Порівняльна характеристика правового регулювання захисту персональних даних у США та Європі: CCPA vs GDPR

Abstract

У статті проводяться аналіз та порівняльна характеристика правового регулювання захисту персональних даних у вигляді європейського та американського актів – General Data Protection Regulation (Regulation (EU) 2016/679) (GDPR) та California Consumer Privacy Act (CCPA). Аналізується: збирання, обробка, а також продаж персональних даних за відповідними нормативно-правовими актами; сфера діяльності правових актів розрізняється за 3 традиційними критеріями: колом осіб, предметом регулювання та територією застосування. Також порушується питання захисту персональних даних юридичними засобами при їх збиранні, обробці та продажі в інформаційних системах. Досліджуються тенденції розвитку інституту захисту персональних даних в контексті США та Європи, а також сутність поняття та загальні засади розвитку персональних даних. Вивчено розвиток законодавства ЄС у сфері захисту персональних даних та основи його практичної реалізації. Подано пропозиції з імплементації законодавства України і ЄС. Здійснено ґрунтовний аналіз американських та європейських законодавчих основ та принципів захисту персональних даних, які становлять основу сучасної практики в цій сфері. Поставлено питання особливості підстав, за якими можна здійснювати законну обробку персональних даних суб’єкта відповідно до General Data Protection Regulation та California Consumer Privacy Act. Здійснено порівняння поняття суб’єкта даних, GDPR та CCPA GDPR встановлює шість таких підстав. Ключову позицію посідає згода суб’єкта даних на їх обробку. Окрему увагу приділено вивченню питання “чутливих даних” у General Data Protection Regulation. Під таким поняттям даних розуміється інформація, яка розкриває расову, етнічну або релігійну приналежність; релігійні чи філософські вірування; політичні погляди та переконання; опрацювання біометричних та генетичних даних задля єдиної ідентифікації фізичної особи, а також про її здоров’я, статеве життя чи сексуальну орієнтацію. На противагу цьому CCPA не встановлює жодних обмежень чи режимів збору та обробки відповідних категорій персональних даних.

The article analyzes and compares the legal regulation of personal data protection in the form of European and American acts – General Data Protection Regulation (Regulation (EU) 2016/679) (GDPR) and California Consumer Privacy Act (CCPA). Collection, processing, and sale of personal data in accordance with relevant legal acts; the scope of legal acts differs according to 3 traditional criteria: the number of persons, the subject of regulation and the territory of application are analyzed in the article. It also raises the issue of protection of personal data by legal means during their collection, processing and sale in information systems. Trends in the development of the Personal Data Protection Institute in the context of the US and Europe are explored, as well as the essence of the concept and general principles of personal data development. The development of EU legislation in the field of personal data protection and the basis of its practical implementation are studied. Proposals for the implementation of Ukrainian and EU legislation have been submitted. A thorough analysis of the US and European legal frameworks and principles of personal data protection, which form the basis of current practice in this field, has been carried out. The question is raised as to the peculiarities of the grounds on which the personal data of the subject can be lawfully processed in accordance with the General Data Protection Regulation and the California Consumer Privacy Act. A comparison of the concept of data subject, GDPR and CCPA GDPR establishes six such grounds. A key position is the consent of the data subject to process it. Particular attention is paid to the study of “sensitive data” in the General Data Protection Regulation. The term data refers to information that reveals race, ethnicity or religion; religious or philosophical beliefs; political views and beliefs; processing of biometric and genetic data for the sole identification of the individual, as well as their health, sexual life or sexual orientation. In contrast, the CCPA does not impose any restrictions or modes on the collection and processing of relevant categories of personal data.