Wahlen verändern die Aussichten für die US-Datenschutzpolitik im Jahr 2021

Das Jahr 2021 wird in den USA voraussichtlich eine neue Datenschutzpolitik, -regulierung und -durchsetzung bringen. Alle Augen richten sich auf Washington und Kalifornien, wo die jüngsten Wahlergebnisse die Dynamik verändert haben. Aber auch die Entwicklungen in Bundesstaaten wie Massachusetts und New York sind zu beobachten, während die internationalen Datenschutzvorschriften, die US-Unternehmen betreffen, im Wandel begriffen sind.

Viele amerikanische Unternehmen müssen bereits verschiedene Datenschutzanforderungen erfüllen, die sich aus Richtlinien wie dem U.S. Health Insurance and Accountability Act (HIPAA) und der europäischen General Data Privacy Regulation (GDPR) ergeben. Bislang gibt es jedoch keine umfassende US-Datenschutzpolitik, und Beobachter meinen, dass 2021 ein solches nationales Gesetz in Kraft treten könnte. Auch größere Anstrengungen zur Durchsetzung der Vorschriften sind in Sicht, insbesondere im Rahmen einer neuen kalifornischen Datenschutzbehörde.

Wenn sich die Datenschutzvorschriften ändern, müssen die Unternehmen die Erhebung, Speicherung, Weitergabe und den Schutz der personenbezogenen Daten ihrer Kunden und Mitarbeiter sowie die Verfahren zur Berichterstattung an die Aufsichtsbehörden anpassen. Wenn die Vorschriften durchgesetzt werden, können Unternehmen mit Geldbußen, Betriebsunterbrechungen, entsprechenden Zivilklagen und Rufschädigung rechnen.

Die E-Mail-Verwaltung kann für die Einhaltung gesetzlicher Vorschriften von zentraler Bedeutung sein, da so viele personenbezogene Daten in E-Mails übertragen und gespeichert werden - und da geschäftliche E-Mails so oft der Einstiegspunkt für Hacker sind, die persönliche Daten stehlen wollen. E-Mail-Dienstleister wie Mimecast unterstützen ihre Kunden bei der Verwaltung gesetzeskonformer Archive, der Sicherung persönlicher Daten und der Erfüllung anderer Anforderungen.

Im Folgenden finden Sie eine Übersicht über die neuen Entwicklungen im Bereich des Datenschutzes in den USA.

Washington öffnet den Weg zu einer neuen Datenschutzpolitik

Der designierte Präsident Joe Biden hat sich öffentlich für eine umfassende Datenschutzpolitik ausgesprochen, "nicht anders als die Europäer es tun." [1] Wie genau diese Politik aussehen würde und wie schnell sie verabschiedet werden könnte, wenn überhaupt, könnte davon abhängen, welche politische Partei im Januar die Kontrolle über den Senat übernimmt.

Auf dem Capitol Hill kursieren bereits rund 30 Gesetzesentwürfe zum Datenschutz. Die Brookings Institution, eine Washingtoner Denkfabrik, schrieb kürzlich, dass "die Gesetzgebung zum Datenschutz ein Thema sein könnte, bei dem der Kongress und die neue Regierung auf parteiübergreifender Basis zusammenarbeiten können". [2]

Viele Unternehmen haben sich über den Flickenteppich der Datenschutzbestimmungen in den einzelnen Bundesstaaten beschwert. BSA|The Software Alliance empfahl der neuen Regierung kürzlich, eng mit dem Kongress zusammenzuarbeiten, um ein nationales Datenschutzgesetz zu erlassen.[3] Die US-Handelskammer hat ebenfalls ein von ihr entwickeltes Modell für eine nationale Datenschutzgesetzgebung gefördert, das sich teilweise an der europäischen GDPR orientiert. [4]

Auch die Durchsetzung des Datenschutzes könnte unter einer neuen Regierung zunehmen. Die International Association of Privacy Professionals sieht ein Beispiel dafür in der Federal Trade Commission, die bereits aktiv war, aber einen Führungswechsel erleben könnte, der eine energischere Durchsetzung mit sich bringt.[5]

Kalifornien verdoppelt die Maßnahmen zum Datenschutz

Bei den Wahlen im Jahr 2020 stimmten die Kalifornier für Proposition 24, die den erst vor wenigen Monaten eingeführten California Consumer Privacy Act (CCPA) verschärft. Das neue kalifornische Datenschutzgesetz von 2020 wird voraussichtlich die Anforderungen an die Minimierung der Erhebung personenbezogener Daten, die Begrenzung ihrer Archivierung und die Gewährleistung ihrer Sicherheit verschärfen und gleichzeitig die kalifornische Agentur für Verbraucherdatenschutz zur Durchsetzung dieser Anforderungen schaffen.

Wenn die neue Behörde im Juli 2021 ihre Arbeit aufnimmt, müssen Unternehmen, die in Kalifornien geschäftlich tätig sind, Risikobewertungen und Cybersicherheitsprüfungen zum Schutz personenbezogener Daten vorlegen.[6] Eine weitere Änderung besteht darin, dass das Gesetz die nach Ansicht von Rechtsexperten umfassendste Definition personenbezogener Daten im ganzen Land festlegt.[7] Die kalifornische Definition reicht nun von bestehenden und neuen Informationskategorien über E-Mail-Adressen und den Inhalt bestimmter E-Mails und Textnachrichten bis hin zu Sozialversicherungsnummern, geografischen Angaben, philosophischen Überzeugungen und mehr.

Nach der neuen Regelung können mehr kleine Unternehmen als nach dem ursprünglichen CCPA ausgenommen werden, wenn ihr Jahresumsatz oder die Zahl ihrer kalifornischen Kunden unter bestimmte Schwellenwerte fällt. "Trotzdem können kleine Unternehmen größer werden - und in dieser Hinsicht ist das Gesetz etwas, das man zur Kenntnis nehmen sollte", berichtet das Inc. magazine.[8]

Fortschritte bei der Regulierung und Durchsetzung des Datenschutzes in vielen Staaten

Nach der Verabschiedung des CCPA im Jahr 2018 begannen andere Staaten, diesem Beispiel zu folgen. Die National Conference of State Legislatures zählte kürzlich Gesetzesvorschläge in mehr als 30 Staaten, sagte aber, dass viele während der COVID-19-Pandemie ins Stocken geraten seien.

Die Maßnahmen sind unterschiedlich und können Anforderungen an die Durchführung von Risikobewertungen, die Minimierung der Archivierung personenbezogener Daten, die Überwachung zur Verhinderung von Datenschutzverletzungen und die Meldung von Datenschutzverletzungen umfassen. Außerdem könnte die vorgeschlagene Gesetzgebung des Staates New York für alle kleinen und großen Unternehmen gelten, ohne dass es wie in Kalifornien eine Mindestumsatz- oder Verbraucherschwelle gibt.[9]

Ob diese durch COVID verzögerten Maßnahmen bald wieder in Schwung kommen, ist eine offene Frage. Beobachter sagen, dass einige Staaten abwarten könnten, was in Washington geschieht.

In einigen Bundesstaaten wird die Durchsetzung der Vorschriften verstärkt. So hat der Generalstaatsanwalt von Massachusetts in den letzten Monaten die Einrichtung einer Abteilung für Datenschutz und -sicherheit angekündigt, die mit der Untersuchung und Durchsetzung des Massachusetts Consumer Protection Act und des Data Breach Law zum Schutz von Verbraucherdaten beauftragt ist.

U.S.-Europäische Datenschutzbestimmungen im Wandel

Als das oberste Gericht der Europäischen Union vor kurzem den EU-U.S. Privacy Shield Framework, eine Regelung für den transatlantischen Datenverkehr, für ungültig erklärte, hieß es, dass Verhandlungen über einen Ersatz beginnen würden. Seitdem wurde jedoch kaum etwas über diese Gespräche berichtet. In der Zwischenzeit haben europäische Beamte öffentliche Stellungnahmen zu Standardvertragsklauseln eingeholt, die anstelle des Shields verwendet werden können. Dieser erlaubte es den Unternehmen, sich jährlich selbst zu zertifizieren, dass sie bestimmte Grundsätze zum Schutz personenbezogener Daten einhalten werden, vorbehaltlich der Durchsetzung.

Die Quintessenz

Es wird erwartet, dass der Datenschutz ein größeres Thema für die neue US-Präsidentenregierung sein wird, was die Möglichkeit einer umfassenden nationalen Politik im Jahr 2021 erhöht. Unternehmen sollten sich auch darauf einstellen, dass die Durchsetzung sowohl auf staatlicher als auch auf nationaler Ebene zunehmen wird.

[1] "A Look at Where Joe Biden Stands on Key Tech Issues," S&P Global

[2] "By Passing Proposition 24, California Voters Up the Ante on Federal Privacy Law," Brookings Institution

[3] "BSA veröffentlicht Politikempfehlungen für das Biden-Harris-Übergangsteam," BSA|The Software Alliance

[4] "U.S. Chamber Releases Model Privacy Legislation, Urges Congress to Pass a Federal Privacy Law," U.S. Chamber of Commerce

[5] "What Could a Biden Administration Mean for Privacy, Cybersecurity?", International Association of Privacy Professionals

[6] "Proposition 24," Regierung von Kalifornien

[7] "Sensitive Personal Information - What Is It and What Does It Mean for California Privacy Rights Act Compliance?," National Law Review

[8] "Why Small Businesses Should Ignore California's Newest Data Privacy Law," Inc.

[9] "Inside the Proposed New York Privacy Act," New York Law Journal