Dank eines gespaltenen Repräsentantenhauses befindet sich der US-Kongress möglicherweise mitten in einer dysfunktionalen Malaise, aber das hielt die Abgeordneten nicht davon ab, im Jahr 2023 eine Flut von Gesetzesentwürfen zum Thema Datenschutz einzubringen. Laut der International Association of Privacy Professionals (IAPP) Der Kongress hat seit seinem Beginn im Januar insgesamt 27 datenschutzbezogene Gesetzesentwürfe eingebracht, die eine Reihe von Themen abdecken, von der Überwachung am Arbeitsplatz bis hin zu KI und Bildung. Diese Gesetzesentwürfe spiegeln weitreichende Bedenken hinsichtlich der Privatsphäre in einem breiten Spektrum des amerikanischen Lebens wider.
Privatsphäre in einer Post-Roe-Ära
Nach der Aufhebung des Urteils Roe v. Wade durch den Obersten Gerichtshof im Juni 2022 wurden mehrere Gesetzesentwürfe zum Schutz der Privatsphäre von Frauen im Bereich der reproduktiven Gesundheit eingebracht. Gesetzgeber äußerten Bedenken hinsichtlich der Nutzung personenbezogener Daten zur Überwachung schwangerer Frauen, da die Zahl der Anti-Abtreibungsgesetze in den einzelnen Bundesstaaten und Berichte über Datenschutzverletzungen zunimmt. Der am 2. März eingebrachte UPHOLD Privacy Act würde die Erhebung von Standort- und Gesundheitsdaten für Werbezwecke sowie deren Verkauf an Datenhändler verbieten, während der My Body, My Data Act die Erhebung von Daten zur reproduktiven Gesundheit minimieren würde.
Einige Gesetzesentwürfe zielen darauf ab, die Zusammenarbeit zwischen dem US-Gesundheitsministerium (HHS) und der Federal Trade Commission (FTC) zu intensivieren, um die Bevölkerung vor der Überwachung ihrer Gesundheitsdaten zu schützen. Der „HHS Reproductive and Sexual Health Ombudsman Act“ und der „Protect Sexual and Reproductive Health Act“ würden die Einrichtung einer Ombudsstelle im HHS vorsehen, die gemeinsam mit der FTC Datenschutzbedenken im Zusammenhang mit reproduktiven Gesundheitsdaten ausräumen soll.
Datenschutz im Zeitalter der KI
Die Transparenz von Algorithmen war im US-Kongress ein wichtiges Thema, da die Bedrohung durch eine immer umfassendere KI zunahm. Der „Algorithmic Justice and Online Platform Transparency Act“ würde es Online-Plattformen verbieten, KI so einzusetzen, dass die Bürgerrechte von Nutzern verletzt werden. Dies schließt auch die Diskriminierung von Nutzern ein. Der „ No Robot Bosses Act“ würde Arbeitgeber daran hindern, sich bei Personalentscheidungen ausschließlich auf automatisierte Systeme zu verlassen.
Es bleibt abzuwarten, wie sich Gesetzesvorhaben wie diese mit Senator Chuck Schumers umfassenderem Versuch, KI in den USA zu regulieren, vereinbaren lassen. Im April kündigte der Mehrheitsführer im Senat Pläne zur Schaffung eines gesetzlichen Rahmens für den verantwortungsvollen Umgang mit der Technologie an.
Zu den weiteren bemerkenswerten Gesetzesentwürfen zum Datenschutz am Arbeitsplatz auf Bundesebene gehörte ein Gesetz gegen unangemessene Mitarbeiterüberwachung. Der „Stop Spying Bosses Act“ , ein Gesetzesentwurf des Senats, würde die Offenlegung bestimmter Arten der Datenerhebung über Mitarbeiter verbieten oder vorschreiben, ebenso wie der „No Robot Bosses Act“.
Einschränkung der Nutzung unserer Daten durch große Technologieunternehmen
Der „Algorithmic Justice and Online Platform Transparency Act“ ist nur einer von mehreren Gesetzesentwürfen, die die Macht großer Technologieplattformen einschränken sollen. Dazu gehört auch der „ Platform Accountability and Transparency Act“ des Senats , der die FTC verpflichten würde, die Berichterstattung von Plattformen über Inhaltsmoderation und Algorithmen zu regulieren. Ein weiterer Gesetzesentwurf, der „ Deceptive Experiences to Online Users Reduction Act “, befasst sich mit sogenannten Dark Patterns – Tricks der Benutzeroberfläche, mit denen Online-Plattformen persönliche Daten von Nutzern abgreifen. Der „Banning Surveillance Advertising Act“ würde gezielte Werbung durch Werbeunternehmen und deren Kunden verbieten (leider würde er aber Werbung mit kontext- und standortbezogenen Daten weiterhin erlauben).
Umfassendere Gesetze zum Schutz der Privatsphäre von Verbrauchern
Es gab auch einige Versuche, umfassendere Verbraucherschutzgesetze zu verabschieden, wie sie auf Ebene der Bundesstaaten entstanden sind. Der Data Care Act würde Online-Dienstleistern Sorgfalts-, Loyalitäts- und Vertraulichkeitspflichten auferlegen und der FTC die Durchsetzung dieser Pflichten ermöglichen.
Der Online Privacy Act ginge noch weiter und würde eine Digital Privacy Agency schaffen, die Datenschutzrechte durchsetzen soll, darunter das Recht der Verbraucher, auf ihre personenbezogenen Daten zuzugreifen, diese zu korrigieren, zu löschen oder zu übertragen. Er verpflichtet Dienstanbieter außerdem zur Datenminimierung und stellt ein strenges Gesetz dar, das dem kalifornischen Consumer Privacy Act und dessen Nachfolger, dem California Privacy Rights Act, stark ähnelt. Ein weiterer Gesetzentwurf, der Data Elimination and Limiting Extensive Tracking and Exchange Act , würde ein zentrales Register schaffen, das es Einzelpersonen ermöglicht, die Löschung ihrer personenbezogenen Daten durch Datenhändler zu beantragen, was dem kalifornischen DELETE Act entspricht.
In der Sammlung umfassender Gesetze zum Schutz der Privatsphäre von Verbrauchern gibt es in diesem Jahr eine bemerkenswerte Abwesenheit: den American Data Privacy and Protection Act (ADPPA). Dieser Gesetzentwurf aus dem Jahr 2022 wurde vom Ausschuss mit 53 zu 2 Stimmen verabschiedet, schaffte es aber nicht ins Plenum des Repräsentantenhauses. Im Mai dieses Jahres hielt der Unterausschuss für Innovation, Daten und Handel des Ausschusses für Energie und Handel des Repräsentantenhauses jedoch eine Anhörung ab, in der häufig auf Maßnahmen im ADDPA verwiesen wurde. Der Gesetzentwurf wurde nicht wieder eingebracht, aber der derzeitige Kongress tagt noch ein weiteres Jahr.
Eine der Besonderheiten des ADPAA – neben der Tatsache, dass es der einzige umfassende Verbraucherschutzgesetzentwurf ist, der den Ausschuss passiert hat – war seine Vorrangstellung gegenüber Landesrecht. Dies dürfte einige Bundesstaaten verärgern, insbesondere da viele weitere Bundesstaaten, wie beispielsweise Kalifornien und Virginia, eigene Verbraucherschutzgesetze ausarbeiten. Delaware, Indiana, Iowa, Montana, Oregon, Tennessee und Texas haben in diesem Jahr entsprechende Gesetze verabschiedet, während in anderen Bundesstaaten Gesetzesentwürfe geprüft werden. Dazu gehören Maine, Massachusetts (wo drei Gesetzesentwürfe in Arbeit sind), Michigan, New Jersey, North Carolina, Ohio, Pennsylvania und Wisconsin – mehr dazu hier.
Vorbereitung auf jedes Gesetzgebungsszenario
Es ist einfach, im Repräsentantenhaus einen Gesetzentwurf einzubringen. Es ist weitaus komplexer, es aus dem Ausschuss heraus und durch eine Abstimmung im Senat an den Senat zu bringen. Viele Rechnungen schaffen es nie so weit. Da ein neuer Sprecher des Repräsentantenhauses aus dem linken Feld kommt und erheblichen Einfluss darauf haben wird, welche Gesetze tatsächlich in Betracht gezogen werden, bleibt abzuwarten, welche dieser Gesetzesvorschläge irgendwohin führen werden.
Unternehmen müssen sich in der Zwischenzeit auf alle rechtlichen Eventualitäten vorbereiten. Sicherheitsrahmenwerke wie ISO 27001 oder 27701 oder das Privacy Framework des NIST bieten hierfür die grundlegenden Voraussetzungen, um Organisationen bei der Einhaltung aller anstehenden Anforderungen zu unterstützen.
