Een gids voor de Florida Digitale Bill of Rights

De wereld verandert snel, en onze digitale privacywetten veranderen mee. Florida is de tiende Amerikaanse staat die uitgebreide privacywetgeving voor consumenten heeft aangenomen. De Florida Digital Bill of Rights treedt op 1 juli 2024 in werking en is van toepassing op bepaalde controllers en gegevensverwerkers, met bescherming met betrekking tot persoonlijke informatie en bescherming voor minderjarigen.

De wetgeving in Florida onderstreept een veranderend landschap voor bedrijven. Consumenten-, klant- en patiëntprivacy wordt steeds belangrijker nu meer van deze gevoelige informatie wordt verwerkt, opgeslagen, gedeeld en blootgesteld door cyberaanvallen en gebruikersfouten. Als reactie hierop zijn privacybeschermingen voor consumenten steeds gangbaarder geworden en moeten bedrijven zich aanpassen. Verschillende andere staten, zoals Californië, Connecticut, Colorado, Iowa, Utah, Virginia, Montana en Tennessee, hebben al soortgelijke wetten ingevoerd. Daarnaast overwegen meer dan een dozijn andere staten privacywetgeving voor consumenten. In dit artikel bieden we een gids voor de Florida Digital Bill of Rights en hoe getroffen bedrijven kunnen voldoen aan de wet.

Wat is de Florida Digital Bill of Rights?

De Florida Digital Bill of Rights is een privacywet voor consumenten die inwoners van Florida rechten en bescherming biedt met betrekking tot hun persoonlijke gegevens. De wet stelt ook strikte richtlijnen vast voor gegevenscontrollers en gegevensverwerkers die persoonlijke gegevens van inwoners van Florida verwerken, opslaan en delen.

De wet biedt consumenten rechten die vergelijkbaar zijn met die van andere staatswetten op het gebied van privacy, waaronder het recht om zich af te melden voor de verkoop van hun persoonlijke informatie en het recht om de gegevens in te zien die een bedrijf over hen heeft.

Wat zijn de belangrijkste onderdelen van de Florida Digital Bill of Rights?

De Florida Digital Bill of Rights geeft inwoners van Florida veel meer controle over hun persoonlijke gegevens, met name over hoe deze worden gebruikt. Deze rechten omvatten:

1. Het recht op inzage in gegevens
2. Het recht om verwijdering van gegevens te verzoeken
3. Het recht om gegevens te corrigeren
4. Het recht op dataportabiliteit voor gegevens die eerder door de consument zijn verstrekt
5. Afmeldrechten voor gerichte advertenties, de verkoop van persoonlijke gegevens en profilering ten behoeve van uitsluitend geautomatiseerde beslissingen die juridische of vergelijkbare significante gevolgen hebben voor de consument
6. Het recht om toestemming in te trekken
7. Het recht om in beroep te gaan als een verzoek van een consument wordt afgewezen

Welke organisaties moeten voldoen aan de Florida Digital Bill of Rights?

De Florida Digital Bill of Rights is van toepassing op gegevenscontrollers en gegevensverwerkers die gegevens van inwoners van Florida verwerken.

Volgens de wet is een gegevenscontroller een entiteit die zaken doet in Florida, persoonlijke gegevens van consumenten verzamelt (direct of via een andere entiteit namens haar), en alleen of samen met anderen de doeleinden en middelen bepaalt voor het verwerken van persoonlijke gegevens van consumenten. De wet stelt ook vereisten vast voor personen die persoonlijke gegevens verwerken namens een controller.

De wet is van toepassing op controllers die meer dan $1 miljard per jaar omzetten en:

• Minimaal 50% van hun omzet halen uit de verkoop van online advertenties
• Een app store of digitaal distributieplatform exploiteren dat minimaal 250.000 verschillende softwareapplicaties aanbiedt voor consumenten om te downloaden en te installeren, of
• Een consumenten-smart speaker en spraakgestuurde componentendienst exploiteren met een geïntegreerde virtuele assistent die is verbonden met een cloudcomputingdienst die handsfree spraakactivering gebruikt.

Een gegevensverwerker daarentegen is een natuurlijke of rechtspersoon, overheidsinstantie, agentschap of andere entiteit die persoonlijke gegevens verwerkt namens de controller. De definitie van “verwerker” is niet beperkt tot bedrijven die meer dan een bepaald bedrag aan omzet genereren, maar omvat “een persoon die persoonlijke gegevens verwerkt namens een controller.” Een gegevenscontroller bepaalt de doeleinden en middelen voor de verwerking van persoonlijke gegevens.

Verwerkers moeten zich houden aan de instructies van een controller en hen ondersteunen bij het nakomen van de verplichtingen van de controller onder de Florida Digital Bill of Rights. Verwerkers moeten ook de benodigde informatie verstrekken om de controller in staat te stellen gegevensbeschermingseffectbeoordelingen uit te voeren en te documenteren, alle persoonlijke gegevens op verzoek verwijderen of retourneren aan de controller, en elke onderaannemer inschakelen op basis van een schriftelijk contract waarin wordt vereist dat de onderaannemer voldoet aan de vereisten van de verwerker.

Welke rechten hebben consumenten onder de Florida Digital Bill of Rights?

De wet in Florida biedt consumenten diverse rechten, waaronder:

• Het recht op inzage, verwijdering en correctie van hun persoonlijke gegevens.
• Consumenten kunnen ook dataportabiliteit aanvragen voor gegevens die zij eerder hebben verstrekt, en zich afmelden voor de verkoop van hun persoonlijke gegevens en profilering.
• Bovendien hebben zij het recht om toestemming in te trekken en in beroep te gaan als hun verzoek wordt afgewezen.
• Bedrijven zijn verplicht om toestemming van consumenten te verkrijgen voor het verzamelen en verkopen van persoonlijke gegevens en nieuwe openbaarmakingsvereisten op te leggen, zodat klanten weten wanneer en of hun persoonlijke gegevens worden verzameld.

In tegenstelling tot privacywetten in Virginia, Colorado en Connecticut bevat de Florida Digital Bill of Rights niet het recht om zich af te melden voor verwerking voor gerichte advertenties en het automatisch afmelden via geautomatiseerde besluitvormingsprocessen, zoals cookies.

Kiteworks beschikt over een lange lijst van behaalde nalevings- en certificeringsprestaties.

Welke verplichtingen hebben in aanmerking komende bedrijven onder de Florida Digital Bill of Rights?

• Controllers die gevoelige persoonlijke of biometrische gegevens verkopen, moeten hun activiteiten duidelijk bekendmaken op hun websites, zoals voorgeschreven.
• Controllers moeten consumenten informeren over bepaalde gegevenspraktijken en privacybeleid.
• Zowel controllers als verwerkers moeten een bewaarbeleid opstellen en implementeren.
• Controllers moeten uitdrukkelijke toestemming verkrijgen voor het verwerken van persoonlijke gegevens van kinderen tussen 13 en 18 jaar.
• De wetgeving in Florida stelt geen formele eis aan bedrijven om risicobeoordelingen van privacyprocedures uit te voeren, behalve voor vooraf gespecificeerde doeleinden.

Organisaties die niet onder de Florida Digital Bill of Rights vallen

De Florida Digital Bill of Rights sluit diverse organisaties uit, waaronder non-profitorganisaties, overheidsinstanties en financiële instellingen, en de gegevens die zij verwerken en delen die onder de Gramm-Leach-Bliley Act (GLBA) vallen, zorgorganisaties, waaronder gedekte entiteiten en zakenpartners, evenals de gegevens en informatie die zij produceren, verwerken en delen die onder de Health Insurance Portability and Accountability Act (HIPAA) vallen, en tot slot hogescholen en universiteiten, inclusief de informatie die zij verwerken en delen die onder de Family Educational Rights and Privacy Act (FERPA) valt.

Hoe wordt de Florida Digital Bill of Rights gehandhaafd?

De procureur-generaal van de staat Florida heeft exclusieve bevoegdheid om de wet te handhaven, en er is geen particulier recht van actie waarmee individuen een rechtszaak kunnen aanspannen wegens een overtreding. De wet stelt ook dat een overtreding niet als basis kan dienen voor een rechtszaak onder een andere wet, onrechtmatige daad of contract.

Individuen kunnen echter klachten indienen en overtredingen melden bij de staat—en consumentenklachten kunnen een onderzoek in gang zetten. Als iemand van mening is dat zijn of haar rechten zoals beschreven in de Florida Digital Bill of Rights zijn geschonden, kan hij of zij een rechtszaak aanspannen tegen de verantwoordelijke partij. De zaak wordt behandeld door een rechtbank, en als wordt vastgesteld dat de rechten van de persoon inderdaad zijn geschonden, kan de rechter een vonnis of bevel uitvaardigen om de situatie te corrigeren. Dit proces zorgt ervoor dat de bescherming die door de Florida Digital Bill of Rights wordt geboden, wordt gehandhaafd en nageleefd.

Boetes en sancties voor niet-naleving van de Florida Digital Bill of Rights

Het Department of Legal Affairs van Florida kan een civiele boete opleggen van maximaal $50.000 per overtreding. Civiele boetes kunnen ook worden verdrievoudigd als de overtreding betrekking heeft op een consument uit Florida waarvan bekend is dat het een kind is, gebaseerd is op het niet verwijderen van gegevens of het niet corrigeren van persoonlijke informatie na ontvangst van een verzoek wanneer er geen uitzondering van toepassing is, of gebaseerd is op het blijven verkopen of delen van persoonlijke gegevens van een consument nadat de consument ervoor heeft gekozen zich af te melden.

Wat moeten bedrijven ondertussen doen?

Als u een controller of verwerker bent die onder de Florida Digital Bill of Rights valt, dient u direct actie te ondernemen om de capaciteiten en het beleid te ontwikkelen die nodig zijn voor naleving voordat de wet op 1 juli 2024 van kracht wordt. Dit omvat het uitvoeren van een privacy gap assessment, het creëren van een meldmechanisme, het opstellen van passende privacybeleid, het aannemen en opleiden van medewerkers om verzoeken af te handelen en het opzetten van een beroepsprocedure.

Kiteworks helpt organisaties te voldoen aan de Florida Digital Bill of Rights

Het Kiteworks Private Content Network (PCN) helpt bedrijven te voldoen aan de Florida Digital Bill of Rights door een veilig platform te bieden voor het verwerken en delen van gevoelige communicatie, waaronder persoonlijke informatie.

Kiteworks maakt gebruik van uitgebreide beveiligingsmaatregelen, zoals multi-factor authentication, granulaire beleidscontroles, rolgebaseerde machtigingen, integraties met beveiligingsinfrastructuur en end-to-end encryptie om de privacy van persoonlijke informatie te waarborgen. Daarnaast gebruikt Kiteworks een zelfstandige en vooraf geconfigureerde hardened virtual appliance die het aanvalsoppervlak van de communicatiekanalen die een organisatie gebruikt om gevoelige inhoud uit te wisselen met partners, klanten, leveranciers en andere vertrouwde derden minimaliseert.

Door Kiteworks te gebruiken, kunnen bedrijven digitale communicatie van gevoelige inhoud die toebehoort aan inwoners van Florida correct volgen, beheren en beveiligen wanneer zij deze delen met vertrouwde partijen via e-mail, bestandsoverdracht, file sharing en andere communicatiekanalen.

De uitgebreide audit logs van Kiteworks stellen organisaties ook in staat om naleving aan te tonen met regelgeving op het gebied van gegevensprivacy, zoals de California Consumer Privacy Act (CCPA), de EU’s Algemene Verordening Gegevensbescherming (GDPR) en de Health Insurance Portability and Accountability Act (HIPAA).

Voor meer informatie over hoe het Kiteworks Private Content Network kan worden ingezet om te voldoen aan de Florida Digital Bill of Rights, plan vandaag nog een op maat gemaakte demo.

 

Terug naar Risk & Compliance Woordenlijst