การกำหนดการปฏิบัติตามข้อกำหนด: ตำแหน่งที่ความเป็นส่วนตัวและความปลอดภัยของข้อมูลทั่วโลกกำลังมุ่งหน้าไปในปี 2019
เผยแพร่แล้ว: 2019-01-31ฤดูใบไม้ผลิที่แล้วทำให้นักการตลาด มืออาชีพด้านไอที และนักกฎหมายต้องวุ่นวายอยู่ไม่น้อย ต้องขอบคุณ กฎระเบียบให้ความคุ้มครองข้อมูลส่วนบุคคล ของผู้บริโภค (GDPR) ของสหภาพยุโรป ซึ่งมีผลบังคับใช้ในเดือนพฤษภาคม 2018 กฎหมายที่เปลี่ยนแปลงนี้เขย่าความเป็นส่วนตัวและความปลอดภัยของข้อมูลอย่างที่เราทราบ ไม่ใช่แค่ในสหภาพยุโรป แต่ทั่วโลก โดยให้บริษัทต่างๆ รับผิดชอบในการจัดการข้อมูลลูกค้า และเน้นย้ำถึงสิทธิ์ของบุคคลในการควบคุมข้อมูลของตนเองอีกครั้ง
หลายเดือนนับแต่นั้นมา เราได้ยินกรณีที่ยักษ์ใหญ่ด้านเทคโนโลยีอย่าง Facebook และ Google ต้องเผชิญกับค่าปรับและการดำเนินการทางกฎหมายอื่น ๆ ที่เกี่ยวข้องกับความล้มเหลวในการเปิดเผยอย่างเพียงพอว่าพวกเขาใช้ข้อมูลส่วนบุคคลอย่างไรและการปฏิบัติตามข้อกำหนดอื่น ๆ นอกจากนี้ GDPR ยังได้เริ่มการสนทนาและการดำเนินการที่เพิ่มขึ้นเกี่ยวกับความเป็นส่วนตัวและความปลอดภัยของข้อมูล ซึ่งทำให้ชัดเจนว่าประเด็นสำคัญในพื้นที่สำคัญนี้อยู่ไกลจากการตกลงกัน
ในขณะที่ปี 2019 กำลังดำเนินไป คำถามใหญ่ข้อหนึ่งที่แบรนด์ใหญ่และเล็กทั่วโลกเผชิญอยู่คือ ปีใหม่มีไว้เพื่อความเป็นส่วนตัวและความปลอดภัยของข้อมูลทั่วโลกอย่างไร และในขณะที่เราไม่มีลูกบอลคริสตัลที่ใช้งานได้ที่ Braze เราก็มีสิ่งที่ดีที่สุดรองลงมา—รองประธานอาวุโสฝ่ายกฎหมาย ที่ปรึกษาทั่วไป และเลขานุการบริษัท Susan Wiseman และรองที่ปรึกษาทั่วไปและผู้อำนวยการอาวุโส (EMEA) Marjorie Armitage ซึ่งเป็นแนวหน้าของพื้นที่ที่กำลังพัฒนาแห่งนี้ในช่วงไม่กี่ปีที่ผ่านมา อ่านต่อไปเพื่อดูแผนที่คาดการณ์สำหรับปีหน้า:
1) เน้นสิทธิความเป็นส่วนตัวของผู้บริโภคจะแพร่กระจายไปนอกสหภาพยุโรป
นักกฎหมายหลายคนจะบอกคุณว่า GDPR ไม่ได้แปลกใหม่เป็นพิเศษเมื่อพูดถึงแนวคิดทางกฎหมายหลัก กฎระเบียบมักจะคลุมเครือและจงใจ ซึ่งเป็นส่วนหนึ่งของความพยายามของผู้ร่างกฎหมายเพื่อให้กฎหมายยังคงยืดหยุ่นและมีความเกี่ยวข้องในขณะที่เทคโนโลยีพัฒนาขึ้น (ท้ายที่สุดแล้ว กฎหมายของสหภาพยุโรปที่ GDPR เข้ามาแทนที่ คือคำสั่งคุ้มครองข้อมูล มีผลบังคับใช้มาเป็นเวลา 23 ปีแล้ว ย้อนกลับไปเมื่อสมาร์ทโฟนเป็นเพียงชั่วพริบตาในสายตาของสตีฟ จ็อบส์) สิ่งที่ทำให้ GDPR โดดเด่นจากฝูงชนคือหนทาง ที่ทำงานเพื่อปกป้องพลเมืองของประเทศในสหภาพยุโรป โดยการวาดภาพความเป็นส่วนตัวและความปลอดภัยของข้อมูลเป็นสิทธิมนุษยชนขั้นพื้นฐาน กฎหมายได้ดำเนินการหลายอย่างเพื่อให้แน่ใจว่าองค์กรในประเทศอื่น ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของพลเมืองสหภาพยุโรปใช้ประเด็นเหล่านี้ - และการปฏิบัติตาม - อย่างจริงจัง
อันที่จริงแล้ว สหภาพยุโรปและอีกหลายประเทศในโลกมีกฎหมายที่เข้มงวดในการปกป้องข้อมูลส่วนบุคคล สหภาพยุโรปอนุญาตให้บริษัทต่างๆ ถ่ายโอนข้อมูลส่วนบุคคลจากสหภาพยุโรปไปยังประเทศอื่นๆ ที่มีกฎหมายที่เข้มงวดเท่าเทียมกัน สหภาพยุโรปอ้างถึงประเทศเหล่านี้เป็นเขตอำนาจศาลที่ "เพียงพอ" แต่ตัวอย่างเช่น หากคุณเป็นบริษัทสื่อที่ตั้งอยู่ในสหรัฐอเมริกา ซึ่งเป็นประเทศที่ปัจจุบันยังไม่ได้รับการยอมรับว่าเพียงพอตามมาตรฐานของสหภาพยุโรป คุณยังคงสามารถประมวลผลข้อมูลส่วนบุคคลจากลูกค้าของคุณในสหภาพยุโรปได้ตราบเท่าที่คุณมี ตกลงกับลูกค้าของคุณว่าคุณจะปกป้องข้อมูลส่วนบุคคลในลักษณะที่เกินข้อกำหนดของกฎหมายของสหรัฐอเมริกา คุณสามารถทำได้โดยการรับรองตนเองใน Privacy Shield หรือโดยการลงนาม Model Clauses กับลูกค้าของคุณ ทั้ง Privacy Shield และ Model Clauses ใช้ในการตรวจสอบการถ่ายโอนข้อมูลส่วนบุคคลไปยังสหรัฐอเมริกา การทำเช่นนั้นโดยปราศจากวิธีการที่สหภาพยุโรปยอมรับจะเป็นการละเมิดกฎหมายของสหภาพยุโรป
ข้อตกลงประเภทนี้มีความสำคัญเนื่องจากอาจเป็นเรื่องยากสำหรับประเทศที่จะบรรลุความเพียงพอ ตัวอย่างเช่น เนื่องจากสหรัฐอเมริกายังไม่มีกฎหมายระดับประเทศที่ครอบคลุมซึ่งสอดคล้องกับ GDPR บริษัทในสหรัฐฯ จึงสามารถประมวลผลข้อมูลส่วนบุคคลในสหภาพยุโรปได้ก็ต่อเมื่อพวกเขาได้ลงนามใน Model Clauses กับลูกค้าของตน หรือหากพวกเขาได้รับการรับรองด้วยตนเอง สู่ EU-US Privacy Shield Framework ซึ่งทำให้บริษัทในสหภาพยุโรปสามารถถ่ายโอนข้อมูลส่วนบุคคลของพลเมืองในสหภาพยุโรปไปยังบริษัทในสหรัฐอเมริกาได้ (เช่น Braze เป็นต้น)
2) สหรัฐอเมริกาอาจจะ ไม่ ร่างกฎหมายความเป็นส่วนตัวของข้อมูลของรัฐบาลกลางในปี 2019—แต่กฎหมายของรัฐจะมีผลบังคับใช้
แม้ว่าจะเป็นความจริงที่สหรัฐฯ ไม่มีกฎหมายระดับประเทศที่เป็นไปตามมาตรฐานที่กำหนดโดยหน่วยงานคุ้มครองข้อมูลในสหภาพยุโรป เมื่อพูดถึงความเป็นส่วนตัวและความปลอดภัยของข้อมูลผู้บริโภค เราก็ค่อยๆ เริ่มเห็นทีละรัฐ กฎหมายเข้ามามีบทบาท
ปีที่แล้ว แคลิฟอร์เนียกลายเป็นรัฐแรกในประเทศที่ผ่านกฎหมายว่าด้วยความเป็นส่วนตัวของข้อมูลฉบับใหม่ด้วยการสร้างพระราชบัญญัติความเป็นส่วนตัวของผู้บริโภคแห่งแคลิฟอร์เนีย กฎหมายฉบับนี้ถือเป็นมาตรฐานที่แปลกใหม่สำหรับข้อกำหนดด้านความเป็นส่วนตัวของข้อมูลของสหรัฐอเมริกา ซึ่งรับประกันว่าผู้บริโภคจะได้รับสิทธิ์ในการเข้าถึงและลบข้อมูล ตลอดจนกำหนดให้บริษัทต่างๆ อัปเดตสัญญาการประมวลผลข้อมูลของบุคคลที่สามเพื่อให้มั่นใจว่าเป็นไปตามข้อกำหนดของตัวควบคุม/ตัวประมวลผล ใน GDPR ท่ามกลางข้อกำหนดที่เหนือชั้นอื่นๆ ในสหรัฐอเมริกา
เมื่อการบังคับใช้ GDPR มีผลบังคับใช้ในเดือนพฤษภาคม 2018 มีบริษัทในสหรัฐอเมริกามากกว่าสองสามแห่งเลือกที่จะจัดการกับกฎระเบียบใหม่ที่สำคัญนี้โดย... ไม่ จัดการกับมัน นั่นคือ บางองค์กรที่ไม่มีลูกค้าในสหภาพยุโรปเลือกที่จะไม่ทำงานเพื่อให้สอดคล้องกับ GDPR เนื่องจาก ไม่มีลูกค้าในสหภาพยุโรป ในขณะเดียวกัน บริษัทอื่นๆ ที่ มีลูกค้าในสหภาพยุโรปก็เลือกที่จะปิดพวกเขาแทนที่จะพยายามปฏิบัติตามกฎหมายใหม่ บางแบรนด์ในแคลิฟอร์เนีย ซึ่งเป็นศูนย์กลางเทคโนโลยีและสื่อที่สำคัญในสหรัฐฯ ก็ตกหลุมพรางเช่นกัน — จำได้ไหมว่าเมื่อลอสแองเจลีสไทม์สลบเว็บไซต์ของพวกเขาในสหภาพยุโรปทั้งหมด ดังนั้นพวกเขาจึงไม่ต้องปฏิบัติตาม GDPR ตอนนี้บริษัทเดียวกันเหล่านั้นมีเวลาน้อยกว่าหนึ่งปีในการปฏิบัติตามกฎหมายความเป็นส่วนตัวของผู้บริโภคแห่งรัฐแคลิฟอร์เนีย ก่อนที่การบังคับใช้จะเริ่มขึ้นในวันที่ 1 มกราคม 2020
โดยรวมแล้ว จะถือว่าบริษัทในสหรัฐฯ ทั้งใหญ่และเล็ก ใหม่ และเป็นที่ยอมรับอย่างมาก จะต้องเริ่มก้าวไปสู่ความเป็นจริงโดยให้สิทธิความเป็นส่วนตัวและความปลอดภัยในข้อมูลของลูกค้า ในขณะที่แคลิฟอร์เนียเป็นรัฐแรกที่ผ่านกฎหมายความเป็นส่วนตัวของข้อมูลใหม่ทั้งหมดจาก GDPR เราเห็นรัฐอื่นๆ เช่น หลุยเซียน่า แอละแบมา โคโลราโด และเวอร์จิเนียดำเนินการเพื่อเสริมสร้างกฎหมายที่มีอยู่เกี่ยวกับความเป็นส่วนตัวของข้อมูล (นอกจากนี้ ก่อนหน้านี้รัฐเวอร์มอนต์ได้ผ่านกฎหมายฉบับใหม่ที่เข้มงวดขึ้นสำหรับนายหน้าข้อมูลและกำหนดมาตรฐานความปลอดภัยขั้นต่ำ)
แม้ว่าจะยังไม่มีวี่แววว่ารัฐบาลสหรัฐจะดำเนินการร่างกฎหมายของรัฐบาลกลางในรูปแบบ GDPR ในปีนี้ แต่การต่อเติมและการออกกฎหมายใหม่ที่เข้มงวดขึ้นเกี่ยวกับความเป็นส่วนตัวของข้อมูลในแต่ละรัฐถือเป็นสัญญาณสำคัญสำหรับธุรกิจ ที่พวกเขาต้องคิดอย่างจริงจังเกี่ยวกับวิธีจัดการข้อมูลในปัจจุบัน หากไม่เป็นเช่นนั้น พวกเขาเสี่ยงที่จะถูกปิดบังเมื่อกฎหมายระดับประเทศฉบับใหม่มีผลบังคับใช้ หรือกฎหมายแต่ละรัฐที่ตีกันเป็นจังหวะ ทำให้ไม่สามารถทำธุรกิจภายในสหรัฐฯ ได้โดยไม่ต้องปรับปรุงวิธีการประมวลผลและจัดการข้อมูลผู้บริโภค
