Нью-Джерсі приєднується до мозаїки законів штатів про конфіденційність

Закон Нью-Джерсі про конфіденційність споживчих даних, офіційно позначений як PL 2023, c. 266 (NJDPL), відносить штат до дедалі більшої кількості юрисдикцій, які надають мешканцям формальний контроль над їхніми персональними даними. Як зазначається в юридичному аналізі компанії Stauss PLLC, цей статут загалом віддзеркалює структуру закону Вірджинії про конфіденційність — одного з найперших і найчастіше копійованих шаблонів у країні. Проте той самий аналіз вказує на те, на що варто звернути увагу: цілі абзаци та положення, наявні в законах, як-от у Коннектикуті, відсутні у версії Нью-Джерсі.

Ця відмінність має значення. З ухваленням новими штатами власних законів про конфіденційність споживчих даних деталі того, хто підпадає під регулювання, які існують права та наскільки суворо ці права забезпечуються, суттєво відрізняються від штату до штату. Підхід Нью-Джерсі демонструє, як навіть закони, побудовані на однаковій базовій структурі, можуть суттєво розходитися після остаточного ухвалення. Штати продовжують приєднуватися до цієї мозаїки стабільними темпами. Луїзіана нещодавно стала 22-м штатом, який ухвалив комплексне законодавство про конфіденційність, що підкреслює, наскільки швидко розширюється ця галузь права та наскільки нерівномірними стали зобов’язання щодо дотримання вимог для бізнесу, який працює в кількох штатах.

Хто повинен дотримуватися: пороги, які запускають дію закону

Як і більшість законів штатів про конфіденційність, закон Нью-Джерсі не поширюється на кожен бізнес. Він встановлює конкретні пороги, які визначають, чи вважається компанія «контролером», на якого поширюються вимоги закону. Загалом закон застосовується до суб’єктів, які обробляють персональні дані щонайменше 100 000 споживачів у Нью-Джерсі, за винятком даних, які обробляються виключно для завершення платіжної транзакції. Він також поширюється на менші компанії — ті, що обробляють дані щонайменше 25 000 споживачів, — якщо вони отримують дохід від продажу цих персональних даних.

Одна з примітних особливостей: закон Нью-Джерсі не містить порогу доходу для контролерів, на відміну від закону Каліфорнії про конфіденційність, який встановлює конкретну суму для охоплення. Це означає, що загальний дохід компанії сам по собі не є фактором для визначення застосовності закону Нью-Джерсі. Натомість увага зосереджується на обсязі оброблюваних споживчих даних та на тому, чи продаються ці дані.

Права споживачів згідно з NJDPL та чого бракує

За цим законом споживачі Нью-Джерсі загалом отримують права, які перегукуються з іншими законами штатів про конфіденційність: можливість підтвердити, чи обробляє компанія їхні дані, отримати доступ до цих даних, виправити неточності, вимагати видалення та отримати портативну копію своєї інформації. Споживачі, як правило, також можуть відмовитися від використання їхніх даних для цільової реклами, продажу третім сторонам або використання в певних видах профілювання, яке має юридичні або подібні значні наслідки.

Більш нюансовані моменти випливають із деталей, які в аналізі Stauss PLLC позначено як відсутні порівняно зі статутом Коннектикуту. Закон Коннектикуту часто згадується адвокатами з питань конфіденційності як такий, що містить більш детальні засоби захисту прав споживачів та процедурні вимоги, ніж деякі аналогічні закони інших штатів. Той факт, що закон Нью-Джерсі не містить положень, які включені до закону Коннектикуту, свідчить про те, що хоча споживачі Нью-Джерсі й мають значущі права, механізми правозастосування та конкретні засоби захисту можуть бути не такими всеосяжними, як ті, що доступні мешканцям штатів із новішими чи детальнішими законами.

Що це означає для вас

Якщо ви живете в Нью-Джерсі, цей закон уперше надає вам реальні, практично застосовні права щодо ваших персональних даних на рівні штату. Ви можете запитати компанії, що вони роблять із вашою інформацією, вимагати виправлення чи видалення, а також відмовитися від продажу ваших даних або використання їх для цільової реклами, за умови, що компанія відповідає описаним вище порогам. Менші підприємства, які не продають дані та не досягають позначки у 100 000 споживачів, можуть повністю випадати зі сфери дії закону, тому не кожна компанія, з якою ви взаємодієте, буде зобов’язана реагувати на ці запити.

Також варто розуміти, що захист у Нью-Джерсі, хоча й реальний, не є найсильнішою версією закону про конфіденційність споживчих даних, що діє зараз на національному рівні. Якщо ви порівнюєте свої права з тими, які має ваш друг чи родич у такому штаті, як Коннектикут, не дивуйтеся, якщо їхній закон визначає більш конкретні процедури чи засоби захисту. Мозаїчна природа законів США про конфіденційність означає, що ваші права дійсно можуть відрізнятися залежно від вашого поштового індексу, принаймні доти, доки федеральне законодавство, якщо його взагалі ухвалять, не стандартизує базовий рівень.

Практичні висновки

Для мешканців Нью-Джерсі найкориснішим кроком є просто вивчити, що вимагати: запитуйте доступ до своїх даних, просіть компанії видаляти те, що їм більше не потрібно, та відмовляйтеся від продажу даних або цільової реклами там, де компанія юридично зобов’язана задовольнити такий запит. Для бізнесу, що працює в Нью-Джерсі, настав час підтвердити, чи відповідаєте ви хоча б одному з порогів обробки, і переглянути, наскільки ваші практики відповідають структурі в стилі Вірджинії, якої дотримується закон, оскільки прогалини порівняно із суворішими штатами, як-от Коннектикут, не обов’язково означають легші зобов’язання з дотримання в інших місцях. З урахуванням того, як дедалі більше штатів ухвалюють власні версії закону про конфіденційність споживчих даних, залишатися поінформованим про конкретні положення вашого штату та їхні обмеження залишається найкращим способом фактично скористатися наданими вам правами.