Alla stora integritetslagar delar samma grundprinciper: samtycke, öppenhet, dataminimering, säkerhet och användarrättigheter. Men de skiljer sig i omfattning, tillsyn och påföljder. När du förstår hur de skiljer sig åt ser du lättare vilka som gäller för din verksamhet och kan lägga upp en efterlevnadsstrategi som täcker flera ramverk samtidigt.
Grundprinciper i alla integritetslagar
Varje stort integritetsramverk (GDPR, CCPA, LGPD, PIPEDA och så vidare) kräver någon version av: öppenhet om datainsamling, tillstånd innan de flesta personuppgifter samlas in, att bara behålla det som behövs, att skydda data mot missbruk och att ge individer rättigheter över sin egen information. Det här kan man inte diskutera bort. Om du respekterar de här principerna följer du de flesta ramverk.
Skillnaderna som spelar roll
Samtyckesmodell: GDPR kräver uttryckligt aktivt samtycke för det mesta av spårningen. CCPA använder att tacka nej vid försäljning av data (men går mot aktivt samtycke). De flesta nyare lagar följer GDPR:s modell med aktivt samtycke.
Definition av personuppgifter: GDPR och andra definierar personuppgifter brett. CCPA är ännu bredare. Bred definition betyder att mer data utlöser krav på efterlevnad.
Tillämpningsområde: GDPR gäller invånare i EU. CCPA gäller invånare i Kalifornien. LGPD gäller invånare i Brasilien. Flera lagar kan gälla samma användare beroende på var hen befinner sig eller var din verksamhet bedrivs.
Påföljder: GDPR: upp till 4 % av omsättningen. CCPA: 2 500 till 7 500 dollar per överträdelse. LGPD: upp till 2 % av omsättningen. Påföljderna är hårda överlag.
Tillsyn: GDPR har aktiva, aggressiva tillsynsmyndigheter (nationella tillsynsmyndigheter). Tillsynen av CCPA växer (delstatens justitieminister, rätt till egen talan). Tillsynen av LGPD ökar. De flesta lagar tillämpas aktivt.
Detaljerad jämförelse: GDPR, CCPA, LGPD, PIPEDA
Samtycke
GDPR och LGPD: uttryckligt aktivt samtycke krävs. CCPA: att tacka nej vid försäljning av data (men CPRA går mot aktivt samtycke för känslig data). PIPEDA: aktivt samtycke för de flesta ändamål. Strängast: GDPR och LGPD.
Definition av personuppgifter
GDPR: allt som identifierar en person direkt eller indirekt. CCPA: bredare, omfattar slutsatser och förutsägelser. LGPD och PIPEDA: liknar GDPR. Bredast: CCPA.
Användarrättigheter
Alla kräver: tillgång, radering och portabilitet. GDPR lägger till: rätt till rättelse, rätt att begränsa behandling och rätt att invända. CPRA lägger till: rätt att rätta och rätt att begränsa användning. PIPEDA är mindre uttrycklig men liknande. Alla är starka. GDPR och CPRA är mest omfattande.
Dataminimering
GDPR, LGPD, PIPEDA: uttryckligt krav på att bara samla in det som är nödvändigt. CCPA: mindre uttryckligt. GDPR är strängast här.
Säkerhet och anmälan av intrång
Alla kräver rimlig säkerhet. GDPR: anmäl till tillsynsmyndigheten inom 72 timmar. CCPA: underrätta individer inom 30 dagar (inget krav på anmälan till myndighet, men anmälan till justitieministern krävs ofta). LGPD och PIPEDA liknar GDPR. GDPR är strängast när det gäller tidsfristen för anmälan.
Så avgör du dina skyldigheter
Steg 1: kartlägg besökarnas geografi
Använd din analys för att se var trafiken kommer ifrån. Kommer besökare från EU gäller GDPR. Från Kalifornien gäller CCPA. Från Brasilien gäller LGPD. De flesta sajter har besökare från flera jurisdiktioner, vilket utlöser flera lagar.
Steg 2: kontrollera företagets verksamhet
Har du kontor, anställda eller affärspartner i reglerade jurisdiktioner? Det kan göra lagen tillämplig även utan webbtrafik (till exempel kan ett företag med anställda i EU som behandlar kunddata omfattas av GDPR oavsett webbtrafik).
Steg 3: identifiera den strängaste tillämpliga lagen
Vilken är strängast av alla lagar som gäller dig? Oftast GDPR. Bygg efterlevnaden efter den standarden och tillämpa den överallt. Det är enklare än efterlevnad per jurisdiktion.
Steg 4: lägg till regionala variationer
Vissa regioner kräver särskilda lösningar (till exempel datalagring i landet i vissa asiatiska länder, uttryckliga knappar för att tacka nej enligt CCPA i Kalifornien). Lägg till dem i din grundlösning för efterlevnad.
Det pragmatiska sättet: GDPR som grund
För de flesta företag ser det praktiska upplägget ut så här: utgå från att GDPR gäller (det gör det oftast, om du inte är helt inriktad på en ej reglerad region), bygg efter GDPR-standarden och lägg sedan på regionala krav. GDPR-efterlevnad överträffar nästan alltid de flesta andra ramverk. Det minskar komplexiteten och gör att du aldrig bryter mot någon regel.
Om jag följer GDPR, följer jag då CCPA?
Oftast ja. GDPR:s strängare krav på samtycke och dataminimering överträffar CCPA:s krav. CCPA:s bredare definition av data gör att du måste hantera båda områdena. Att följa GDPR täcker de flesta av CCPA:s skyldigheter.
Vilken integritetslag är dyrast att följa?
GDPR och LGPD kräver omfattande infrastruktur (datastyrning, säkerhet, användarrättigheter). CCPA är enklare. Den verkliga kostnaden är åtgärder om du inte redan följde reglerna, inte efterlevnaden i sig.
Kan jag använda en enda integritetspolicy för alla jurisdiktioner?
Ja, om den redovisar all datahantering och följer alla tillämpliga lagar. Vissa företag använder en grundpolicy plus regionala tillägg. Öppenhet om allt du samlar in är nyckeln.
Vad är den största skillnaden mellan GDPR och CCPA?
Samtyckesmodellen: GDPR kräver aktivt samtycke, CCPA använde att tacka nej (går mot aktivt samtycke). Det förklarar varför GDPR-efterlevnad oftast överträffar CCPA. En skillnad, stor effekt.
Om jag bara har besökare från USA, vilka delstatslagar gäller?
Alla delstater med märkbar trafik. Kalifornien (CCPA), Virginia, Colorado, Connecticut, Utah, Montana och Delaware har alla lagar. De flesta företag använder bara efterlevnad på GDPR-nivå överallt för att slippa inställningar per delstat.
Blir integritetslagarna strängare?
Ja, globalt. CCPA är strängare än de tidiga lagarna, CPRA är strängare än CCPA och nya internationella lagar följer GDPR:s stränga modell. Kraven blir bara tuffare.