Защита персональных данных граждан: опыт США

Время на прочтение: 8 мин

Законы о защите персональных данных направлены на предотвращение несанкционированного доступа к данным, обеспечение согласия владельца на сбор данных и предоставление права на просмотр и удаление личной информации.

Постоянная обеспокоенность по поводу обработки, хранения и защиты персональных данных, а также влияние искусственного интеллекта, приводит к принятию на уровне штатов законов о защите конфиденциальности.

За последнее десятилетие федеральное правительство США, штаты и местные органы власти, а также международные правительства и законодательные органы издали десятки законов, нормативных актов, положений и других руководящих документов по защите данных и конфиденциальности.

Хотя в США в настоящее время нет национального закона о защите персональных данных, были разработаны три инициативы:

Закон США о защите конфиденциальности и конфиденциальности данных (American Data Privacy Protection Act – ADPPA) был внесен на рассмотрение в 117-м Конгрессе (2021-2022 гг.). Хотя он был принят Комитетом Палаты представителей по энергетике и торговле в 2022 году, он так и не был вынесен на голосование в Палате представителей в полном составе. Некоторые из его положений могут стать законом в будущих законодательных актах.

Закон о правах на неприкосновенность частной жизни в США (American Privacy Rights Act, далее – APRA) был основан на предыдущих законодательных актах, включая ADPPA, и призван обеспечить основу для национальных прав на неприкосновенность частной жизни в отношении данных, которые могли бы использоваться штатами и федеральными агентствами. Он также внес изменения в Закон о защите конфиденциальности детей в Интернете (COPPA) 1998 года. Хотя законопроект пытался установить общенациональный закон о защите конфиденциальности данных, он столкнулся со многими проблемами и так и не был принят.

Федеральная торговая комиссия является ключевым регулирующим органом, ответственным за оценку соблюдения законов, касающихся конфиденциальности данных. Ее правоприменительные действия защищают потребителей от недобросовестной или вводящей в заблуждение практики и обеспечивают соблюдение федеральных правил конфиденциальности и защиты данных.

К числу дополнительных ведомств, обладающих полномочиями в вопросах защиты конфиденциальности, относятся Управление контролера денежного обращения, Министерство здравоохранения и социальных служб, Федеральная комиссия по связи, Комиссия по ценным бумагам и биржам, Бюро по защите прав потребителей финансовых услуг и Министерство торговли.

К числу законов США, регулирующих вопросы конфиденциальности, относятся следующие:

Закон о защите персональных данных 1974 года. Этот закон установил кодекс добросовестной информационной практики, регулирующий сбор, обработку, управление, распространение и уничтожение персональных данных.

Закон о переносимости и подотчетности медицинского страхования (Health Insurance Portability and Accountability Act, далее – HIPAA). Он из двух ключевых разделов: Правила безопасности и Правила конфиденциальности. Эти правила предоставляют поставщикам и обработчикам защищенной медицинской информации гибкость в способах защиты данных пользователей. Кроме того, это важный документ для аудита. Соблюдение закона и его многочисленных положений имеет важное значение для избежания штрафов и санкций.

Закон Грэмма-Лича-Блейли (Gramm-Leach-Bliley Act). Принятый в 1999 году, закон GLBA модернизировал требования к соблюдению нормативных требований в сфере финансовых услуг и решил проблемы, связанные с конфиденциальностью финансовых данных потребителей, обязав финансовые учреждения разъяснять клиентам свою практику обмена информацией и обеспечивать защиту конфиденциальных данных.

Закон о защите конфиденциальности детей в интернете (Children’s Online Privacy Protection Act, далее – COPPA) направлен на защиту конфиденциальности и персональных данных детей в возрасте до 13 лет, использующих онлайн-сервисы.

Закон о защите конфиденциальности водителей (Federal Driver Privacy Protection Act – DPPA) регулирует конфиденциальность и раскрытие личной информации, собираемой департаментами регистрации транспортных средств на уровне штатов.

Закон о защите конфиденциальности видеоконтента (Video Privacy Protection Act – VPPA) ограничивает раскрытие информации о прокате или продаже видео или аналогичных аудиовизуальных материалов, включая онлайн-трансляции.

Закон о политике кабельной связи (Cable Communications Policy Act) 1984 года включает положения, направленные на защиту конфиденциальности абонентов.

Закон о справедливом кредитном отчёте (Fair Credit Reporting Act, далее – FCRA) ограничивает использование информации, касающейся кредитоспособности, кредитного рейтинга, кредитного потенциала, характера, общей репутации, личных характеристик или образа жизни человека, в рамках усилий по определению права на получение кредита, трудоустройство или страхование.

Закон о защите прав потребителей при использовании телефонной связи (Telephone Consumer Protection Act, далее – TCPA) регулирует звонки и текстовые сообщения, отправляемые на мобильные телефоны, а также звонки на домашние телефоны, совершаемые с использованием автоматизированных систем набора номера в маркетинговых целях.

Закон о борьбе с распространением нежелательного маркетинга 2003 года (Controlling the Assault of Non-Solicited Pornography And Marketing Act, далее – CAN-SPAM). CAN-SPAM устанавливает правила отправки коммерческих электронных писем, включая положения, позволяющие получателям отказаться от получения дальнейших сообщений.

Закон о правах на образование и конфиденциальность семьи (Family Educational Rights and Privacy Act, далее – FERPA) позволяет студентам проверять и исправлять свои студенческие записи для обеспечения их точности. Он также запрещает разглашение студенческих записей или другой личной информации студентов без согласия студента или его родителей.

Хотя единого общенационального законодательства не существует, многие штаты США приняли собственные законы о защите данных.

Закон Калифорнии о защите конфиденциальности потребителей (CCPA) действует с 2020 года. Он устанавливает, что жители могут запрашивать у компаний информацию о том, какие данные они собирают, зачем они это делают и откуда берутся эти данные.

Закон Калифорнии о правах на неприкосновенность частной жизни, действующий с 2023 года, вносит поправки и дополняет CCPA, предоставляя жителям возможность запрещать компаниям передавать их персональные данные, запрашивать исправление неточностей в персональных данных и запрещать компаниям использовать конфиденциальную личную информацию, такую ​​как расовая принадлежность и сексуальная ориентация.

Законодательное собрание Калифорнии приняло несколько законопроектов, касающихся ИИ, определяющих понятие ИИ и регулирующих крупнейшие модели ИИ, прозрачность данных для обучения генеративного ИИ, алгоритмическую дискриминацию и дипфейки в избирательных кампаниях.

Закон штата Колорадо о защите персональных данных, действующий с 2023 года, предоставляет потребителям права на управление своими персональными данными и определяет, как предприятия должны защищать персональные данные.

Колорадо стал первым штатом, принявшим широкомасштабное регулирование использования ИИ, известное как Закон Колорадо об искусственном интеллекте. Принятый в 2024 году и вступающий в силу в 2026 году, он потребует от разработчиков систем ИИ «проявлять разумную осмотрительность для защиты потребителей от любых известных или разумно предвидимых рисков алгоритмической дискриминации в системе высокого риска».

Закон штата Коннектикут о защите персональных данных, также известный как Закон штата Коннектикут о защите персональных данных и онлайн-мониторинге, действует с 2023 года. Он определяет права потребителей в отношении персональных данных, онлайн-мониторинга и конфиденциальности данных.

Закон штата Делавэр о защите персональных данных был подписан в 2023 году и вступил в силу 1 января 2025 года. Он определяет права потребителей и требования к предприятиям по защите персональных данных.

Закон штата Флорида о цифровых правах, вступивший в силу в 2024 году, распространяется на организации, валовой доход которых превышает 1 миллиард долларов и которые получают 50% или более своего глобального годового дохода от продажи онлайн-рекламы, используют потребительские умные колонки с облачным голосовым помощником или управляют магазином приложений, содержащим не менее 250 000 приложений.

Закон штата Индиана о защите данных потребителей, вступающий в силу 1 января 2026 года, определяет права потребителей и требования к защите данных, включая доступ к данным, их исправление и удаление, а также возможность отказаться от целевой рекламы.

Закон штата Айова о защите данных потребителей, подписанный в 2023 году, вступил в силу 1 января 2025 года. Он описывает права потребителей и требования к защите данных.

Закон штата Миннесота о защите конфиденциальности потребительских данных вступил в силу 1 июля 2025 года и регулирует порядок доступа потребителей к своим данным, их исправления и удаления, отказа от целевой рекламы, а также получения информации о том, каким третьим сторонам были проданы их данные.

Закон штата Монтана о защите персональных данных потребителей, действующий с 2024 года и дополненный в апреле 2025 года, распространяется на организации, ведущие бизнес в штате Монтана или предоставляющие товары или услуги жителям Монтаны.

Закон штата Небраска о защите персональных данных, вступивший в силу 1 января 2025 года, регулирует ключевые аспекты защиты персональных данных для предприятий, ведущих бизнес в Небраске или на территории ее жителей, а также для предприятий, обрабатывающих или продающих персональные данные.

Закон штата Нью-Гэмпшир о защите конфиденциальности вступил в силу 1 января 2025 года. Он распространяется на организации, ведущие бизнес в Нью-Гэмпшире или создающие продукты или услуги, ориентированные на жителей Нью-Гэмпшира. Он включает положения о правах потребителей и возможностях отказа от обработки персональных данных.

Закон штата Нью-Джерси о защите данных вступил в силу 15 января 2025 года. Он распространяется на организации, ведущие бизнес в Нью-Джерси или создающие продукты или услуги, ориентированные на жителей Нью-Джерси, и включает положения о правах потребителей и возможностях отказа от обработки данных, а также требования к безопасности контролеров и обработчиков данных.

Закон штата Орегон о защите конфиденциальности потребителей вступил в силу в 2024 году. Он определяет права потребителей и правила защиты данных, включая требования к обеспечению безопасности данных для бизнеса, а также права потребителей на доступ, удаление и отказ от обработки данных.

Закон штата Теннесси о защите информации, подписанный в 2023 году, вступил в силу 1 июля 2025 года. Он определяет права потребителей и регулирует требования к защите данных и отчетности о нарушениях безопасности данных для предприятий.

Закон штата Техас о защите конфиденциальности и безопасности данных вступил в силу в 2024 году. Он описывает права потребителей и требования к защите данных для предприятий, включая уведомления о конфиденциальности, согласие на обработку персональных данных и оценку воздействия на данные.

Закон штата Юта о защите конфиденциальности потребителей действует с 2023 года. Он определяет права потребителей и описывает оценки защиты данных предприятий и меры безопасности.

Закон штата Вирджиния о защите персональных данных потребителей действует с 2023 года. Он предоставляет потребителям право доступа, исправления, удаления и публикации своих персональных данных; обязывает предприятия соблюдать правила защиты данных; и затрагивает как государственные, так и негосударственные организации, которые ежегодно обрабатывают определенные объемы персональных данных.

Учитывая важность конфиденциальности и защиты данных, следует ожидать, что все больше штатов официально примут законы о защите данных. Важно отметить, что предприятия, работающие в нескольких штатах, будут сталкиваться с возрастающими трудностями в соблюдении законов о конфиденциальности каждого штата.

Хотя действующее законодательство о защите персональных данных на уровне штатов и местных органов власти представляет собой разрозненную систему, это вполне может привести к принятию в США общенационального закона о защите персональных данных, который будет иметь двухпартийную поддержку и регулировать также разработку, внедрение и применение искусственного интеллекта.

Существует также ряд законов штатов о конфиденциальности и безопасности данных, которые могут пересекаться с федеральным законодательством. Некоторые из этих законов штатов о конфиденциальности частично отменяются федеральными законами, в то время как другие – нет. В некоторых штатах США также действуют законы и правила о конфиденциальности и безопасности данных, которые применяются во всех секторах и выходят за рамки требований, установленных федеральным законодательством, среди которых законы о безопасности данных, безопасном уничтожении данных, конфиденциальности номеров социального страхования, конфиденциальности в Интернете, конфиденциальности биометрической информации и законах об уведомлении о нарушениях безопасности данных. Как правило, эти законы штатов применяются к личной информации о жителях или деятельности, которая осуществляется в каждом из этих штатов соответственно. Таким образом, многие предприятия, работающие в Соединенных Штатах, должны соблюдать не только применимое федеральное законодательство, но и многочисленные законы и правила штатов о конфиденциальности и безопасности.

В сфере медицинских данных также произошли значительные изменения, начиная с 2023 года, когда в штате Вашингтон был принят знаковый закон «Мое здоровье – мои данные» (My Health My Data Act, MHMD). Закон распространяется только на медицинские данные потребителей, но его исключительно широкие определения и сфера применения в сочетании с правом частного иска могут означать, что его исполнение затрагивает данные, которые многие компании обычно не считают «медицинскими» данными. После принятия MHMD другие штаты последовали этому примеру: Невада приняла закон о защите конфиденциальности медицинских данных потребителей (Nevada Consumer Health Data Privacy Law) в рамках законопроекта Сената № 370, вступившего в силу 31 марта 2024 года, а Коннектикут внес поправки в Закон о защите конфиденциальности данных потребителей, включив в него аналогичные положения о защите медицинских данных потребителей, вступившие в силу 1 октября 2023 года.

Коллективные иски о нарушении конфиденциальности продолжают оставаться значительной областью риска в Соединенных Штатах, в том числе в контексте биометрической конфиденциальности (в соответствии с Законом штата Иллинойс о биометрической конфиденциальности), текстовых сообщений (в соответствии с федеральным Законом о защите конфиденциальности потребителей телефонной связи) и записей звонков, прослушивания телефонных разговоров и связанных с этим претензий в соответствии с Законом Калифорнии о вторжении в частную жизнь, Законом о защите конфиденциальности видео и другими законами штатов. Онлайн-мониторинг и целевая деятельность, в том числе с помощью файлов cookie, пикселей, чат-ботов и так называемых инструментов «воспроизведения сеансов», находятся в центре внимания как регулирующих органов, так и адвокатов истцов. В соответствии с CCPA, утечки данных из-за неадекватных мер безопасности предоставляют право на частный иск. Это подчеркивает меняющийся ландшафт судебных разбирательств по вопросам конфиденциальности, акцентируя внимание на необходимости для предприятий соблюдать строгие правила защиты данных, чтобы избежать юридических последствий.

Министерство юстиции предприняло важные шаги для продвижения реализации важнейшей программы по предотвращению использования иностранными противниками коммерческой деятельности для доступа и использования данных, связанных с правительством США, и конфиденциальных личных данных американцев с целью совершения шпионажа и экономического шпионажа, проведения слежки и контрразведывательной деятельности, разработки искусственного интеллекта и военных возможностей, а также для подрыва национальной безопасности.

Программа обеспечения безопасности данных, реализуемая Отделом национальной безопасности в соответствии с Указом Президента № 14117, направлена ​​на противодействие угрозе национальной безопасности и внешней политике Соединенных Штатов.

Для противодействия этой неотложной угрозе Программа защиты данных устанавливает фактически экспортный контроль, который предотвращает доступ иностранных противников, а также лиц, находящихся под их контролем, юрисдикцией, владением и управлением, к данным, связанным с правительством США, и к массивам геномных, геолокационных, биометрических, медицинских, финансовых и других конфиденциальных персональных данных. Чтобы помочь общественности соблюдать требования Программы защиты данных, NSD выпустила Руководство по соблюдению требований, первоначальный список из более чем 100 часто задаваемых вопросов, а также Политику внедрения и обеспечения соблюдения в течение первых 90 дней.

Американским компаниям и компаниям, имеющим сотрудников в США, необходимо знать, ведут ли они дела со странами, вызывающими обеспокоенность, или с лицами, подпадающими под действие данного закона.

Защита личной информации стала более актуальной проблемой в последние годы в связи с появлением новых технологий и распространением персональных данных.