Vermont liittyy kattavien tietosuojalakien osavaltioiden kasvavaan joukkoon
Vermontin kuvernööri Phil Scott allekirjoitti 16. kesäkuuta senaatin esityksen 71, Vermontin tietosuojaa ja verkkovalvontaa koskevan lain (Vermont Data Privacy and Online Surveillance Act). Allekirjoitus tekee Vermontista maan 23. osavaltion, joka on säätänyt kattavan kuluttajatietosuojalain, lisäten jälleen uuden palasen osavaltiotason suojausten tilkkutäkkiin, joka on laajentunut tasaisesti viime vuosien aikana. Laki ei astu voimaan välittömästi: yrityksillä ja kuluttajilla on aikaa 1. tammikuuta 2028 asti ennen kuin uusia sääntöjä aletaan soveltaa.
Tällä aikataululla on merkitystä. Vermontissa toimivilla yrityksillä, tai niillä, jotka käsittelevät Vermontin asukkaiden henkilötietoja, on nyt aikaa tarkastella, miten ne keräävät, tallentavat ja käyttävät kuluttajatietoja ennen kuin vaatimustenmukaisuusvelvoitteet astuvat voimaan. Tavallisille asukkaille laki merkitsee merkittävää, joskin viivästynyttä, määräysvallan laajennusta henkilötietoihin, joita yritykset keräävät heistä verkossa.
Mitä Vermontin tietosuojaa ja verkkovalvontaa koskeva laki kattaa
Vermontin tietosuojaa ja verkkovalvontaa koskeva laki noudattaa kaavaa, joka on tuttu kaikille osavaltioiden tietosuojalainsäädäntöä seuraaville. Se luo kuluttajille oikeuden päästä käsiksi yritysten hallussa oleviin henkilötietoihin, oikaista ja poistaa niitä, sekä mahdollisuuden kieltäytyä tietyistä datankäyttökäytännöistä. Vermontin erottaa monista aiemmista osavaltiolaista verkkovalvonnan nimenomainen sisällyttäminen sen nimeen ja soveltamisalaan, mikä viestii siitä, että lainsäätäjät halusivat puuttua paitsi tiedonkeruuseen yleisellä tasolla, myös siihen laajempaan seurannan, profiloinnin ja valvonnan ekosysteemiin, joka on yleistynyt verkkosivustoilla, sovelluksissa ja yhdistetyissä laitteissa.
Liittymällä Louisianan kaltaisten osavaltioiden joukkoon – Louisiana sääti oman Louisianan tietosuojalakinsa, jonka on määrä astua voimaan 2027 – Vermont vahvistaa kasvavaa alueellista suuntausta, jossa osavaltiot etenevät liittovaltiotason toimia nopeammin tietosuojan alalla. Lukijat, jotka haluavat syvällisemmän erittelyn lain erityisistä säännöksistä, voivat löytää kattavamman selityksen raportoinnistamme siitä, mitä Vermontin tietosuojaa ja verkkovalvontaa koskeva laki merkitsee vuonna 2028, jossa käydään läpi vaatimustenmukaisuuden yksityiskohdat, joita yritysten omistajien ja asukkaiden tulisi seurata voimaantulopäivämäärän lähestyessä.
Tämä ei ole Vermontin ensimmäinen yritys kattavan tietosuojalainsäädännön säätämiseksi. Osavaltion tie S.71-lakiin sisälsi aiempia lainsäädännöllisiä ponnisteluja, ja aiempi raportointimme siitä, milloin Vermont hyväksyi senaatin esityksen 71, jäljittää, miten laki eteni osavaltion parlamentissa ennen päätymistään kuvernöörin pöydälle.
Miksi valvontanäkökulma erottuu joukosta
Useimmat osavaltioiden tietosuojalait keskittyvät suppeasti tiedonkeruuseen, -myyntiin ja kuluttajien oikeuksia koskeviin pyyntöihin. Vermontin päätös sisällyttää "verkkovalvonta" lakinsa nimeen heijastaa laajempaa julkista keskustelua, jota käydään kaikkialla maassa seurantateknologioista, jotka ulottuvat paljon perinteisiä datameklareita ja mainostajia pidemmälle. Tämä keskustelu on koskettanut kaikkea selaimen sormenjäljityksestä fyysisiin valvontatyökaluihin. Esimerkiksi väittelyt automaattisista rekisterikilpien lukujärjestelmistä ja kameraverkoista ovat herättäneet poliittista huomiota muissa osavaltioissa, kuten käy ilmi jatkuvasta vastustuksesta, jota on kuvattu raportissamme Flock-kameravalvonnan vastustamisesta. Vermontin laki ei suoraan sääntele tätä valvontateknologian luokkaa, mutta sen muotoilu viittaa siihen, että lainsäätäjät ovat yhä tietoisempia siitä, että "yksityisyys" merkitsee nykyään enemmän kuin vain sitä, miten verkkosivusto käsittelee ostoskorillisen verran dataa.
Mitä tämä tarkoittaa sinulle
Jos asut Vermontissa, tämän lain käytännön vaikutukset eivät tule voimaan yhdessä yössä. Yrityksillä on noin puolitoista vuotta aikaa rakentaa vaatimustenmukaisuusohjelmansa, mikä tarkoittaa, että Vermontin tietosuojaa ja verkkovalvontaa koskevan lain luomat oikeudet, kuten pääsy omiin henkilötietoihin, niiden oikaiseminen tai poistaminen, eivät ole täytäntöönpanokelpoisia ennen 1. tammikuuta 2028. Sillä välin kannattaa seurata, miten yritykset, joiden kanssa olet tekemisissä, viestivät datankäyttökäytännöistään, sillä monet alkavat mukauttaa käytäntöjään hyvissä ajoin ennen määräaikaa välttääkseen viime hetken kiireen.
Yrityksille, erityisesti pienemmille yrityksille, joilla ei välttämättä ole omia tietosuoja- tai lakitiimejä, valmistautumisaika on pikemminkin mahdollisuus kuin taakka. Sen kartoittaminen nyt, mitä henkilötietoja kerätään, missä niitä säilytetään ja kenen kanssa niitä jaetaan, tekee lopullisesta vaatimustenmukaisuusprosessista paljon vähemmän häiritsevän.
Keskeiset huomiot
Vermontin uusi laki lisää uuden osavaltion kattavien tietosuojasäädösten laajenevalle listalle, vahvistaen suuntausta, joka ei osoita hidastumisen merkkejä, kun yhä useammat osavaltioiden lainsäätäjät toimivat yhden liittovaltiotason standardin puuttuessa. Asukkaiden tulisi pitää silmällä päivitettyjä tietosuojailmoituksia säännöllisesti käyttämiltään yrityksiltä vuoden 2028 voimaantulopäivämäärän lähestyessä, ja yritysten, joilla on asiakkaita Vermontissa, tulisi aloittaa datankäyttökäytäntöjensä tarkastelu mieluummin ennemmin kuin myöhemmin. Kun yhä useammat osavaltiot säätävät omia versioitaan näistä laeista, sen seuraaminen, miten kukin niistä eroaa toisistaan ja mitä oikeuksia se todella myöntää, on edelleen yksi yksinkertaisimmista tavoista, joilla kuluttajat voivat suojata henkilötietojaan yhä datavetoisemmassa taloudessa.
