California Consumer Privacy Act

Regelung

Nachfolgend finden Sie Auszüge aus dem kalifornischen CCPA und dem Data Breach Notification Statute, bei deren Einhaltung Ihnen Entrust nShield HSMs helfen können.

Verbraucherdatenschutz

Abschnitt 1798.150. (a) (1) des CCPA besagt:

Jeder Verbraucher, dessen unverschlüsselte und nicht bearbeitete personenbezogene Daten, wie in Unterabsatz (A) des Absatzes (1) des Buchstaben (d) von Artikel 1798.81.5 definiert, infolge einer Verletzung der Pflicht des Unternehmens, angemessene Sicherheitsverfahren und -praktiken einzuführen und aufrechtzuerhalten, die für die Art der Daten angemessen sind, um die personenbezogenen Daten zu schützen, einem unbefugten Zugriff und Ausschleusung, Diebstahl oder Offenlegung ausgesetzt sind, kann eine Zivilklage für jeden der folgenden Punkte einreichen:

(A) Schadenersatz in einer Höhe von mindestens einhundert US-Dollar (100 $) und höchstens siebenhundertfünfzig US-Dollar (750 $) pro Verbraucher und Vorfall oder tatsächlichen Schäden, je nachdem, welcher Betrag höher ist

(B) Unterlassungs- oder Feststellungsklage

(C) Jede andere Maßnahme, die das Gericht für angemessen hält

Der CCPA selbst enthält keine näheren Angaben zur Datenverschlüsselung, eine Änderung des kalifornischen Gesetzes über Datenverletzungen jedoch schon. Ende 2019 unterzeichneten die kalifornischen Gesetzgeber zeitgleich mit der Unterzeichnung der Änderungen zum CCPA auch Assembly Bill 1130, die sich speziell auf Verschlüsselung und den Schutz von Verschlüsselungsschlüsseln bezieht. Der folgende Text ist ein Auszug aus dem Gesetzesentwurf:

Absatz 1789.82 des Zivilgesetzbuches wird wie folgt geändert:

1798.82. (a) Eine Person oder ein Unternehmen, die bzw. das in Kalifornien geschäftlich tätig ist und die bzw. das Eigentümer oder Lizenznehmer von computergestützten Daten ist, die personenbezogene Daten enthalten, ist verpflichtet, eine Verletzung der Sicherheit des Systems nach der Entdeckung oder Benachrichtigung über die Verletzung der Sicherheit der Daten gegenüber einem Einwohner Kaliforniens offenzulegen, (1) dessen unverschlüsselte personenbezogene Daten von einer nicht autorisierten Person erworben wurden oder von denen vernünftigerweise angenommen wird, dass sie von einer nicht autorisierten Person erworben wurden, oder (2) dessen verschlüsselte personenbezogene Daten von einer nicht autorisierten Person erworben wurden oder von denen vernünftigerweise angenommen wird, dass sie von einer nicht autorisierten Person erworben wurden, und dessen Verschlüsselungsschlüssel oder die Sicherheitsberechtigung von einer nicht autorisierten Person erworben wurde oder von der vernünftigerweise angenommen wird, dass sie von einer nicht autorisierten Person erworben wurde, und die Person oder das Unternehmen, das die verschlüsselten Daten besitzt oder lizenziert, einen begründeten Verdacht hat, dass der Verschlüsselungsschlüssel oder die Sicherheitsberechtigung diese personenbezogenen Daten lesbar oder nutzbar machen könnte. Die Offenlegung erfolgt so schnell wie möglich und ohne unangemessene Verzögerung im Einklang mit den berechtigten Bedürfnissen der Strafverfolgung, wie in Unterabschnitt (c) vorgesehen, oder mit allen Maßnahmen, die erforderlich sind, um das Ausmaß der Verletzung zu bestimmen und die angemessene Integrität des Datensystems wiederherzustellen.