Co to jest ustawa o bezpieczeństwie danych w stanie Massachusetts? Przewodnik + wskazówki

Ustawa o bezpieczeństwie danych w stanie Massachusetts (201 CMR 17.00) chroni dane osobowe mieszkańców stanu Massachusetts. Ustawa weszła w życie 1 marca 2010 r. i w tamtym czasie była jedną z najbardziej kompleksowych ustaw o ochronie danych osobowych uchwalonych w Stanach Zjednoczonych.

Od czasu uchwalenia ustawy wiele stanów USA przyjęło bardziej rygorystyczne przepisy dotyczące prywatności danych, w tym godną uwagi kalifornijską ustawę o ochronie prywatności konsumentów (CCPA) i ustawę o ochronie danych konsumentów w Wirginii (VCDPA). Pod wieloma względami wczesna ustawa o bezpieczeństwie danych w Massachusetts była prekursorem tych bardzo wpływowych przepisów.

Na początku 2022 roku Massachusetts rozpoczęło prace nad uchwaleniem zaktualizowanej i bardziej rygorystycznej ustawy o ochronie danych o nazwie Massachusetts Information Privacy and Security Act (MIPSA). 3 stycznia 2023 r. rząd stanowy przeniósł nowe prawo do stanowej komisji ds. dróg i środków Senatu.

Dowiedz się, w jaki sposób kompleksowe rozwiązanie UpGuard w zakresie cyberbezpieczeństwa umożliwia organizacjom osiągnięcie zgodności w całym łańcuchu dostaw >

Jakie są cele ustawy o bezpieczeństwie danych w stanie Massachusetts?

Massachusetts uchwaliło ustawę 201 CMR 17.00 w celu ustanowienia standardów ochrony danych osobowych mieszkańców:

Ustawa ma trzy główne cele obrony mieszkańców Rzeczypospolitej:

Zapewnienie poufności danych osobowych
Ochrona integralności i bezpieczeństwa danych osobowych
Chroń dane osobowe przed nieautoryzowanym dostępem

Aby osiągnąć te trzy cele, prawo nakłada na administratorów danych i podmioty przetwarzające surowe przepisy dotyczące zgodności i obowiązki w zakresie ochrony danych.

Kto musi przestrzegać 201 CMR 17.00?

Ustawa o bezpieczeństwie danych stanu Massachusetts wymaga przestrzegania przepisów przez wiele organizacji, w tym wszelkie firmy, które otrzymują, przechowują lub w inny sposób przetwarzają dane osobowe mieszkańców stanu Massachusetts w związku ze sprzedażą towarów lub usług. Prawo reguluje również firmy, które pozyskują dane osobowe w kontekście zatrudnienia.

Uwaga: Zakres 201 CMR 17.00 obejmuje firmy działające w stanie Massachusetts oraz firmy działające poza stanem, które przetwarzają dane osobowe mieszkańców stanu Massachusetts.

Co to są dane osobowe?

Prawo stanu Massachusetts 201 CMR 17.00 definiuje dane osobowe jako każdą informację, która zawiera imię i nazwisko osoby (lub inicjał i nazwisko) oraz jeden z poniższych:

Numer ubezpieczenia społecznego
Numer prawa jazdy lub numer identyfikacyjny wydany przez państwo

Numer rachunku finansowego (konto bankowe, karta kredytowa lub debetowa itp.)

Zgodnie z prawem dane osobowe nie obejmują żadnych informacji uzyskanych zgodnie z prawem z rejestrów publicznych, stanowych lub federalnych. Prawo wyklucza również informacje, które są wyraźnie uważane za powszechnie znane.

Zgodnie z prawem stanu Massachusetts firmy, które korzystają wyłącznie z technologii przesuwania kart kredytowych i grupują dane zgodnie ze standardami stanowymi i federalnymi, nie są właścicielami ani nie udzielają licencji na dane osobowe.

Uwaga: Definicja danych osobowych użyta w 201 CMR 17.00 pochodzi z Massachusetts General Law (M.G.L) rozdział 93H. Inne przepisy dotyczące prywatności w Stanach Zjednoczonych mają bardziej rygorystyczne definicje informacji publicznych. Firmy powinny zachować ostrożność przy rozważaniu, czy kwalifikują się do zwolnienia z jakichkolwiek przepisów o ochronie danych osobowych, ponieważ mogą być zobowiązane do przestrzegania innego nakładającego się prawa.

Wymagania ustawy o bezpieczeństwie danych w stanie Massachusetts (201 CMR 17.00)

Standardy określone w 201 CMR 17.00 wymagają od organizacji, które gromadzą lub przetwarzają dane osobowe mieszkańców Massachusetts, aby:

Opracowanie pisemnego programu bezpieczeństwa informacji (WISP), który zawiera komputerowy system zabezpieczeń
Wyznacz co najmniej jednego pracownika do obsługi dostawcy usług WISP i jego zasad zabezpieczeń
Przeprowadzanie ocen ryzyka i instalowanie ulepszeń w celu ochrony danych osobowych
Podejmij środki dyscyplinarne i uzasadnione kroki w celu ukarania pracowników, którzy naruszają WISP
Opracowanie środków bezpieczeństwa w celu poprawy ochrony danych osobowych
Dokumentowanie wszelkich naruszeń bezpieczeństwa lub wycieków danych oraz procesu podjętego przez organizację w celu zareagowania na takie zdarzenia

Uwaga: Zabezpieczenia zawarte w usługodawcy WISP organizacji muszą być zgodne z innymi przepisami stanowymi lub federalnymi, którym organizacja podlega (HIPAA, GLBA, FERPA itp.). Innymi słowy, małe przedsiębiorstwa, które nie przetwarzają dużych ilości chronionych informacji, nie podlegają takim samym wymogom, jak podmioty dysponujące większymi zasobami.

Wymagania dotyczące bezpieczeństwa systemu komputerowego

Przepisy stanu Massachusetts nakazują firmom wzmacnianie swojego systemu bezpieczeństwa komputerowego za pomocą standardów branżowych dotyczących prywatności danych, gdy jest to technicznie wykonalne.

Normy te muszą obejmować:

Kontrola wszystkich identyfikatorów użytkowników i haseł w celu uwierzytelniania
Ścisłe procedury blokowania dla nieaktywnych użytkowników lub nieudanych prób logowania
Ograniczenia lub środki kontroli dostępu dla osób, które są w uzasadniony sposób zobowiązane do interakcji z danymi osobowymi lub takimi informacjami
Aktualna zapora sieciowa i system operacyjny zapobiegający naruszeniom danych
Poprawki zabezpieczeń dla systemów podłączonych do Internetu
Aktualne wersje oprogramowania agenta zabezpieczeń systemu (ochrona przed złośliwym oprogramowaniem i definicje wirusów)
Protokoły szyfrowania w celu anonimizacji wszelkich danych osobowych udostępnianych przez organizację w sieci publicznej
Protokoły edukacyjne i szkoleniowe dla pracowników

Protokoły szyfrowania poniżej 201 CMR 17.00

Szyfrowanie jest najważniejszym protokołem wymaganym przez ustawę o bezpieczeństwie danych w stanie Massachusetts. Zgodnie z prawem organizacje muszą szyfrować wszystkie rekordy lub pliki, które będą lub prawdopodobnie będą przesyłane bezprzewodowo lub przez sieć publiczną. Organizacje muszą również szyfrować wszystkie dane osobowe przechowywane na laptopie lub urządzeniu przenośnym.

W przeciwieństwie do niektórych innych przepisów dotyczących prywatności, Massachusetts wymaga, aby WSZYSTKIE dane osobowe były szyfrowane, nawet jeśli urządzenia pamięci masowej nie opuszczają terenu firmy.

Definicja szyfrowanego (201 CMR 17.00)

Prawo stanu Massachusetts definiuje szyfrowanie jako przekształcanie danych w formę, której nie można racjonalnie przypisać osobie bez użycia klucza lub hasła. Organizacja musi również zmienić dane na nieczytelny format, aby spełnić standardy prawa. Sama ochrona hasłem nie jest równoznaczna z przestrzeganiem przepisów.

Firmy muszą również rozważyć sposoby zapobiegania kradzieży tożsamości. Zgodnie z rozsądnymi standardami staranności określonymi przez prawo, dane osobowe nie powinny być przekazywane za pomocą niezabezpieczonych środków, takich jak e-mail lub SMS.

Umowy między przedsiębiorstwami a usługodawcami zewnętrznymi

Zgodnie z prawem wszyscy dostawcy usług muszą podpisać umowę, która zobowiązuje ich do przestrzegania standardów ustawy o bezpieczeństwie danych w stanie Massachusetts. Organizacje muszą również dołożyć należytej staranności przy wyborze dostawców zewnętrznych, którzy pomogą ich firmom.

Egzekwowanie 201 CMR 17.00

Ustawa o bezpieczeństwie danych stanu Massachusetts wyznacza prokuratora generalnego stanu Massachusetts do prowadzenia wszelkich działań egzekucyjnych. Biuro Prokuratora Generalnego powiadomi każdy podmiot, który naruszy prawo i będzie egzekwować ścisły termin przestrzegania prawa. Firmy, które nie zastosują się do przepisów po otrzymaniu powiadomienia o naruszeniu prawa, prawdopodobnie poniosą kary cywilne w wysokości do 5 000 USD na osobę, której dotyczy problem.

Produkt UpGuard Vendor Risk umożliwia organizacjom osiągnięcie zgodności (201 CMR 17.00, MHMDA, VCDPA, CCPA, RODO itp.)w całym łańcuchu dostaw. Technologia ta umożliwia również organizacjom automatyzację ocen ryzyka związanego ze zgodnością dostawców i otrzymywanie aktualizacji stanu zabezpieczeń w czasie rzeczywistym.

BreachSight firmy UpGuard umożliwia organizacjom przejęcie pełnej kontroli nad programem obsługi danych. Produkt pozwala firmom proaktywnie monitorować powierzchnię ataku, zyskać zaufanie do zabezpieczeń cybernetycznych i ustanowić najlepsze praktyki zgodnie z 201 CMR 17.00 lub innymi przepisami dotyczącymi zgodności.

Uwaga: Organizacje mogą zapoznać się z dodatkowymi informacjami na temat ustawy o bezpieczeństwie danych stanu Massachusetts na stronie Mass.gov. Biuro ds. Konsumentów i Regulacji Biznesu Wspólnoty Massachusetts (OCABR) również opublikowało kilka często zadawanych pytań na ten temat.