Globalna fragmentacija PII zakonodaje
Prvi korak pri razumevanju globalne skladnosti je spoznati, da PII zakonodaja ni globalna. Vsaka večja ekonomija ima svoje standarde:
EU: GDPR (Splošna uredba o varstvu podatkov)
- Jezik: Angleščina Bruselj (de facto)
- Opredelitev osebnih podatkov: Široka - vsak podatek, ki se nanaša na osebo
- Dovolj specifična: Nemčija (BfDI), Francija (CNIL), Italija (Garante), Španija (AEPD), Poljska (UODO)
- Odgovornost: Organizacije moram pokazati skladnost (dokazati, da je delo legalno)
- Minimalno starost: Podatke je treba izbrisati v roku (GDPR Člen 17, pravica do pozabe)
- Denarni zamah: Do 4 % globalnega prometa ali 20 milijonov EUR
- Kaj je de-identifikacija: GDPR Člen 4(5) - obrnljiva ali neobrnjiva (te besede se uporabljajo zelo drugače glede na to, o katerem mehanizmu govorimo - enkriptiranje je obrnljivo; heširanje je dejansko neobrnjivo)
Brazilija: LGPD (Lei Geral de Proteção de Dados)
- Osnova: Brazilska zakonodaja, premočna s GDPR
- Opredelitev osebnih podatkov: Podobna GDPR, vendar bolj osredotočena na "identifikacijo osebe"
- Podatkovni nadzornik: Kot GDPR, vendar manj praksiomne
- Dovolj specifična: Nacionalna agentura (ANPD) je imela samo 4 zaposlene v 2023
- Odgovornost: Kot GDPR - pokazati skladnost
- Denarni zamah: Do 2 % letnega prometa ali 50 milijonov BRL
- Kaj je de-identifikacija: LGPD Članek 4 - "de-identifikacija" je brez povratka
Indija: DPDPA (Digital Personal Data Protection Act)
- Osnova: Čezmorska indijska zakonodaja, sprejeta leta 2023
- Opredelitev osebnih podatkov: "Katerikoli informacije, ki se nanašajo na navedeno osebo"
- Podatkovni nadzornik: Indijska komisija za podatke
- Dovolj specifična: Indija je velika (1,4 milijarde)
- Odgovornost: Minimalna - ne "dokazati" kot GDPR; bolj "razumen poskus"
- Denarni zamah: Do 500 milijonov indskih rupij (~6 milijonov USD) - nižje kot GDPR
- Kaj je de-identifikacija: DPDPA Člen 4(f) - samo de-identifikacija brez povratka šteje, šifriranje je "psudonimizacija" (reverzibilna)
Kalifornija: CCPA/CPRA (California Consumer Privacy Act / Rights Act)
- Osnova: 2018 zvezna zakona, razširjena 2020
- Opredelitev osebnih podatkov: "Podatki o posameznikih, gospodinjstvih"
- Podatkovni nadzornik: Kalifornijski podatkovni komisija
- Dovolj specifična: Samo Kalifornija (kot evropska država po velikosti)
- Odgovornost: "Razumna varnost" - manj stroga kot GDPR
- Denarni zamah: Do 7500 $ po kršitvi, vendar lahko do 10 milijonov na tožbo
- Kaj je de-identifikacija: Cal. Privacy Laws (15 U.S.C. §1798.100 et seq) - šteje samo neobrnjiva obdelava