Нью-Джерси присоединяется к мозаике законов о конфиденциальности штатов

Закон о конфиденциальности данных потребителей штата Нью-Джерси, официально цитируемый как PL 2023, c. 266 (NJDPL), ставит штат в ряд растущего числа юрисдикций, предоставляющих жителям официальный контроль над их персональными данными. Согласно юридическому анализу компании Stauss PLLC, закон в целом повторяет структуру закона о конфиденциальности Вирджинии — одного из самых ранних и широко копируемых шаблонов в стране. Однако тот же анализ отмечает нечто, заслуживающее внимания: целые абзацы и положения, присутствующие, например, в законе Коннектикута, в версии Нью-Джерси отсутствуют.

Это различие имеет значение. По мере того как все больше штатов принимают собственные законы о конфиденциальности данных потребителей, детали того, на кого они распространяются, какие права предоставляются и насколько строго эти права защищены, значительно различаются от штата к штату. Подход Нью-Джерси показывает, как даже законы, построенные на одной базовой основе, могут существенно расходиться после их окончательного принятия. Штаты продолжают с постоянной скоростью дополнять эту мозаику. Луизиана недавно стала 22-м штатом, принявшим всеобъемлющее законодательство о конфиденциальности, что подчеркивает, насколько быстро расширяется эта область права и насколько неравномерны требования к соблюдению для компаний, работающих в нескольких штатах.

Кто обязан соблюдать: пороги действия закона

Как и большинство законов штатов о конфиденциальности, закон Нью-Джерси применяется не ко всем компаниям. Он устанавливает конкретные пороговые значения, определяющие, квалифицируется ли компания как «контролер», подпадающий под требования закона. В общем случае закон распространяется на организации, которые обрабатывают персональные данные не менее 100 000 потребителей из Нью-Джерси, за исключением данных, обрабатываемых исключительно для завершения платежной транзакции. Он также распространяется на компании меньшего размера — обрабатывающие данные не менее 25 000 потребителей, — если они получают доход от продажи этих персональных данных.

Одна примечательная особенность: закон Нью-Джерси не содержит порога годового дохода для контролеров, в отличие от калифорнийского закона о конфиденциальности, устанавливающего конкретную сумму для охвата. Это означает, что общий доход компании сам по себе не является фактором при определении применимости закона Нью-Джерси. Вместо этого внимание сосредоточено на объеме обрабатываемых данных потребителей и на том, продаются ли эти данные.

Права потребителей согласно NJDPL и что отсутствует

Потребители из Нью-Джерси по этому закону получают права, в целом повторяющие другие законы штатов о конфиденциальности: возможность подтвердить, обрабатывает ли компания их данные, получить доступ к этим данным, исправить неточности, потребовать удаления и получить переносимую копию своей информации. Потребители также, как правило, могут отказаться от использования своих данных для целевой рекламы, продажи третьим лицам или использования в определенных видах профилирования, влекущих юридические или аналогичные значимые последствия.

Более тонкие нюансы, как показывает анализ Stauss PLLC, заключаются в деталях, отсутствующих по сравнению с законом Коннектикута. Закон Коннектикута часто приводится юристами по конфиденциальности как содержащий более детальные меры защиты прав потребителей и процессуальные требования, чем аналогичные законы других штатов. Тот факт, что закон Нью-Джерси упускает положения, включенные в закон Коннектикута, говорит о том, что, хотя потребители Нью-Джерси и обладают реальными правами, механизмы принуждения и конкретные меры защиты могут быть не такими всеобъемлющими, как те, что получают жители штатов с более новыми или более детальными законами.

Что это значит для вас

Если вы живете в Нью-Джерси, этот закон впервые на уровне штата дает вам реальные, практические права в отношении ваших персональных данных. Вы можете запрашивать у компаний информацию о том, что они делают с вашими данными, требовать исправления или удаления, а также отказаться от продажи ваших данных или их использования для целевой рекламы при условии, что компания соответствует описанным выше порогам. Небольшие компании, которые не продают данные и не достигают отметки в 100 000 потребителей, могут полностью выпадать из сферы действия закона, поэтому не каждая компания, с которой вы взаимодействуете, обязана отвечать на такие запросы.

Также стоит понимать, что меры защиты, предоставляемые законом Нью-Джерси, при всей их реальности, не являются самой сильной версией действующего на национальном уровне закона о конфиденциальности данных потребителей. Если вы сравниваете свои права здесь с правами друга или члена семьи в таком штате, как Коннектикут, не удивляйтесь, если их закон прописывает более конкретные процедуры или меры защиты. Мозаичная природа законодательства США о конфиденциальности означает, что ваши права действительно могут отличаться в зависимости от вашего почтового индекса, по крайней мере до тех пор, пока федеральное законодательство, если оно когда-либо появится, не установит единую основу.

Практические выводы

Для жителей Нью-Джерси самым полезным шагом будет просто узнать, что именно просить: запрашивайте доступ к своим данным, просите компании удалить то, что им больше не нужно, и отказывайтесь от продажи данных или целевой рекламы там, где компания по закону обязана выполнить такой запрос. Для компаний, работающих в Нью-Джерси, сейчас самое время подтвердить, соответствуете ли вы одному из порогов обработки, и пересмотреть, насколько ваши практики соотносятся с основанной на вирджинской модели структурой закона, поскольку пробелы по сравнению с более строгими штатами, такими как Коннектикут, не обязательно означают более легкие обязательства по соблюдению в других местах. По мере того как все больше штатов принимают собственные версии закона о конфиденциальности данных потребителей, информированность о положениях вашего конкретного штата и их ограничениях остается лучшим способом реально воспользоваться предоставленными вам правами.