New Jersey liittyy osavaltioiden tietosuojalakien tilkkutäkkiin
New Jerseyn kuluttajatietosuojalaki, virallisesti PL 2023, c. 266 (NJDPL), asettaa osavaltion osaksi kasvavaa joukkoa lainkäyttöalueita, jotka antavat asukkailleen muodollisen määräysvallan henkilötietoihinsa. Stauss PLLC:n oikeudellisen analyysin mukaan laki noudattaa yleisesti Virginian tietosuojalain rakennetta, joka on yksi maan varhaisimmista ja laajimmin kopioiduista malleista. Sama analyysi nostaa kuitenkin esiin jotain huomionarvoista: kokonaisia kappaleita ja säännöksiä, joita löytyy esimerkiksi Connecticutin laista, puuttuu New Jerseyn versiosta.
Tällä erottelulla on merkitystä. Kun yhä useammat osavaltiot säätävät omia kuluttajatietosuojalakejaan, yksityiskohdat siitä, ketä laki koskee, mitä oikeuksia on olemassa ja kuinka tiukasti näitä oikeuksia valvotaan, vaihtelevat huomattavasti osavaltioittain. New Jerseyn lähestymistapa osoittaa, kuinka jopa samalle perusrakenteelle pohjautuvat lait voivat poiketa toisistaan merkittävillä tavoilla, kun ne lopulta viimeistellään. Osavaltiot liittyvät tähän tilkkutäkkiin tasaista tahtia. Louisianasta tuli äskettäin 22. osavaltio, joka sääti kattavan tietosuojalainsäädännön, mikä korostaa, kuinka nopeasti tämä oikeudenala laajenee ja kuinka epätasaisia vaatimustenmukaisuusvelvoitteet ovat olleet useissa osavaltioissa toimiville yrityksille.
Kenen on noudatettava: kynnysarvot, jotka laukaisevat lain soveltamisen
Kuten useimmat osavaltioiden tietosuojasäädökset, New Jerseyn laki ei koske jokaista yritystä. Siinä asetetaan tietyt kynnysarvot, jotka määrittävät, täyttääkö yritys "rekisterinpitäjän" määritelmän ja onko se siten lain vaatimusten alainen. Yleisesti ottaen lakia sovelletaan toimijoihin, jotka käsittelevät vähintään 100 000 New Jerseyn kuluttajan henkilötietoja, pois lukien tiedot, joita käsitellään yksinomaan maksutapahtuman suorittamiseksi. Sitä sovelletaan myös pienempiin yrityksiin – niihin, jotka käsittelevät vähintään 25 000 kuluttajan tietoja – jos ne saavat tuloja näiden henkilötietojen myymisestä.
Yksi huomionarvoinen piirre: New Jerseyn laki ei sisällä liikevaihtoon perustuvaa kynnysarvoa rekisterinpitäjille, toisin kuin Kalifornian tietosuojalaki, jossa asetetaan tietty dollarimääräinen kattavuusraja. Tämä tarkoittaa, ettei yrityksen kokonaisliikevaihto itsessään ole ratkaiseva tekijä määritettäessä, sovelletaanko New Jerseyn lakia. Sen sijaan huomio keskittyy käsiteltävien kuluttajatietojen määrään ja siihen, myydäänkö näitä tietoja.
Kuluttajien oikeudet NJDPL:n mukaan ja mitä puuttuu
New Jerseyn kuluttajat saavat tämän lain nojalla yleisesti oikeuksia, jotka muistuttavat muiden osavaltioiden tietosuojasäädöksiä: mahdollisuuden vahvistaa, käsitteleekö yritys heidän tietojaan, päästä käsiksi näihin tietoihin, korjata epätarkkuuksia, pyytää tietojen poistamista ja saada siirrettävä kopio tiedoistaan. Kuluttajat voivat myös yleensä kieltäytyä siitä, että heidän tietojaan käytetään kohdennettuun mainontaan, myydään kolmansille osapuolille tai käytetään tietyntyyppiseen profilointiin, jolla on oikeudellisia tai vastaavasti merkittäviä vaikutuksia.
Asiat muuttuvat vivahteikkaammiksi niissä yksityiskohdissa, joiden Stauss PLLC:n analyysi osoittaa puuttuvan verrattuna Connecticutin lakiin. Yksityisyydensuojaan erikoistuneet asianajajat mainitsevat Connecticutin lain usein sisältävän yksityiskohtaisempia kuluttajansuojakeinoja ja menettelyvaatimuksia kuin jotkin vertaisosavaltioiden lait. Se, että New Jerseyn laista puuttuu säännöksiä, joita Connecticutin laki sisältää, viittaa siihen, että vaikka New Jerseyn kuluttajilla on merkityksellisiä oikeuksia, täytäntöönpanomekanismit ja tietyt suojatoimet eivät välttämättä ole yhtä kattavia kuin mitä uudempien tai yksityiskohtaisempien lakien piirissä olevien osavaltioiden asukkaat saavat.
Mitä tämä tarkoittaa sinulle
Jos asut New Jerseyssä, tämä laki antaa sinulle ensimmäistä kertaa osavaltiotasolla todellisia, käyttökelpoisia oikeuksia henkilötietoihisi. Voit kysyä yrityksiltä, mitä ne tekevät tiedoillasi, pyytää korjauksia tai poistoa sekä kieltäytyä tietojesi myymisestä tai käyttämisestä kohdennettuihin mainoksiin, edellyttäen, että yritys täyttää edellä kuvatut kynnysarvot. Pienet yritykset, jotka eivät myy tietoja eivätkä saavuta 100 000 kuluttajan rajaa, voivat jäädä kokonaan lain soveltamisalan ulkopuolelle, joten jokainen yritys, jonka kanssa asioit, ei ole velvollinen vastaamaan näihin pyyntöihin.
On myös hyvä ymmärtää, että New Jerseyn suojat, vaikka ne ovatkin todellisia, eivät edusta vahvinta kansallisesti tällä hetkellä voimassa olevaa kuluttajatietosuojalain versiota. Jos vertaat oikeuksiasi täällä niihin, joita ystävälläsi tai perheenjäsenelläsi on esimerkiksi Connecticutissa, älä hämmästy, jos heidän lakinsa määrittelee tarkempia menettelyjä tai suojia. Yhdysvaltojen tietosuojalakien tilkkutäkkimäisyys tarkoittaa, että oikeutesi voivat aidosti poiketa toisistaan postinumerosi mukaan, ainakin siihen asti, kunnes liittovaltion lainsäädäntö – jos sitä koskaan tulee – yhdenmukaistaa vähimmäistason.
Käytännön toimenpiteet
New Jerseyn asukkaille hyödyllisin askel on yksinkertaisesti oppia, mitä pyytää: pyydä pääsyä tietoihisi, pyydä yrityksiä poistamaan tiedot, joita ne eivät enää tarvitse, ja kieltäydy tietojen myynnistä tai kohdennetusta mainonnasta silloin, kun yritys on lain mukaan velvollinen noudattamaan tätä pyyntöä. New Jerseyssä toimiville yrityksille nyt on aika varmistaa, täytättekö jommankumman käsittelyn kynnysarvon, ja tarkastella, miten käytäntönne vertautuvat Virginian-tyyliseen kehykseen, jota laki noudattaa – sillä aukot verrattuna tiukempiin osavaltioihin, kuten Connecticutiin, eivät välttämättä tarkoita kevyempiä vaatimustenmukaisuusvelvoitteita muualla. Kun yhä useammat osavaltiot säätävät omia versioitaan kuluttajatietosuojalaista, parhaiten pysyt perillä oman osavaltiosi säännöksistä ja niiden rajoituksista – se on edelleen paras tapa todella käyttää sinulle annettuja oikeuksia.
