Utah er tættere på at blive den fjerde stat, der vedtager privatlivsloven

I sidste uge vedtog Repræsentanternes Hus i Utah enstemmigt et lovforslag om forbrugerbeskyttelse -- Utah Consumer Privacy Act -- at flytte det et skridt tættere på at blive den fjerde stat til at vedtage privatlivslovgivning i USA.

Lovforslaget vil gå tilbage til Utah Senatet, hvor det blev vedtaget tidligere i år. Embedsmænd der skal beslutte, om de vil acceptere ændringerne tilføjet af medlemmer af Parlamentet, før det går til skrivebordet hos Utah-guvernør Spencer Cox. Cox reagerede ikke på anmodninger om kommentarer om, hvorvidt han vil underskrive regningen, hvis den når frem til hans skrivebord.

Utah Consumer Privacy Act gælder for virksomheder med en årlig bruttoindtægt på $25 millioner og dem, der driver forretning i Utah eller producerer varer til Utah-beboere. Lovforslaget gælder også kun for virksomheder, der "kontrollerer eller behandler" de personlige oplysninger fra 100.000 Utah-beboere eller "afleder over 50 % af sin bruttoindtægt fra salg af persondata og kontrollerer eller behandler persondata på mindst 25.000 beboere."

Lovforslaget vil træde i kraft i december 2023 og vil give beboere i Utah ret til at lægge mærke til, få adgang, overføre og slette - men giver ikke folk ret til korrektion. Der er også dispensationer for visse virksomheder. Det inkluderer en opt-out-sektion, der giver folk mulighed for at nægte virksomheder retten til at målrette dem med reklamer eller sælge deres personlige oplysninger.

Men lovforslaget giver stadig virksomheder mulighed for at udføre automatiseret profilering og udelukker stort set medarbejderdata samt enhver data, der deles mellem virksomheder. Der er en fravalgsbestemmelse for "følsomme" oplysninger, der tvinger virksomheder til også at give kunderne besked, hvis de er det indsamling af biometriske eller genetiske data, sundhedsoplysninger, statsborgerskabsdata, seksuel orientering, racemæssig oprindelse og religiøs overbevisninger.

Ligesom andre amerikanske privatlivslove, administreres håndhævelsen af ​​Utah Attorney General's kontor, men tillader kontroversielt ikke en privat ret til at handle. Utah Department of Commerce Division of Consumer Protection vil undersøge virksomheder baseret på kundeklager, før sagerne videregives til Attorney General's kontor.

Dan Clarke, en amerikansk ekspert i privatlivslovgivningen, som er blevet konsulteret af lovgivere i flere stater om potentiel privatlivslovgivning, fortalte ZDNet at Utah-lovforslaget er modelleret efter Virginias lov, selvom det ikke indeholder et krav om vurderinger og er tavs om at følge signalet Global Privacy Control.

"Love som Utah, der følger i Virginias fodspor, er et godt skridt mod forbrugernes privatliv på statsniveau, men de er generelt mere forretningsvenlige og mindre restriktive. Mange af lovene har en overvejende opt-out-tankegang og har lavere bøder, især for manglende overholdelse af virksomheder, der bestræber sig på at gøre deres bedste," sagde Clarke.

"Der er intet virkelig banebrydende i Utah Consumer Privacy Act. UCPAs passage cementerer egentlig bare den tendens, der har spredt sig på tværs af lovgivende forsamlinger i 2022, hvoraf de fleste følger Virginia som skabelon. Et element, der er unikt, er en bestemmelse om, at rigsadvokaten kan foreslå ændringer efter en 'håndhævelsesvurdering', men det sker først i 2025."

Consumer Reports seniorpolitikanalytiker Maureen Mahoney sagde, at lovforslaget er "alt for svagt til at beskytte forbrugerne" og tilføjede, at Consumer Reports har opfordret guvernøren til at nedlægge veto mod foranstaltningen.

"Det er vigtigt, at enhver privatlivslov er brugbar for forbrugerne - at de i det mindste, som i Californien, kan fravælge salget af deres personlige information hos alle virksomheder i et enkelt trin, snarere end at skulle jagte hundredvis, hvis ikke tusindvis af websteder én efter én, på udkig efter en måde at fravælge,« sagde Mahoney.

"Og definitionerne bør dække målrettet annoncering, så forbrugerne meningsfuldt kan fravælge det. Desværre er Utahs regning endnu svagere end Virginias industrivenlige foranstaltning, som manglede disse nøgleelementer. Utahs foranstaltning har ikke opt-in-rettigheder til følsomme data, har en svagere opt-out og en endnu svagere håndhævelsesordning."

Mahoney tilføjede: "Alt dette betyder, at forbrugerne ikke vil være i stand til at kontrollere deres data. Det er en sejr for virksomheder som Google og Facebook."

Lisa Sotto, leder af den globale privatlivs- og cybersikkerhedspraksis hos advokatfirmaet Hunton Andrews Kurth, forklarede, at Utah-loven adskiller sig fra Virginia-loven, fordi den mangler en rettelsesret -- som hun sagde er ude af trit med globale databeskyttelseslove - og en opt-out, snarere end opt-in, ret til brug af følsomme data, som også er defineret mere snævert end i Virginia lov.

"Utah-loven er beskyttelse af privatlivets fred, men også rimeligt forretningsvenlig. Dette er en velkommen udvikling i lyset af den nuværende overflod af omfattende privatlivslovgivning i USA, med stor sandsynlighed for, at der kommer flere," sagde hun.

"Virksomheder, der har overholdt de tre andre statslige privatlivslove, hvis ikrafttrædelsesdatoer går forud for Utah-lovens, er godt positionerede til let at overholde Utah-kravene. Det burde være en forholdsvis enkel øvelse at overholde Utah-loven, når først en ramme er på plads for overholdelse af Californien, Virginia og Colorado."

Utah-lovgivningen følger de seneste love om privatliv, der er vedtaget i Virginia og Colorado i 2021, samt flere love i Californien over de sidste tre år.

Adskillige stater har brugt år på at forsøge at vedtage deres egne privatlivslove på grund af manglen på nogen bevægelse i privatlivslovgivningen på føderalt niveau. New York, Texas, Washington og snesevis af andre stater har stået over for problemer med at presse deres egne privatlivslove igennem pga. tilbageslag fra virksomheder, der klager over regningerne, vil skabe en betydelig mængde ekstra arbejde for effektivt enhver virksomhed med en internet side.

Clarke, præsident for privatlivsfirmaet IntraEdge, sagde, at Washington lige har snævert fremført deres privatlivslov fra huset bevillingskomité, mens lovene i Indiana, Wisconsin, Oklahoma og Florida alle i øjeblikket er på tværs af kamre og fremme hurtigt.

"Jeg tror, ​​at Utahs hurtige bevægelse mere er et resultat af forhandlinger uden for skærmen for at udjævne regningen og forene efter 2021-debatterne med forbrugerfortalergrupper for et mere omfattende lovforslag med privat søgsmålsret, og opt-in gav ikke de ønskede resultater." sagde Clarke.

"De vigtigste interessenter, der ønskede en mere omfattende lov, sluttede sig til en samling, der besluttede, at noget er bedre end ingenting. Dette lovforslag er et kompromis mellem aggressive fortalere for forbrugernes privatliv og forretningsvenlige tilhængere, som var forudkablet."