Iowa Consumer Data Privacy Law
Iowa werd de zesde staat die een eigen privacywet voor consumenten invoerde, toen gouverneur Kim Reynolds wetsvoorstel S.F. 262 ondertekende. Dit wetsvoorstel werd unaniem aangenomen in het Huis van Afgevaardigden en de Senaat van Iowa en treedt in werking op 1 januari 2025. De Iowa Consumer Data Privacy Law lijkt op de wet van Utah, de Utah Consumer Privacy Act (UCPA), omdat beide zich richten op het definiëren van persoonlijke data en het bieden van vergelijkbare consumentenbescherming.
Overzicht van de Iowa Consumer Data Privacy Law
Om de volledige impact en vereiste van deze baanbrekende wetgeving te begrijpen, moeten organisaties op het volgende letten:
Reikwijdte van de wet
De Iowa Consumer Data Privacy Law is van toepassing op bedrijven die persoonlijke data van inwoners van Iowa verzamelen, verwerken of opslaan. Deze bedrijven moeten aan bepaalde drempels voldoen om onder de rechtsbevoegdheid van de wet te vallen, zoals een jaarlijkse bruto-omzet van meer dan $25 miljoen, het verwerken van persoonlijke data van 100.000 of meer inwoners van Iowa, of het behalen van 50% of meer van hun jaarlijkse inkomsten uit de verkoop van persoonlijke data.
Definitie van persoonlijke data
Persoonlijke data, oftewel persoonlijk identificeerbare informatie (PII), zoals gedefinieerd door de Iowa Consumer Data Privacy Law, verwijst naar alle informatie die direct of indirect aan een individu kan worden gekoppeld. Dit omvat, maar is niet beperkt tot, namen, adressen, e-mailadressen, telefoonnummers, burgerservicenummers en alle andere informatie die kan worden gebruikt om een persoon te identificeren. De wet dekt ook data die aan een individu is gekoppeld via andere gegevenspunten, zoals IP-adressen, geolocatiegegevens en browsegeschiedenis.
Belangrijkste bepalingen van de Iowa Consumer Data Privacy Law
Om de gevolgen van deze wetgeving beter te begrijpen, is het essentieel om de belangrijkste bepalingen te bekijken die consumentenrechten definiëren, zakelijke verplichtingen schetsen en handhavingsmechanismen vastleggen binnen de Iowa Consumer Data Privacy Law.
Consumentenrechten
De Iowa Consumer Data Privacy Law verleent consumenten diverse rechten om hun controle over hun data te vergroten. Deze rechten lijken op die in andere privacywetten van staten en de General Data Protection Regulation (GDPR) in de Europese Unie. Enkele belangrijke rechten zijn:
1. Recht op inzage
Consumenten hebben het recht om inzage te vragen in de persoonlijke data die een bedrijf over hen heeft verzameld. Dit omvat de specifieke gegevens, de bronnen waaruit de data is verzameld, de doeleinden van verzameling en verwerking, en eventuele derde partijen met wie de data is gedeeld. Bedrijven moeten binnen 45 dagen op dergelijke verzoeken reageren en de informatie kosteloos verstrekken, tenzij het verzoek buitensporig of herhaaldelijk is.
2. Recht op verwijdering
Consumenten hebben het recht om te verzoeken dat een bedrijf hun data verwijdert onder bepaalde omstandigheden, bijvoorbeeld wanneer de data niet langer nodig is voor het doel waarvoor deze is verzameld of verwerkt, of als de consument zijn toestemming voor verwerking intrekt. Bedrijven moeten binnen 45 dagen aan een geldig verwijderingsverzoek voldoen, tenzij er een uitzondering geldt, zoals een wettelijke verplichting om de data te bewaren of als de data nodig is om een transactie af te ronden.
3. Recht op dataportabiliteit
Consumenten kunnen verzoeken om data in een gangbaar, machineleesbaar formaat, zodat deze kan worden overgedragen aan een andere dienstverlener. Dit bevordert data-interoperabiliteit en stelt consumenten in staat om tussen dienstverleners te wisselen zonder hun data te verliezen. Bedrijven moeten verzoeken om dataportabiliteit binnen 45 dagen uitvoeren en de data kosteloos verstrekken.
4. Recht om bezwaar te maken
Consumenten kunnen bezwaar maken tegen de verkoop van hun data aan derden. Bedrijven moeten een duidelijke en opvallende methode bieden waarmee consumenten dit recht kunnen uitoefenen, zoals een “Verkoop mijn persoonlijke informatie niet”-link op hun website. Na ontvangst van een geldig bezwaar moeten bedrijven stoppen met het verkopen van de data van de consument en dit minimaal 12 maanden niet doen.
5. Recht op non-discriminatie
Bedrijven mogen consumenten niet discrimineren wanneer zij hun rechten onder de wet uitoefenen. Dit betekent dat ze geen hogere prijzen mogen rekenen, slechtere diensten mogen leveren of goederen en diensten mogen weigeren aan consumenten die hun privacyrechten uitoefenen. Wel mogen bedrijven incentives of kortingen bieden aan consumenten die vrijwillig hun data verstrekken, zolang de motivatie redelijkerwijs gerelateerd is aan de waarde van de verstrekte data.
Verplichtingen voor bedrijven
Naast het toekennen van rechten aan consumenten legt de Iowa Consumer Data Privacy Law ook diverse verplichtingen op aan bedrijven die persoonlijk identificeerbare informatie (PII) verzamelen, verwerken of opslaan. Deze verplichtingen zijn bedoeld om ervoor te zorgen dat bedrijven persoonlijke data verantwoord en transparant behandelen.
1. Transparantie en kennisgeving
Bedrijven moeten duidelijke en gemakkelijk toegankelijke privacyverklaringen aan consumenten verstrekken, waarin wordt uitgelegd welke soorten persoonlijke data worden verzameld, voor welke doeleinden deze wordt gebruikt en met welke derde partijen de data mogelijk wordt gedeeld. De privacyverklaring moet ook informatie bevatten over hoe consumenten hun rechten onder de wet kunnen uitoefenen. Deze vereiste zorgt ervoor dat consumenten op de hoogte zijn van de data-verzamelings- en verwerkingspraktijken voordat ze hun data delen.
2. Dataminimalisatie en doellimitering
Bedrijven moeten zich houden aan dataminimalisatie en doellimitering bij het verzamelen en verwerken van persoonlijke data. Dit betekent dat ze alleen de data mogen verzamelen die nodig is voor het specifieke doel waarvoor deze is verkregen en deze niet mogen gebruiken voor niet-gerelateerde doeleinden. Door de verzameling en het gebruik van persoonlijke data te beperken, kunnen bedrijven het risico op ongeautoriseerde toegang, datalekken en andere beveiligingsdreigingen minimaliseren.
3. Databeveiliging
De Iowa Consumer Data Privacy Law verplicht bedrijven om redelijke beveiligingsmaatregelen te nemen om persoonlijke data te beschermen tegen ongeautoriseerde toegang, openbaarmaking of vernietiging. Deze maatregelen kunnen onder meer dubbele encryptie, pseudonimisering, toegangscontroles en regelmatige beveiligingsbeoordelingen omvatten. Door te zorgen voor robuuste databeveiliging kunnen bedrijven het risico op datalekken minimaliseren en het vertrouwen van consumenten behouden.
4. Kennisgeving van datalekken
Bij een datalek dat de veiligheid, vertrouwelijkheid of integriteit van persoonlijke data in gevaar brengt, moeten bedrijven voldoen aan specifieke kennisgevingsvereisten om ervoor te zorgen dat getroffen consumenten en relevante autoriteiten tijdig worden geïnformeerd. De volgende kennisgevingen zijn verplicht:
a. Kennisgeving aan getroffen consumenten
Bedrijven moeten de getroffen consumenten binnen 30 dagen na ontdekking van het datalek informeren. De kennisgeving moet het volgende bevatten:
- Details van de inbreuk
- De soorten betrokken persoonlijke data
- Eventuele stappen die het bedrijf heeft genomen om de impact te beperken
Deze vereiste zorgt ervoor dat consumenten op de hoogte zijn van datalekken en passende maatregelen kunnen nemen om zichzelf te beschermen.
b. Kennisgeving aan het kantoor van de procureur-generaal van Iowa
Naast het informeren van getroffen consumenten moeten bedrijven datalekken binnen dezelfde periode van 30 dagen melden aan het kantoor van de procureur-generaal van Iowa. Dit rapport moet een beschrijving van de inbreuk bevatten, het aantal getroffen consumenten, de soorten gecompromitteerde persoonlijke data en de maatregelen die het bedrijf neemt om het datalek aan te pakken. Rapportage aan het kantoor van de procureur-generaal maakt adequaat toezicht mogelijk en helpt autoriteiten trends in datalekken te monitoren en de wet te handhaven.
c. Voortdurende communicatie met getroffen consumenten
Bedrijven dienen voortdurende communicatie te onderhouden met getroffen consumenten om updates te geven over het datalek en verdere stappen die zij kunnen nemen om hun persoonlijke informatie te beschermen. Dit kan het aanbieden van diensten voor bescherming tegen identiteitsdiefstal omvatten of hulp bij het plaatsen van een kredietbevriezing op hun accounts.
d. Datalek-responsplan
Bedrijven dienen een uitgebreid datalek-responsplan te hebben. Dit plan moet de stappen beschrijven die moeten worden genomen bij ontdekking van een datalek, waaronder het identificeren van de oorzaak, het indammen van het lek, het informeren van getroffen consumenten en autoriteiten, en het implementeren van maatregelen om toekomstige incidenten te voorkomen.
5. Functionaris voor gegevensprivacy
Bedrijven die onder de Iowa Consumer Data Privacy Law vallen, kunnen verplicht zijn een Functionaris voor gegevensprivacy (DPO: Data Protection Officer) aan te stellen als hun kernactiviteiten bestaan uit grootschalige verwerking van gevoelige persoonlijke data of regelmatige en systematische monitoring van consumenten. De DPO houdt toezicht op gegevensbeschermingsactiviteiten binnen de organisatie en zorgt voor naleving van de wet. Met een toegewijde DPO kunnen bedrijven hun verantwoordelijkheden op het gebied van gegevensbescherming beter beheren en het risico op niet-naleving minimaliseren.
Handhaving en sancties
De Iowa Consumer Data Privacy Law wordt gehandhaafd door de procureur-generaal van Iowa. Bedrijven die de wet overtreden, kunnen sancties krijgen, waaronder boetes tot $7.500 per overtreding. Daarnaast kunnen consumenten via privaatrechtelijke procedures wettelijke schadevergoeding eisen als hun rechten onder de wet zijn geschonden.
Vergelijking met andere privacywetten van staten
Hoewel de Iowa Consumer Data Privacy Law overeenkomsten vertoont met andere privacywetten, zoals de California Consumer Privacy Act (CCPA) en de Virginia Consumer Data Protection Act (VCDPA), zijn er opvallende verschillen. Enkele van deze verschillen zijn:
1. Opt-in toestemming voor gevoelige data
In tegenstelling tot de CCPA, die bedrijven verplicht om opt-out toestemming te verkrijgen voor de verkoop van persoonlijke informatie, vereist de Iowa Consumer Data Privacy Law dat bedrijven opt-in toestemming krijgen voordat ze gevoelige data verwerken. Gevoelige data omvat informatie over ras, etniciteit, religie, seksuele geaardheid, biometrische data en gezondheidsinformatie.
2. Geen privaatrecht van actie voor algemene overtredingen
Waar de CCPA consumenten toestaat om privaatrechtelijke procedures te starten bij algemene overtredingen van de wet, beperkt de Iowa Consumer Data Privacy Law het privaatrecht van actie tot gevallen van ongeautoriseerde toegang of openbaarmaking van niet-versleutelde, niet-geredigeerde persoonlijke data als gevolg van het niet nemen van redelijke beveiligingsmaatregelen door een bedrijf.
3. Gegevensbeschermingsevaluaties
In tegenstelling tot de VCDPA vereist de Iowa Consumer Data Privacy Law niet dat bedrijven gegevensbeschermingsevaluaties uitvoeren voor verwerkingsactiviteiten met een hoog risico. Bedrijven worden echter nog steeds geacht een administratie van hun gegevensverwerkingsactiviteiten bij te houden en redelijke beveiligingsmaatregelen te implementeren om persoonlijke data te beschermen.
Kiteworks beschikt over een lange lijst van behaalde compliance- en certificeringsprestaties.
Voorbereiden op naleving van de Iowa Consumer Data Privacy Law
Bedrijven die onder de rechtsbevoegdheid van de Iowa Consumer Data Privacy Law vallen, dienen ruim voor de ingangsdatum te beginnen met de voorbereidingen op naleving. Enkele stappen die bedrijven kunnen nemen om naleving te waarborgen zijn:
- Het uitvoeren van een data-inventarisatie om de soorten verzamelde, verwerkte en opgeslagen persoonlijke data en het doel van het gebruik ervan te identificeren
- Het herzien en bijwerken van privacybeleid en -verklaringen om ervoor te zorgen dat deze de datapraktijken van het bedrijf nauwkeurig beschrijven en consumenten informeren over hun rechten onder de wet
- Het snel implementeren van processen om te reageren op verzoeken van consumenten, zoals inzage-, verwijderings- en bezwaarverzoeken
- Het evalueren en verbeteren van beveiligingsmaatregelen om persoonlijke data te beschermen tegen ongeautoriseerde toegang, openbaarmaking of vernietiging
- Het trainen van medewerkers over de vereiste van de Iowa Consumer Data Privacy Law en het belang van gegevensprivacy en beveiliging
Hoe Kiteworks u kan helpen bij de voorbereiding op de Iowa Consumer Data Privacy Law
Het Kiteworks Private Content Network (PCN) stelt organisaties in staat om naleving aan te tonen met privacyregelgeving zoals de Iowa Consumer Data Privacy Law. Kiteworks verenigt, volgt, beheert en beveiligt gevoelige communicatie over content—e-mail, bestandsoverdracht, beheerde bestandsoverdracht (MFT), webformulieren en application programming interfaces (API’s). Dit omvat een uitgebreide audittrail die wordt gebruikt voor het volgen en rapporteren wie toegang heeft tot gevoelige content, wie deze bewerkt, naar wie deze wordt verzonden of gedeeld en of deze is geopend, en waar deze wordt verzonden en gedeeld.
Enkele mogelijkheden die klanten van Kiteworks nuttig vinden zijn onder andere:
Data Mapping
Krijg inzicht in waar persoonlijke data wordt opgeslagen binnen de systemen en infrastructuur van uw organisatie.
Toegangscontrole
Implementeer beveiligde contenttoegangscontroles om ervoor te zorgen dat alleen geautoriseerde personen toegang hebben tot persoonlijke data.
Activiteitenmonitoring
Volg gebruikersactiviteiten en onderhoud een audittrail van gegevensverwerkingsactiviteiten, consumentenverzoeken en reacties.
Data-encryptie
Beveilig persoonlijke data met sterke encryptie, waaronder dubbele encryptie en de Kiteworks Email Protection Gateway (EPG) die e-mailencryptie onzichtbaar maakt voor eindgebruikers.
Geautomatiseerde compliance-rapportage
Vereenvoudig rapportage over naleving van regelgeving door het automatisch genereren van vereiste documentatie en rapporten.
Wilt u meer weten over hoe Kiteworks uw organisatie kan helpen te voldoen aan de Iowa Consumer Data Privacy Law en andere privacyregelgeving? Plan dan vandaag nog een aangepaste demo.