Happy 2023 Data Privacy Week!
Just as everyone started to get more or less cozy with the regulatory landscape in data privacy/protection and individuals and businesses learned to navigate the shallow waters of data subject requests, risk management, and impact assessments – BOOM – another tidal wave of regulatory requirements and new challenges rushed in!
2023 is the perfect moment to start internalizing new acronyms (get ready for #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) and legislative acts they stand for.
El objetivo fundamental de los próximos cambios es impulsar y mejorar las medidas de ciberseguridad de diversas organizaciones, así como gestionar de forma más eficaz los riesgos cibernéticos en constante evolución.
A continuación se ofrece una visión general de una selección de novedades jurídicas en todo el mundo:
- EU – Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS2)
- EU – Regulation on digital operational resilience for the financial sector (DORA)
- US – State & Federal privacy laws
- India – Digital Personal Data Protection Bill (DPDPB)
- Australia – Privacy Penalty Bill & overhaul of the Privacy Act 1988
NIS2
According to ENISA, the general spending on cybersecurity is 41 % lower by organisations in the EU than by their US counterparts. With the arrival of NIS2, this ratio is expected to shift to cover this enormous gap at least partially. Conservative estimates are that NIS2 entry in force will translate into a ~22% increase in ICT spending over a 3–4-year period.
La NIS2 se publicó justo antes de que finalizara el año, y los Estados miembros de la UE disponen ahora de 21 meses para transponer a sus legislaciones nacionales los requisitos y mecanismos descritos. La Directiva NIS de 2016 —a pesar de sus deficiencias— sirvió de piedra angular para aumentar las capacidades de ciberseguridad de los Estados miembros. Ahora, la NIS 2 ampliará el ámbito de aplicación y la lista de organizaciones afectadas. Se prevé que hasta 160 000 organizaciones queden sujetas a esta nueva legislación, entre ellas los proveedores de servicios digitales (plataformas y servicios de centros de datos), los proveedores de redes y servicios de comunicaciones electrónicas, así como los sectores manufacturero, alimentario y el sector público.
NIS2 aims to strengthen cybersecurity postures by, amongst other: improving cybersecurity governance, addressing the security of supply chains, streamlining reporting obligations (early warnings/shortened notification periods), and introducing more stringent supervisory measures and stricter enforcement requirements.
¿Qué puedes hacer ahora mismo?
- First, try to understand which obligations will apply to your organization and in which compliance bucket your organization will fall into: “Essential Entity,” “Important Entity,” or maybe “other.”
- A continuación, comprueba si puedes crear sinergias y aprovechar las medidas técnicas y organizativas ya implantadas durante iniciativas de cumplimiento anteriores (por ejemplo, el RGPD, la Directiva NIS1, etc.).
- Empieza a buscar los socios adecuados que puedan respaldar adecuadamente tus iniciativas de cumplimiento normativo. Involucra a tus proveedores en el debate sobre el enfoque que mejor se adapte a tu organización.
- Por último, pero no por ello menos importante, empieza a planificar un aumento del gasto para subsanar cualquier deficiencia restante. El incumplimiento de la normativa podría acarrear multas administrativas de hasta 10 millones de euros o de hasta el 2 % de la facturación anual total a nivel mundial de la organización.
DORA
DORA aims to achieve “a high common level of digital operational resilience,” mitigating cyber threats and ensuring resilient operations across the EU financial sector. It will become directly applicable from Jan 17th, 2025. It will impact the financial sector (banks, insurance companies, investment firms) and its ICT providers (i.e., cloud platforms) – roughly around 22 000 organizations.
Los nuevos requisitos impuestos por la DORA se traducirán, en la práctica, en una revisión y actualización de las prácticas de gestión de riesgos. Los clientes del sector financiero deberán transferir el mayor número posible de riesgos normativos a los proveedores de TIC o aplicar diferentes estrategias de mitigación de riesgos. En cualquier caso, los proveedores de TIC deberán poder garantizar el cumplimiento de los requisitos de la DORA. Además, todo el sector deberá reevaluar las relaciones contractuales con los proveedores. La DORA incorporará requisitos para los contratos entre las entidades financieras y sus proveedores de TIC críticos, incluyendo la ubicación donde se procesan los datos, las descripciones de los acuerdos de nivel de servicio, los requisitos de información, los derechos de acceso y las circunstancias que darían lugar a la rescisión del contrato.
In a separate post – Commvault’s Product Team will perform a more technical deep-dive into DORA’s requirements related to detection (art. 10), response and recovery (art. 11), and backup (art. 12).
US data privacy laws – CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA
As of January 1st, 2023, California Privacy Rights Act (CPRA) amendments to the California Consumer Privacy Act 2018 went into effect. Many temporary exemptions in place expire, imposing additional obligations on companies dealing with California residents’ personal information, e.g., regarding employment-related personal data, opt-out from selling personal information.
2023 is also the year when the Colorado Privacy Act (CPA), The Connecticut Data Privacy Act (CDPA), The Utah Consumer Privacy Act (UCPA), and The Virginia Consumer Data Privacy Act (VCDPA) will become effective. Legislative fragmentation risk is imminent and substantial, and this is the kind of risk that caused the European Union to harmonize the regulatory approach. Let us see whether the same will be true in 2023 in the case of the American Data Privacy and Protection Act (‘ADPPA’) – a proposal for a federal and general data privacy law.
India – DPDPB
Indian legislators plan to introduce a very ambitious Digital Personal Data Protection Bill (DPDPB) this year. When enacted, long-awaited legislation will undoubtedly impact all kinds of organizations due to India’s role as a tech powerhouse and a global outsourcing hub.
Australia – Privacy Penalty Bill & overhaul of the Privacy Act
Australian authorities announced yet another complete overhaul of the Privacy Act dated 1988. The current legislation was summarized as “out of date and not fit for purpose in the digital age.”
Mientras tanto, todavía en 2022, Australia aprobó la Ley de Sanciones en materia de Privacidad, que aumentó las sanciones relacionadas con la privacidad hasta niveles comparables a los establecidos por el RGPD (hasta 50 millones de AUD) y amplió las competencias reguladoras de la Oficina del Comisionado de Información de Australia (OAIC) y de la Autoridad Australiana de Comunicaciones y Medios de Comunicación (ACMA).
Summary
El implacable reloj del cumplimiento normativo acaba de volver a ponerse en marcha. Los equipos multifuncionales, formados por profesionales de TI, cumplimiento normativo, protección de datos, el ámbito jurídico y analistas de negocio, dedicarán una cantidad considerable de tiempo a analizar el impacto de la avalancha de novedades legislativas que surgieron a finales del año pasado y que se materializarán a lo largo de 2023.
Ten en cuenta que los avances legislativos que aquí se presentan podrían ser más exhaustivos. No obstante, puedes estar seguro de que se convertirán en temas de debate habituales no solo en 2023, sino también en los próximos años.
