle, brugbare rettigheder over dine persondata på statsniveau. Du kan bede virksomheder om at oplyse, hvad de gør med dine oplysninger, anmode om rettelser eller sletning og fravælge at få dine data solgt eller brugt til målrettede annoncer, forudsat at virksomheden opfylder de ovennævnte tærskelværdier. Mindre virksomheder, der ikke sælger data og ikke når grænsen på 100.000 forbrugere, kan falde helt uden for lovens anvendelsesområde, så ikke alle virksomheder, du interagerer med, vil være forpligtet til at reagere på disse anmodninger.
Det er også værd at forstå, at New Jerseys beskyttelse, selvom den er reel, ikke er den stærkeste version af en lov om forbrugerdatabeskyttelse, der aktuelt er i kraft på nationalt plan. Hvis du sammenligner dine rettigheder her med, hvad en ven eller et familiemedlem har i en stat som Connecticut, så bliv ikke overrasket, hvis deres lov præciserer mere specifikke procedurer eller beskyttelser. Kludetæppet i amerikansk databeskyttelseslovgivning betyder, at dine rettigheder reelt kan variere afhængigt af dit postnummer, i hvert fald indtil føderal lovgivning – hvis den nogensinde kommer – standardiserer bundniveauet.
Konkrete skridt at tage
For indbyggere i New Jersey er det mest nyttige skridt simpelthen at lære, hvad man kan bede om: anmod om adgang til dine data, bed virksomheder om at slette det, de ikke længere har brug for, og fravælg datasalg eller målrettet annoncering, hvor en virksomhed er juridisk forpligtet til at imødekomme den anmodning. For virksomheder, der opererer i New Jersey, er tiden inde til at bekræfte, om I opfylder en af behandlingstærsklerne, og til at gennemgå, hvordan jeres praksis står i forhold til den Virginia-inspirerede ramme, som loven følger, da huller i forhold til strengere stater som Connecticut ikke nødvendigvis betyder lettere compliance-forpligtelser andre steder. I takt med at flere stater vedtager deres egne versioner af en lov om forbrugerdatabeskyttelse, forbliver det at holde sig informeret om ens egen stats bestemmelser – og deres begrænsninger – den bedste måde rent faktisk at bruge de rettigheder, man har fået.
