Sutikimas ir baneriai

Sankcijų ir teritorinių ribų navigacija: pasaulio griežčiausių privatumo įstatymų apžvalga

2026 m. liepos 7 d. · 17 min. skaitymas

Greitas atsakymas: Pasaulio griežčiausi privatumo įstatymai, kuriuos pirmauja ES GDPR, Kinijos PIPL ir Kalifornijos CCPA, taiko reikšmingas finansines baudas ir išplečia savo taikymo sritį gerokai už savo gimtųjų sienų. Bet kuri organizacija, renkant ar apdorojant asmens duomenis iš šių jurisdikcijų gyventojų, privalo laikytis taisyklių, nepriklausomai nuo to, kur ta organizacija fiziškai yra. Supratimas apie teritorinę apimtį ir sankcijų struktūras yra pirmas žingsnis kuriant gynybinę atitikties poziciją.

Pagrindinės išvados

Daugiau nei 160 šalių priėmė išsamius duomenų privatumo teisės aktus, todėl globali atitiktis tapo pagrindine lūkesčių norma, o ne išimtimi [1].
GDPR taiko didžiausias finansines baudas iš visų privatumo įstatymų: iki 20 milijonų eurų arba 4% pasaulinių metinių pajamų, priklausomai nuo to, kas didesnis [1].
Nuo GDPR įgyvendinimo pradžios baudos viršijo 7 milijardus eurų, o didžiausios baudos buvo skirtos Meta, Amazon ir TikTok [7].
Kinijos PIPL ir ES GDPR abu taikomi ekstraterritorialiai, užsienio įmonės, teikiančios paslaugas gyventojams šiose jurisdikcijose, privalo laikytis [1].
JAV trūksta vieningo federalinio privatumo įstatymo; atitiktis priklauso nuo sektoriaus ir valstijos, o Kalifornijos CCPA yra įtakingiausias valstijos lygio teisinis pagrindas [2].
Teritorinė apimtis nustato, kuris įstatymas taikomas jūsų verslui; keli įstatymai gali būti taikomi vienai organizacijai vienu metu.
Mažos įmonės automatiškai nėra atleistos, CCPA slenksčiai ir GDPR "įsteigimo" testas gali apimti įvairių dydžių įmones.
Dažniausios atitikties nesėkmės apima nepakankamus sutikimo mechanizmus, prastą duomenų žemėlapį ir ignoruojančias tarptautinio perdavimo taisykles.
Sutikimų valdymo platforma (CMP), tokia kaip Biscotti CMP, gali padėti organizacijoms įgyvendinti sutikimo reikalavimus pagal kelis teisinius pagrindus.

Pasaulio griežčiausi privatumo įstatymai pagal šalis

Griežčiausi privatumo įstatymai pasaulyje yra ES Bendrasis duomenų apsaugos reglamentas (GDPR), Kinijos Asmens informacijos apsaugos įstatymas (PIPL), Brazilijos Bendras duomenų apsaugos įstatymas (LGPD) ir Kalifornijos CCPA/CPRA. Kiekvienas iš jų sujungia plačią teritorinę apimtį su reikšmingomis vykdymo priemonėmis.

What Are the World's Strictest Privacy Laws by Country

Štai glausta pagrindinių teisinio pagrindo palyginimas:

Įstatymas	Jurisdikcija	Maksimali bauda	Ekstraterritorialus?	Įsigaliojo nuo
GDPR	Europos Sąjunga	20M € arba 4% pasaulinių pajamų	Taip	2018 m. gegužė
UK GDPR	Jungtinė Karalystė	17,5M £ arba 4% pasaulinių pajamų	Taip	2021 m. sausis
PIPL	Kinija	Iki 50M ¥ arba 5% metinių pajamų	Taip	2021 m. lapkritis
CCPA/CPRA	Kalifornija, JAV	Iki 7,988 $ už tyčinį pažeidimą	Ribotas	2020 m. sausis
LGPD	Brazilija	Iki 2% Brazilijos pajamų, ribojama iki 50M R$	Taip	2020 m. rugsėjis

GDPR išlieka pasauliniu standartu. Jo didelių baudų, plačios apimties ir aktyvaus vykdymo derinys daro jį pirmuoju teisiniu pagrindu, kurį prioritetiškai renkasi dauguma organizacijų, kuriant tarptautines atitikties programas [1].

Kaip veikia GDPR sankcijos ir kokios yra baudos

GDPR sankcijos veikia pagal dvi lygių bausmių struktūrą. Žemesnio lygio pažeidimai, tokie kaip nesugebėjimas išlaikyti apdorojimo veiklos įrašų, gali lemti baudas iki 10 milijonų eurų arba 2% pasaulinių metinių pajamų. Aukštesnio lygio pažeidimai, įskaitant neteisėtą asmens duomenų apdorojimą arba ignoruojant duomenų subjekto teises, gali lemti baudas iki 20 milijonų eurų arba 4% pasaulinių metinių pajamų, priklausomai nuo to, kas didesnis [1].

Be baudų, priežiūros institucijos gali skirti laikinus ar nuolatinius duomenų apdorojimo draudimus, kurie praktikoje gali būti labiau žalingi verslui nei pati finansinė bauda. Nuo vykdymo pradžios bendra GDPR bauda viršijo 7 milijardus eurų, o svarbiausi atvejai buvo prieš Meta Ireland, Amazon Luxembourg ir TikTok [7].

Pagrindiniai veiksniai, kuriuos reguliuotojai vertina skaičiuodami baudas:

Pažeidimo pobūdis, sunkumas ir trukmė
Ar pažeidimas buvo tyčinis ar neatsargus
Bendradarbiavimas su priežiūros institucija
Ankstesnė pažeidimų istorija
Paveiktų asmens duomenų kategorijos (sveikatos, finansiniai ar biometriniai duomenys sulaukia didesnio dėmesio)

GDPR, CCPA ir kitų privatumo reglamentų skirtumai

GDPR ir CCPA turi tą patį tikslą — apsaugoti asmens duomenis, tačiau labai skiriasi apimtimi, suteiktomis teisėmis ir vykdymo mechanizmais [2].

GDPR taikomas bet kuriai organizacijai, apdorojančiai ES gyventojų duomenis, nepriklausomai nuo įmonės dydžio. Jis reikalauja teisėto pagrindo kiekvienai apdorojimo veiklai, numato duomenų apsaugos poveikio vertinimus didelės rizikos apdorojimui ir suteikia asmenims teises, įskaitant prieigą, ištrynimą, perkėlimą ir prieštaravimą.

CCPA/CPRA taikomas tik pelno siekiančioms įmonėms, atitinkančioms bent vieną iš šių slenksčių: metinės bendros pajamos viršijančios 25 milijonus dolerių, perkant ar parduodant asmens duomenis, kurių yra 100,000 ar daugiau Kalifornijos vartotojų per metus, arba gaunant 50% ar daugiau metinių pajamų iš asmens duomenų pardavimo [2]. Jis labiau orientuojasi į skaidrumą ir teisę atsisakyti nei reikalauja teisėto pagrindo apdorojimui.

PIPL (Kinija) struktūriškai atitinka GDPR, tačiau prideda griežtesnius duomenų lokalizacijos reikalavimus ir reikalauja vyriausybių saugumo vertinimų prieš perduodant "svarbius" duomenis užsienyje [1].

Praktinis skirtumas: GDPR yra opt-in pagal numatytuosius nustatymus daugeliui apdorojimų; CCPA daugiausia yra opt-out. PIPL derina abu požiūrius, pridėdamas nacionalinio saugumo aspektus, kurių GDPR neturi.

Kas yra teritorinė apimtis privatumo teisėje

Teritorinė apimtis apibrėžia geografines ribas, per kurias taikomas privatumo įstatymas, ir, svarbiausia, ar jis pasiekia organizacijas, veikiančias už šių ribų. Dauguma šiuolaikinių privatumo įstatymų priėmė ekstraterritorialinį modelį, tai reiškia, kad fizinė buvimo šalyje sąlyga nebėra būtina, kad būtų taikomos atitikties pareigos.

GDPR teritorinė apimtis yra reglamentuojama 3 straipsnio, kuris taiko reglamentą bet kuriai organizacijai, įsteigtai ES, ir organizacijoms už ES ribų, kurios arba siūlo prekes ar paslaugas ES gyventojams, arba stebi jų elgesį [1]. JK GDPR seka identišką modelį [9].

Kinijos PIPL taikomas užsienio subjektams, kurie siūlo produktus ar paslaugas asmenims Kinijoje, analizuoja ar vertina asmenų elgesį Kinijoje, arba patenka į aplinkybes, apibrėžtas kituose taikomuose įstatymuose [1].

Sankcijų ir teritorinių ribų navigacija: pasaulio griežčiausių privatumo įstatymų apžvalga atskleidžia nuoseklų modelį: tendencija yra maksimalus pasiekiamumas. Reguliuotojai nori užkirsti kelią organizacijoms išvengti įsipareigojimų tiesiog įsteigiant offshore.

Kaip privatumo įstatymai taikomi įmonėms už jų šalies ribų

Privatumo įstatymai taikomi užsienio įmonėms per ekstraterritorialinės jurisdikcijos koncepciją. Įmonė, kurios būstinė yra Singapūre ir kuri valdo svetainę, skirtą Vokietijos vartotojams ir renka jų el. pašto adresus, yra pavaldžią GDPR, net jei neturi nė vieno ES darbuotojo ar biuro.

Ekstraterritorialinio taikymo veiksniai paprastai apima:

Aktyvų rinkodarą gyventojams jurisdikcijoje (kalba, valiuta, vietiniai mokėjimo metodai)
Asmens duomenų apdorojimą iš gyventojų, net pasyviai per analizę ar slapukus
Elgesio stebėjimą (elgesio reklama, sekimo pikseliai)
Vietinės įstaigos veiklą, net ir mažos atstovybės

JAV DOJ Duomenų saugumo programa, įsigaliojanti 2025 m. balandžio 8 d., prideda dar vieną sluoksnį: ji nustato eksporto kontrolę, kad užkirstų kelią užsienio priešininkams pasiekti jautrius JAV asmens duomenis, draudžiant tam tikras duomenų operacijas su paskirtomis "susirūpinimo šalimis" [5].

Dažna klaida: manyti, kad jei įmonė neturi fizinės buvimo jurisdikcijoje, ji neturi atitikties įsipareigojimų ten. Tai neteisinga GDPR, PIPL, JK GDPR ir LGPD atžvilgiu.

Kuris privatumo įstatymas yra sunkiausias laikytis

GDPR plačiai laikomas reikalaujančiu griežčiausio privatumo įstatymo, dėl trijų priežasčių: jo reikalavimų apimties, griežtumo sutikimo standartų ir didelio vykdymo veiksmų kiekio, kuriuos vykdo ES priežiūros institucijos.

GDPR atitiktis reikalauja, kad organizacijos dokumentuotų kiekvieną apdorojimo veiklą, paskirtų Duomenų apsaugos pareigūną tam tikrais atvejais, atliktų Duomenų apsaugos poveikio vertinimus didelės rizikos apdorojimui ir įgyvendintų "privatumą pagal dizainą ir pagal numatytuosius nustatymus" visuose sistemose. Sutikimo standartas pagal GDPR, laisvai duotas, konkretus, informuotas ir nedviprasmiškas, yra žymiai reikalaujantis nei opt-out modelis pagal CCPA [2].

Kinijos PIPL yra artimas antras, ypač daugianacionalinėms įmonėms, nes jis derina GDPR lygio sutikimo reikalavimus su duomenų lokalizacijos reikalavimais ir vyriausybių saugumo peržiūros procesais tarptautiniams perdavimams [1][4].

Pasirinkite GDPR kaip savo bazinį atitikties standartą, jei jūsų organizacija teikia paslaugas bet kuriems ES ar JK gyventojams. Atitikties GDPR reikalavimams patenkins daugumą esminių JK GDPR reikalavimų ir gerai paruoš jus LGPD ir PIPL atitikties su palaipsniais pakeitimais.

Ką daryti, jei pažeidžiate GDPR ar CCPA reglamentus

GDPR pažeidimai gali lemti baudas iki 20 milijonų eurų arba 4% pasaulinių metinių pajamų, vykdymo įsakymus, apdorojimo draudimus ir reputacijos žalą dėl privalomų pažeidimų pranešimų [1]. Priežiūros institucijos visose ES valstybėse narėse parodė aiškų norą skirti reikšmingas baudas įmonėms, nepriklausomai nuo jų dydžio.

CCPA pažeidimus vykdo Kalifornijos privatumo apsaugos agentūra (CPPA). Civilinės baudos siekia iki 2,663 $ už netyčinį pažeidimą ir 7,988 $ už tyčinį pažeidimą, kasmet koreguojamos pagal infliaciją [3]. Skirtingai nuo GDPR, CCPA taip pat suteikia privatų veiksmą dėl duomenų pažeidimų, leidžiančią vartotojams tiesiogiai paduoti ieškinį.

Be finansinių baudų, antriniai padariniai dažnai yra labiau žalingi:

Privalomas viešas vykdymo veiksmų atskleidimas
Vartotojų pasitikėjimo ir prekės ženklo vertės praradimas
Veiklos sutrikimas dėl apdorojimo draudimų
Padidėjęs reguliavimo dėmesys kitose jurisdikcijose

Ar privatumo įstatymai taikomi mažoms įmonėms ar tik didelėms?

Privatumo įstatymai gali būti taikomi mažoms įmonėms, nors slenksčiai skiriasi pagal teisinį pagrindą. GDPR neturi pajamų ar dydžio slenksčio; jei mažoji įmonė apdoroja ES gyventojų asmens duomenis, ji yra pavaldžią GDPR. CCPA, priešingai, taikomas tik pelno siekiančioms įmonėms, atitinkančioms konkrečius pajamų ar duomenų kiekio slenksčius, todėl dauguma mažų įmonių lieka už jos ribų [2].

GDPR išimtys mažoms organizacijoms yra siauros: Įmonės, turinčios mažiau nei 250 darbuotojų, iš dalies atleidžiamos nuo išsamių apdorojimo veiklos įrašų išlaikymo, tačiau tik jei jų apdorojimas nesukelia rizikos asmenų teisėms, nėra atsitiktinis ar neapima specialių duomenų kategorijų.

Ribinė situacija: Vienas prekybininkas, valdantis nišos e. prekybos parduotuvę, skirtą ES klientams ir naudojantis elgesio reklamos įrankius, beveik tikrai yra pavaldus GDPR, nepriklausomai nuo metinių pajamų.

Dažniausios klaidos, kurias įmonės daro laikydamosi privatumo įstatymų

Dažniausios atitikties nesėkmės nėra techninės, jos yra organizacinės. Įmonės nuolat neįvertina savo duomenų rinkimo apimties, nesugebėjo atnaujinti privatumo pranešimų, kad atspindėtų faktinį apdorojimą, ir traktuoja sutikimą kaip vienkartinį žymėjimą, o ne kaip nuolatinę santykį.

Dažniausios atitikties klaidos, išdėstytos pagal dažnumą:

Neužtenkamų sutikimo mechanizmų, naudojant iš anksto pažymėtus langelius, sujungtą sutikimą arba sutikimą, paslėptą paslaugų teikimo sąlygose.
Nėra dokumentuoto teisėto pagrindo, apdorojant duomenis, neidentifikuojant ir nenurodant galiojančio teisinio pagrindo pagal GDPR 6 straipsnį.
Ignoruojant tarptautinio perdavimo taisykles, perduodant asmens duomenis į trečiąsias šalis be standartinių sutartinių sąlygų ar lygiaverčių apsaugų.
Nepakankamo duomenų žemėlapio, nežinant, kokie asmens duomenys renkami, kur jie saugomi ir kas turi prieigą.
Nesilaikant duomenų subjekto prašymų, praleidžiant 30 dienų atsakymo laikotarpį dėl prieigos, ištrynimo ar perkėlimo prašymų.
Pasenusių privatumo pranešimų, skelbiant pranešimą, kuris tiksliai neatspindi dabartinio apdorojimo veiklos.

Tinkamai sukonfigūruota CMP, tokia kaip Biscotti CMP, tiesiogiai sprendžia keletą šių nesėkmių taškų, valdydama sutikimo rinkimą, saugojimą ir atšaukimą pagal kelis reguliavimo pagrindus.

Kaip nustatyti, kurie privatumo įstatymai taikomi jūsų verslui

Nustatyti taikytinus privatumo įstatymus reikalauja atsakyti į keturis klausimus: Kur yra jūsų organizacija? Kur yra jūsų vartotojai ar klientai? Kokias asmens duomenų kategorijas jūs apdorojate? Ir ar atitinkate kokius nors jurisdikcijai specifinius slenksčius?

Praktinis sprendimų rėmas:

Jei turite įstaigą ES ar JK, arba aktyviai taikote ES/JK gyventojams: taikomas GDPR ir/arba JK GDPR [1][9].
Jei siūlote prekes ar paslaugas Kinijos vartotojams arba analizuojate jų elgesį: taikomas PIPL [1].
Jei esate pelno siekianti įmonė, atitinkanti Kalifornijos pajamų ar duomenų kiekio slenksčius: taikomas CCPA/CPRA [2].
Jei veikiate Brazilijoje ir apdorojate Brazilijos gyventojų asmens duomenis: taikomas LGPD.
Jei jūsų verslas apima jautrių JAV asmens duomenų perdavimą tarptautiniu mastu: peržiūrėkite DOJ Duomenų saugumo programos reikalavimus [5].

Kelios teisės gali būti taikomos vienu metu. JAV įsikūrusi SaaS įmonė su ES klientais, Kalifornijos darbuotojais ir rinkodaros duomenų baze, kurioje yra Brazilijos potencialių klientų, gali privalėti laikytis GDPR, CCPA ir LGPD vienu metu.

Ar yra privatumo įstatymų, kurie neturi teritorinės apimties

Kai kurie privatumo teisiniai pagrindai yra tyčia riboti teritorinėje apimtyje. Pavyzdžiui, DIFC Duomenų apsaugos įstatymas Dubajuje taikomas tik kontrolieriams ir apdorotojams, įsteigtiems DIFC, arba tiems, kurie apdoroja duomenis DIFC, tačiau netaiko plačios ekstraterritorialinės apimties, palyginti su GDPR [8]. Panašiai, daugelis senesnių ar sektoriui specifinių JAV federalinių įstatymų (HIPAA sveikatos duomenims, FERPA švietimo įrašams) taikomi pagal duomenų pobūdį ir subjekto tipą, o ne pagal duomenų subjektų buvimo vietą.

Tačiau pasaulinė tendencija aiškiai linkusi į platesnę teritorinę apimtį. Sankcijų ir teritorinių ribų navigacija: pasaulio griežčiausių privatumo įstatymų apžvalga rodo, kad naujesnė teisė, PIPL, LGPD ir JK GDPR po Brexito, visi priėmė ekstraterritorialinius modelius, signalizuodami, kad ribotos apimties teisiniai pagrindai tampa išimtimi, o ne taisykle.

Kaip skiriasi sankcijos tarp GDPR ir kitų privatumo teisinio pagrindo

GDPR sankcijos yra griežčiausios ir aktyviausiai vykdomos iš visų pasaulinių privatumo teisinio pagrindo, tačiau mechanizmai skiriasi tarp režimų.

Teisinis pagrindas	Vykdymo institucija	Maksimali finansinė bauda	Privatus teisės veiksmas
GDPR	Nacionalinės priežiūros institucijos	20M € arba 4% pasaulinių pajamų	Ribotas (skiriasi pagal valstybę narę)
UK GDPR	ICO	17,5M £ arba 4% pasaulinių pajamų	Ribotas
PIPL	CAC / sektoriaus reguliuotojai	50M ¥ arba 5% metinių pajamų	Taip (asmenims)
CCPA/CPRA	CPPA	7,988 $ už tyčinį pažeidimą	Taip (duomenų pažeidimams)
LGPD	ANPD	2% Brazilijos pajamų, max 50M R$	Taip

GDPR vykdymo modelis yra unikalus tuo, kad jis veikia per 27 nacionalinių duomenų apsaugos institucijų tinklą, sukuriant nesuderinamumą, kaip agresyviai skirtingos valstybės narės siekia pažeidimų. Airijos DPC, kuri prižiūri daugelį didelių JAV technologijų įmonių dėl jų ES būstinės, sulaukė kritikos dėl lėto vykdymo, nors istorinės baudos prieš Meta ir TikTok rodo, kad sistema gali duoti reikšmingų rezultatų [7].

Išvada: Veiksmingi žingsniai, kaip naviguoti sankcijomis ir teritorinėmis ribomis

Sankcijų ir teritorinių ribų navigacija: pasaulio griežčiausių privatumo įstatymų apžvalga aiškiai parodo, kad privatumo atitikties laikymas regioniniu klausimu yra pasibaigęs. Bet kuri organizacija, turinti internetinę buvimo vietą ir tarptautinę vartotojų bazę, greičiausiai yra pavaldžią bent vienam dideliam privatumo teisiniam pagrindui su realiomis vykdymo pasekmėmis.

Skubūs veiksmai:

Atlikite duomenų žemėlapio pratybas, kad nustatytumėte kiekvieną asmens duomenų kategoriją, kurią renkate, jos šaltinį, saugojimo vietą ir apdorojimo tikslą.
Nustatykite taikytinus įstatymus, naudodami aukščiau nurodytus teritorinės apimties kriterijus, nesirinkite geografinės vietos kaip vienintelio savo įsipareigojimų nustatymo.
Audituokite savo sutikimo mechanizmus, kad įsitikintumėte, jog jie atitinka aukščiausią taikomą standartą (GDPR sutikimas yra griežčiausias standartas).
Peržiūrėkite tarptautinio duomenų perdavimo susitarimus ir užtikrinkite, kad standartinės sutartinės sąlygos ar lygiaverčiai apsaugos būtų įdiegtos.
Įdiekite atitikties CMP, Biscotti CMP suteikia infrastruktūrą sutikimo rinkimui ir dokumentavimui valdyti pagal kelis reguliavimo pagrindus.
Įsteigkite duomenų subjekto prašymų procesą su dokumentuotais darbo srautais ir atsakymo laikotarpiais.
Peržiūrėkite kasmet, privatumo teisė nėra statiška. DOJ Duomenų saugumo programa (įsigaliojanti 2025 m.), besikeičiančios PIPL įgyvendinimo taisyklės ir potenciali JAV federalinė privatumo teisė visi yra judantys tikslai [5].

Organizacijos, kurios laikosi privatumo atitikties kaip nuolatinės operacinės disciplinos, o ne kaip vienkartinio projekto, bus gerokai geriau pasirengusios išvengti baudų, kurios apibrėžė pastarųjų metų vykdymo kraštovaizdį.

DUK

K: Ar GDPR taikomas JAV įmonei, neturinčiai ES biuro? Taip. Jei JAV įmonė aktyviai taiko ES gyventojams, pavyzdžiui, siūlydama paslaugas Europos kalbomis ar valiutomis, GDPR taikomas nepriklausomai nuo to, kur įmonė yra įsteigta [1].

K: Koks skirtumas tarp duomenų valdytojo ir duomenų apdorotojo pagal GDPR? Duomenų valdytojas nustato asmens duomenų apdorojimo tikslus ir priemones. Duomenų apdorotojas apdoroja duomenis duomenų valdytojo vardu. Abu turi skirtingus įsipareigojimus pagal GDPR, o apdorotojai gali būti tiesiogiai atsakingi už tam tikrus pažeidimus.

K: Ar įmonė gali susidurti su GDPR baudomis ir CCPA bausmėmis tuo pačiu metu? Taip. Įmonė, teikianti paslaugas tiek ES, tiek Kalifornijos gyventojams, gali susidurti su vykdymo veiksmais pagal abu teisinius pagrindus dėl tų pačių pagrindinių duomenų praktikų, nes įstatymai yra nepriklausomi vienas nuo kito.

K: Koks yra teisėtas pagrindas apdorojimui pagal GDPR? GDPR 6 straipsnis reikalauja, kad kiekviena apdorojimo veikla remtųsi vienu iš šešių teisėtų pagrindų: sutikimas, sutarties vykdymas, teisinė prievolė, gyvybės interesai, viešas uždavinys arba teisėti interesai. Apdorojimas be dokumentuoto teisėto pagrindo yra aukštesnio lygio pažeidimas.

K: Kaip Kinijos PIPL skiriasi nuo GDPR dėl tarptautinių duomenų perdavimų? PIPL reikalauja vyriausybių saugumo vertinimo prieš perduodant "svarbius" duomenis užsienyje, be sutikimo reikalavimų. GDPR remiasi tinkamumo sprendimais, standartinėmis sutartinėmis sąlygomis arba privalomomis korporatyvinėmis taisyklėmis, jis nereikalauja vyriausybių išankstinio patvirtinimo daugumai perdavimų [1][4].

K: Ar yra baudos už to, kad nebuvo paskirtas Duomenų apsaugos pareigūnas pagal GDPR? Taip. Nepaskyrus DPO, kai jis yra reikalaujamas (viešosioms institucijoms, didelės apimties sisteminiam stebėjimui ar didelės apimties specialių kategorijų duomenų apdorojimui), tai yra žemesnio lygio GDPR pažeidimas, už kurį gali būti skiriamos baudos iki 10 milijonų eurų arba 2% pasaulinių pajamų.

K: Ar CCPA taikomas ne pelno siekiančioms organizacijoms? Ne. CCPA taikomas tik pelno siekiančioms įmonėms, atitinkančioms savo slenksčius. Ne pelno siekiančios organizacijos paprastai yra atleistos, nors jos gali būti pavaldžios kitoms Kalifornijos privatumo teisėms.

K: Kas yra DOJ Duomenų saugumo programa? Įsigaliojanti 2025 m. balandžio 8 d., JAV DOJ Duomenų saugumo programa nustato eksporto kontrolę, kad užkirstų kelią užsienio priešininkams pasiekti jautrius JAV asmens duomenis. Ji draudžia tam tikras duomenų operacijas su paskirtomis "susirūpinimo šalimis" [5].

K: Per kiek laiko turi būti pranešta apie GDPR duomenų pažeidimą? Kontrolieriai turi pranešti savo priežiūros institucijai per 72 valandas nuo sužinojimo apie asmens duomenų pažeidimą, jei tai įmanoma. Jei pažeidimas gali sukelti didelę riziką asmenims, tie asmenys taip pat turi būti informuoti be nepagrįsto delsimo.

K: Ar sutikimų valdymo platforma gali padėti su daugialypės jurisdikcijos atitiktimi? Taip. CMP, tokia kaip Biscotti CMP, gali valdyti sutikimų rinkimą, saugojimą ir atšaukimą pagal skirtingus reguliavimo pagrindus, padedant organizacijoms išlaikyti dokumentuotą sutikimo įrodymą, kuris yra pagrindinis reikalavimas tiek pagal GDPR, tiek pagal PIPL.