Ustawa Senatu Kalifornii 1386 (2002)
California SB 1386 to ustawa uchwalona przez ustawodawcę Kalifornii , która zmieniła prawo stanu Kalifornia regulujące prywatność danych osobowych : kodeksy cywilne 1798.29, 1798.82 i 1798.84. Był to wczesny przykład wielu przyszłych amerykańskich i międzynarodowych przepisów dotyczących powiadamiania o naruszeniu bezpieczeństwa . Został wprowadzony przez senatora stanu Kalifornia Steve'a Peace'a 12 lutego 2002 r. I zaczął obowiązywać 1 lipca 2003 r.
Sekcje
Uchwalenie wymogu powiadamiania każdego mieszkańca Kalifornii, którego niezaszyfrowane dane osobowe zostały pozyskane przez osobę nieupoważnioną lub co do których istnieje uzasadnione podejrzenie, że zostały pozyskane. Wymaga to od agencji, osoby lub firmy, która prowadzi działalność w Kalifornii i jest właścicielem skomputeryzowanych „danych osobowych” lub licencjonuje je, ujawnienia wszelkich przypadków naruszenia bezpieczeństwa (każdemu mieszkańcowi, którego niezaszyfrowane dane prawdopodobnie zostały ujawnione).
Projekt przewiduje różne mechanizmy i procedury w odniesieniu do wielu aspektów tego scenariusza, z zastrzeżeniem również innych określonych przepisów.
Każda agencja będąca właścicielem lub licencjonująca skomputeryzowane dane, które zawierają dane osobowe, ujawni każde naruszenie bezpieczeństwa systemu po wykryciu lub powiadomieniu o naruszeniu bezpieczeństwa danych każdemu mieszkańcowi Kalifornii, którego niezaszyfrowane dane osobowe były lub co do których istnieje uzasadnione przekonanie, że być, nabyte przez osobę nieuprawnioną. Korporacja spoza stanu, która posiada dane osobowe dotyczące mieszkańca Kalifornii, podlegałaby tej ustawie. pytanie o minimalne kontakty , czy w Kalifornii można wszcząć postępowanie w celu wyegzekwowania praw mieszkańca Kalifornii wynikających z ustawy.
Korporacje, które nie mają fizycznych lokalizacji w Kalifornii, nie podlegają prawu stanu Kalifornia. SB 1386 nie ma większego wpływu na korporację Delaware, która nie jest obecna w Kalifornii, niż kalifornijskie przepisy dotyczące emisji z pojazdów. To, że SB 1386 miałoby wpływ na korporację spoza stanu, opiera się na pojęciu jurysdykcji „quasi in rem”, które to pojęcie zostało unieważnione przez Sąd Najwyższy w sprawie Shaffer przeciwko Heitnerowi .
Korporacje mogą określić, czy podlegają temu statutowi, przeglądając następujące pytania:
- Czy ich dane obejmują „dane osobowe” w rozumieniu ustawy?
- Czy te „dane osobowe” dotyczą mieszkańca Kalifornii?
- Czy „dane osobowe” były niezaszyfrowane?
- Czy doszło do „naruszenia bezpieczeństwa” danych w rozumieniu ustawy?
- Czy „dane osobowe” zostały pozyskane lub istnieje uzasadnione przypuszczenie, że zostały uzyskane przez osobę nieupoważnioną?
Korporacja, która odpowie twierdząco na wszystkie pięć z tych pytań, musi złożyć raport.
Ustawa nie dotyczy informacji „zaszyfrowanych”. Dlatego jednym ze sposobów uniknięcia zgłaszania jest szyfrowanie wszystkich „danych osobowych”. Korporacja może również uniknąć zgłaszania, jeśli jej dane nie zawierają „danych osobowych” dotyczących mieszkańca Kalifornii.
„Dane osobowe” oznaczają imię osoby fizycznej lub inicjał imienia i nazwiska osoby w połączeniu z jednym lub większą liczbą następujących elementów danych, jeżeli imię i nazwisko lub elementy danych nie są zaszyfrowane:
- Numer ubezpieczenia społecznego.
- Numer prawa jazdy lub numer karty identyfikacyjnej stanu Kalifornia.
- Numer konta, numer karty kredytowej lub debetowej w połączeniu z wymaganym kodem zabezpieczającym, kodem dostępu lub hasłem umożliwiającym dostęp do konta finansowego danej osoby.
„Dane osobowe” nie obejmują publicznie dostępnych informacji, które są zgodnie z prawem udostępniane ogółowi społeczeństwa z rejestrów federalnych, stanowych lub władz lokalnych.