Kalifornien startet zentrale Löschplattform für Daten von Maklern

Der Delete Act verpflichtet Datenhändler in Kalifornien, Löschanfragen aus DROP regelmäßig abzurufen und umzusetzen. Ab dem Start der Plattform müssen sie das System alle 45 Tage prüfen, Anfragen sicher mit ihren Datenbeständen abgleichen und anschließend tätig werden. Die CPPA führt die Plattform zentral, damit Verbraucher ihre Anträge nicht einzeln bei Hunderten Unternehmen stellen müssen.

Kalifornien geht damit weiter als viele andere US-Bundesstaaten. Laut Quelltext haben mehr als 20 Staaten Datenschutzgesetze verabschiedet oder in Kraft gesetzt, die auf Antrag der Verbraucher die Löschung persönlicher Daten verlangen, ähnlich dem „Recht auf Vergessenwerden“ der Datenschutz-Grundverordnung der Europäischen Union. Die neue kalifornische Regelung könnte nach Einschätzung im Quelltext zum Vorbild für strengere Anforderungen andernorts werden, auch wegen der wirtschaftlichen Bedeutung des Bundesstaats.

Für die Unternehmen ist die Umsetzung jedoch aufwendig. Zu den Compliance-Schritten gehören eine jährliche, nicht erstattungsfähige Gebühr, die Einrichtung eines DROP-Kontos, Tests zum Datenabruf, Berichtspflichten sowie angemessene Sicherheitsmaßnahmen, um unbefugte Zugriffe auf Konten zu verhindern. John Pavolotsky, Partner bei Stoel Rives und Co-Vorsitzender der Praxisgruppe für künstliche Intelligenz, Datenschutz und Cybersicherheit, warnt gegenüber Dark Reading, dass Firmen unter erheblichem Zeitdruck stehen, wenn sie erst in diesem Monat mit der Umsetzung beginnen. Theoretisch, so Pavolotsky, hätten sie Monate früher anfangen sollen.

Der Staat habe Datenhändlern zwar Hilfsmittel zur Verfügung gestellt, sagt Pavolotsky. Dazu gehörte auch eine Testumgebung, in der Unternehmen ihre Systeme mit synthetischen Löschanfragen erproben konnten. Dennoch rechnet er nicht mit einem vollkommen reibungslosen Start. „Hoffentlich wird alles relativ glatt laufen“, sagte er Dark Reading. „Aber praktisch betrachtet ist es angesichts von 581 Datenhändlern und 325.000 Verbrauchern in der Warteschlange wohl unrealistisch anzunehmen, dass alles vollständig glatt läuft.“

Gerade die große Zahl an Anträgen könnte Organisationen vor Probleme stellen. Pavolotsky sieht Automatisierung als möglichen Ausweg. Zwar gibt es mit Global Privacy Control bereits eine automatisierte Möglichkeit, dem Verkauf und der Weitergabe personenbezogener Daten zu widersprechen. Diese über eine Browsereinstellung übermittelte Präferenz gilt seiner Darstellung nach jedoch nicht für Löschanträge.

Wie streng die Vorgaben unmittelbar durchgesetzt werden, dürfte sich erst nach dem Start zeigen. Laut Pavolotsky wird sich bis Ende August klarer abzeichnen, ob Kalifornien die Anfangsphase als Gelegenheit betrachtet, technische Kinderkrankheiten auszuräumen, solange Unternehmen nach Treu und Glauben handeln, oder ob die Durchsetzung von Beginn an strenger ausfällt. Er betont zugleich, dass Firmen ohne ausreichende Vorbereitung wahrscheinlich Schwierigkeiten bekommen werden.

Rückenwind erhält das Modell von Datenschutzorganisationen. Die Electronic Frontier Foundation (EFF) verwies auf mehrere Risiken, die den Erlass solcher Gesetze begünstigt haben. Datenhändler versorgen laut EFF häufig Spam-Versender mit persönlichen Kontaktdaten; deren Löschung könne unerwünschte Nachrichten verringern und die persönliche Cybersicherheit verbessern, weil weniger Angriffsfläche entstehe. Außerdem sinke das Risiko im Fall von Datenpannen, wenn weniger Unternehmen personenbezogene Daten speichern.

Hayley Tsukayama, Direktorin für Angelegenheiten der Bundesstaaten bei der EFF, schrieb in einem Blogbeitrag, ein weiterer Punkt sei die stärkere Kontrolle darüber, wie persönliche Informationen erfasst und genutzt werden. Zwar hätten Verbraucher bereits ein Recht auf Löschung, der praktische Weg dorthin sei aber „ein unglaublich zeitaufwendiger und mühsamer Prozess“. DROP verkürze diesen Ablauf erheblich, weil die Plattform die Anfrage mit dem kalifornischen Register der Datenhändler verknüpfe.