Vermont vedtar Senatets lovforslag 71, personvernlov trer i kraft i 2028

Vermont har offisielt vedtatt Senatets lovforslag 71, en omfattende personvernlov som vil regulere hvordan virksomheter samler inn, bruker, utleverer, selger og beskytter personopplysningene til delstatens innbyggere. Loven er berammet til å tre i kraft 1. januar 2028, noe som gir selskaper flere år på å tilpasse datapraksisene sine før håndhevelsen starter. Dermed blir Vermont den siste delstaten som vedtar sin egen versjon av en omfattende personvernlov, og legger nok en brikke til et stadig mer komplisert nasjonalt bilde for alle som prøver å forstå sine digitale rettigheter.

Hva Senatets lovforslag 71 dekker, og hvem som må overholde det

I kjernen er S.71 utformet for å regulere hele livssyklusen til personopplysninger, fra det øyeblikket et selskap samler dem inn til hvordan dataene til slutt brukes, deles, selges eller sikres. Loven gjelder for enheter som driver virksomhet som involverer personopplysninger fra Vermonts innbyggere, en struktur som er vanlig i omfattende personvernlover vedtatt andre steder i landet. I stedet for å rette seg mot én enkelt bransje, gjelder disse lovene vanligvis bredt på tvers av sektorer og omfatter enhver «omfattet enhet» som oppfyller visse terskler for databehandling.

Den flere år lange perioden før loven trer i kraft er tilsiktet. Bedrifter trenger tid til å oppdatere interne retningslinjer for datastyring, lære opp ansatte og i mange tilfeller gjøre grunnleggende endringer i hvordan de dokumenterer forbrukersamtykke og dataflyt. Dette tidsintervallet mellom vedtak og håndhevelse er et mønster man ser i andre delstatlige personvernlover, og gir selskaper et etterlevelsesvindu i stedet for en umiddelbar frist.

Nye forbrukerrettigheter under Vermonts personvernlov

Utformingen av S.71, som regulerer hvordan enheter samler inn, bruker, utleverer, selger og beskytter personopplysninger, signaliserer at loven har til hensikt å gi Vermonts innbyggere større innsyn og kontroll på hvert trinn i denne prosessen. Slike omfattende personvernlover flytter vanligvis mer beslutningsmakt over til forbrukerne når det gjelder hvordan opplysningene deres håndteres, i stedet for å overlate disse valgene fullstendig til selskapene som samler inn dataene.

For innbyggerne betyr dette generelt klarere forventninger rundt samtykke, mer åpenhet om hvilke data som samles inn, og strengere plikter for virksomheter til å beskytte disse opplysningene etter at de er samlet inn. Fordi loven ikke trer i kraft før i 2028, ligger de praktiske detaljene om håndhevelse og forbrukeropplevelse fortsatt foran oss, men retningen er i tråd med den bredere dreiningen mot å gi enkeltpersoner mer innflytelse over sitt digitale fotavtrykk.

Hvordan Vermont passer inn i det voksende delstatslappeteppet for personvern

Vermonts trekk er en del av en større trend som utspiller seg delstat for delstat i mangel av en enhetlig føderal personvernstandard. Delstatene har vedtatt sine egne omfattende personvernlover på forskjøvede tidspunkter, hver med litt ulike definisjoner, terskler og forbrukerbeskyttelser. Louisiana fulgte samme vei da delstatens guvernør undertegnet Louisianas personvernlov, som trer i kraft i 2027, ett år før Vermonts lov.

Dette voksende lappeteppet skaper reell kompleksitet. En innbyggers datarettigheter kan variere betydelig avhengig av hvilken delstat de bor i, og virksomheter som opererer på tvers av flere delstater må holde oversikt over et skiftende nett av etterlevelsesforpliktelser. Inntil Kongressen vedtar en samlet føderal personvernlov, vil denne inkonsekvensen trolig fortsette, og flere delstater forventes å innføre eller vedta sine egne versjoner i årene som kommer.

Hvorfor en delstatslov ikke er en erstatning for personlige personvernverktøy

Selv når S.71 trer i kraft, vil den kun gjelde innenfor Vermonts grenser og bare for enheter som oppfyller lovens spesifikke kriterier. Datameglere, reklamenettverk og tjenester med base utenfor delstaten kan falle helt utenfor dens rekkevidde, og håndhevingsmekanismene i omfattende personvernlover er vanligvis avhengige av delstatlige reguleringsmyndigheter fremfor å gi enkeltpersoner bred søksmålskraft. Kanskje enda viktigere er at loven ikke trer i kraft på flere år, noe som betyr at datapraksisene den adresserer i stor grad fortsetter uendret i mellomtiden.

Dette gapet er grunnen til at personlige personvernverktøy forblir relevante uavhengig av hvor en lov står. Et VPN kan ikke omskrive en delstats lovtekst, men det kan maskere IP-adressen din, kryptere nettlesertrafikken din og redusere mengden lokasjons- og atferdsdata som er tilgjengelig for sporere og annonsører i sanntid – beskyttelser som eksisterer uavhengig av enhver lovgivningstidslinje.

Hva dette betyr for deg

Hvis du bor i Vermont, er S.71 en positiv utvikling, men beskyttelsen kommer ikke før i 2028, og selv da vil dekningen ha begrensninger. Hvis du bor et annet sted, avhenger rettighetene dine fullstendig av din egen delstats lover, som varierer sterkt i omfang og styrke. Uansett er det å vente på at lovgivningen skal ta igjen ikke en praktisk personvernstrategi i dag.

• Gå gjennom hvilke data appene og tjenestene du ofte bruker samler inn akkurat nå, i stedet for å vente på at en lov skal opplyse om det for deg.
• Bruk personvernverktøy som et VPN for å begrense sporing og redusere eksponeringen av IP-adressen og nettvanene dine, spesielt på offentlige eller usikrede nettverk.
• Følg med på lovgivningsaktiviteten i din egen delstat, ettersom flere delstater forventes å følge Vermont og Louisianas eksempel i løpet av de neste årene.
• Bedrifter som håndterer data fra Vermonts innbyggere bør starte etterlevelsesplanleggingen tidlig, med tanke på den flerårige forberedelsestiden som er innebygd i loven.

Vermonts vedtakelse av en omfattende personvernlov er et meningsfylt skritt, men det understreker også hvor ujevn og langsom den delstatsvise personvernbeskyttelsen fortsatt er. Inntil en føderal standard lukker disse hullene, slutter Vermonts personvernlov seg til en voksende liste over delstatsinitiativer, inkludert Louisianas, som viser fremgang, men som fortsatt etterlater enkeltpersoner ansvarlige for mye av sin egen databeskyttelse i årene før håndhevelsen starter.