BR 개인정보 보호 및 보안 다운로드: 2022년 1월 | 블랑 로마 LLP

이달호에 오신 것을 환영합니다. BR 개인정보 보호 및 보안 다운로드개인 정보 보호, 보안 및 데이터 보호 관행에 대한 Blank Rome의 디지털 뉴스레터입니다. 이 리소스를 동료와 공유하고 Blank Rome의 개인 정보 보호, 보안 및 데이터 보호를 방문하도록 초대합니다. 웹 페이지 당사 웹사이트에 대한 자세한 정보는 팀.

주 및 지역 법률 및 규정

오하이오 개인정보 보호법이 패널 검토에서 철회되었습니다.

2021년 12월 9일 오하이오주 개인정보 보호법이 통과되었습니다(HB 376), 위원회의 관점에서. 캘리포니아, 콜로라도, 버지니아의 전면적인 개인정보 보호법의 발자취를 따라 이 법안은 소비자에게 어떤 개인 정보가 수집되었는지 알 수 있는 권리, 개인 정보에 액세스 및 삭제할 권리, 판매를 거부할 권리를 제공합니다. 이 법안은 또한 회사가 “합리적으로 접근 가능하고 명확하며 명확하게 게시된 개인 정보 보호 정책”을 제공하고 프로세서와 서면 계약을 체결하여 비즈니스에 서비스를 제공하는 경우를 제외하고 개인 데이터를 처리하지 못하도록 할 것을 요구합니다. 법안의 주요 후원자 중 한 명인 Rick Carvanga(R-Genoa Township)에 따르면 이 법안은 회원들이 법안이 제기하는 문제를 이해할 수 있도록 위원회의 심의에서 철회되었습니다. 이 법안은 현재 계류 중이지만 2022년에 다시 제출될 것이며 상원에서 진행됨에 따라 변경될 것입니다.

캘리포니아 개인정보 보호국(California Privacy Protection Agency)은 CPRA 규정에 대한 이해 관계자 협의에서 공개 의견을 게시합니다.
캘리포니아 개인정보 보호국(“기관”)이 최근에 발표했습니다. 일반적인 답변 대행사에 대한 응답으로 제출됨 초기 의견 수렴 2021년 9월 22일부터 11월 8일까지. 기관은 정보를 수집하고 더 많은 초기 대중의 의견을 얻기 위해 청문회를 개최할 계획입니다. 공식적인 규칙 제정 활동은 기관의 사실 회의가 끝나면 시작됩니다. 캘리포니아 개인정보 보호법(“CPRA”)에 따라 기관은 2022년 7월 1일까지 최종 규정을 채택해야 합니다. 캘리포니아 소비자 개인 정보 보호법(“CCPA”)을 수정하는 CPRA에 의해 설립된 기관은 CCPA를 시행하고, 기존 규정을 업데이트하고, CPRA에 의해 도입된 변경 사항을 구현하기 위해 새로운 규정을 채택할 권한이 있습니다.

뉴욕시는 고용 심사를 위한 자동화된 결정 도구를 규제하는 2023년 법을 제정했습니다.
NYC 센트 법 도구가 편견 감사의 대상이 되고 고용주 또는 채용 기관이 특정 통지 의무를 이행하지 않는 한 고용주 또는 채용 대행사가 자동 채용 결정 도구를 사용하여 후보자 또는 직원을 선별하여 고용 결정을 내리는 것을 금지합니다. 법에 의해 “자동화된 고용 결정 도구”는 기계 학습, 통계 모델링, 데이터 분석 또는 인공 지능에서 파생된 모든 계산으로 점수, 등급 또는 권장 사항을 포함하여 단순화된 출력을 생성하여 지원하거나 대체하는 데 사용됩니다. 임의적 의사 결정 과정 자연인에게 영향을 미치는 고용 결정을 내리기 위해. 법을 위반할 경우 첫 번째 위반 및 첫 번째 위반과 같은 날에 발생하는 추가 위반에 대해 최대 $500의 벌금이 부과될 수 있으며, 이후 위반에 대해서는 $500에서 $1,500 사이의 벌금이 부과될 수 있습니다. 이 법은 2023년 1월 1일부터 시행됩니다.

연방법 및 규정

FTC 파일은 개인 정보 보호 및 시력에 AI 규칙 적용
2021년 12월 10일 연방거래위원회(FTC)는 메모를 제출했습니다. 제안된 규칙 설정에 대한 사전 통지 (“사전 통지”) 예산 관리국과 함께. 사전 통지의 짧은 텍스트는 FTC가 “느슨한 보안 관행을 줄이고 개인 정보 침해를 줄이고 알고리즘 의사 결정이 불법적인 차별로 이어지지 않도록 하기 위해” 규칙 제정 활동을 시작하는 것을 고려하고 있음을 나타냅니다. 사전 통지는 제안된 규칙 작성 통지에 따라 규칙 작성 프로세스가 공식적으로 구현되기 전에 이해 관계자의 피드백을 요청하기 위한 것입니다. 사전고시는 2022년 2월로 예정돼 있다. 이때 공정위는 사전공고에 따른 청원기간을 시작하거나 전체 규정 제정 절차를 시작한다. 규칙은 개인 데이터 사용과 관련하여 불공정하고 기만적인 행위 및 관행에 대한 추가 식별을 제공할 수 있습니다. FTC 규칙을 위반하면 민사 처벌을 받을 수 있습니다.

미국 집행

FTC, COPPA 위반에 대한 OpenX 합의
2021년 12월 15일 연방거래위원회(Federal Trade Commission)는 다음과 같이 발표했습니다. 발표하다 OpenX Technologies, Inc.에 대한 소송을 해결했습니다. (“OpenX”) 온라인 광고 플랫폼, 아동 온라인 개인 정보 보호법(“COPPA”)을 위반하여 부모의 동의 없이 13세 미만 아동의 개인 정보를 수집합니다. 그만큼 불평FTC를 대신하여 법무부가 제출한 OpenX는 OpenX가 데이터 수집에 참여하지 않기로 선택한 사용자로부터 지리적 위치를 수집하지 않았다고 거짓 주장함으로써 OpenX가 FTC 법을 위반했다고 주장했습니다. 특히 옵트아웃한 후에도 Android. 사건은 200만 달러에 합의됐다. 수준 측량 요구 또한 OpenX는 타겟 광고를 제공하기 위해 수집된 모든 광고 요청 데이터를 삭제하고, 아동 온라인 개인정보 보호법(COPPA)을 준수하도록 포괄적인 개인정보 보호 프로그램을 구현하고, 13세 미만 아동에 대한 개인 데이터 수집 및 보유를 중단해야 합니다.

뉴저지 법무장관, 의료 제공자와 데이터 침해 합의 발표
뉴저지 법무장관 발표하다 2021년 12월 15일에 도달했습니다. 합의 3명의 암 치료 제공자가 환자 데이터를 적절하게 보호하지 못하여 뉴저지 소비자 사기법과 건강 보험 양도 및 책임법을 위반하여 100,000명 이상의 소비자에게 영향을 미쳤다고 주장합니다. 합의에 따라 Regional Cancer Care Associates LLC, RCCA MSO LLC 및 RCCA MD LLC(총칭하여 “RCCA”)는 $425,000의 벌금, 변호사 수임료, 조사 비용을 지불하고 포괄적인 정보 보안 및 사고 대응 계획 프로그램을 구현하는 데 동의했습니다. , 최고 보안 책임자 정보를 고용하고 추가 직원 교육을 실시하고 RCCA의 안전 관행에 대한 독립적인 제3자 평가를 받습니다. 검찰의 주장에 따르면 RCCA는 여러 직원의 이메일 계정을 훼손한 피싱 공격의 결과로 침해 사고를 당했다. 그런 다음 RCCA는 13,000명 이상의 생존 환자의 친족에게 잘못 알렸고, 이로 인해 건강 정보가 추가로 무단 공개되었습니다.

FTC, 감시 사업에서 스토커웨어 제공자 금지
2021년 12월 21일 연방거래위원회는 주문 완료 Support King, LLC 및 그 전무이사는 감시 애플리케이션, 서비스 또는 비즈니스를 표시, 홍보, 판매 또는 광고하는 것이 금지되어 있습니다. 연방거래위원회(FTC)는 SpyFone.com이라는 이름으로 사업을 하던 Support King이 구매자가 기기 소유자 모르게 사진, 텍스트, 웹 기록, GPS 위치 및 기타 정보를 휴대전화에서 모니터링할 수 있는 앱을 판매했다고 주장했습니다. 회사는 기기 사용자가 기기가 모니터링되고 있음을 알지 못하도록 앱을 숨기는 방법에 대한 지침을 구매자에게 제공했습니다. 또한 Support King은 앱을 통해 불법적으로 수집된 모든 정보를 삭제하고 앱이 설치된 기기의 소유자에게 기기가 모니터링되고 있으며 안전하지 않을 수 있음을 알릴 것을 요구합니다.

국제법 및 규정

독일 법원 판결, 미국 기반 쿠키 관리 제공업체가 제공한 불법 개인 데이터 전송 사용 요구
2021년 12월 1일 독일 비스바덴 행정 법원(“비스바덴 법원”) 임시 결정을 내렸습니다 독일 대학에서 미국 기반 회사가 부분적으로 제공하는 서비스를 사용하여 개인 데이터를 수집하는 쿠키 관리 도구를 사용하면 개인 데이터가 유럽 연합을 떠나는지 여부에 관계없이 허용되지 않는 전송이 발생한다고 믿습니다. 쿠키 관리자는 쿠키 기본 설정을 추적하기 위해 사용자의 IP 주소와 임의로 생성된 사용자 키를 수집합니다. 수집 프로세스를 용이하게 하기 위해 쿠키 관리 도구는 미국 공급자의 기술을 사용했습니다. 비스바덴 법원은 미국에 위치한 제공자가 데이터의 해외 법적 사용에 대한 설명법(“CLOUD”)에 따라 자신이 소유한 모든 데이터를 미국 당국에 제공할 의무가 있을 수 있기 때문에 개인 데이터의 무단 전송이 발생했다고 판결했습니다. . Wiesbaden 법원의 분석은 데이터 수입자가 “제3국”에 있어야 한다는 전송 정의에 대한 최근의 유럽 데이터 보호 위원회(“EDPB”) 지침과 다릅니다. Wiesbaden 법원은 또한 “재배치”가 EDPB 지침이 허용하는 것과 다른 상당한 위험을 초래했는지 여부를 결정하기 위해 해당 제3국의 관행을 평가하지 못했습니다. 결정은 절차의 중간 단계에서 이루어졌기 때문에 재판이 진행되는 동안에도 여전히 수정할 수 있습니다. 결국 이 결정을 따르면 미국 공급자의 플러그인 또는 기타 기술을 사용하는 웹사이트 운영자에게 위험이 따릅니다. 이 결정은 또한 일반적으로 유럽 법원 및 규제 기관에서 데이터 전송에 대한 접근 방식을 제한하는 경향이 증가하고 있음을 보여줍니다.

유럽 ​​데이터 보호 위원회(European Data Protection Council)는 데이터 침해 통지 지침의 최종 버전을 발표합니다.
2021년 12월 15일 EDPB는 최종 버전을 채택했다고 발표했습니다. 데이터 침해 통지의 예에 대한 지침 종합상담 후. EDPB는 지침이 실천 지향적인 지침과 권장 사항을 추가로 제공함으로써 29조 작업 부분에서 이전에 발표한 지침을 보완한다고 명시합니다. 이 지침은 컨트롤러가 데이터 침해를 처리하고 위험 평가 중에 고려해야 할 요소를 식별하는 데 도움을 주기 위한 것입니다.

유럽연합 집행위원회, 한국에 대한 적합성 결정 발표
2021년 12월 17일, 유럽연합 집행위원회는 한국 개인정보 보호위원회(이하 “PIPC”)와 함께 다음을 발표했습니다. 공동 보도 자료 유럽연합 집행위원회 인증 발표 해결 일반 데이터 보호 규정(“GDPR”)에 따라 유럽 연합에서 한국으로 개인 데이터를 전송합니다. 적합성 결정은 한국의 개인정보 보호법(“PIPA”)이 일반 데이터 보호 규정(GDPR)과 유사한 원칙, 보장, 개인의 권리 및 의무를 제공함을 확인합니다. 적합성 결정은 한국의 독립적인 데이터 보호 기관인 PIPC의 조사 및 집행 권한을 강화한 PIPA 개정에 따른 것입니다. 또한, 충분성 논의 동안 유럽 집행위원회와 PIPC는 투명성과 관련하여(한국 데이터 수입자가 유럽인들에게 자신의 데이터 처리에 대해 알리도록 요구함으로써) 한국에서 처리되는 개인 데이터 보호를 강화하기 위한 몇 가지 추가 보호 장치에 동의했습니다. 데이터. ) 및 후속 데이터 이전(다른 국가로 이전될 때 데이터가 동일한 수준의 보호 혜택을 계속 누릴 수 있도록 보장). 이 규칙은 PIPC와 한국 법원에 의해 구속력이 있고 집행 가능합니다.

라이브 CLE 웨비나

향후 개인정보 보호 규정 준수, 2부: 주 소비자 권리 및 고지 활성화

2022년 1월 12일 수요일
동부 표준시 오후 1시-2시
오전 10:00 – 11:00 태평양 표준시

지금 등록 >>

캘리포니아 개인정보 보호법(CPRA), 버지니아 소비자 데이터 보호법(VCDPA) 및 콜로라도 개인정보 보호법(Colo PA)은 개인 정보에 대한 소비자 권리와 통제를 크게 확대하고 통지 및 투명성에 대한 새로운 요구 사항을 부과합니다. 이러한 법률의 의무와 캘리포니아 소비자 개인 정보 보호법 및 유럽 연합 일반 데이터 보호 규정과 같은 기타 포괄적인 개인 정보 보호 법률에 따른 기존 의무 간의 주요 차이점으로 인해 기업은 이러한 새로운 법률을 준수하는 방법을 신중하게 평가해야 합니다.

미래 규정 준수 감사에 대한 Blanc Roma의 다중 파트 웨비나 시리즈 2부에 참여하십시오. 여기에서 개인 정보 보호, 보안 및 데이터 보호 실무 그룹의 지식이 풍부한 변호사가 소비자 권리, 투명성 및 요구 사항 선택의 세부 사항과 주요 차이점을 탐구합니다. CPRA, VCDPA 및 Colo PA.

이벤트에 대한 자세한 내용은 Courtney Litman에게 문의하십시오.