Was ist der SHIELD Act? Tipps für die SHIELD-Konformität

Der New York Stop Hacks and Improve Electronic Data Security Act (SHIELD Act) oder Senate Bill 5575 wurde am 25. Juli 2019 als Änderung des New York State Information Security Breach and Notification Act erlassen. Das Gesetz tritt am 21. März 2020 in Kraft.

Die Motivation hinter dem SHIELD Act besteht darin, das New Yorker Gesetz zur Meldung von Datenschutzverletzungen zu aktualisieren, um mit der aktuellen Technologie Schritt zu halten. Der Gesetzentwurf erweitert den Umfang der Informationen, die unter das Meldegesetz fallen, und aktualisiert die Meldepflichten für Verstöße, wenn es zu einer Datenschutzverletzung gekommen ist.

Es erweitert auch die Definition einer Datenschutzverletzung auf eine unbefugte Person, die sich Zugang zu privaten Informationen verschafft, und verlangt von Unternehmen, angemessene Datensicherheit anzuwenden.

Dazu gehört auch die Benennung einer Person, die den Prozess des Lieferantenrisikomanagements leitet und die Due-Diligence-Prüfung der Datensicherheitsmaßnahmen von Drittanbietern und Dienstleistern durchführt. Um die Einhaltung zu erleichtern, bietet der SHIELD Act Standards, die auf die Größe eines Unternehmens zugeschnitten sind, und Schutz vor Haftung für bestimmte Unternehmen.

Kurz gesagt, der SHIELD Act erlegt Unternehmen, die mit personenbezogenen und privaten Daten umgehen, strengere Verpflichtungen auf, um Bedrohungen zu mindern, die zum Identitätsdiebstahl beitragen, wie z. B. Datenschutzverletzungen und Datenlecks.

Warum ist der SHIELD Act wichtig?

Der SHIELD ACT ist wichtig, weil er eine "extraterritoriale Anwendung" hat, was bedeutet, dass er alle Arbeitgeber, Einzelpersonen oder Organisationen abdeckt, die private Informationen über Einwohner von New York sammeln, unabhängig vom Standort.

Zuvor waren die Meldepflichten für Datenschutzverletzungen auf diejenigen beschränkt, die in New York geschäftlich tätig sind. Weitere Beispiele für extraterritoriale Datenschutzgesetze sind der California Consumer Privacy Act (CCPA), die Datenschutz-Grundverordnung (DSGVO) der EU und das brasilianische Datenschutzgesetz (Lei Geral de Proteção de Dados Pessoais oder LGPD).

Der andere wichtige Teil ist die obligatorische Implementierung eines Datensicherheitsprogramms mit spezifischen Sicherheitsvorkehrungen wie Risikobewertungen, Mitarbeiterschulungen, Planung und Tests von Vorfällen sowie das erhöhte Ausmaß einer Sicherheitsverletzung, wie z. B. die Einsichtnahme in private Informationen, die eine Meldepflicht auslösen könnten.

Das Gesetz gleicht den Bundesstaat New York an andere Bundesstaaten wie Kalifornien, Rhode Island und Massachusetts an.

Wie hat sich der SHIELD Act an die Meldepflichten für Datenschutzverletzungen geändert?

Der SHIELD Act ändert das bestehende New Yorker Gesetz zur Meldung von Datenschutzverletzungen und erweitert die Meldepflichten, so dass eine Benachrichtigung erforderlich ist, wenn kompromittierte Daten:

• Computergestützte Daten, die private Informationen eines Einwohners von New York enthalten
• Es wird vernünftigerweise davon ausgegangen, dass sie von einer Person ohne gültige Genehmigung abgerufen oder erworben wurden

Der SHIELD Act hat die Definition von privaten Informationen erheblich erweitert und umfasst nun neben Sozialversicherungsnummern, Führerscheinnummern, Kredit- oder Debitkartennummern oder Finanzkontonummern auch biometrische Informationen, E-Mail-Adressen und entsprechende Passwörter oder Sicherheitsfragen und -antworten sowie Finanzkontonummern ohne erforderlichen Sicherheitscode, wenn eine unbefugte Person auf das Konto zugreifen könnte.

Darüber hinaus wurde die Definition einer Datenschutzverletzung erweitert, um autorisierten Zugriff und nicht nur unbefugten Zugriff einzubeziehen. Das Gesetz unterscheidet jedoch zwischen unbefugtem Zugriff in gutem Glauben.

Eine Sicherheitsverletzung umfasst nicht den "gutgläubigen Zugriff auf, den Erwerb privater Informationen durch einen Mitarbeiter oder Vertreter des Unternehmens", solange die Daten nicht verwendet oder unbefugt offengelegt werden. Eine Benachrichtigung ist auch nicht erforderlich, wenn die Offenlegung versehentlich von Personen mit autorisiertem Zugang erfolgt ist und das Unternehmen vernünftigerweise feststellt, dass die Offenlegung nicht zu einem Missbrauch dieser Informationen oder zu finanziellen oder emotionalen Schäden führt.

Im Gegensatz zu anderen Datenschutzgesetzen wie der DSGVO sieht der SHIELD Act auch keine spezifischen zeitlichen Beschränkungen für die Meldung von Datenschutzverletzungen vor, sondern entscheidet sich stattdessen für eine Benachrichtigung "in der schnellstmöglichen Zeit und ohne unangemessene Verzögerung".

Die Ausnahme davon gilt für betroffene Unternehmen, die dem Minister für Gesundheit und soziale Dienste im Sinne von HIPAA/HITECH eine Benachrichtigung über einen Verstoß zukommen lassen müssen, einschließlich einer Verletzung von Informationen (wie geschützten Gesundheitsinformationen), bei denen es sich nicht um private Informationen handelt, der dann die Benachrichtigung innerhalb von fünf Werktagen nach Benachrichtigung des Ministers an den Generalstaatsanwalt weiterleiten muss.

Wer muss den SHIELD Act einhalten?

Der SHIELD Act verlangt allgemein, dass "jede Person oder jedes Unternehmen", das computergestützte Daten besitzt oder lizenziert, zu denen auch private Informationen eines New Yorker Einwohners gehören, "angemessene Sicherheitsvorkehrungen entwickeln, implementieren und aufrechterhalten muss, um die Sicherheit, Vertraulichkeit und Integrität der privaten Informationen zu schützen, einschließlich, aber nicht beschränkt auf die Entsorgung der Daten".

Unternehmen mit einem Datensicherheitsprogramm, das dem Gramm-Leach-Bliley Act (GLBA), dem Health Insurance Portability and Accountability Act (HIPAA), dem Health Information Technology for Economic and Clinical Health Act (HITECH) und/oder der Cybersicherheitsverordnung des New York State Department of Financial Services entspricht, sind jedoch davon ausgenommen, da diese Gesetze als konform mit dem SHIELD Act gelten.

Die andere Ausnahme gilt für kleine Unternehmen, die ihre Datensicherheitsanforderungen entsprechend ihrer Größe und Komplexität, der Art und dem Umfang der Geschäftsaktivitäten sowie der Art und Sensibilität der Datenerfassung skalieren müssen.

Der SHIELD Act definiert ein kleines Unternehmen als jede Person oder jedes Unternehmen, das eines der folgenden Kriterien erfüllt:

• Weniger als fünfzig Mitarbeiter
• Weniger als drei Millionen Dollar Bruttojahresumsatz in jedem der letzten drei Geschäftsjahre
• Weniger als fünf Millionen Dollar an Bilanzsumme zum Jahresende, berechnet nach allgemein anerkannten Rechnungslegungsgrundsätzen (GAAP)

So halten Sie den SHIELD Act ein

Der SHIELD Act schreibt vor, dass Unternehmen ein Datensicherheitsprogramm implementieren müssen, das mindestens Folgendes umfasst:

• Angemessene administrative Schutzmaßnahmen: wie z. B. die Benennung eines oder mehrerer Mitarbeiter mit der Koordinierung des Sicherheitsprogramms; Identifizierung vorhersehbarer interner und externer Risiken; Bewertung der Angemessenheit der vorhandenen Sicherheitsvorkehrungen zur Kontrolle der festgestellten Risiken; Schulung und Verwaltung der Mitarbeiter in den Praktiken und Verfahren des Sicherheitsprogramms; Auswahl von Dienstleistern, die in der Lage sind, angemessene Schutzmaßnahmen aufrechtzuerhalten, und die diese Schutzmaßnahmen vertraglich vorschreiben; und passt das Sicherheitsprogramm an geschäftliche Änderungen oder neue Umstände an
• Angemessene technische Schutzmaßnahmen: Bewertet Cybersicherheitsrisiken beim Netzwerk- und Softwaredesign, bewertet Risiken bei der Verarbeitung, Übertragung und Speicherung von Informationen, erkennt, verhindert und reagiert darauf und testet regelmäßig die Wirksamkeit wichtiger Kontrollen, Systeme und Verfahren
• Angemessene physische Schutzmaßnahmen: Bewertet die Risiken der Speicherung und Entsorgung von Informationen; erkennt, verhindert und reagiert darauf; schützt vor unbefugtem Zugriff auf oder Verwendung privater Informationen während oder nach der Erfassung, dem Transport, der Vernichtung oder der Entsorgung; und entsorgt private Informationen innerhalb eines angemessenen Zeitraums, nachdem sie nicht mehr für geschäftliche Zwecke benötigt werden, indem elektronische Medien gelöscht werden, so dass die Informationen nicht gelesen werden können. rekonstruiert.

Erfahren Sie, wie Sie die Anforderungen des SHIELD Act an das Risiko von Drittanbietern einhalten können.

Welche Strafen drohen bei Nichteinhaltung des SHIELD Act?

Das Versäumnis, ein konformes Informationssicherheitsprogramm zu implementieren, wird vom Generalstaatsanwalt des Bundesstaates New York durchgesetzt und kann zu Unterlassungsansprüchen und zivilrechtlichen Strafen von bis zu 5.000 US-Dollar pro Verstoß führen.

Unternehmen, die den Meldepflichten für Verstöße nicht nachkommen, können für die "tatsächlichen Kosten oder Verluste haftbar gemacht werden, die einer Person entstehen, die zur Meldung berechtigt ist. " Darüber hinaus, wenn das Unternehmen "wissentlich oder rücksichtslos" gegen die Bestimmung verstößt, eine zivilrechtliche Strafe in Höhe von 5.000 USD oder 20 USD pro Fall der fehlgeschlagenen Benachrichtigung, bis zu einem Höchstbetrag von 250.000 USD.

Wie werden personenbezogene Daten im SHIELD Act definiert?

Der SHIELD Act definiert personenbezogene Daten als alle Informationen, die sich auf eine natürliche Person beziehen und die aufgrund ihres Namens, ihrer Nummer, ihres persönlichen Zeichens oder ihrer Kennung zu ihrer Identifizierung verwendet werden können.

Wie werden private Informationen im SHIELD Act definiert?

Der SHIELD Act definiert private Informationen als:

• Alle personenbezogenen Daten (PII) wie Name, Nummer oder andere Kennung in Verbindung mit einer Sozialversicherungsnummer, einer Führerscheinnummer oder einer Personalausweisnummer, einer Kontonummer, einer Kreditkarten- oder Debitkartennummer in Kombination mit einem Sicherheitscode, einem Zugangscode, einem Passwort oder anderen Informationen, die den Zugriff auf das Finanzkonto der Person ermöglichen würden, oder Kontonummer, Kredit- oder Debitkartennummer, wenn ohne zusätzliche Informationen auf das Finanzkonto der Person zugegriffen werden kann
• Biometrische Informationen wie Fingerabdruck, Stimmabdruck, Netzhaut- oder Irisbild oder andere eindeutige physische oder digitale Darstellungen biometrischer Daten werden verwendet, um die Identität einer Person zu authentifizieren oder festzustellen
• Ein Benutzername oder eine E-Mail-Adresse mit einem Passwort oder einer Sicherheitsfrage und -antwort würde den Zugriff auf ein Online-Konto ermöglichen.

Wichtige Erkenntnisse

Der SHIELD Act ist Teil eines wachsenden Trends in den Vereinigten Staaten hin zu strengeren Datenschutz- und Sicherheitsgesetzen, die in der EU über die DSGVO, in Brasilien über das LGPD und in Kanada über PIPEDA eingeführt wurden. Der SHIELD Act ist insofern extraterritorial, als er für jedes Unternehmen gilt, das private Informationen von Einwohnern New Yorks besitzt, unabhängig davon, ob es in New York tätig ist, genau wie DSGVO, LGPD, PIPEDA und der kalifornische CCPA.

Darüber hinaus bedeutet der breitere Umfang dessen, was eine Datenschutzverletzung ausmacht, gepaart mit neuen Zusatzleistungen für private Informationen, Anforderungen an das Risikomanagement von Anbietern und der Notwendigkeit spezifischer Schutzmaßnahmen, dass Unternehmen bis zum 21. März 2020 einen formellen Plan für die Einhaltung der Vorschriften planen und erstellen müssen, oder sie riskieren, Strafen für die Nichteinhaltung zu riskieren.