California SB 1386 был законопроектом, принятым законодательным органом Калифорнии , который вносил поправки в закон Калифорнии, регулирующий конфиденциальность личной информации : гражданские кодексы 1798.29, 1798.82 и 1798.84. Это был ранний пример многих будущих законов США и международных законов об уведомлении о нарушениях безопасности , он был представлен сенатором штата Калифорния Стивом Писом 12 февраля 2002 года и вступил в силу 1 июля 2003 года. [1]
Принятие требования об уведомлении любого резидента Калифорнии, чья незашифрованная личная информация была или есть основания полагать, что была получена неуполномоченным лицом. Это требует от агентства, лица или компании, которые ведут бизнес в Калифорнии и владеют или лицензируют компьютеризированную «личную информацию», раскрывать любое нарушение безопасности (любому резиденту, чьи незашифрованные данные, как предполагается, были раскрыты). [2]
Законопроект устанавливает различные механизмы и процедуры в отношении многих аспектов этого сценария, а также с учетом других определенных положений.
Любое агентство, владеющее или лицензирующее компьютеризированные данные, включающие персональную информацию, должно раскрывать информацию о любом нарушении безопасности системы после обнаружения или уведомления о нарушении безопасности данных любому жителю Калифорнии, чья незашифрованная персональная информация была или есть основания полагать, что была получена неуполномоченным лицом. Корпорация из другого штата, имеющая персональную информацию, касающуюся жителя Калифорнии, подпадает под действие этого закона. Затем возникает вопрос о минимальных контактах относительно того, может ли быть возбуждено дело в Калифорнии для обеспечения соблюдения прав жителя Калифорнии в соответствии с законом.
Корпорации, не имеющие физического местонахождения в Калифорнии, не подпадают под действие калифорнийского законодательства. То, что SB 1386 повлияет на корпорацию, находящуюся за пределами штата, основано на понятии юрисдикции «квази in rem», понятии, которое Верховный суд признал недействительным в деле Шаффер против Хайтнера .
Корпорации могут определить, подпадают ли они под действие этого закона, рассмотрев следующие вопросы:
Корпорация, ответившая «да» на все пять вопросов, обязана предоставить отчет.
Закон не распространяется на «зашифрованную» информацию. Таким образом, один из способов избежать отчетности — зашифровать всю «персональную информацию». Корпорация также может избежать отчетности, если ее данные не содержат «персональную информацию», касающуюся жителя Калифорнии.
«Персональная информация» означает имя или первую букву имени и фамилию физического лица в сочетании с любым одним или несколькими из следующих элементов данных, если имя или элементы данных не зашифрованы:
«Персональная информация» не включает в себя общедоступную информацию, которая на законных основаниях предоставляется широкой публике из записей федеральных, государственных или местных органов власти.