Iowa ist als führender Produzent von Mais, Sojabohnen, Schweinefleisch und Eiern bekannt und wird oft als „Lebensmittelhauptstadt der Welt“ bezeichnet. Zu den Produkten Iowas kommen jedoch nun auch noch Datenschutzgesetze hinzu.
Mit dem Iowa Consumer Data Protection Act (ICDPA), der im März 2023 in Kraft trat, reiht sich Iowa in die wachsende Liste der US-Bundesstaaten ein, die umfassende Datenschutzbestimmungen erlassen. Der ICDPA ähnelt stark Datenschutzgesetzen wie dem Virginia Consumer Data Protection Act (VCDPA) und Utahs Verbraucherdatenschutzgesetz (UCPA), wodurch ein Rahmen geschaffen wird, der Transparenz gewährleistet und den Einwohnern von Iowa die Kontrolle über ihre personenbezogenen Daten gibt.
Für Unternehmen, die in Iowa tätig sind oder Einwohner von Iowa bedienen, ist es von entscheidender Bedeutung, das ICDPA zu verstehen und einzuhalten, um Strafen zu vermeiden und das Vertrauen der Verbraucher zu stärken.
Hauptmerkmale des Iowa Consumer Data Protection Act
1. Geltungsbereich und Anwendung des Gesetzes
Das ICDPA gilt für Organisationen, die:
- Führen Sie Geschäfte in Iowa durch oder stellen Sie Produkte oder Dienstleistungen her, die auf die Einwohner von Iowa ausgerichtet sind.
- Erfüllen Sie mindestens einen der folgenden Schwellenwerte:
- Kontrollieren oder verarbeiten Sie jährlich die personenbezogenen Daten von 100.000 oder mehr Verbrauchern.
- Erzielen Sie einen Bruttoumsatz von 50% oder mehr aus dem Verkauf personenbezogener Daten und verarbeiten Sie die personenbezogenen Daten von mindestens 25.000 Verbrauchern.
Ausnahmen umfassen:
- Regierungsbehörden.
- Unternehmen, die bereits anderen Bundesdatenschutzgesetzen unterliegen, wie beispielsweise HIPAA, GLBA, oder FERPA.
- Gemeinnützige Organisationen und Hochschulen.
2. Datenrechte des Verbrauchers
Das ICDPA gewährt ähnliche Datenschutzrechte wie andere staatliche Verbraucherdatenschutzgesetze. Als Verbraucher gilt eine Person mit Wohnsitz in Iowa, die ausschließlich privat handelt, ausgenommen Personen im beruflichen oder gewerblichen Kontext. Das ICDPA gewährt den Einwohnern Iowas umfassende Rechte zur Kontrolle ihrer personenbezogenen Daten, darunter:
- Recht auf Zugang: Verbraucher können Zugriff auf ihre von Organisationen gespeicherten personenbezogenen Daten anfordern.
- Recht auf Löschen: Verbraucher können die Löschung beantragen ihrer personenbezogenen Daten.
- Recht auf Datenübertragbarkeit: Verbraucher können ihre Daten in einem portablen und nutzbaren Format erhalten.
- Recht auf Opt-Out: Verbraucher können sich abmelden der Verarbeitung personenbezogener Daten für gezielte Werbung, Datenverkauf oder Profilerstellung mit erheblichen rechtlichen oder ähnlichen Auswirkungen.
Organisationen müssen auf Anfragen zu Verbraucherrechten innerhalb von 90 Tage, mit einer optionalen Verlängerung um 45 Tage, falls erforderlich.
3. Pflichten der Organisationen
Transparenz- und Datenschutzhinweise
Organisationen müssen klare und prägnante Datenschutzhinweise bereitstellen, die Folgendes beinhalten:
- Kategorien personenbezogener Daten, die verarbeitet werden.
- Zwecke der Datenerhebung und -verwendung.
- Informationen zu Verbraucherrechten und deren Ausübung.
- Ob personenbezogene Daten verkauft oder weitergegeben werden und wie Verbraucher dem widersprechen können.
Einwilligung zur Verarbeitung sensibler Daten
Ausdrückliche Zustimmung des Verbrauchers ist für die Bearbeitung erforderlich sensible Daten, das Folgendes umfasst:
- Rasse oder ethnische Herkunft.
- Religiöse Überzeugungen.
- Genetische oder biometrische Daten zu Identifikationszwecken.
- Daten zum Gesundheitszustand oder zur sexuellen Orientierung.
Datenminimierung und Zweckbindung
Organisationen dürfen nur personenbezogene Daten erheben und speichern, die für bestimmte, offengelegte Zwecke unbedingt erforderlich sind. Die Verarbeitung personenbezogener Daten für andere Zwecke erfordert die ausdrückliche Zustimmung der Verbraucher.
Sicherheitsanforderungen
Das ICDPA schreibt die Umsetzung angemessener technischer, administrativer und physischer Maßnahmen vor, um personenbezogene Daten vor Verletzung, Verlust oder unbefugtem Zugriff zu schützen.
Prozessorverträge
Organisationen, die Daten mit externen Verarbeitern teilen, müssen Verträge abschließen, um sicherzustellen, dass die Verarbeiter die ICDPA-Anforderungen einhalten.
Durchsetzung und Strafen bei Nichteinhaltung des ICDPA
Die Nichteinhaltung des ICDPA kann erhebliche Strafen nach sich ziehen, darunter Geldbußen von bis zu $7.500 pro Verstoß. Der Generalstaatsanwalt von Iowa kann das Gesetz durchsetzen und gegen Unternehmen, die gegen das Gesetz verstoßen, Geldbußen verhängen. Er erhält jedoch eine Frist, um die Verstöße zu beheben, bevor rechtliche Schritte eingeleitet werden.
Schritte zur Einhaltung des ICDPA
1. Führen Sie eine Dateninventur und eine Zuordnungsübung durch
Identifizieren und ordnen Sie alle personenbezogenen Daten zu, die in Ihrem Unternehmen erfasst, verarbeitet oder gespeichert werden. Verstehen Sie den Lebenszyklus dieser Daten, von der Erfassung bis zur Löschung, um die Einhaltung der Anforderungen zur Datenminimierung und Zweckbindung sicherzustellen.
2. Aktualisierung der Datenschutzhinweise
Überarbeiten Sie Ihre Datenschutzrichtlinien und -hinweise, um alle erforderlichen Angaben gemäß ICDPA zu berücksichtigen. Stellen Sie sicher, dass sie leicht zugänglich und in klarer Sprache verfasst sind und Anweisungen zur Ausübung der Verbraucherrechte enthalten.
3. Implementieren Sie einen Verbraucherrechte-Management-Prozess
Richten Sie einen optimierten Prozess für den Empfang, die Überprüfung und die Beantwortung von Verbraucheranfragen zu Datenrechten ein. Nutzen Sie Automatisierungstools, um die 90-tägige Antwortfrist effizient einzuhalten.
4. Datenerfassungspraktiken bewerten und minimieren
Führen Sie Maßnahmen zur Datenminimierung ein, indem Sie die Datenerfassung auf das für die angegebenen Zwecke unbedingt erforderliche Maß beschränken. Unternehmen sollten außerdem regelmäßig Daten prüfen, um unnötige oder veraltete Informationen zu löschen.
5. Stärkung der Datensicherheitspraktiken
Stellen Sie sicher, dass Ihr Unternehmen hochmoderne Sicherheitsmaßnahmen einsetzt, wie etwa Verschlüsselung, Sicherheitsprüfungen, Schwachstellenbewertungen und Zugriffskontrollen auf Grundlage des Prinzips der geringsten Privilegien.
6. Verträge mit Auftragsverarbeitern prüfen
Überprüfen Sie Verträge mit externen Auftragsverarbeitern, um die Einhaltung des ICDPA sicherzustellen. Fügen Sie Bestimmungen ein, die Auftragsverarbeiter zum Schutz personenbezogener Daten, zur Löschung von Daten auf Anfrage und zur sofortigen Benachrichtigung im Falle einer Datenschutzverletzung verpflichten.
7. Mitarbeiter schulen
Informieren Sie Ihre Mitarbeiter, insbesondere im Kundenkontakt oder im Datenmanagement, über die Anforderungen des ICDPA und ihre Verantwortlichkeiten. Geben Sie Hinweise zum Umgang mit Verbraucherrechtsanfragen und zur Vermeidung von Dark Patterns.
Wie BigID Unternehmen dabei helfen kann, die ICDPA-Konformität zu erreichen
BigID bietet Unternehmen die Technologie zur Optimierung ihrer Datenschutz-, Sicherheits-, Compliance- und KI-Datenmanagement-Praktiken. Von der erweiterten Datenermittlung bis hin zum automatisierten Datenrechtemanagement – die Funktionen von BigID entsprechen genau den Anforderungen der ICDPA und ermöglichen Unternehmen:
- Entdecken und klassifizieren Sie alle persönlichen und sensiblen Daten über strukturierte und unstrukturierte Umgebungen hinweg, um ein Inventar zu erstellen, Datenflüsse abzubilden und vollständige Transparenz zu erlangen.
- Beheben Sie richtlinienbasierte Risiken mit Kontrollen und Arbeitsabläufe, um Maßnahmen gemäß den ICDPA-Anforderungen zu ergreifen.
- Automatisieren Sie die Beantwortung von Verbraucherrechtsanfragen, Präferenzen und Zustimmung, einschließlich der Ablehnung des Datenverkaufs, gezielter Werbung und der Erstellung von Benutzerprofilen.
- Wenden Sie Praktiken zur Datenminimierung an durch Identifizierung, Kategorisierung und Löschung unnötiger oder überzähliger personenbezogener Daten um den Datenlebenszyklus effizient zu verwalten.
- Automatisieren Sie Datenschutzkontrollen um den Datenzugriff und andere Sicherheitsmaßnahmen durchzusetzen, die für den Schutz der Daten und die Einhaltung des ICDPA von entscheidender Bedeutung sind.
Vereinbaren Sie eine 1:1-Demo um zu sehen, wie BigID die ICDPA-Konformität beschleunigen kann.
Autor
