美国数据保护要求

1.前言

1.1.立法现状

美国 没有统一的数据安全或隐私领域的监管法律。相反，美国有适用于某些行业和实体的行业性法律，以及每个州有自己独立的法律，这些法律管理每个特定州居民和实体的网络安全和数据泄露义务。目前有一项联邦法案美国众议院正在审议中，即
美国数据隐私和保护法案 (“ADPPA”) 。值得注意的是，ADPPA标志着第一个获得两党和两院制支持的联邦隐私法案。如果颁布，它将取代大多数州和地方法律，使其中的任何类似规定无效。
同时，根据2002年联邦信息安全管理法案（“FISMA”），管理和预算办公室（“OMB”）与美国国土安全部（“DHS”）和其他联邦机构，负责监督联邦信息安全指令。
已经生效或即将生效的美国州立法包括：
加州

• 2018年加州消费者隐私法(‘CCPA’)-生效

• 2020年加州隐私权法案（“CPRA”）-2023年1月1日（但许多条款适用于从2022年1月1日起收集的个人信息）

科罗拉多州

• 科罗拉多州隐私法（“CPA”）-2023年7月1日

康涅狄格州

• 康涅狄格州个人数据隐私和在线监控法案(‘CTDPA’)-2023年7月1日

犹他州

• 消费者隐私法(‘UCPA’)-2023年12月31日

弗吉尼亚州

• 消费者数据保护法(‘CDPA’)-2023年1月1日

1.2.监管机构

管理和预算办公室（Office of Management and Budget）
OMB负责监督联邦政府的网络安全和合规举措，这一监督权力源自FISMA（联邦信息安全管理法案）。根据FISMA，OMB被要求建立网络安全标准和指南，并确保联邦机构遵守这些标准。
国土安全部（Department of Homeland Security）
FISMA要求国土安全部“管理机构信息安全政策和实践的实施”（美国法典（“USC”）第44篇第35章第II分章第3553节）。国土安全部监控联邦网络并检测和防止针对联邦机构的攻击。
国土安全部还制定了实施OMB网络安全标准和指南的指令。自2020年以来，国土安全部已将其部分政策制定职能委托给网络安全和基础设施安全局（“CISA”）。