Spinta nazionale sulla privacy o cavallo di Troia? Un nuovo disegno di legge GOP accende lo scontro sui diritti dei dati

Immagina questo: un’unica legge per proteggere i tuoi dati, ovunque tu viva negli Stati Uniti - suona rassicurante, vero? Ma quando questa settimana i Repubblicani alla Camera hanno presentato il loro tanto pubblicizzato SECURE Data Act, esperti e sostenitori della privacy hanno visto segnali d’allarme invece che sollievo. Dietro le promesse del disegno di legge di tutele “solide”, dicono i critici, si nascondono scappatoie abbastanza grandi da farci passare il camion di un data broker - e una minaccia ai diritti conquistati con fatica che molti stati hanno già garantito ai propri residenti.

Fatti rapidi

• Il SECURE Data Act annullerebbe almeno 20 leggi statali sulla privacy, sostituendole con un unico standard federale.
• Le disposizioni chiave includono i diritti dei consumatori di accedere, cancellare e portare i propri dati, e un nuovo registro dei data broker gestito dalla FTC.
• I critici affermano che le definizioni e le esenzioni del disegno di legge sono così ampie che le aziende potrebbero facilmente eludere una reale responsabilità.
• Il disegno di legge esclude molti tipi di informazioni sensibili, come la maggior parte dei dati sanitari e finanziari non detenuti dalle banche.
• Nessun diritto di azione privata: i singoli non possono citare in giudizio le aziende per violazioni ai sensi di questa legge.

Da oltre un decennio, il Congresso fatica ad approvare una legge federale sulla privacy dei dati. Ora, i Repubblicani alla Camera stanno spingendo il SECURE Data Act come soluzione, vantando “tutele chiare e applicabili” e responsabilità per l’industria. Ma dopo 14 mesi di stesura a porte chiuse, il disegno di legge sta attirando critiche per ciò che omette, non solo per ciò che promette.

Il cuore della controversia: il disegno di legge prevarrebbe - cioè annullerebbe - decine di leggi statali esistenti sulla privacy, inclusi quadri normativi solidi in California, Colorado e Connecticut. Mentre i sostenitori dicono che questo crea “certezza” per imprese e consumatori, i difensori della privacy avvertono che potrebbe svuotare le protezioni a livello statale che vanno ben oltre la proposta federale.

La clausola di minimizzazione dei dati del disegno di legge, per esempio, limita le aziende a raccogliere dati che siano “adeguati, pertinenti e ragionevolmente necessari” - un linguaggio così vago, sostengono i critici, da offrire poche restrizioni reali. “Diciannove stati hanno già un linguaggio simile e non è cambiato nulla per quanto riguarda le pratiche sulla privacy delle aziende online”, ha detto Eric Null del Center for Democracy and Technology.

Ancora più preoccupante per i sostenitori: la definizione ristretta di dati “sensibili” nel disegno di legge. I dati sanitari provenienti dalle app, la maggior parte dei contenuti delle comunicazioni e molti dati finanziari non sono coperti. E una sfilza di esenzioni - per i dati raccolti nell’ambito di un contratto, per i “servizi richiesti” o per lo sviluppo del prodotto - potrebbe consentire alle aziende di giustificare quasi qualsiasi raccolta di dati, anche per l’addestramento dell’intelligenza artificiale.

Sebbene il disegno di legge richieda alla Federal Trade Commission di creare un registro consultabile dei data broker, non arriva a offrire ai consumatori un modo semplice per rinunciare. A differenza di precedenti proposte bipartisan, non esiste una lista “Do Not Collect” - solo il compito scoraggiante per i singoli di contattare centinaia di data broker uno per uno. Peggio ancora, il disegno di legge impedisce ai consumatori di citare direttamente in giudizio le aziende, lasciando l’applicazione alle autorità di regolamentazione.

I sostenitori evidenziano alcuni nuovi elementi, come tutele aggiuntive per i dati degli adolescenti e un cenno ai trasferimenti transfrontalieri dei dati. Ma ci sono omissioni evidenti: nessuna regola per il processo decisionale automatizzato, e solo un suggerimento - non un obbligo - per meccanismi universali di opt-out.

Mentre il SECURE Data Act va avanti, la posta in gioco è chiara. Uno standard nazionale porterà finalmente ordine nel mosaico americano della privacy - oppure cancellerà silenziosamente protezioni statali più forti, lasciando i consumatori con meno potere che mai? Per ora, i sostenitori della privacy si preparano a una battaglia, avvertendo che nella guerra sui tuoi dati, il diavolo sta nei dettagli (in piccolo).

TECHCROOK

Per ridurre l’esposizione ai data broker e limitare la raccolta non necessaria di informazioni personali, un alleato pratico è un servizio di rimozione dati come Incogni. Si tratta di un abbonamento che automatizza l’invio e il tracciamento delle richieste di cancellazione dei dati verso numerosi broker e aggregatori, con report sullo stato delle pratiche e promemoria periodici per mantenere le rimozioni nel tempo. È utile soprattutto quando mancano meccanismi universali di opt-out e il consumatore dovrebbe contattare decine o centinaia di soggetti singolarmente. Non sostituisce una legge efficace, ma riduce la superficie di profilazione e la circolazione di dati personali. Il prodotto è disponibile su diversi canali e si può acquistare anche su Amazon.

WIKICROOK

• Minimizzazione dei dati: La minimizzazione dei dati significa raccogliere e usare solo i dati strettamente necessari per uno scopo specifico, riducendo i rischi per la privacy e migliorando la sicurezza.
• Prevalenza: La prevalenza si verifica quando la legge federale prevale sulle leggi statali in materia di cybersicurezza, garantendo coerenza e semplificando la conformità per le organizzazioni che operano in più stati.
• Data broker: Un data broker raccoglie, acquista e vende dati personali - spesso senza che gli individui ne siano a conoscenza - a terze parti per marketing, credito o valutazione del rischio.
• Diritto di azione privata: Un diritto di azione privata consente agli individui di citare in giudizio per violazioni delle leggi sulla cybersicurezza, permettendo un’azione legale diretta oltre all’applicazione da parte del governo.
• Dati sensibili: I dati sensibili sono informazioni personali o riservate, come cartelle cliniche o registri finanziari, che richiedono una protezione aggiuntiva a causa delle leggi sulla privacy e dei rischi.