Montana Consumer Data Privacy Act: Een Overzicht
Gegevensprivacy is een groeiende zorg voor consumenten nu steeds meer gevoelige inhoud, zoals persoonlijk identificeerbare informatie en beschermde gezondheidsinformatie (PII/PHI), online beschikbaar komt. Als reactie hierop hebben veel staten wetgeving aangenomen om hun inwoners te beschermen. Een van deze staten is Montana, dat recentelijk de Montana Consumer Data Privacy Act (MCDPA) heeft aangenomen. In dit artikel geven we een overzicht van de MCDPA, de belangrijkste bepalingen en wat dit betekent voor de inwoners van Montana.
Wat is de Montana Consumer Data Privacy Act?
De Montana Consumer Data Privacy Act is een staatswet die het verzamelen, gebruiken en delen van persoonlijke informatie door bedrijven die actief zijn in Montana reguleert. De wet treedt in werking op 1 oktober 2024. De MCDPA lijkt op andere wetten, zoals de California Consumer Privacy Act (CCPA) en de Virginia Consumer Data Protection Act (VCDPA), doordat het consumenten meer controle geeft over hun persoonlijke informatie.
De MCDPA onderscheidt zich als een door de Republikeinen geleide staatswet die robuuste privacybescherming voor consumenten biedt. De wet is allesomvattend en biedt een sterke basis van privacyrechten voor inwoners van Montana, vergelijkbaar met de rechten die worden geboden door toonaangevende privacykaders in andere staten zoals Connecticut, Utah, Iowa en Colorado. Dit is een belangrijke prestatie, gezien het feit dat door Republikeinen geleide staten over het algemeen minder actief zijn geweest in het aannemen van privacywetten dan door Democraten geleide staten.
Bovendien is de MCDPA zo ontworpen dat het onwaarschijnlijk is dat organisaties die al onder andere privacywetten vallen, hun nalevingsprogramma’s ingrijpend moeten aanpassen. Dit is een positieve ontwikkeling, omdat het de nalevingslast voor bedrijven kan verminderen, vooral voor bedrijven die actief zijn in meerdere staten met uiteenlopende privacyvereisten.
De MCDPA is een positieve ontwikkeling voor gegevensprivacy in Montana en dient als voorbeeld voor andere door Republikeinen geleide staten die de privacybescherming voor hun inwoners willen versterken. Door een uitgebreid pakket aan basisrechten en -bescherming te bieden, erkent de MCDPA het belang van het beschermen van consumentengegevens en het bevorderen van transparantie en verantwoordelijkheid in gegevenspraktijken.
Hoe de MCDPA zich verhoudt tot andere regelgeving voor gegevensprivacy
De Montana Consumer Data Privacy Act is een belangrijke ontwikkeling op het gebied van gegevensprivacy. Een van de belangrijkste kenmerken van deze wetgeving is dat het bepalingen bevat die ontbreken in sommige andere staatswetten, waardoor het consumentvriendelijker en werkbaarder is.
Een van deze bepalingen is de vereiste voor bedrijven om browser-privacy-signalen, zoals de Global Privacy Control, te respecteren. Hiermee kunnen consumenten in één keer bij alle bedrijven afzien van de verkoop van hun gegevens. Dit maakt het voor consumenten eenvoudiger om hun privacyrechten uit te oefenen en controle te houden over hun persoonlijke gegevens.
De MCDPA verbiedt ook het gebruik van “dark patterns” bij het verkrijgen van toestemming. Dit zijn misleidende tactieken die consumenten ertoe verleiden hun gegevens af te staan. Door bedrijven te verbieden dergelijke tactieken te gebruiken, bevordert de wet transparantie en zorgt ervoor dat consumenten geïnformeerde toestemming geven.
Een andere belangrijke bepaling van de MCDPA is dat er een einddatum wordt gesteld aan het “recht op herstel” bij administratieve handhaving. Dit betekent dat bedrijven niet langer een “gratis uit de gevangenis”-kaart krijgen als ze de privacy van consumenten niet beschermen. Dit stimuleert bedrijven om gegevensprivacy serieus te nemen en zorgt ervoor dat ze consequenties ondervinden bij niet-naleving.
Al met al is de MCDPA een allesomvattende en toekomstgerichte privacywet die een hoge standaard zet voor andere staten. Dankzij de consumentvriendelijke bepalingen krijgen individuen meer controle over hun persoonlijke gegevens en wordt transparantie en verantwoordelijkheid in gegevenspraktijken bevorderd.
Wat betekent de MCDPA voor inwoners van Montana?
De Montana Consumer Data Privacy Act geeft inwoners van Montana meer controle over hun persoonlijke informatie. Zij hebben nu het recht om te weten welke persoonlijke informatie bedrijven over hen verzamelen en kunnen zich afmelden voor de verkoop van die informatie. Ook kunnen zij bedrijven verzoeken hun persoonlijke informatie te verwijderen, en bedrijven moeten aan deze verzoeken voldoen binnen 45 dagen. Daarnaast vereist de MCDPA dat bedrijven redelijke beveiligingsmaatregelen implementeren om persoonlijke informatie te beschermen tegen ongeautoriseerde toegang, openbaarmaking of vernietiging.
Wie moet voldoen aan de MCDPA?
Het is belangrijk om te weten dat de Montana Consumer Data Privacy Act van toepassing is op bedrijven die zaken doen in Montana of zich bewust richten op inwoners van Montana met hun producten of diensten, zelfs als deze bedrijven buiten de staat zijn gevestigd. De wet geldt voor een breed scala aan bedrijven, waaronder bedrijven die gegevens verzamelen via websites, mobiele apps en andere online platforms.
Kiteworks beschikt over een lange lijst van nalevings- en certificeringsprestaties.
Belangrijkste bepalingen van de Montana Consumer Data Privacy Act
De Montana Consumer Data Privacy Act bevat diverse belangrijke bepalingen waar bedrijven die actief zijn in Montana van op de hoogte moeten zijn. Enkele van de belangrijkste bepalingen zijn:
1. Inwoners van Montana hebben recht om te weten hoe hun PII wordt gebruikt
Volgens de MCDPA hebben inwoners van Montana het recht om te weten welke persoonlijke informatie bedrijven over hen verzamelen, waarom deze wordt verzameld en met wie deze wordt gedeeld. Bedrijven moeten deze informatie op een duidelijke en begrijpelijke manier verstrekken en gratis beschikbaar stellen op verzoek.
2. Inwoners van Montana hebben het recht zich af te melden
Inwoners van Montana hebben het recht om zich af te melden voor de verkoop van hun persoonlijke informatie. Bedrijven moeten een afmeldmogelijkheid bieden op hun website of mobiele app en moeten afmeldverzoeken binnen 45 dagen honoreren.
3. Inwoners van Montana kunnen bedrijven verzoeken hun PII te verwijderen
Inwoners van Montana hebben het recht om bedrijven te verzoeken hun persoonlijke informatie te verwijderen. Bedrijven moeten aan deze verzoeken binnen 45 dagen voldoen en moeten ook eventuele derden met wie de informatie is gedeeld hiervan op de hoogte stellen.
4. Alleen een minimale hoeveelheid PII van inwoners van Montana mag worden verzameld
Volgens de MCDPA mogen bedrijven alleen persoonlijke informatie verzamelen en bewaren die noodzakelijk is voor een specifiek doel. Ze moeten de hoeveelheid verzamelde persoonlijke informatie minimaliseren en deze verwijderen of anonimiseren wanneer deze niet langer nodig is.
5. Bedrijven moeten de PII van inwoners van Montana beschermen
Bedrijven moeten redelijke beveiligingsmaatregelen implementeren om de persoonlijke informatie van inwoners van Montana te beschermen tegen ongeautoriseerde toegang, openbaarmaking of vernietiging. Ook moeten ze regelmatig risicobeoordelingen uitvoeren en hun medewerkers trainen in beste practices voor gegevensbeveiliging.
Hoe de MCDPA “persoonlijke informatie” definieert
De Montana Consumer Data Privacy Act definieert “persoonlijke informatie” als alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon die in Montana woont. Dit omvat, maar is niet beperkt tot, de naam, het adres, telefoonnummer, e-mailadres, burgerservicenummer, rijbewijsnummer, paspoortnummer, biometrische gegevens, financiële informatie, gezondheidsinformatie en alle andere informatie die redelijkerwijs direct of indirect aan een specifieke consument of huishouden kan worden gekoppeld. De wet beschouwt ook gegevens die worden verzameld of verwerkt via het gebruik van websites, apps of andere online diensten, zoals IP-adressen, browsegeschiedenis en online gedrag, als persoonlijke informatie.
De wet geeft inwoners van Montana meer controle over hun persoonlijke informatie en legt bedrijven een grotere verantwoordelijkheid op om die informatie te beschermen.
Verplichtingen voor bedrijven onder de Montana Consumer Data Privacy Act
Volgens de Montana Consumer Data Privacy Act moeten bedrijven die persoonlijke informatie van inwoners van Montana verzamelen, gebruiken of openbaar maken, bepaalde informatie verstrekken en bescherming bieden aan deze personen. Bedrijven moeten consumenten informeren over de categorieën persoonlijke informatie die ze verzamelen, de doeleinden waarvoor deze informatie wordt verzameld en eventuele derden met wie deze informatie wordt gedeeld. Daarnaast moeten bedrijven opt-in toestemming verkrijgen voordat ze gevoelige persoonlijke informatie verzamelen, zoals financiële of gezondheidsinformatie, en moeten ze consumenten de mogelijkheid bieden zich af te melden voor de verkoop van hun persoonlijke informatie aan derden.
De wet legt ook bepaalde beveiligingsverplichtingen op aan bedrijven om persoonlijke informatie te beschermen tegen ongeautoriseerde toegang, vernietiging, gebruik, wijziging of openbaarmaking. Bedrijven moeten redelijke beveiligingsmaatregelen implementeren die passen bij de aard van de verzamelde persoonlijke informatie en de omvang en complexiteit van de bedrijfsactiviteiten. In het geval van een datalek moeten bedrijven tijdig melding doen aan de getroffen consumenten en stappen ondernemen om de schade van het lek te beperken.
Bedrijven die onder de MCDPA vallen zijn bedrijven die zaken doen in Montana of zich bewust richten op inwoners van Montana met hun producten of diensten, en aan minstens één van de volgende criteria voldoen:
- Genereren een jaarlijkse bruto-omzet van $25 miljoen of meer
- Kopen, ontvangen, verkopen of delen de persoonlijke informatie van 50.000 of meer consumenten, huishoudens of apparaten
- Behalen 50% of meer van hun jaarlijkse omzet uit de verkoop van persoonlijke informatie van consumenten
Volgens de MCDPA moeten bedrijven consumenten bepaalde rechten bieden, waaronder het recht om:
- Te weten welke persoonlijke informatie over hen wordt verzameld en hoe deze wordt gebruikt
- Toegang te krijgen tot, corrigeren of verwijderen van hun persoonlijke informatie
- Zich af te melden voor de verkoop van hun persoonlijke informatie
- Niet te worden gediscrimineerd voor het uitoefenen van hun privacyrechten
Boetes en sancties onder de Montana Consumer Data Privacy Act
De procureur-generaal van Montana is verantwoordelijk voor de handhaving van de MCDPA en kan civiele boetes tot $5.000 per overtreding opleggen. Daarnaast kunnen consumenten een civielrechtelijke procedure starten als hun persoonlijke informatie ongeautoriseerd wordt benaderd of openbaar gemaakt als gevolg van een overtreding van de wet door een bedrijf.
Al met al vormt de Montana Consumer Data Privacy Act een belangrijke stap in de bescherming van persoonlijke informatie van consumenten en het waarborgen van transparantie en verantwoordelijkheid in de gegevenspraktijken van bedrijven die actief zijn in Montana.
Kiteworks helpt bedrijven te voldoen aan de Montana Consumer Data Privacy Act
De invoering van de Montana Consumer Data Privacy Act weerspiegelt een groeiende trend onder staten om gegevensprivacy wettelijk te beschermen, omdat bedrijven dit zelf onvoldoende doen. Verschillende andere staten, waaronder Californië, Utah, Virginia en Colorado, hebben de afgelopen jaren soortgelijke wetten aangenomen en het is te verwachten dat meer staten binnenkort hun eigen privacywetten zullen invoeren. De populariteit van deze wetten is te danken aan een toename van datalekken, veroorzaakt door complexe cyberaanvallen of per ongeluk gelekte gegevens, waardoor de PII van burgers wordt blootgesteld. Wanneer PII wordt blootgesteld, kan dit leiden tot identiteitsdiefstal en verzekeringsfraude. Het kan jaren duren en tienduizenden dollars kosten voordat burgers hiervan zijn hersteld.
Het Kiteworks Private Content Network consolideert de communicatiekanalen die organisaties gebruiken om PII en andere gevoelige informatie te delen met vertrouwde derden. Traditioneel vertrouwden organisaties op meerdere communicatiekanalen, wat het lastig maakt om een gecentraliseerd en geautomatiseerd systeem te onderhouden om PII te beschermen en te volgen wanneer deze extern wordt gedeeld. Kiteworks lost dit probleem op door alle verschillende contentcommunicatiekanalen samen te brengen op één platform, waardoor beheerders consistente beveiligingsbeleid kunnen toepassen op individuele gebruikers en bestanden. Deze granulaire toegangscontroles en rolgebaseerde machtigingen, ondersteund door multi-factor authentication, zorgen ervoor dat alleen geautoriseerde gebruikers toegang hebben tot PII. Het Kiteworks-platform wordt beschermd door een hardened virtual appliance met ingebouwde antivirusbescherming en een intrusion detection system (IDS). Daarnaast zorgen integraties met beveiligingsoplossingen zoals preventie van gegevensverlies (DLP), advanced threat protection (ATP) en content disarm and reconstruction (CDR) voor een minimale aanvalsvector en wordt de impact van cyberaanvallen en datalekken beperkt.
Kiteworks maakt geautomatiseerde, beleidsgebaseerde encryptie mogelijk die e-mails en hun bijlagen gedurende het hele traject van verzender tot ontvanger beschermt, zelfs wanneer deze door netwerkfirewalls gaan. Dit biedt gebruikers gemoedsrust over de vertrouwelijkheid en integriteit van hun informatie.
Daarnaast biedt Kiteworks diverse veilige inzetopties, waaronder on-premises, private cloud, hybride cloud en FedRAMP virtual private cloud-inzet, zodat organisaties de beste inzetoptie kunnen kiezen voor hun specifieke contentbeveiliging en nalevingsvereisten.
Met Kiteworks kunnen bedrijven het beheer stroomlijnen, strikte naleving waarborgen, proactief potentiële privacy- en nalevingsproblemen detecteren en snel reageren op incidenten.
Bent u op zoek naar een oplossing om te voldoen aan de Montana Consumer Data Privacy Act en andere privacyregelgeving? Plan vandaag nog een op maat gemaakte demo van het Kiteworks Private Content Network.