Integritetsregleringen tar fart globalt. Utöver GDPR och CCPA har dussintals länder nu heltäckande integritetsramverk. Kanada har PIPEDA, Brasilien har LGPD, Indien har regler under utveckling och i princip varje utvecklad ekonomi inför eller skärper integritetslagar. Om din verksamhet har internationella besökare behöver du känna till de viktigaste ramverken utanför Europa och USA.
Viktiga integritetsramverk runt om i världen
Kanada: PIPEDA och provinslagar
PIPEDA (Personal Information Protection and Electronic Documents Act) är Kanadas federala integritetslag. Den gäller organisationer som samlar in personuppgifter om invånare i Kanada. PIPEDA liknar GDPR i uppbyggnad: den kräver samtycke, dataminimering, säkerhet och användarrättigheter. Vissa provinser (Quebec, Alberta) har egna integritetslagar som är ännu strängare än PIPEDA.
PIPEDA tillämpas av Kanadas integritetskommissionär. Böterna kan uppgå till miljontals dollar. Lagen tillämpas aktivt, den är inte bara en teoretisk fråga.
Brasilien: LGPD
Brasiliens LGPD (Lei Geral de Proteção de Dados) kallas ofta "Brasiliens GDPR". Det är ett heltäckande ramverk som kräver samtycke, dataminimering, säkerhet och användarrättigheter. Påföljderna enligt LGPD är hårda: upp till 2 % av omsättningen (eller 50 miljoner brasilianska real). Den gäller organisationer som behandlar data om invånare i Brasilien, oavsett var företaget är baserat.
Tillsynen av LGPD ökar. Brasilien tillämpar lagen aktivt. Om du har besökare från Brasilien är efterlevnad viktig.
Mexiko: LFPDPPP
Mexikos LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de Particulares) liknar GDPR och kräver samtycke och användarrättigheter. Tillsynen är mindre aggressiv än för GDPR eller LGPD, men överträdelser kan leda till kännbara böter. Om du verkar i Mexiko behöver du grundläggande efterlevnad på GDPR-nivå.
Indien: Digital Personal Data Protection Act
Indien antog nyligen Digital Personal Data Protection Act (DPDPA), som gäller från 2024. Den är mindre sträng än GDPR men kräver samtycke för det mesta av datainsamlingen och ger användare rätt till tillgång och radering. Tillsynen i Indien är fortfarande under uppbyggnad, men efterlevnad förväntas framöver.
Asien och Stillahavsregionen: olika ramverk
Australien har ändringar i sin Privacy Act som kräver strängare samtycke. Singapore har PDPA. Hongkong har PDPO. Sydkorea har PIPA. Japan har APPI. Thailand har PDPA. Varje ramverk är lite olika, men alla kräver någon form av samtycke och användarrättigheter. Om du verkar i Asien och Stillahavsregionen, utgå från att efterlevnad på GDPR-nivå är den lägsta säkra standarden.
Mönstret: lagarna närmar sig varandra globalt
Integritetslagar världen över närmar sig några gemensamma principer: öppenhet (användare måste veta vad som samlas in), samtycke (tillstånd krävs), dataminimering (samla bara in det som behövs), säkerhet (skydda det du har) och användarrättigheter (tillgång, radering, överföring av data). Om du bygger analys som respekterar de här principerna följer du de flesta globala ramverk.
Adekvansbeslut och ömsesidigt erkännande
Vissa länder erkänner andras integritetslagar som "adekvata". EU erkänner Storbritannien, Schweiz och andra som adekvata, vilket gör dataöverföring enklare. GDPR:s adekvansbeslut är de strängaste. Om du följer GDPR är du sannolikt adekvat för de flesta bilaterala dataöverföringar.
Praktisk efterlevnad för global verksamhet
För de flesta företag ser upplägget ut så här: identifiera var du har betydande besökstrafik, prioritera de jurisdiktionerna och bygg analys som uppfyller den strängaste tillämpliga standarden. Tillämpa sedan den standarden globalt. Det är enklare än att underhålla analysinställningar per jurisdiktion.
Regionala variationer utan splittring
Du behöver inte ett separat analyssystem för varje land. Du behöver ett system byggt efter den högsta tillämpliga standarden (oftast GDPR) som kan hantera regionala variationer (till exempel uttryckliga möjligheter att tacka nej där det krävs, datalagring i landet där det är obligatoriskt).
Hur identifierar jag vilka länders lagar som gäller? Ska jag använda trafikdata från analysen?
Ja, använd analysen för att avgränsa. Hämta besökarnas geografi för de senaste 12 månaderna: vilka länder har märkbar trafik (5 % eller mer)? De ländernas lagar gäller sannolikt. Ta reda på reglerna för varje land med mycket trafik: EU = GDPR, Kanada = PIPEDA, Brasilien = LGPD, Indien = DPDPA, Australien = Privacy Act. Prioritera efter trafik: 40 % trafik från EU betyder GDPR först. Kontrollera också: har du anställda, kontor eller affärspartner i något land? Om ja gäller de ländernas lagar oavsett trafik. Använd analysen som utgångspunkt och komplettera med frågor om verksamheten. Nu har du din regelkarta.
LGPD är 2 % av omsättningen men GDPR är 4 %. Vilken är egentligen strängast?
GDPR:s 4 % är det högre taket. Men beräkningen spelar roll. GDPR: 4 % av global omsättning. LGPD: 2 % av omsättningen (oklart om bara i Brasilien eller globalt). I praktiken: båda visar en tillsyn som riktar in sig på stora företag. En överträdelse i ett litet företag: 50 000 till 500 000 euro enligt båda. Storleken betyder mer än procentsatsen. Praktiskt: behandla båda som allvarliga. Undvik överträdelser i stället för att satsa på skillnader i procent. Båda är allvarliga.
Vilka länder kräver att data lagras i landet, och hur påverkar det min analys?
Lagring i landet är obligatorisk i: Ryssland, Kina, Indien, Indonesien (2022 och framåt), Vietnam. EU reglerar friare via SCC och adekvansbeslut. För analys: om du använder en amerikansk leverantör (Google Analytics) bryter deras servrar i USA mot kraven på lagring i landet. Lösningar: leverantörer med lokala servrar (Google Analytics med EU-servrar för GDPR, servrar i Indien för indisk lag) eller lokala plattformar med integritet först. Kontrollera din leverantör: var lagras datan? Om inte i de länder som krävs har du ett gap. Det här är ett leverantörsval (uppsättning), inte något löpande (efterlevnad är infrastruktur).
Indiens lag trädde i kraft 2024 och Brasilien skärper tillsynen. Hur hanterar jag rörliga mål?
Tre sätt: (1) Avvakta (riskabelt men vanligt när tillsynen är på väg upp). (2) Överefterleva (GDPR-standard även om den lokala lagen är mildare, säkrare men mer arbete). (3) Följ och justera (bygg efter nuvarande krav, planera uppdateringar när lagen ändras). Indiens DPDPA: trädde i kraft 2024, tillsynen byggs upp. De flesta företag väljer efterlevnad på GDPR-nivå även för Indien. Brasiliens LGPD: aktiv, men tillsynen fokuserar på stora företag. Mindre företag möter lägre risk. Säker strategi: bygg efter GDPR för länder där tillsynen växer, följ regeluppdateringar varje kvartal och justera vid större förändringar.
Vad är Schrems II och hur påverkar det mina överföringar av analysdata mellan EU och USA?
Schrems II (2020) ogiltigförklarade Privacy Shield och försvagade standardavtalsklausulerna för överföringar mellan EU och USA. Domstolen sa: SCC ensamma garanterar inte skydd om mottagarlandet tillåter massövervakning. Effekt: du behöver SCC PLUS kompletterande skyddsåtgärder (kryptering, åtkomstkontroll, dataminimering). För analys: om du använder en amerikansk leverantör behöver de SCC plus kompletterande åtgärder. Många leverantörer, bland annat Google, har lagt till dem. Kontrollera din leverantör: tar de upp Schrems II? Om bara SCC finns är du exponerad. Många erbjuder datalagring i EU som enklaste lösning (lagra data i EU, ingen överföring).
Skiljer sig regioner åt när det gäller aktivt samtycke jämfört med att tacka nej? Ska jag hantera samtycke per region?
Regionerna skiljer sig åt, men du behöver inte olika lösningar per region. Mönster: de flesta har gått över till aktivt samtycke (uttryckligt samtycke före spårning). GDPR = aktivt samtycke. CCPA har historiskt = tacka nej (CPRA går mot aktivt samtycke för känslig data). LGPD = aktivt samtycke. PIPEDA = aktivt samtycke. Indien = aktivt samtycke. De flesta moderna lagar kräver aktivt samtycke. Inför aktivt samtycke globalt (det överträffar kraven på att tacka nej). En samtyckeslösning: "Får vi spåra dig?" Ja eller nej. För CCPA:s historiska krav, lägg till en länk "Sälj inte min data" (uppfyller Kalifornien). Ett globalt samtycke hanterar regionala variationer: aktivt samtycke som grund plus en kalifornienspecifik länk. Ingen analysinställning per region behövs.