Che cos'è lo SHIELD Act? Suggerimenti per la conformità allo SHIELD

Il New York Stop Hacks and Improve Electronic Data Security Act (SHIELD Act), o Senate Bill 5575, è stato emanato il 25 luglio 2019 come emendamento al New York State Information Security Breach and Notification Act. La legge entrerà in vigore il 21 marzo 2020.

La motivazione alla base dello SHIELD Act è quella di aggiornare la legge di New York sulla notifica delle violazioni dei dati per stare al passo con la tecnologia attuale. Il disegno di legge amplia l'ambito delle informazioni coperte dalla legge sulle notifiche e aggiorna i requisiti di notifica delle violazioni in caso di violazione dei dati.

Inoltre, amplia la definizione di violazione dei dati per includere una persona non autorizzata che ottiene l'accesso a informazioni private e richiede alle organizzazioni di adottare una ragionevole sicurezza dei dati.

Ciò include la designazione di una persona per eseguire il processo di gestione del rischio del fornitore e per condurre la due diligence sulle misure di sicurezza dei dati di fornitori e fornitori di servizi di terze parti. Per facilitare l'aderenza, lo SHIELD Act fornisce standard su misura per le dimensioni di un'azienda e protezioni dalla responsabilità per determinate entità.

In breve, lo SHIELD Act impone obblighi più severi alle aziende che gestiscono informazioni personali e private per mitigare le minacce che contribuiscono al furto di identità, come le violazioni e le fughe di dati.

Perché lo SHIELD Act è importante?

Lo SHIELD ACT è importante perché ha "applicazione extraterritoriale", il che significa che copre tutti i datori di lavoro, gli individui o le organizzazioni che raccolgono informazioni private sui residenti di New York, indipendentemente dalla loro posizione.

In precedenza, i requisiti di notifica delle violazioni dei dati erano limitati a coloro che svolgono attività commerciali a New York. Altri esempi di leggi extraterritoriali sulla protezione dei dati includono il California Consumer Privacy Act (CCPA), il Regolamento generale sulla protezione dei dati (GDPR) dell'UE e la Legge generale brasiliana sulla protezione dei dati (Lei Geral de Proteção de Dados Pessoais o LGPD).

L'altra parte importante è l'implementazione obbligatoria di un programma di sicurezza dei dati con garanzie specifiche come la valutazione dei rischi, la formazione della forza lavoro, la pianificazione della risposta agli incidenti e i test, nonché l'aumento della portata di una violazione della sicurezza, come la visualizzazione di informazioni private che potrebbero far scattare un obbligo di segnalazione.

La legge allinea lo Stato di New York con altri stati come la California, il Rhode Island e il Massachusetts.

In che modo lo SHIELD Act ha modificato i requisiti di notifica delle violazioni dei dati?

Lo SHIELD Act modifica l'attuale legge di New York sulla notifica delle violazioni e amplia i requisiti di notifica, richiedendo la notifica se i dati compromessi sono:

Dati informatizzati contenenti informazioni private di un residente di New York
Si ritiene ragionevolmente che sia stato effettuato l'accesso o l'acquisizione da parte di una persona senza un'autorizzazione valida

Lo SHIELD Act ha sostanzialmente ampliato la definizione di informazioni private per includere, oltre ai numeri di previdenza sociale, ai numeri di patente di guida, ai numeri di carte di credito o di debito o ai numeri di conto finanziario, per includere informazioni biometriche, indirizzi e-mail e password corrispondenti o domande e risposte di sicurezza e numeri di conto finanziario senza un codice di sicurezza richiesto se una persona non autorizzata potesse accedere al conto.

Inoltre, la definizione di violazione dei dati è stata ampliata per includere l'accesso autorizzato piuttosto che l'acquisizione non autorizzata. Detto questo, la legge distingue tra l'accesso non autorizzato in buona fede.

Una violazione della sicurezza non include "l'accesso in buona fede, l'acquisizione di informazioni private da parte di un dipendente o agente dell'azienda", purché i dati non vengano utilizzati o siano soggetti a divulgazione non autorizzata. Né è richiesta la notifica nel caso in cui la divulgazione sia stata involontaria da parte di persone con accesso autorizzato e l'azienda determini ragionevolmente che la divulgazione non comporterà un uso improprio di tali informazioni o danni finanziari o emotivi.

Né lo SHIELD Act impone vincoli temporali specifici per la notifica delle violazioni dei dati, a differenza di altre leggi sulla protezione dei dati come il GDPR, optando invece per la notifica "nel tempo più opportuno possibile e senza ritardi irragionevoli".

L'esenzione a questo è per gli enti coperti che devono fornire una notifica di violazione, inclusa la violazione di informazioni (come le informazioni sanitarie protette) che non sono informazioni private al segretario della salute e dei servizi umani come definito in HIPAA/HITECH, che deve quindi fornire la notifica al procuratore generale dello Stato entro cinque giorni lavorativi dalla notifica al segretario.

Chi deve rispettare lo SHIELD Act?

Lo SHIELD Act richiede in generale che "qualsiasi persona o azienda" che possieda o conceda in licenza dati computerizzati, che includono informazioni private di un residente di New York, "sviluppi, implementi e mantenga ragionevoli misure di salvaguardia per proteggere la sicurezza, la riservatezza e l'integrità delle informazioni private, incluso, ma limitato a, lo smaltimento dei dati".

Detto questo, le entità con un programma di sicurezza dei dati conforme al Gramm-Leach-Bliley Act (GLBA), all'Health Insurance Portability and Accountability Act (HIPAA), all'Health Information Technology for Economic and Clinical Health Act (HITECH) e/o al regolamento sulla sicurezza informatica del Dipartimento dei servizi finanziari dello Stato di New York sono esenti in quanto queste leggi sono considerate conformi allo SHIELD Act.

L'altra esenzione è per le piccole imprese che devono ridimensionare i propri requisiti di sicurezza dei dati in base alle dimensioni e alla complessità, alla natura e all'ambito delle attività aziendali e alla natura e sensibilità della raccolta delle informazioni.

Lo SHIELD Act definisce una piccola impresa come qualsiasi persona o azienda che soddisfi uno dei seguenti criteri:

Meno di cinquanta dipendenti
Meno di tre milioni di dollari di entrate annuali lorde in ciascuno degli ultimi tre anni fiscali
Meno di cinque milioni di dollari di attività totali a fine anno, calcolate secondo i principi contabili generalmente accettati (GAAP)

Come conformarsi allo SHIELD Act

Lo SHIELD Act richiede che le organizzazioni implementino un programma di sicurezza dei dati che includa almeno quanto segue:

Garanzie amministrative ragionevoli: come la designazione di uno o più dipendenti per coordinare il programma di sicurezza; l'identificazione dei rischi interni ed esterni prevedibili; la valutazione della sufficienza delle misure di sicurezza in atto per controllare i rischi identificati; la formazione e la gestione dei dipendenti sulle pratiche e le procedure del programma di sicurezza; la selezione di fornitori di servizi in grado di mantenere adeguate misure di salvaguardia e la richiesta di tali garanzie per contratto, e adegua il programma di sicurezza alla luce di cambiamenti aziendali o nuove circostanze
Ragionevoli misure di sicurezza tecnica: valuta i rischi per la sicurezza informatica nella progettazione di reti e software, valuta i rischi nell'elaborazione, trasmissione e archiviazione delle informazioni, rileva, previene e risponde ad attacchi informatici o guasti del sistema e verifica regolarmente l'efficacia dei controlli, dei sistemi e delle procedure chiave
Ragionevoli misure di sicurezza fisica: valuta i rischi dell'archiviazione e dell'eliminazione delle informazioni; rileva, previene e risponde alle intrusioni; protegge dall'accesso o dall'uso non autorizzato di informazioni private durante o dopo la raccolta, il trasporto, la distruzione o lo smaltimento; e smaltisce le informazioni private entro un ragionevole lasso di tempo dal momento in cui non sono più necessarie per scopi commerciali cancellando i supporti elettronici in modo che le informazioni non possano essere lette o Ricostruito.

Scopri come rispettare i requisiti relativi ai rischi di terze parti previsti dallo SHIELD Act.

Quali sono le sanzioni per il mancato rispetto dello SHIELD Act?

La mancata attuazione di un programma di sicurezza delle informazioni conforme è applicata dal Procuratore generale dello Stato di New York e può comportare un provvedimento ingiuntivo e sanzioni civili fino a 5.000 dollari per violazione.

Le aziende che non rispettano i requisiti di notifica delle violazioni possono essere ritenute responsabili per i "costi o le perdite effettive sostenute da una persona avente diritto alla notifica. Inoltre, se l'azienda viola la disposizione "consapevolmente o incautamente", una sanzione civile maggiore tra $5.000 o $20 per istanza di mancata notifica, fino a un massimo di $250.000.

Come vengono definite le informazioni personali nello SHIELD Act?

Lo SHIELD Act definisce le informazioni personali come qualsiasi informazione riguardante una persona fisica che, a causa del nome, del numero, del marchio personale o dell'identificatore, può essere utilizzata per identificarla.

Come vengono definite le informazioni private nello SHIELD Act?

Lo SHIELD Act definisce le informazioni private come:

Qualsiasi informazione di identificazione personale (PII) come nome, numero o altro identificatore abbinato a un numero di previdenza sociale, numero di patente di guida o numero di carta d'identità non del conducente, numero di conto, numero di carta di credito o di debito in combinazione con qualsiasi codice di sicurezza, codice di accesso, password o altre informazioni che consentirebbero l'accesso al conto finanziario dell'individuo, o numero di conto, numero di carta di credito o di debito se è possibile accedere al conto finanziario dell'individuo senza ulteriori informazioni
Le informazioni biometriche come l'impronta digitale, l'impronta vocale, l'immagine della retina o dell'iride o altre rappresentazioni fisiche uniche o digitali di dati biometrici vengono utilizzate per autenticare o accertare l'identità di un individuo
Un nome utente o un'e-mail con una password o una domanda e risposta di sicurezza consentirebbero l'accesso a un account online.

Punti chiave

Lo SHIELD Act fa parte di una tendenza crescente negli Stati Uniti verso leggi più severe sulla privacy e sulla sicurezza dei dati, che abbiamo visto introdotte nell'UE tramite il GDPR, in Brasile tramite LGPD e in Canada tramite PIPEDA. Lo SHIELD Act è extraterritoriale in quanto si applica a qualsiasi azienda che detenga informazioni private dei residenti di New York, indipendentemente dal fatto che svolga attività a New York, proprio come il GDPR, LGPD, PIPEDA e il CCPA della California.

Inoltre, l'ambito più ampio di ciò che costituisce una violazione dei dati, abbinato a nuove aggiunte alle informazioni private, ai requisiti di gestione del rischio dei fornitori e alla necessità di salvaguardie specifiche, significa che le aziende devono pianificare e creare un piano formale per la conformità entro il 21 marzo 2020 o rischiare l'esposizione a sanzioni per non conformità.