4 Νέοι κρατικοί νόμοι περί απορρήτου προσωπικών δεδομένων απαιτούν συμμετοχή μέσω email το 2023

Όπως πάντα είχαμε προβλέψει ότι θα έκαναν, οι αδυναμίες του νόμου CAN-SPAM οδήγησαν σε νέους νόμους συμμετοχής μέσω email και νόμους συναίνεσης μέσω email, με τη μορφή των νέων νόμων περί απορρήτου προσωπικών δεδομένων. Ο νέος νόμος περί απορρήτου του Κονέκτικατ, μαζί με τους νέους νόμους περί απορρήτου στο Κολοράντο, τη Βιρτζίνια και τη Γιούτα, απαιτούν τη συναίνεση για να μπορέσετε να στείλετε στοχευμένες διαφημίσεις σε κάποιον του οποίου τα προσωπικά δεδομένα έχετε αποκτήσει.

Αυτό σημαίνει ότι όταν η απάντηση στην ερώτηση „είναι παράνομη η αποστολή email χωρίς άδεια“ ήταν κάποτε ένα κατ ‚αρχήν „όχι, δεν είναι παράνομο“ (καθώς ο νόμος CAN-SPAM δεν το αντιμετωπίζει με τον ένα ή τον άλλο τρόπο) , τώρα η απάντηση είναι «ναι, αν είστε ή συνεργάζεστε με οποιονδήποτε στο Κολοράντο, τη Βιρτζίνια, το Κονέκτικατ ή τη Γιούτα.

Και φυσικά, εάν η αποστολή email σε κάποιον σε οποιαδήποτε από αυτές τις πολιτείες ερμηνεύεται ως «συνεργασία μαζί τους», όπως θα μπορούσε κάλλιστα να είναι, μπορεί να βρεθείτε να κοιτάτε κάτω από το βαρέλι μιας αγωγής από τον Γενικό Εισαγγελέα αυτής της πολιτείας.

Μια γρήγορη σημείωση: αυτοί οι νόμοι μιλούν όλοι με όρους υπευθύνων επεξεργασίας δεδομένων και εκτελούντες την επεξεργασία δεδομένων. Δεν χρειάζεται πραγματικά να ανησυχείτε για αυτό για αυτούς τους σκοπούς. εάν δημιουργείτε ή διατηρείτε μια λίστα email, είστε ελεγκτής. (Μπορείτε να διαβάσετε περισσότερα σχετικά με το τι είναι ο υπεύθυνος επεξεργασίας και ο επεξεργαστής δεδομένων εδώ.)

Μια διεύθυνση email θεωρείται προσωπικά δεδομένα;

Πρώτον, είναι σημαντικό να κατανοήσουμε ότι οι διευθύνσεις email θεωρούνται προσωπικά δεδομένα, μαζί με τις διευθύνσεις κατοικίας, τους αριθμούς τηλεφώνου και πολλές άλλες πληροφορίες. Βασικά, ο ορισμός των «προσωπικών δεδομένων» είναι ένα κομμάτι δεδομένων από το οποίο κάποιος μπορεί να προσδιορίσει την ταυτότητα του ατόμου στο οποίο ανήκουν ή ισχύουν αυτά τα προσωπικά δεδομένα.

Η εξαίρεση B2B

Η εξαίρεση στον γενικό κανόνα ότι μια διεύθυνση email θεωρείται προσωπικά δεδομένα είναι όταν η διεύθυνση email είναι μια τυπική διεύθυνση επαγγελματικής χρήσης, όπως «στο **@ex*****.com“ ή „cu****************@ex*****.com„. Ωστόσοκαι είναι μεγάλο «ωστόσο», εάν αυτή η διεύθυνση email πηγαίνει μόνο σε ένα άτομο, και αυτό το άτομο είναι το μόνο άτομο που έχει πρόσβαση σε αυτήν τη διεύθυνση ηλεκτρονικού ταχυδρομείου και τη χρησιμοποιεί επίσης για προσωπική ατομική ή οικιακή χρήση (δηλ. όχι μόνο για επαγγελματικούς λόγους), τότε μπορεί να θεωρηθεί ή όχι προσωπικά δεδομένα.

Το βασικό εδώ είναι ότι οι διευθύνσεις email που ανήκουν σε ιδιώτες, καθώς η προσωπική τους διεύθυνση email θεωρούνται πάντα προσωπικά δεδομένα, και οι διευθύνσεις email που συνδέονται με επιχειρήσεις συνήθως δεν είναι, αλλά πρέπει να είστε σίγουροι ότι είναι στην πραγματικότητα διευθύνσεις email επιχειρήσεων .

Στοχευμένη διαφήμιση και συμμετοχή μέσω email

Το Κολοράντο, το Κονέκτικατ, η Βιρτζίνια και η Γιούτα ορίζουν όλα τη «στοχευμένη διαφήμιση» με την ίδια γραμμή, η οποία στοχεύει τη διαφήμιση σε κάποιον με βάση τα προσωπικά δεδομένα που έχετε αποκτήσει γι‘ αυτόν. Για παράδειγμα, ο νόμος του Κονέκτικατ ορίζει ότι ««Στοχευμένη διαφήμιση» σημαίνει την προβολή διαφημίσεων σε έναν καταναλωτή όπου η διαφήμιση επιλέγεται με βάση προσωπικά δεδομένα που λαμβάνονται ή συνάγονται από τις δραστηριότητες αυτού του καταναλωτή με την πάροδο του χρόνου και σε μη συνδεδεμένους ιστότοπους του Διαδικτύου ή διαδικτυακές εφαρμογές για την πρόβλεψη των προτιμήσεων αυτού του καταναλωτή ή τα ενδιαφέροντα.“

Με την πρώτη ματιά μπορεί να σας συγχωρέσουν που πιστεύετε ότι αυτό δεν ισχύει για το email, το email marketing ή τις λίστες αλληλογραφίας. Αλλά ξανασκεφτείτε το. Σχεδόν οποιαδήποτε μέθοδος έχει κάποιος για την απόκτηση της προσωπικής διεύθυνσης email κάποιου, εκτός εάν το άτομο έχει δώσει προσωπικά τη διεύθυνση email του σε εσάς, περιλαμβάνει την απόκτηση ή το συμπέρασμα αυτής της διεύθυνσης email από ιστότοπους ή διαδικτυακές εφαρμογές.

Βρήκατε τη διεύθυνση email τους σε έναν ιστότοπο εκπαίδευσης σκύλων και τώρα θέλετε να τους στείλετε πληροφορίες σχετικά με τα νέα σας halters σκύλων; Πρόκειται για στοχευμένη διαφήμιση με βάση τα προσωπικά τους δεδομένα που βρίσκονται σε αυτόν τον ιστότοπο. Λάβατε τη διεύθυνση email τους αποκτώντας μια λίστα αλληλογραφίας με άτομα που εγγράφηκαν ή παρακολούθησαν μια εμπορική έκθεση εναλλακτικής ενέργειας και τώρα θέλετε να τους στείλετε πληροφορίες για τους ηλιακούς σας συλλέκτες; Πρόκειται για στοχευμένη διαφήμιση με βάση τα προσωπικά τους δεδομένα που βρίσκονται σε αυτήν τη λίστα αλληλογραφίας. Αγοράσατε μια λίστα αλληλογραφίας με άτομα που παρακολούθησαν ένα σεμινάριο συνταξιοδότησης και τώρα θέλετε να τους στείλετε με email πληροφορίες σχετικά με τις υπηρεσίες οικονομικού προγραμματισμού σας; Πρόκειται για στοχευμένη διαφήμιση με βάση τα προσωπικά τους δεδομένα που βρίσκονται σε αυτήν τη λίστα αλληλογραφίας. Βλέπεις πώς λειτουργεί αυτό;

Απαίτηση αποκάλυψης

Όλοι αυτοί οι νόμοι συνοψίζονται σε μερικά πράγματα: 1. Απαιτούν από εσάς αποκαλύπτω τι σκοπεύετε να κάνετε με οποιεσδήποτε προσωπικές πληροφορίες που έχετε συλλέξει για κάποιον 2. Απαιτούν να δώσετε στο άτομο την ευκαιρία να εξαιρεθεί από οποιαδήποτε από τις χρήσεις που του έχετε αποκαλύψει. και 3. απαιτούν από εσάς μην χρησιμοποιείτε αυτά τα προσωπικά δεδομένα για οτιδήποτε άλλο εκτός από αυτό που αποκαλύψατε τη στιγμή της συλλογής εκτός εάν λάβετε την καταφατική συγκατάθεση του ατόμου για αυτήν τη νέα χρήση.

Αυτό παρακολουθεί στενά το GDPR και αυτό που σημαίνει, σε απλά αγγλικά, είναι ότι αν δεν το κάνετε λέγω κάποιον που σκοπεύετε να τον βάλετε σε μια λίστα αλληλογραφίας τη στιγμή που θα συλλέξετε τη διεύθυνση email του από αυτόν, τότε εσείς απαγορεύεται να τα προσθέσουν σε λίστα αλληλογραφίας εκτός εάν λάβετε πρώτα την καταφατική συγκατάθεσή τους.

Η απαίτηση συμμετοχής ηλεκτρονικού ταχυδρομείου της Βιρτζίνια το 2023

Ο νόμος περί προστασίας δεδομένων καταναλωτών της Βιρτζίνια (VCDPA) είναι ο πρώτος που τίθεται σε ισχύ και τίθεται σε ισχύ την πρώτη ημέρα του 2023. Αυτός ο νόμος πολιτείες ότι ο υπεύθυνος επεξεργασίας δεδομένων πρέπει «[l]μιμούνται τη συλλογή προσωπικών δεδομένων σε ό,τι είναι επαρκές, σχετικό και ευλόγως απαραίτητο σε σχέση με τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία τα δεδομένα αυτά, όπως αποκαλύπτεται στον καταναλωτήκαι δεν πρέπει να «επεξεργάζεται προσωπικά δεδομένα για σκοπούς που δεν είναι εύλογα απαραίτητοι ούτε συμβατοί με τους αποκαλυπτόμενους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία αυτά τα προσωπικά δεδομένα, όπως αποκαλύπτονται στον καταναλωτή, εκτός εάν ο υπεύθυνος επεξεργασίας λάβει τη συγκατάθεση του καταναλωτή».

Με άλλα λόγια, πρέπει λέγω άτομα που πρόκειται να βάλετε τη διεύθυνση email τους σε μια λίστα email και να τους δώσετε την ευκαιρία να πουν «όχι» στο σημείο στο οποίο συλλέγετε τη διεύθυνση email τους προκειμένου να τα βάλουμε σε αυτήν τη λίστα αλληλογραφίας. εάν δεν τους το πείτε και δεν τους δώσετε αυτή την ευκαιρία να πουν «όχι», τότε πρέπει να λάβετε απευθείας τη συγκατάθεσή τους και να επιλέξετε να συμμετέχετε.

Η απαίτηση συμμετοχής ηλεκτρονικού ταχυδρομείου του Κολοράντο το 2023

Ο νόμος περί απορρήτου του Κολοράντο (CPA) τίθεται σε ισχύ την 1η Ιουλίου 2023. Η CPA απαιτεί από τους υπεύθυνους επεξεργασίας να λάβουν «καταφατική συγκατάθεση από τους καταναλωτές πριν (1) τη συλλογή και επεξεργασία ευαίσθητων δεδομένων, (2) την επεξεργασία προσωπικών δεδομένων για λόγους διαφορετικούς από αυτούς που προσδιορίστηκαν κατά τη συλλογή των δεδομένων ή (3) την πώληση ή την επεξεργασία προσωπικών δεδομένων για στοχευμένη διαφήμιση αφού ο καταναλωτής έχει εξαιρεθεί από τέτοιες χρήσεις. Αυτή η συγκατάθεση πρέπει να είναι καταφατική, να δίνεται ελεύθερα, να είναι συγκεκριμένη, ενημερωμένη και σαφής. Η αποδοχή γενικών όρων παροχής υπηρεσιών, η τοποθέτηση του δείκτη του ποντικιού πάνω, η παύση ή με άλλο τρόπο η αλληλεπίδραση με περιεχόμενο γενικά και η συμφωνία που επιτυγχάνεται μέσω παραπλανητικής σχεδίασης ιστοσελίδας δεν θεωρείται συναίνεση σύμφωνα με το CPA.

Η απαίτηση συμμετοχής μέσω email στο Connecticut το 2023

Ο νόμος περί απορρήτου δεδομένων του Κονέκτικατ (CTDPA), τίθεται επίσης σε ισχύ την 1η Ιουλίου 2023 και είναι σχεδόν πανομοιότυπος με το CDPA της Βιρτζίνια λέγοντας ότι ο ελεγκτής πρέπει «[l]μιμείται τη συλλογή προσωπικών δεδομένων σε ό,τι είναι επαρκές, σχετικό και ευλόγως απαραίτητο σε σχέση με τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία τα δεδομένα αυτά, όπως αποκαλύπτονται στον καταναλωτή», και επίσης ότι ο υπεύθυνος επεξεργασίας δεν πρέπει «να επεξεργάζεται προσωπικά δεδομένα για σκοπούς που δεν είναι εύλογα απαραίτητο, ούτε συμβατό με τους αποκαλυπτόμενους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία αυτά τα προσωπικά δεδομένα, όπως αποκαλύπτονται στον καταναλωτή, εκτός εάν ο υπεύθυνος επεξεργασίας λάβει τη συγκατάθεση του καταναλωτή.»

Η απαίτηση συμμετοχής μέσω email στη Γιούτα το 2023

Ο νόμος περί απορρήτου των καταναλωτών της Γιούτα (UCPA) τίθεται σε ισχύ την τελευταία ημέρα του 2023, στις 31 Δεκεμβρίου 2023. Η διαφορά μεταξύ των παραπάνω τριών νόμων και του νόμου της Γιούτα βρίσκεται πραγματικά στη διατύπωση, καθώς η CPA της Γιούτα ουσιαστικά απαιτεί περίπου το ίδιο πράγμα. Ο νόμος της Γιούτα απαιτεί ότι εάν ένας υπεύθυνος επεξεργασίας «εμπλακεί σε στοχευμένη διαφήμιση, ο υπεύθυνος επεξεργασίας πρέπει να αποκαλύψει ξεκάθαρα και ευδιάκριτα στον καταναλωτή τον τρόπο με τον οποίο ο καταναλωτής μπορεί να ασκήσει το δικαίωμα να εξαιρεθεί από την επεξεργασία για στοχευμένη διαφήμιση». Με άλλα λόγια, όπως συμβαίνει με τους άλλους νόμους, προτού βάλετε τη διεύθυνση ηλεκτρονικού ταχυδρομείου τους σε μια λίστα αλληλογραφίας, πρέπει να αποκαλύψετε „σαφώς και εμφανώς“ ότι πρόκειται να το κάνετε.

Αυτό που λέει ο καθένας από αυτούς τους νόμους συνοψίζεται σε αυτό: πρέπει να πείτε σε κάποιον ότι σκοπεύετε να τον βάλετε στη λίστα αλληλογραφίας σας πριν τα βάζετε στη λίστα αλληλογραφίας σας και τουλάχιστον τους δίνετε την ευκαιρία να πουν «όχι», αν όχι να επιλέξουν καταφατικά.

Τώρα, φυσικά, όλοι αυτοί οι νόμοι ασχολούνται με πολύ περισσότερα από το ηλεκτρονικό ταχυδρομείο, στην πραγματικότητα ως επί το πλείστον ασχολούνται με το ηλεκτρονικό ταχυδρομείο μόνο από συμπέρασμα, καθώς το ηλεκτρονικό ταχυδρομείο είναι μόνο ένα κομμάτι προσωπικών δεδομένων στον πληθυσμό των πραγμάτων που ορίζονται ως «προσωπικά δεδομένα ‚. (Για ένα έξοχος γράφημα που δείχνει την ανάλυση όλων των διαφόρων πτυχών καθενός από αυτούς τους νέους νόμους, βλ «Πλοήγηση συμμόρφωσης σε ένα συνονθύλευμα κρατικών νόμων περί απορρήτου» του Squire Patton Boggs.) Και σε αυτό το πλαίσιο, μπορείτε να είστε βέβαιοι ότι θα υπάρξουν αγωγές που θα προσπαθήσουν να ορίσουν το ηλεκτρονικό ταχυδρομείο εκτός αυτού του πλαισίου ή να του δώσουν κάποιο είδος εξαίρεσης. Αλλά εκτός και μέχρι να συμβεί αυτό, καλό θα ήταν να βεβαιωθείτε ότι όλες οι λίστες αλληλογραφίας σας έχουν δημιουργηθεί με, και μόνο με, συγκατάθεση, για αυτόν και για πολλούς άλλους λόγους.