قوانین حریم خصوصی ایندیانا، کنتاکی و رود آیلند در سال ۲۰۲۶ اجرایی شدند: آنچه کسب‌وکارهای کوچک باید بدانند

اگر کسب‌وکار شما ایمیل مشتریان را برای یک خبرنامه جمع‌آوری می‌کند، تبلیغات هدفمند در اینستاگرام اجرا می‌کند، یا تاریخچه سفارشات را در یک CRM ذخیره می‌کند، ممکن است فرض کنید قوانین حریم خصوصی ایالتی یک مشکل مربوط به ایالت‌های ساحلی هستند - کالیفرنیا، شاید کلرادو، قطعاً نه غرب میانه یا نیوانگلند. این فرضیه اکنون بسیار پرهزینه‌تر شده است. از ۱ ژانویه ۲۰۲۶، ایندیانا، کنتاکی و رود آیلند همگی قوانین جامع حریم خصوصی داده‌های مصرف‌کننده را در کتاب خود دارند و تعداد کل ایالت‌های دارای این نوع قانون را به بیست رسانده‌اند. اگر کسب‌وکار شما در هر یک از این سه ایالت مشتری، کارمند یا بازدیدکننده وب‌سایت دارد، قوانینی که قبلاً احساس می‌شد «فقط مخصوص شرکت‌های بزرگ و ایالت‌های بزرگ» هستند، اکنون برای شما نیز اعمال می‌شوند.

در اینجا آنچه واقعاً تغییر کرده، چه کسانی باید رعایت کنند، و یک صاحب کسب‌وکار کوچک در این سه‌ماهه چه باید بکند، آورده شده است.

چرا سه ایالت به طور همزمان؟​

ایندیانا، کنتاکی و رود آیلند یک حمله غافلگیرکننده به کاغذبازی کسب‌وکارهای کوچک را هماهنگ نکردند - آن‌ها آخرین موج در الگویی هستند که از زمانی که ویرجینیا اولین قانون حریم خصوصی «نسل دوم» را در سال ۲۰۲۱ تصویب کرد، در حال شکل‌گیری بوده است. هر قانون جدید ایالتی تمایل زیادی به وام‌گرفتن از قانون قبلی (عمدتاً قانون ویرجینیا) دارد، با تغییرات کوچک در آستانه‌ها، اجرا و حقوق مصرف‌کننده. این خبر خوبی برای کسب‌وکارهای چند ایالتی است: وقتی یکی از این قوانین را درک کنید، دو قانون دیگر ۸۰٪ آشنا هستند.

خبر بد ۲۰٪ باقی‌مانده است. تفاوت‌های کوچک در آستانه‌های اعمال، دوره‌های اصلاح و الزامات انصراف به این معنی است که نمی‌توانید فقط یک خط‌مشی حریم خصوصی مطابق با ویرجینیا را کپی کرده و آن را در هر سه ایالت تمام‌شده تلقی کنید. هرکدام ویژگی‌های خاص خود را دارد.

قانون حفاظت از داده‌های مصرف‌کننده ایندیانا (ICDPA)​

قانون ایندیانا از میان سه قانون، دوستدار کسب‌وکار است و ارزش درک دلیل آن را دارد.

چه کسانی را پوشش می‌دهد: کسب‌وکارهای انتفاعی که در ایندیانا فعالیت می‌کنند یا کالاها/خدمات را به ساکنان ایندیانا هدف قرار می‌دهند و در طول یک سال تقویمی یا:

• داده‌های شخصی حداقل ۱۰۰,۰۰۰ ساکن ایندیانا را کنترل یا پردازش می‌کنند، یا
• داده‌های شخصی حداقل ۲۵,۰۰۰ ساکن ایندیانا را کنترل یا پردازش می‌کنند و بیش از ۵۰٪ از درآمد ناخالص خود را از فروش داده‌های شخصی به دست می‌آورند

آن آستانه دوم همان چیزی است که بی‌سر و صدا عملیات‌های کوچک‌تر را گرفتار می‌کند - یک کارگزار داده یا شرکت فناوری تبلیغات با تعداد مشتریان متوسط اما مدل درآمدی مبتنی بر فروش داده می‌تواند مدت‌ها قبل از رسیدن به شش رقم «مشتری» از این مرز عبور کند.

چه چیزی آن را دوستدار کسب‌وکار می‌کند:

• یک دوره اصلاح ۳۰ روزه دائمی - بدون تاریخ انقضا، برخلاف برخی ایالت‌ها که دوره مهلت برای رفع تخلف قبل از اجرا پس از چند سال منقضی می‌شود
• هیچ الزامی برای شناسایی مکانیزم‌های انصراف همگانی مانند سیگنال Global Privacy Control (در ادامه بیشتر در مورد اهمیت این موضوع)
• اجرای انحصاری توسط دادستان کل ایندیانا - بدون حق اقدام خصوصی، بنابراین مصرف‌کنندگان نمی‌توانند مستقیماً به دلیل تخلف از شما شکایت کنند
• معافیت‌های استاندارد برای نهادهای تحت پوشش HIPAA، سازمان‌های غیرانتفاعی، مؤسسات آموزش عالی و برخی مؤسسات مالی

اگر کسب‌وکار شما از قبل از قانون حریم خصوصی ویرجینیا یا کلرادو پیروی می‌کند، انطباق با ایندیانا عمدتاً به‌روزرسانی اطلاعیه حریم خصوصی برای اشاره به قانون جدید و تأیید فرآیندهای انصراف و درخواست موضوع داده موجود برای پوشش ساکنان ایندیانا است.

قانون حفاظت از داده‌های مصرف‌کننده کنتاکی (KCDPA)​

قانون کنتاکی مسیر غیرمعمولی را طی کرد: مجلس قانونگذار اصلاحیه‌هایی (HB 473) را قبل از اینکه قانون اصلی حتی اجرایی شود تصویب کرد، بنابراین کسب‌وکارها از روز اول با یک نسخه از پیش وصله‌شده رعایت می‌کنند.

HB 473 چه چیزی را تغییر داد:

• داده‌های مراقبت‌های بهداشتی که توسط نهادهای تحت پوشش HIPAA نگهداری می‌شوند و قبلاً به عنوان اطلاعات بهداشتی محافظت‌شده نگهداری می‌شوند، از الزامات KCDPA معاف هستند - این شکافی را می‌بندد که در آن کسب‌وکارهای مرتبط با سلامت ممکن است برای داده‌های مشابه با تعهدات همپوشان HIPAA و KCDPA روبرو شوند
• الزام تکمیل ارزیابی تأثیر حفاظت از داده (DPIA) برای فعالیت‌های پروفایل‌سازی فقط به مواردی با تأثیر نابرابر غیرقانونی محدود شد - یعنی پروفایل‌سازی پتانسیل آسیب نامتناسب به اعضای یک گروه تحت حفاظت را دارد، نه هر فعالیت پروفایل‌سازی

اجرا و جریمه‌ها: دادستان کل کنتاکی باید قبل از پیگیری اجرا، اخطار صادر کرده و یک دوره اصلاح ۳۰ روزه اعطا کند. مانند ایندیانا، این دوره اصلاح در حال حاضر تاریخ انقضا ندارد، که وضعیت ریسک پایین‌تری نسبت به ایالت‌هایی است که دوره اصلاح پس از تعداد معینی سال ناپدید می‌شود. اگر تخلف اصلاح نشود، جریمه‌های مدنی می‌تواند تا ۷,۵۰۰ دلار به ازای هر تخلف باشد - و «به ازای هر تخلف» در قانون حریم خصوصی معمولاً به معنای به ازای هر رکورد مصرف‌کننده تحت تأثیر است، نه به ازای هر حادثه، بنابراین این می‌تواند با اندازه مجموعه داده به سرعت افزایش یابد.

قانون شفافیت داده و حفاظت از حریم خصوصی رود آیلند (RIDTPPA)​

رود آیلند در میان سه قانون، یک استثناست، با کمترین آستانه اعمال و دوست‌دارترین چارچوب اجرایی برای مصرف‌کننده.

چه کسانی را پوشش می‌دهد: نهادهایی که داده‌های شخصی حداقل ۳۵,۰۰۰ مصرف‌کننده را کنترل یا پردازش می‌کنند، یا ۱۰,۰۰۰ مصرف‌کننده اگر بیش از ۲۰٪ درآمد از فروش داده‌های شخصی باشد. این ترکیب ۱۰,۰۰۰ مصرف‌کننده/۲۰٪ درآمد واقعاً یک مانع پایین است - یک کسب‌وکار تجارت الکترونیک کوچک با یک جریان درآمد جانبی از فروش لیست مشتریان به شرکای بازاریابی می‌تواند با یک لیست پستی کوچک‌تر از بسیاری از گروه‌های فیسبوک محلی به این آستانه برسد.

الزامات کلیدی:

• رضایت صریح قبل از پردازش داده‌های شخصی حساس (سلامت، بیومتریک، موقعیت جغرافیایی دقیق و دسته‌بندی‌های مشابه)، با مکانیزمی برای مصرف‌کنندگان برای اعطا و لغو آن رضایت
• مصرف‌کنندگان می‌توانند از تبلیغات هدفمند، فروش داده‌های شخصی و پروفایل‌سازی انصراف دهند - اما رود آیلند نیازی به رعایت سیگنال‌های انصراف همگانی مانند Global Privacy Control ندارد، بنابراین انصراف‌ها باید به صورت سایت‌به-سایت و نه از طریق یک سیگنال سطح مرورگر واحد مدیریت شوند
• تخلفات به عنوان اقدامات تجاری فریبنده تلقی می‌شوند، با جریمه‌های تا ۱۰,۰۰۰ دلار به ازای هر تخلف

آن چارچوب «اقدامات تجاری فریبنده» قابل توجه است: تخلفات حریم خصوصی را به قانون حمایت از مصرف‌کننده موجود رود آیلند مرتبط می‌کند، که می‌تواند الگوهای اجرایی و سابقه خاص خود را فراتر از آنچه یک قانون حریم خصوصی هدفمند به تنهایی ایجاد می‌کند، داشته باشد.

موضوع مشترک: ارزیابی‌های ریسک​

در هر سه ایالت، یک تعهد به طور مداوم ظاهر می‌شود و کسب‌وکارهای کوچک را بیش از هر حق مصرف‌کننده‌ای گرفتار می‌کند: الزام به انجام یک ارزیابی حفاظت از داده (گاهی DPIA نامیده می‌شود) قبل از درگیر شدن در فعالیت‌های پردازش «پرریسک». این معمولاً شامل موارد زیر است:

• تبلیغات هدفمند
• فروش یا اشتراک‌گذاری داده‌های شخصی با اشخاص ثالث
• پردازش دسته‌بندی‌های داده‌های حساس
• پروفایل‌سازی که می‌تواند منجر به اثرات قانونی یا به طور مشابه قابل توجه بر مصرف‌کننده شود

اگر کسب‌وکار شما تبلیغات ریتارگتینگ اجرا می‌کند، هر لیست مشتری را می‌فروشد یا مجوز می‌دهد، یا از ابزارهای خودکار برای امتیازدهی یا بخش‌بندی مشتریان استفاده می‌کند، احتمالاً به یک ارزیابی مستند نیاز دارید - نه چیزی که اگر دفتر دادستان کل سراغتان بیاید، به صورت واکنشی تولید کنید.

یک چک‌لیست انطباق عملی​

برای انجام اصول اولیه به مشاور خارجی نیاز ندارید. از اینجا شروع کنید:

1. مواجهه خود را شمارش کنید. برای هر ایالت، تخمین بزنید که سالانه داده‌های شخصی چند ساکن را کنترل یا پردازش می‌کنید و آیا سهم قابل توجهی از درآمد از فروش داده‌ها حاصل می‌شود. این تعیین می‌کند که کدام قوانین واقعاً برای شما اعمال می‌شوند.
2. اطلاعیه حریم خصوصی خود را به‌روزرسانی کنید. اگر تحت پوشش هستید، به حقوق خاص ساکنان ایندیانا، کنتاکی و رود آیلند (دسترسی، تصحیح، حذف، انصراف از فروش/تبلیغات هدفمند/پروفایل‌سازی) اشاره کنید.
3. یک فرآیند درخواست حقوق مصرف‌کننده ایجاد کنید (یا تأیید کنید). شما به راهی نیاز دارید که مصرف‌کنندگان بتوانند درخواست‌های دسترسی، حذف و تصحیح را ارسال کنند و شما بتوانید آن‌ها را در بازه زمانی پاسخگویی قانون انجام دهید.
4. پردازش پرریسک خود را مستند کنید. اگر تبلیغات هدفمند اجرا می‌کنید، داده می‌فروشید یا مشتریان را پروفایل می‌کنید، بنویسید چه کاری انجام می‌دهید، چرا و چه اقدامات حفاظتی وجود دارد. این ارزیابی حفاظت از داده شماست.
5. مدیریت داده‌های حساس را جدا کنید. داده‌های سلامت، بیومتریک و موقعیت مکانی دقیق در رود آیلند به رضایت صریح نیاز دارند و به طور کلی به مراقبت بیشتری نیاز دارند - این رضایت را در یک چک‌باکس شرایط خدمات عمومی ادغام نکنید.
6. قراردادهای فروشنده خود را بررسی کنید. اگر یک پردازشگر پرداخت، پلتفرم ایمیل یا شبکه تبلیغاتی داده‌های شخصی را از طرف شما پردازش می‌کند، قراردادهای شما با آن‌ها باید تعهدات آن‌ها را به عنوان «پردازشگر» داده تحت این قوانین منعکس کند.

چرا این به حساب‌های شما برمی‌گردد​

کار انطباق مانند این اغلب یک مشکل کمتر آشکار را آشکار می‌کند: اکثر کسب‌وکارهای کوچک پاسخ روشنی به این ندارند که «کدام فروشندگان به داده‌های مشتری دسترسی دارند و به آن‌ها چه می‌پردازیم؟» این در واقع یک سوال حسابداری به اندازه یک سوال حقوقی است. اگر نمودار حساب شما هزینه فناوری تبلیغات، هزینه‌های پردازش داده و اشتراک‌های CRM را به طور تمیز از هزینه‌های نرم‌افزاری عمومی جدا نمی‌کند، برای شناسایی اینکه کدام روابط فروشنده به یک ضمیمه پردازش داده نیاز دارند، تلاش خواهید کرد - چه رسد به اینکه به یک نهاد نظارتی ثابت کنید که می‌دانید داده‌های مشتری به کجا جریان می‌یابد.

حسابداری متن‌محور این نوع ممیزی را بسیار آسان‌تر از جستجو در یک داشبورد SaaS جعبه سیاه می‌کند. زیرا هر تراکنش در Beancount یک ورودی قابل خواندن توسط انسان و نسخه‌بندی‌شده است، می‌توانید در ثانیه‌ها دفتر کل خود را برای هر پرداختی به یک پلتفرم تبلیغاتی، کارگزار داده یا فروشنده تحلیل جستجو کنید - و «کدام یک از فروشندگان ما داده‌های مشتری را لمس می‌کنند؟» را از یک شکار گنج چند روزه به یک پرس و جوی پنج دقیقه‌ای تبدیل کنید.

انطباق و حساب‌های خود را در یک مکان نگه دارید​

با تصویب قوانین حریم خصوصی بیشتر ایالت‌ها که به کسب‌وکارهای کوچک‌تر و کوچک‌تری می‌رسند، دانستن اینکه دقیقاً کدام فروشندگان داده‌های مشتری را پردازش می‌کنند - و به آن‌ها چه می‌پردازید - دیگر اختیاری نیست. Beancount.io به شما حسابداری متن‌محور با شفافیت کامل و تاریخچه نسخه‌ها می‌دهد، بنابراین ردیابی روابط فروشنده داده خود از طریق سوابق مالی شما به سادگی جستجوی یک فایل متنی است. همین حالا به صورت رایگان شروع کنید و داستان انطباق خود را به اندازه حساب‌هایتان تمیز نگه دارید.