Nach 14 Monaten Arbeit in einer parteiisch besetzten Republican Privacy Working Group haben führende Vertreter der House Energy and Commerce sowie der Financial Services Committees einen neuen Datenschutzgesetzentwurf vorgelegt. Das SECURE Data Act soll Verbrauchern mehr Kontrolle über ihre persönlichen Daten geben – zumindest in der Theorie.
Die Befürworter loben mehrere Aspekte: Das Gesetz sieht vor, dass Unternehmen nur Daten sammeln dürfen, die “angemessen, relevant und notwendig” sind für die Zwecke, die sie Verbrauchern offenlegen. Sensitive Daten dürfen nur mit Einwilligung verarbeitet werden. Verbraucher sollen das Recht haben, ihre Daten zu löschen, zu sehen, welche Daten erhoben werden, und portable Kopien zu erhalten. Zudem soll die Federal Trade Commission (FTC) ein Datenbroker-Register mit Suchfunktion einrichten.
Doch Datenschützer wie Eric Null vom Center for Democracy and Technology zerpflücken diese Maßnahmen systematisch: Die Definition sensibler Daten sei zu eng. Gesundheitsdaten von Zyklus-Tracking-Apps und anderen Health-Tech-Anbietern seien nicht geschützt. Inhalte von Kommunikationen und Finanzdaten bei nicht-finanziellen Institutionen auch nicht. Die Dateminimierungsbestimmung sei zu vage formuliert – die Begriffe “angemessen” und “notwendig” seien leicht zu umgehen. In 19 Bundesstaaten gebe es bereits ähnliche Regeln, ohne dass dies zu Verbesserungen der Datenpraktiken geführt habe.
Besonders kritisch: Das Gesetz erlaubt Verbrauchern nicht, Unternehmen zu verklagen. Überdies hebelt es starke staatliche Datenschutzgesetze aus. Noch problematischer sind die zahlreichen Ausnahmen: Daten, die bei angeforderten Diensten oder im Rahmen von Verträgen erhoben werden, sind ausgenommen – ebenso Daten für Produktentwicklung und KI-Training. Diese Lücken seien so groß, dass praktisch alle Datensammlungen unter diese Ausnahmen fallen könnten.
Das FTC-Datenbroker-Register wird von Kritikern ebenfalls als zahnlos kritisiert. Verbraucher müssten hunderte Datenbroker einzeln kontaktieren. Der frühere Gesetzentwurf, der American Privacy Rights Act, habe eine stärkere “Do Not Collect”-Registry vorgesehen, mit der Verbraucher sich einmalig gegen alle Datenbroker anmelden könnten.
Ergänzend verabschiedeten die Republikaner auch den GUARD Financial Data Act, der ähnliche (schwache) Bestimmungen speziell für Finanzinstitute vorsieht. Die ACLU warnt: Dieses Gesetz mache Verbraucher zu Bittstellern bei Tech-Konzernen, während es ihnen die Möglichkeit nimmt, vor Gericht zu gehen.