美国数据隐私保护新草案发布，引起企业进行自查调整

智东西（公众号：zhidxcom）

编译 | 杨畅
编辑 | 三北

智东西6月24日消息，据外媒VentureBeat报道，本月，美国众议院和参议院商务委员会的主要成员联合发布了《美国数据隐私和保护法案》（简称：ADPPA）草案发布。虽然法案尚未被确认最终通过，但相关企业已经开始考虑他们需要做什么，来应对ADPPA提出的数据保护新要求。ADPPA还将授予个人处置其数据的新的数据隐私权利。

该草案主要内容分为忠诚义务、消费者数据权、企业责任、执行及适用四个部分。此份草案规定“涵盖实体（Covered Entity）”不得收集、处理或传输超出合理必要、相称和法案规定的数据。“涵盖实体”是指受美国《联邦贸易委员会法案》约束的任何实体。

一、与欧盟《通用数据保护条例》相似，加大隐私保护力度

当ADPPA草案在本月初发布的时候，人们对于新的数据隐私要求将会对美国及其他地区的企业产生什么影响有很多猜测。

▲ADPPA草案首页

ADPPA草案中最重要的变化之一是“涵盖实体”需要尽量减少“涵盖数据（covered data）”的收集、处理和传输。ADPPA将“涵盖数据”定义为识别、链接或合理关联到个人的信息，以及识别、链接或合理关联到一个或多个个人的设备，包括派生数据和唯一标识符。但“涵盖数据”不包括去识别的数据、雇员资料和公开信息。

如果放到现实实践中去讲，“涵盖数据”可能是像私人通信中政府ID号码或社会安全号码一样简单的信息；或者说任何与未成年人，比如17岁的对象相关的信息都是“涵盖数据”。

ADPPA与2018年生效的欧盟《通用数据保护条例》（GDPR）非常相似。ADPPA将对企业施加新的数据保护要求，使得这些企业实施相关政策来保护其拥有的“涵盖数据”不被未经授权的个人访问。

获得过信息系统安全专业认证（CISSP）的人工智能企业integrate.ai安全和隐私负责人维克多·普拉特（Victor Platt）说：“ADPPA如果颁布实施，这将是一件大事情。这代表着一个现在急需的步骤，即在世界上最大的数字生态中个人隐私权和企业如何协作。”

ADPPA可能会扩大重要的数据保护责任，因为“涵盖数据”的定义覆盖的范围很广，并且有很多数据可能与个人获设备相关联。

普拉特解释道：“ADPPA对其所涵盖的数据进行了广泛的定义，并且设置了高门槛的同意、目的限制和选择退出要求。高层次的令人费解的隐私政策将不再足够，因为未来可能会出现一些今天您认为不是个人身份信息的东西，比如唯一ID。”

他还指出，企业将有义务证明它们如何最大限度地减少数据收集，如何保护其收集到的数据，并确保在“涵盖数据”传输给第三方时加上选择退出和增强要求的约束。

二、个人将有权更正、删除、访问和转移自身数据

ADPPA还将授予个人关于他们数据的个人新数据隐私权。美国律师公司Morrison Foerster的全球风险和危机管理小组合伙人兼联合主席亚历克斯·伊夫蒂米（Alex Iftimie）说：“比如，该法案将为美国各地的个人提供更正、删除、访问和转移个人数据的广泛权力。”

同时该法案还赋予个人对侵权行为提起民事诉讼的权力。伊夫蒂米补充说：“该法案的一个有争议的地方时，它为美国居民提供了对违规实体提起诉讼的私人权力，这将允许私人当事方通过民事诉讼来执行相应的法律条款。”

从更广的角度来看，美国联邦贸易委员会（FTC）也将负责对不合规的组织实施处罚。

三、法案还未落地，已有企业提前自查调整

虽然ADPPA仍然只是一项草案，需要美国两党协议才能通过，但是企业必须考虑他们需要采取哪些措施来履行这些潜在的数据保护义务。

新的要求是，企业需要知道按什么样的比例来收集个人的数据，并确保该企业有一个流程来最大限度地减少其收集的个人数据，这样他们可以将数据收集限制在合理必要的范围内。

VentureBeat还提到，同样，企业还需要准备停用有针对性地广告，并为儿童和未成年人提供更好地数据保护支持，以确保这些人的数据受到保护。就目前的情况来说，企业还需要等等看，因为该法案落地还有一段时间。

结语：《美国数据隐私和保护法案》带来数据保护新参考

随着AI等智能技术的普及应用，企业拥有的个人隐私相关信息不断增多，为保障个人数据隐私和安全，各国家和地区都出台了相应的法律法规来规范，像美国这个最新的ADPPA就是从美国联邦层面出台的数据隐私和安全法案，之前美国的各州也出台过相应的数据隐私法案。

不止美国，中国、欧盟等国家或地区也纷纷出台相应的措施来保护人们的个人数据隐私安全。相应法律法规的出台也为企业如何做好用户的个人信息隐私保护提供了参考。

来源：VentureBeat