Розділ 14.9: Положення щодо конфіденційності та відповідність: GDPR, CCPA та HIPAA

У міру того, як технології розвивалися, а дані ставали більш цінними, для захисту особистої інформації людей від неправомірного використання виникла необхідність у нормативних актах щодо конфіденційності та захисту даних. За останні кілька десятиліть було прийнято три відомі нормативні акти: Загальний регламент захисту даних (GDPR), Каліфорнійський закон про конфіденційність споживачів (CCPA) і Закон про перенесення та підзвітність медичного страхування (HIPAA).

GDPR – це постанова, яка набула чинності в травні 2018 року, і вона поширюється на будь-які організації, які обробляють персональні дані громадян Європейського Союзу (ЄС). Регламент вимагає від організацій отримувати згоду фізичних осіб на збір і використання їхніх даних, а також надавати особам доступ до своїх даних і можливість вимагати їх видалення. Регламент також зобов’язує організації повідомляти відповідні органи про порушення даних протягом 72 годин після їх виникнення.

CCPA – це закон штату Каліфорнія, який набув чинності в січні 2020 року. Він поширюється на будь-який бізнес, який збирає особисту інформацію від жителів Каліфорнії. Регламент надає жителям Каліфорнії право знати, яка особиста інформація про них збирається, право вимагати видалення їх особистої інформації та право відмовитися від продажу їхньої особистої інформації. CCPA також вимагає від компаній розкривати категорії зібраної особистої інформації та цілі, для яких вона використовується.

HIPAA — це федеральний закон, прийнятий у 1996 році для захисту конфіденційності та безпеки інформації про здоров’я людей. Закон поширюється на постачальників медичних послуг, плани медичного обслуговування та клірингові центри охорони здоров’я, а також на будь-яких ділових партнерів, які працюють із цими організаціями. Закон вимагає від охоплених суб’єктів отримати письмову згоду від осіб на використання та розголошення захищеної інформації про здоров’я (PHI), а також запровадити адміністративні, фізичні та технічні заходи захисту для захисту PHI.

На додаток до цих нормативних актів існують різні інші закони та рамки щодо конфіденційності та захисту даних, яких організації повинні дотримуватися, наприклад, Стандарт безпеки даних індустрії платіжних карток (PCI DSS), Закон про захист конфіденційності дітей в Інтернеті (COPPA) і Міжнародний Стандарт системи управління інформаційною безпекою (ISMS) Організації зі стандартизації (ISO).

Відповідність цим правилам і структурам може бути складною, і організації повинні виділяти ресурси для забезпечення їх відповідності. Недотримання цих правил може призвести до значних фінансових санкцій і шкоди репутації організації. Таким чином, багато організацій запровадили програми конфіденційності та відповідності та найняли спеціалістів із конфіденційності та відповідності, щоб переконатися, що вони дотримуються цих правил і рамок.