Соответствие требованиям Florida Digital Bill of Rights с ConsentX

Florida Digital Bill of Rights (FDBR) - это комплексный закон Флориды о приватности потребительских данных. Он закрепляет права потребителей в отношении персональных данных и возлагает обязанности на подпадающих под него контролёров и обработчиков. Закон вступил в силу 1 июля 2024 года.

Жители Флориды, как правило, имеют право подтвердить факт обработки своих персональных данных, получить к ним доступ, исправить неточности, запросить удаление персональных данных, получить переносимую копию своих персональных данных, отказаться от таргетированной рекламы, отказаться от продажи персональных данных, отказаться от отдельных видов профилирования, отказаться от сбора или обработки чувствительных данных и отказаться от отдельных видов сбора данных распознавания голоса и лица.

FDBR не требует согласия для каждого вида обработки персональных данных. Однако отдельные требования о согласии действуют для некоторых операций, включая продажу чувствительных персональных данных. Контролёры обязаны получить предварительное согласие потребителя до продажи чувствительных данных с учётом особых правил в отношении известных детей.

К чувствительным данным относятся такие категории, как расовое или этническое происхождение, религиозные убеждения, состояние или диагноз психического либо физического здоровья, сексуальная ориентация, гражданство или иммиграционный статус, генетические или биометрические данные, используемые для идентификации, точная геолокация и персональные данные известного ребёнка. FDBR предоставляет потребителям право отказаться от сбора или обработки чувствительных данных.

Да. Потребители имеют право отказаться от обработки своих персональных данных в целях таргетированной рекламы.

Да. FDBR предоставляет потребителям право отказаться от продажи своих персональных данных.

Да. Потребители могут отказаться от профилирования в целях принятия решения, влекущего юридические или иные аналогично значимые последствия для них.

Да. Потребители имеют право отказаться от сбора персональных данных с помощью функций распознавания голоса или лица. Закон также ограничивает отдельные виды использования возможностей устройств для наблюдения - голосовых, лицевых, видео-, аудио-, визуальных, тепловых или обонятельных, - когда потребитель активно ими не пользуется, если иное прямо не разрешено.

FDBR регулирует обработку персональных данных, а не файлы cookie как отдельную технологию. Тем не менее файлы cookie, пиксели, рекламные теги, SDK и другие отслеживающие технологии могут собирать либо обрабатывать персональные данные или обеспечивать таргетированную рекламу. Поэтому обнаружение трекеров и применение настроек приватности могут стать важной частью программы соблюдения FDBR.

Да. Контролёры обязаны предоставлять уведомление о приватности с описанием соответствующей обработки персональных данных и прав потребителей. Уведомление должно давать потребителям содержательную информацию о том, как их персональные данные собираются, используются, раскрываются и обрабатываются.

Да. Контролёры обязаны проводить и документировать оценки защиты данных для указанных видов обработки, включая таргетированную рекламу, продажу персональных данных, отдельные виды профилирования, обработку чувствительных данных и иную обработку, создающую повышенный риск причинения вреда потребителям.

Контролёры, как правило, обязаны ответить без необоснованной задержки и не позднее 45 дней с момента получения запроса потребителя. Этот срок может быть однократно продлён ещё на 15 дней, когда это разумно необходимо, при условии уведомления потребителя в течение первоначальных 45 дней с указанием причины продления.

Да. Контролёры обязаны установить процедуру, позволяющую потребителям обжаловать отказ в совершении действий по запросу о приватности. Контролёр обязан предоставить письменное решение по апелляции в течение 60 дней с момента её получения.

Контролёры обязаны обеспечить не менее двух защищённых, надёжных и понятно доступных способов подачи запросов о правах на приватность. Контролёр не вправе требовать создания новой учётной записи исключительно для реализации прав на приватность, хотя существующая учётная запись может использоваться для аутентификации.

Да. FDBR содержит специальные меры защиты данных известных детей, включая особые требования к продаже чувствительных данных и родительскому согласию. FDBR также действует наряду с отдельными требованиями Флориды в отношении онлайн-приватности детей.

За применение и реализацию FDBR отвечает Департамент юридических дел Флориды. Штат уже сообщал о жалобах потребителей и правоприменительной активности в рамках закона, что показывает: FDBR - это действующая обязанность, а не только перспективная рамка.

ConsentX помогает практически реализовать важные механизмы контроля приватности: управление согласием, обнаружение трекеров, блокировку скриптов до согласия, обработку отказов потребителей, рабочие процессы по запросам о правах и формирование доказательств для аудита. Однако никакое программное обеспечение само по себе не может гарантировать соблюдение закона. Организациям следует оценить свою программу приватности в целом на соответствие FDBR и всем другим применимым законам.