Nõusolek ja bännerid

Sanktsioonide ja territoriaalsete ulatusete navigeerimine: pilk maailma rangeimatele privaatsusseadustele

7. juuli 2026 · 17 min lugemine

Lühike vastus: Maailma rangeimad privaatsusseadused, mida juhivad EL-i GDPR, Hiina PIPL ja California CCPA, kehtestavad märkimisväärseid rahalisi karistusi ja ulatuvad kaugele üle nende koduriikide piiride. Iga organisatsioon, mis kogub või töötleb isikuandmeid nendes jurisdiktsioonides elavatelt isikutelt, peab neid järgima, olenemata sellest, kus see organisatsioon füüsiliselt asub. Territoriaalse ulatuse ja sanktsioonistruktuuride mõistmine on esimene samm kaitstava vastavuspositsiooni loomisel.

Peamised järeldused

Üle 160 riigi on vastu võtnud terviklikud andmekaitseõigusaktid, muutes globaalse vastavuse baasootuseks, mitte erandiks [1].
GDPR-il on kõigist privaatsusseadustest kõrgeimad rahalised karistused: kuni 20 miljonit eurot või 4% ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem [1].
GDPR-i jõustamise trahvid on alates jõustamise algusest ületanud 7 miljardit eurot, märkimisväärsete karistustega Meta, Amazoni ja TikToki vastu [7].
Nii Hiina PIPL kui ka EL-i GDPR kehtivad eksterritoriaalselt, välisettevõtted, kes teenindavad nendes jurisdiktsioonides elavaid isikuid, peavad neid järgima [1].
USA-l puudub ühtne föderaalne privaatsusseadus; vastavus sõltub sektorist ja osariigist, kusjuures California CCPA on kõige mõjukam osariigi tasandi raamistik [2].
Territoriaalne ulatus määrab, milline seadus teie ettevõttele kehtib; ühele organisatsioonile võib samaaegselt kehtida mitu seadust.
Väikeettevõtted ei ole automaatselt vabastatud, CCPA künnised ja GDPR-i "asutamise" test võivad hõlmata paljude suurustega ettevõtteid.
Levinud vastavusrikkumiste hulka kuuluvad ebapiisavad nõusolekumehhanismid, halb andmete kaardistamine ja piiriüleste edastamise reeglite eiramine.
Nõusolekuhaldusplatvorm (CMP), näiteks Biscotti CMP, aitab organisatsioonidel rakendada nõusolekunõudeid mitme raamistiku alusel.

Millised on maailma rangeimad privaatsusseadused riigiti

Maailma rangeimad privaatsusseadused on EL-i isikuandmete kaitse üldmäärus (GDPR), Hiina isikuandmete kaitse seadus (PIPL), Brasiilia Lei Geral de Proteção de Dados (LGPD) ja California CCPA/CPRA. Igaüks neist ühendab laia territoriaalse ulatuse sisuliste jõustamismehhanismidega.

What Are the World's Strictest Privacy Laws by Country

Siin on lühike võrdlus peamistest raamistikest:

Seadus	Jurisdiktsioon	Maksimaalne karistus	Eksterritoriaalne?	Kehtiv alates
GDPR	Euroopa Liit	20 miljonit eurot või 4% ülemaailmsest käibest	Jah	Mai 2018
UK GDPR	Ühendkuningriik	17,5 miljonit naela või 4% ülemaailmsest käibest	Jah	Jaanuar 2021
PIPL	Hiina	Kuni 50 miljonit ¥ või 5% aastakäibest	Jah	November 2021
CCPA/CPRA	California, USA	Kuni 7988 dollarit tahtliku rikkumise eest	Piiratud	Jaanuar 2020
LGPD	Brasiilia	Kuni 2% Brasiilia käibest, piiratud 50 miljoni R$-ga	Jah	September 2020

GDPR jääb ülemaailmseks etaloniks. Selle kõrgete karistuste, laia ulatuse ja aktiivse jõustamise kombinatsioon muudab selle raamistikuks, mida enamik organisatsioone rahvusvaheliste vastavusprogrammide loomisel esmalt prioriseerib [1].

Kuidas GDPR-i sanktsioonid toimivad ja millised on karistused

GDPR-i sanktsioonid toimivad kahetasandilise karistussüsteemi alusel. Madalama taseme rikkumised, näiteks töötlemistoimingute registrite pidamata jätmine, võivad kaasa tuua trahve kuni 10 miljonit eurot või 2% ülemaailmsest aastakäibest. Kõrgema taseme rikkumised, sealhulgas isikuandmete ebaseaduslik töötlemine või andmesubjekti õiguste eiramine, toovad kaasa karistusi kuni 20 miljonit eurot või 4% ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem [1].

Lisaks trahvidele võivad järelevalveasutused kehtestada ajutisi või alalisi andmetöötluse keelde, mis praktikas võib ettevõttele olla kahjulikum kui rahaline karistus ise. Alates jõustamise algusest on kumulatiivsed GDPR-i trahvid ületanud 7 miljardit eurot, märkimisväärsete juhtumitega Meta Irelandi, Amazon Luxembourgi ja TikToki vastu [7].

Peamised tegurid, mida reguleerivad asutused trahvide arvutamisel arvestavad:

Rikkumise olemus, raskusaste ja kestus
Kas rikkumine oli tahtlik või hooletu
Koostöö järelevalveasutusega
Varasemad rikkumised
Mõjutatud isikuandmete kategooriad (tervise-, finants- või biomeetrilised andmed nõuavad rangemat kontrolli)

Erinevus GDPR-i, CCPA ja teiste privaatsusmääruste vahel

GDPR ja CCPA jagavad sama eesmärki – isikuandmete kaitsmist –, kuid erinevad oluliselt ulatuselt, antud õiguste ja jõustamismehhanismide poolest [2].

GDPR kehtib igale organisatsioonile, mis töötleb EL-i elanike andmeid, olenemata ettevõtte suurusest. See nõuab igale töötlemistoimingule seaduslikku alust, kohustab kõrge riskiga töötlemise puhul tegema andmekaitse mõju hindamisi ning annab üksikisikutele õigused, sealhulgas juurdepääsu, kustutamise, andmete ülekandmise ja vastuväidete esitamise õiguse.

CCPA/CPRA kehtib ainult kasumit taotlevatele ettevõtetele, mis vastavad vähemalt ühele järgmistest künnistest: aastane brutotulu ületab 25 miljonit dollarit, ostab või müüb aastas 100 000 või enama California tarbija isikuandmeid või saab 50% või rohkem aastatulust isikuandmete müügist [2]. See keskendub rohkem läbipaistvusele ja loobumisõigustele kui töötlemise seadusliku aluse nõudmisele.

PIPL (Hiina) peegeldab struktuurilt GDPR-i, kuid lisab rangemad andmete lokaliseerimise nõuded ja kohustab enne "oluliste" andmete välismaale edastamist tegema valitsuse turvahindamisi [1].

Praktiline erinevus: GDPR on vaikimisi enamiku töötlemise puhul nõusolekupõhine; CCPA on suures osas loobumispõhine. PIPL ühendab mõlemad lähenemisviisid, lisades samal ajal riikliku julgeoleku kihte, mis GDPR-il puuduvad.

Mis on territoriaalne ulatus privaatsusseaduses

Territoriaalne ulatus määratleb geograafilised piirid, mille piires privaatsusseadus kehtib, ja mis kriitiliselt, kas see ulatub ka väljaspool neid piire tegutsevatele organisatsioonidele. Enamik kaasaegseid privaatsusseadusi on võtnud kasutusele eksterritoriaalse mudeli, mis tähendab, et füüsiline kohalolek riigis ei ole enam vastavuskohustuste tekkimiseks vajalik.

GDPR-i territoriaalset ulatust reguleerib artikkel 3, mis kohaldab määrust igale EL-is asutatud organisatsioonile ja EL-ist väljaspool asuvatele organisatsioonidele, mis pakuvad kaupu või teenuseid EL-i elanikele või jälgivad nende käitumist [1]. Ühendkuningriigi GDPR järgib identset mudelit [9].

Hiina PIPL kehtib välisettevõtetele, mis pakuvad tooteid või teenuseid Hiina üksikisikutele, analüüsivad või hindavad Hiina üksikisikute käitumist või kuuluvad muude kohaldatavate seadustega määratletud asjaolude alla [1].

Sanktsioonide ja territoriaalsete ulatusete navigeerimine: pilk maailma rangeimatele privaatsusseadustele näitab järjepidevat mustrit: trend on maksimaalse ulatuse poole. Reguleerivad asutused soovivad takistada organisatsioone kohustustest kõrvale hiilimast lihtsalt offshore-ettevõtte asutamisega.

Kuidas privaatsusseadused kehtivad ettevõtetele väljaspool nende riiki

Privaatsusseadused kehtivad välisettevõtetele eksterritoriaalse jurisdiktsiooni kontseptsiooni kaudu. Singapuris asuv ettevõte, mis haldab Saksamaa tarbijatele suunatud veebisaiti ja kogub nende e-posti aadresse, on GDPR-i all, isegi kui tal ei ole ühtegi EL-i töötajat ega kontorit.

Eksterritoriaalse kohaldamise käivitajad hõlmavad tavaliselt järgmist:

Aktiivne turundus jurisdiktsiooni elanikele (keel, valuuta, kohalikud makseviisid)
Elanike isikuandmete töötlemine, isegi passiivselt analüütika või küpsiste kaudu
Käitumise jälgimine (käitumuslik reklaam, jälgimispikslid)
Kohaliku asutuse, isegi väikese esinduse, opereerimine

USA justiitsministeeriumi andmeturbe programm, mis jõustub 8. aprillil 2025, lisab veel ühe kihi: see kehtestab ekspordikontrolli, et vältida välisvaenlaste juurdepääsu tundlikele USA isikuandmetele, keelates teatud andmetehingud määratud "murettekitavate riikidega" [5].

Levinud viga: Eeldamine, et kuna ettevõttel puudub füüsiline kohalolek jurisdiktsioonis, puuduvad tal seal vastavuskohustused. See on GDPR-i, PIPL-i, UK GDPR-i ja LGPD puhul vale.

Millist privaatsusseadust on kõige raskem järgida

GDPR-i peetakse laialdaselt kõige nõudlikumaks privaatsusseaduseks, mida järgida, kolmel põhjusel: selle nõuete laius, nõusolekustandardite rangus ja EL-i järelevalveasutuste poolt võetud jõustamismeetmete maht.

GDPR-i järgimine nõuab organisatsioonidelt iga töötlemistoimingu dokumenteerimist, andmekaitseametniku määramist teatud juhtudel, andmekaitse mõju hindamiste läbiviimist kõrge riskiga töötlemise puhul ning "privaatsuse disaini ja vaikimisi" rakendamist kõigis süsteemides. GDPR-i kohane nõusolekustandard, vabalt antud, spetsiifiline, informeeritud ja üheselt mõistetav, on oluliselt nõudlikum kui CCPA loobumismudel [2].

Hiina PIPL on tihedalt teine, eriti rahvusvaheliste ettevõtete jaoks, sest see ühendab GDPR-i tasemel nõusolekunõuded andmete lokaliseerimise nõuetega ja valitsuse turvakontrolli protsessidega piiriüleste edastuste puhul [1][4].

Valige GDPR oma baasvastavusstandardiks, kui teie organisatsioon teenindab EL-i või Ühendkuningriigi elanikke. GDPR-i nõuete täitmine rahuldab enamiku Ühendkuningriigi GDPR-i sisulistest nõuetest ja annab teile hea positsiooni LGPD ja PIPL-i järgimiseks täiendavate kohandustega.

Mis juhtub, kui rikute GDPR-i või CCPA määrusi

GDPR-i rikkumised võivad kaasa tuua trahve kuni 20 miljonit eurot või 4% ülemaailmsest aastakäibest, jõustamiskorraldusi, töötlemiskeelde ja mainekahju kohustuslikest rikkumisteatistest [1]. Järelevalveasutused EL-i liikmesriikides on näidanud selget valmisolekut kehtestada märkimisväärseid trahve igas suuruses ettevõtetele.

CCPA rikkumisi jõustab California privaatsuskaitseagentuur (CPPA). Tsiviilkaristused ulatuvad kuni 2663 dollarini tahtmatu rikkumise eest ja 7988 dollarini tahtliku rikkumise eest, mida korrigeeritakse igal aastal inflatsiooni järgi [3]. Erinevalt GDPR-ist annab CCPA ka eraisikutele õiguse esitada hagi andmerikkumiste korral, võimaldades tarbijatel otse kohtusse kaevata.

Lisaks rahalistele karistustele on sageli kahjulikumad kaudsed tagajärjed:

Kohustuslik avalikustamine jõustamismeetmetest
Tarbijate usalduse ja brändi väärtuse kaotus
Operatiivne häire töötlemiskeeldude tõttu
Suurenenud regulatiivne kontroll teistes jurisdiktsioonides

Kas privaatsusseadused kehtivad väikeettevõtetele või ainult suurtele ettevõtetele

Privaatsusseadused võivad kehtida väikeettevõtetele, kuigi künnised varieeruvad raamistiku kaupa. GDPR-il puudub tulu- või suurusekünnis; kui väikeettevõte töötleb EL-i elanike isikuandmeid, on see GDPR-i all. CCPA seevastu kehtib ainult kasumit taotlevatele ettevõtetele, mis vastavad konkreetsetele tulu- või andmemahu künnistele, mis tähendab, et paljud väikeettevõtted jäävad selle ulatusest välja [2].

GDPR-i erandid väikestele organisatsioonidele on kitsad: Ettevõtted, kus on vähem kui 250 töötajat, on osaliselt vabastatud töötlemistoimingute üksikasjalike registrite pidamisest, kuid ainult juhul, kui nende töötlemine tõenäoliselt ei too kaasa riski üksikisikute õigustele, ei ole juhuslik ega hõlma erikategooria andmeid.

Erijuhus: Üksikettevõtja, kes haldab nišši e-kaubanduse poodi, mis on suunatud EL-i klientidele ja kasutab käitumusliku reklaami tööriistu, on peaaegu kindlasti GDPR-i all, olenemata aastatulust.

Levinud vead, mida ettevõtted teevad privaatsusseaduste järgimisel

Kõige sagedasemad vastavusrikkumised ei ole tehnilised, vaid organisatsioonilised. Ettevõtted alahindavad rutiinselt oma andmekogumise ulatust, ei uuenda privaatsusteateid, et kajastada tegelikku töötlemist, ja käsitlevad nõusolekut ühekordse märkeruuduna, mitte pideva suhtena.

Kõige levinumad vastavusvead, järjestatud sageduse järgi:

Ebapiisavad nõusolekumehhanismid, Kasutades eelnevalt märgitud kaste, komplekteeritud nõusolekut või teenusetingimustesse peidetud nõusolekut.
Dokumenteerimata seaduslik alus, Andmete töötlemine ilma GDPR-i artikli 6 kohase kehtiva õigusliku aluse tuvastamise ja registreerimiseta.
Piiriüleste edastamise reeglite eiramine, Isikuandmete edastamine kolmandatesse riikidesse ilma standardsete lepingutingimuste või samaväärsete kaitsemeetmeteta.
Mittetäielik andmete kaardistamine, Teadmata, milliseid isikuandmeid kogutakse, kus neid hoitakse ja kellel on juurdepääs.
Andmesubjekti taotluste eiramine, 30-päevase vastamisaja möödalaskmine juurdepääsu, kustutamise või andmete ülekandmise taotlustele.
Aegunud privaatsusteated, Avaldades teate, mis ei kirjelda täpselt praeguseid töötlemistoiminguid.

Korralikult konfigureeritud CMP, nagu Biscotti CMP, lahendab mitu neist puudustest otseselt, hallates nõusoleku kogumist, salvestamist ja tagasivõtmist mitme regulatiivse raamistiku alusel.

Kuidas määrata, millised privaatsusseadused teie ettevõttele kehtivad

Kohaldatavate privaatsusseaduste määramiseks tuleb vastata neljale küsimusele: Kus teie organisatsioon asub? Kus asuvad teie kasutajad või kliendid? Milliseid isikuandmete kategooriaid te töötlete? Ja kas te vastate jurisdiktsioonispetsiifilistele künnistele?

Praktiline otsustusraamistik:

Kui teil on asutus EL-is või Ühendkuningriigis või te sihtite aktiivselt EL-i/Ühendkuningriigi elanikke: kehtivad GDPR ja/või UK GDPR [1][9].
Kui pakute kaupu või teenuseid Hiina tarbijatele või analüüsite nende käitumist: kehtib PIPL [1].
Kui olete kasumit taotlev ettevõte, mis vastab California tulu- või andmemahu künnistele: kehtib CCPA/CPRA [2].
Kui tegutsete Brasiilias ja töötlete Brasiilia elanike isikuandmeid: kehtib LGPD.
Kui teie äritegevus hõlmab tundlike USA isikuandmete rahvusvahelist edastamist: vaadake üle DOJ andmeturbe programmi nõuded [5].

Mitmed seadused võivad kehtida samaaegselt. USA-s asuv SaaS-ettevõte, millel on EL-i kliendid, California töötajad ja turundusandmebaas, mis sisaldab Brasiilia potentsiaalseid kliente, peab võib-olla samaaegselt järgima GDPR-i, CCPA-d ja LGPD-d.

Kas on privaatsusseadusi, millel puudub territoriaalne ulatus

Mõned privaatsusraamistikud on territoriaalselt tahtlikult piiratud. Näiteks Dubai DIFC andmekaitseseadus kehtib DIFC-s asutatud vastutavatele töötlejatele ja volitatud töötlejatele või neile, kes töötlevad andmeid DIFC-s, kuid ei nõua laia eksterritoriaalset ulatust, mis oleks võrreldav GDPR-iga [8]. Samamoodi kehtivad paljud vanemad või sektorispetsiifilised USA föderaalseadused (HIPAA terviseandmete kohta, FERPA haridusandmete kohta) andmete olemuse ja üksuse tüübi alusel, mitte andmesubjektide asukoha alusel.

Kuid ülemaailmne trend on selgelt laiemale territoriaalsele ulatusele. Sanktsioonide ja territoriaalsete ulatusete navigeerimine: pilk maailma rangeimatele privaatsusseadustele näitab, et uuemad õigusaktid, PIPL, LGPD ja Brexitijärgne UK GDPR, võtsid kõik vastu eksterritoriaalsed mudelid, andes märku, et piiratud ulatusega raamistikud on muutumas pigem erandiks kui reegliks.

Kuidas sanktsioonid erinevad GDPR-i ja teiste privaatsusraamistike vahel

GDPR-i sanktsioonid on kõige rangemad ja kõige aktiivsemalt jõustatud kõigist ülemaailmsetest privaatsusraamistikest, kuid mehhanismid erinevad režiimide vahel oluliselt.

Raamistik	Jõustamisasutus	Maksimaalne rahaline karistus	Eraõiguslik hagi
GDPR	Riiklikud järelevalveasutused	20 miljonit eurot või 4% ülemaailmsest käibest	Piiratud (varieerub liikmesriigiti)
UK GDPR	ICO	17,5 miljonit naela või 4% ülemaailmsest käibest	Piiratud
PIPL	CAC / sektoriregulaatorid	50 miljonit ¥ või 5% aastakäibest	Jah (üksikisikutele)
CCPA/CPRA	CPPA	7988 dollarit tahtliku rikkumise eest	Jah (andmerikkumiste korral)
LGPD	ANPD	2% Brasiilia käibest, maksimaalselt 50 miljonit R$	Jah

GDPR-i jõustamismudel on ainulaadne selle poolest, et see toimib 27 riikliku andmekaitseameti võrgustiku kaudu, luues ebakõla selles, kui agressiivselt erinevad liikmesriigid rikkumisi menetlevad. Iirimaa DPC, mis järelevalve all on paljud suured USA tehnoloogiaettevõtted nende EL-i peakorterite tõttu, on saanud kriitikat aeglase jõustamise eest, kuigi märkimisväärsed trahvid Meta ja TikToki vastu näitavad, et süsteem võib anda olulisi tulemusi [7].

Kokkuvõte: Teostatavad sammud sanktsioonide ja territoriaalsete ulatusete navigeerimiseks

Sanktsioonide ja territoriaalsete ulatusete navigeerimine: pilk maailma rangeimatele privaatsusseadustele teeb ühe asja selgeks – ajastu, mil privaatsuse vastavust käsitleti piirkondliku murena, on möödas. Iga organisatsioon, millel on veebikohalolek ja rahvusvaheline kasutajaskond, on suure tõenäosusega allutatud vähemalt ühele suurele privaatsusraamistikule, millel on reaalsed jõustamiskonservatiivsed tagajärjed.

Kohesed meetmed:

Viige läbi andmete kaardistamise harjutus, et tuvastada iga kogutud isikuandmete kategooria, selle allikas, salvestuskoht ja töötlemise eesmärk.
Tuvastage kohaldatavad seadused, kasutades eespool kirjeldatud territoriaalse ulatuse kriteeriume, ärge eeldage, et ainuüksi geograafia määrab teie kohustused.
Auditige oma nõusolekumehhanisme, et tagada nende vastavus kõrgeimale kohaldatavale standardile (GDPR-i nõusolek on kõige rangem etalon).
Vaadake üle piiriülese andmeedastuse korraldused ja veenduge, et standardsete lepingutingimuste või samaväärsete kaitsemeetmete olemasolu.
Rakendage vastav CMP, Biscotti CMP pakub infrastruktuuri nõusoleku kogumise ja dokumenteerimise haldamiseks mitme regulatiivse raamistiku alusel.
Looge andmesubjekti taotluste protsess dokumenteeritud töövoogude ja vastamistähtaegadega.
Vaadake üle igal aastal, privaatsusseadus ei ole staatiline. DOJ andmeturbe programm (jõustub 2025. aastal), arenevad PIPL-i rakendusmäärused ja potentsiaalne USA föderaalne privaatsusõigusakt esindavad kõik liikuvaid sihtmärke [5].

Organisatsioonid, kes käsitlevad privaatsuse vastavust pideva operatiivdistsipliinina, mitte ühekordse projektina, on palju paremini positsioneeritud, et vältida karistusi, mis on iseloomustanud viimaste aastate jõustamismaastikku.

KKK

K: Kas GDPR kehtib USA ettevõttele, millel puudub EL-i kontor? Jah. Kui USA ettevõte sihtib aktiivselt EL-i elanikke, näiteks pakkudes teenuseid Euroopa keeltes või valuutades, kehtib GDPR olenemata sellest, kus ettevõte on asutatud [1].

K: Mis vahe on andmete vastutaval töötlejal ja andmete volitatud töötlejal GDPR-i alusel? Andmete vastutav töötleja määrab isikuandmete töötlemise eesmärgid ja vahendid. Andmete volitatud töötleja töötleb andmeid vastutava töötleja nimel. Mõlemal on GDPR-i alusel erinevad kohustused ja volitatud töötlejaid saab teatud rikkumiste eest otse vastutusele võtta.

K: Kas ettevõte võib samaaegselt saada GDPR-i trahve ja CCPA karistusi? Jah. Ettevõte, mis teenindab nii EL-i kui ka California elanikke, võib sama aluseks oleva andmetöötluse eest saada jõustamismeetmeid mõlema raamistiku alusel, kuna seadused on üksteisest sõltumatud.

K: Mis on GDPR-i alusel töötlemise seaduslik alus? GDPR-i artikkel 6 nõuab, et iga töötlemistoiming põhineks ühel kuuest seaduslikust alusest: nõusolek, lepingu täitmine, juriidiline kohustus, elutähtsad huvid, avalik ülesanne või õigustatud huvid. Töötlemine ilma dokumenteeritud seadusliku aluseta on kõrgema taseme rikkumine.

K: Kuidas Hiina PIPL erineb GDPR-ist piiriüleste andmeedastuste osas? PIPL nõuab enne "oluliste" andmete välismaale edastamist valitsuse turvahindamist, lisaks nõusolekupõhistele nõuetele. GDPR tugineb piisavuse otsustele, standardsetele lepingutingimustele või siduvatele ettevõtte eeskirjadele; see ei nõua enamiku edastuste puhul valitsuse eelnevat heakskiitu [1][4].

K: Kas andmekaitseametniku määramata jätmise eest on GDPR-i alusel karistusi? Jah. Andmekaitseametniku määramata jätmine, kui see on nõutav (avaliku sektori asutuste, ulatusliku süstemaatilise jälgimise või erikategooria andmete ulatusliku töötlemise puhul), on madalama taseme GDPR-i rikkumine, mille eest määratakse trahve kuni 10 miljonit eurot või 2% ülemaailmsest käibest.

K: Kas CCPA kehtib mittetulundusühingutele? Ei. CCPA kehtib ainult kasumit taotlevatele ettevõtetele, mis vastavad selle künnistele. Mittetulundusühingud on üldiselt vabastatud, kuigi neile võivad kehtida muud California privaatsusseadused.

K: Mis on DOJ andmeturbe programm? Alates 8. aprillist 2025 kehtestab USA justiitsministeeriumi andmeturbe programm ekspordikontrolli, et vältida välisvaenlaste juurdepääsu tundlikele USA isikuandmetele. See keelab teatud andmetehingud määratud "murettekitavate riikidega" [5].

K: Kui kiiresti tuleb GDPR-i andmerikkumisest teatada? Vastutavad töötlejad peavad teavitama oma järelevalveasutust 72 tunni jooksul pärast isikuandmete rikkumisest teada saamist, kui see on võimalik. Kui rikkumine tõenäoliselt toob kaasa suure riski üksikisikutele, tuleb ka neid üksikisikuid põhjendamatu viivituseta teavitada.

K: Kas nõusolekuhaldusplatvorm aitab mitme jurisdiktsiooni vastavusega? Jah. CMP, nagu Biscotti CMP, saab hallata nõusoleku kogumist, salvestamist ja tagasivõtmist erinevate regulatiivsete raamistike alusel, aidates organisatsioonidel säilitada dokumenteeritud tõendeid nõusoleku kohta, mis on nii GDPR-i kui ka PIPL-i põhinõue.