什么是德克萨斯州数据隐私和安全法案 （TDPSA）？
德克萨斯州数据隐私和安全法案 （TDPSA） 于 2023 年 6 月 18 日颁布，使德克萨斯州成为美国第十个授权制定保护居民消费者的综合隐私法的州。
TDPSA 借鉴了其他州隐私法的许多法规，主要是《弗吉尼亚消费者数据保护法》（VCDPA） 和《加州消费者隐私法》（CCPA）。作为 TDPSA 的一部分通过的几乎所有条款都将在 2024 年 7 月 1 日生效，即佛罗里达州数字权利法案 （FDBR） 生效的同一天。
在德克萨斯州开展业务或生产州居民消费产品的实体将受 TDPSA 的影响最大。
了解 UpGuard 的一体化网络安全解决方案如何帮助您的企业实现合规性>
您的企业是否需要遵守德克萨斯州数据隐私和安全法案？
与美国的其他数据隐私法不同，TDPSA 的适用性不仅限于处理大量消费者数据的大型企业。相反，TDPSA 广泛适用于满足以下所有标准的各种组织和个人（在法案中称为控制者）：
- 在德克萨斯州开展业务或销售德克萨斯州居民消费的产品或服务
- 参与个人数据的处理或出售
- 未被美国小企业管理局 （SBA） 定义为小型企业
重要提示：美国小企业管理局将小型企业定义为员工人数少于 500 人的组织。但是，SBA 也对“小企业”进行了各种行业级别的定义，其中可能包括总收入要求。
谁可以豁免 TDPSA？
其他企业，包括一些有限责任合伙企业 （LLP），如果属于以下一般豁免类别之一，则可以不受 TDPSA 的约束：
- 非营利组织
- 受《金融服务现代化法案》（GLBA） 约束的金融机构
- 受《健康保险流通与责任法案》（HIPAA） 约束的医疗保健提供者
- 高等教育机构
- 电力公司提供商
TDPSA 也不适用于去标识化数据、受保护的员工信息、医疗保健信息 （HIPAA）、受《公平信用报告法》监管的信息，或业务伙伴处理的任何此类信息。
根据 TDPSA 授予的消费者权利
TDPSA 为德克萨斯州居民提供了有关其敏感个人数据和数据收集的多项权利。
根据 TDPSA 授予的消费者权利包括：
- 有权知道控制者是否在收集消费者数据、正在收集哪些类别的个人数据以及控制者是否参与处理活动（所有这些都在隐私声明中概述）
- 更正和删除已收集的数据中的不准确之处的权利
- 有权接收已收集数据的便携式数字报告（数据可移植性）
- 有权选择不出售个人数据、广告或分析，这是代表消费者的法律考虑的结果
- 对 TDPSA 授予的任何其他保护被拒绝提出上诉的权利
个人数据与敏感数据 （TDPSA）
TDPSA 对个人数据的构成进行了广泛的定义。根据 TDPSA，个人数据包括可能与可识别个人合理相关的任何信息，包括敏感数据。
TDPSA 还明确规定，与其他信息一起使用的假名数据被视为个人数据。
该法案将敏感数据更狭义地定义为属于以下类别之一的任何个人数据：
- 揭示一个人的种族或民族血统、公民身份或移民身份
- 表明一个人的心理或身体健康诊断
- 描述一个人的宗教信仰
- 用于识别个人身份的遗传或生物特征个人数据
- 显示人员的精确地理位置
- 从已知儿童收集的数据
控制器如何保持 TDPSA 规定的合规性？
为了保持对 TDPSA 的合规性，控制者必须遵守多项数据安全法规，以保护消费者的个人数据。根据参议院的隐私法案，控制者必须：
- 向消费者提供隐私政策，明确说明正在收集或处理的数据类型以及数据的预期用途，
- 在他们的隐私政策中加入一份声明，上面写着“注意：如果他们打算出售生物识别或其他敏感数据，我们可能会出售您的敏感数据”
- 实行数据最小化，避免二次使用公共隐私声明中未列出的数据，并定期进行数据保护评估
- 采取合理措施确保去识别化数据无法追溯到任何个人或数据主体
- 及时对使用者请求进行身份验证
重要提示：虽然 TDPSA 的大多数法规将于 2024 年 7 月 1 日生效，但控制者必须在 2025 年 1 月 1 日之前为消费者提供选择退出出售其数据、定向广告或分析的流程。生效日期后，控制者必须向消费者提供一个地址（电子邮件、免费电话号码或链接），以便他们完成选择退出过程。
随着越来越多的州通过隐私立法，企业可以预期合规性将变得越来越混乱。UpGuard 为各种规模的组织提供全面的网络安全解决方案，以帮助消除这种混淆以及其他安全问题。
UpGuard 的供应商风险技术使企业能够自动化其供应商风险评估流程，接收其安全状况的实时更新，并在一个中央工作流程中管理所有供应商的合规性。
UpGuard 的 BreachSight 技术使企业能够全天候主动监控其攻击面，对其网络安全保护充满信心，并保护其组织的声誉。
此外，UpGuard 还提供安全问卷，使组织能够评估其供应商的安全合规性并制定计划来修复任何关键风险和漏洞。
控制者和处理者之间的合同要求
德克萨斯州概述了控制者和处理者必须遵守 TDPSA 的合同要求。
TDPSA 状态控制者必须：
- 概述处理个人数据的明确说明
- 指明所有处理活动的目的
- 需要处理的数据类型
- 处理的持续时间
TDPSA 规定处理者必须：
- 确保所有个人数据的机密性
- 完成服务后，删除所有数据并将其返回给控制器
- 提供他们拥有的所有信息以证明合规性
- 配合控制者安排的数据评估
- 限制分包商遵守与合同规定的相同规定
执行《德克萨斯州数据隐私和安全法案》
州长格雷格·阿博特 （Greg Abbott） 已责成德克萨斯州总检察长 （AG） 执行 TDPSA。总检察长将执行与该法案的州法律相关的所有监管行动。TDPSA 不授予消费者对所涵盖实体提起诉讼的私人权利。
如果总检察长办公室认为控制者违反了 TDPSA，则总检察长必须提前 30 天通知该实体。任何实体未在 30 天补救期内纠正违规行为，可能会受到最高 7500 美元的民事处罚。
根据 TDPSA，罚款可能会迅速增加;总检察长统计每个受影响的消费者的违规行为。例如，如果有 100 名消费者受到特定违规行为的影响，则民事处罚将乘以 100。
美国各地的数据隐私法
>目前席卷美国的数据隐私运动主要是对欧盟制定的立法的回应。欧盟的《通用数据保护条例》（GDPR） 为美国各州如何应对控制者收集个人数据和其他消费者隐私问题开创了先例。
以下州已通过全面的隐私保护立法：
加利福尼亚州 （CCPA）
科罗拉多州 （CPA）
康涅狄格州 （CTDPA）
印第安纳州 （INCDPA）
爱荷华州 （ICDPA）
蒙大拿州 （MTCDPA）
田纳西州 （TIPA）
德克萨斯州 （TDPSA）
犹他州 （UCPA）
弗吉尼亚州 （CDPA）