Iowa Dengan Suara Bulat Mengesahkan Undang-Undang Privasi Data

Iowa adalah negara bagian keenam di AS yang mengadopsi undang-undang privasi data yang komprehensif. File Senat 262 dengan suara bulat disahkan oleh Senat dan DPR Iowa dan menunggu tanda tangan Gubernur.

Undang-undang privasi data Iowa berlaku untuk perusahaan yang (1) mengontrol atau memproses data dari setidaknya 100.000 konsumen Iowa, atau (2) mengontrol atau memproses data dari setidaknya 25.000 konsumen Iowa dan memperoleh 50% pendapatan mereka dari penjualan data pribadi. Sebagai catatan bagi pemberi kerja yang melakukan pemeriksaan latar belakang, Iowa bergabung dengan California, Colorado, Connecticut, Utah, dan Virginia dengan mengecualikan data yang diatur oleh Fair Credit Reporting Act (FCRA). Pengecualian juga ada untuk entitas negara bagian dan kota, subdivisi politik, bank, dan perusahaan keuangan yang tunduk pada Undang-Undang Gramm-Leach-Bliley (GLBA), dan organisasi perawatan kesehatan sebagaimana ditentukan dalam undang-undang yang tunduk pada Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan tahun 1996 ( HIPAA), nirlaba, lembaga pendidikan tinggi termasuk data Hak Pendidikan Keluarga dan Undang-Undang Privasi (FERPA), data yang diatur oleh Undang-Undang Perlindungan Privasi Daring Anak tahun 1998 (COPPA) dan informasi tertentu terkait pekerjaan.

Seperti undang-undang privasi data lainnya, Iowa menetapkan persyaratan khusus untuk pengontrol data pribadi, yang merupakan entitas yang “menentukan tujuan dan cara memproses data pribadi” dan pemroses yang “memproses data pribadi atas nama pengontrol”. Undang-undang Iowa menetapkan hak bagi konsumen, atau subjek data, termasuk hak untuk mengonfirmasi jika pemrosesan data pribadi akan dilakukan dan akses ke data pribadi. Subjek data juga diberi hak untuk meminta agar data pribadi dihapus, mendapatkan salinan data pribadi, dan memilih keluar dari penjualan data pribadi.

Pengontrol harus memberikan pemberitahuan privasi kepada konsumen yang mengidentifikasi hal-hal berikut:

• Kategori data pribadi yang diproses,
• Tujuan pengolahan,
• Bagaimana konsumen dapat menggunakan hak privasi data mereka,
• Kategori data pribadi yang dibagikan pengontrol dengan pihak ketiga jika ada, dan
• Kategori pihak ketiga, jika ada, yang dengannya pengontrol berbagi data pribadi.

Undang-undang mensyaratkan bahwa pemroses dan pengontrol melaksanakan kesepakatan mengenai ruang lingkup layanan pemroses yang disediakan atas arahan pengontrol.

Undang-undang baru tidak menciptakan hak pribadi untuk bertindak tetapi mengizinkan konsumen untuk melaporkan pelanggaran kepada Jaksa Agung Iowa. Sebelum memulai tindakan penegakan hukum, entitas yang diduga melanggar undang-undang privasi data diberikan masa pemulihan 90 hari. Selanjutnya, Jaksa Agung Iowa dapat meminta ganti rugi dan memungut hukuman perdata hingga $7.500 per pelanggaran.

RUU Iowa adalah salah satu dari beberapa yang saat ini sedang dipertimbangkan, dengan langkah-langkah di Hawaii, Indiana, Kentucky, Montana, New Jersey, dan Oklahoma dengan cepat berkembang melalui proses legislatif. Sementara persyaratan kepatuhan serupa dengan undang-undang privasi data negara bagian lain, pemberi kerja diingatkan untuk meninjau kebijakan dan prosedur mereka sebelum tanggal efektif undang-undang tersebut.

Undang-undang privasi data Iowa diharapkan ditandatangani oleh Gubernur dan akan mulai berlaku pada 1 Januari 2025.