Personal Data Privacy and Security Act of 2009
2009 का व्यक्तिगत डेटा गोपनीयता और सुरक्षा अधिनियम (आधिकारिक शीर्षकः पहचान की चोरी को रोकने और कम करने के लिए एक विधेयक, गोपनीयता सुनिश्चित करने के लिए, सुरक्षा उल्लंघनों की सूचना प्रदान करने के लिए, और आपराधिक दंड, कानून प्रवर्तन सहायता, और सुरक्षा उल्लंघनों के खिलाफ अन्य सुरक्षा, धोखाधड़ी पहुंच, और व्यक्तिगत रूप से पहचान योग्य जानकारी का दुरुपयोग), संयुक्त राज्य कांग्रेस में निजी कंपनियों और सरकारी एजेंसियों द्वारा व्यक्तिगत रूप से पहचान योग्य जानकारी की सुरक्षा बढ़ाने, डेटा दलालों द्वारा व्यक्तिगत डेटा साझा करने पर दिशानिर्देश और प्रतिबंध निर्धारित करने, और पहचान की चोरी और डेटा गोपनीयता और सुरक्षा के अन्य उल्लंघनों के लिए आपराधिक दंड बढ़ाने के लिए प्रस्तावित एक विधेयक था। इस विधेयक को संयुक्त राज्य सीनेट में पैट्रिक लेही (डेमोक्रेट-वर्मोंट) द्वारा प्रायोजित किया गया था, जहाँ इसे S.1490 के रूप में जाना जाता है। स्टेटस सीनेटर पैट्रिक लेही ने 22 जुलाई, 2009 को विधेयक पेश किया और इसे सीनेट न्यायपालिका समिति को भेजा गया जहां इसे मंजूरी दी गई। आखिरी कार्रवाई 17 दिसंबर, 2009 को की गई थी। यह विधेयक 111वीं संयुक्त राज्य कांग्रेस के दौरान और 2009-2010 सत्र के अंत में बहस के लिए नहीं आया और कभी भी कानून नहीं बना। सारांश कांग्रेस के पुस्तकालय की कांग्रेसनल रिसर्च सर्विस (सी. आर. एस.) अपने चार मुख्य भागों में विधेयक का सारांश देती है। शीर्षक I-पहचान की चोरी और डेटा गोपनीयता और सुरक्षा के अन्य उल्लंघनों के लिए सजा बढ़ाना धारा 101 रैकेटियरिंग गतिविधि की परिभाषा में प्राधिकरण के बिना जानबूझकर कंप्यूटर तक पहुँच को जोड़ने के लिए संघीय आपराधिक संहिता में संशोधन करती है। धारा 102 एक या अधिक व्यक्तियों को आर्थिक नुकसान पहुंचाने वाली संवेदनशील व्यक्तिगत रूप से पहचान योग्य जानकारी से जुड़े सुरक्षा उल्लंघन को जानबूझकर और जानबूझकर छिपाने के लिए पांच साल तक का जुर्माना और/या जेल की सजा लगाती है। यह किसी व्यक्ति के नाम को अन्य व्यक्तिगत जानकारी, जैसे कि सामाजिक सुरक्षा संख्या, घर का पता, जन्म तिथि, बायोमेट्रिक्स डेटा या वित्तीय खाते की जानकारी के साथ संयोजन में शामिल करने के लिए "संवेदनशील व्यक्तिगत रूप से पहचान योग्य जानकारी" को परिभाषित करता है। धारा 103 यह यू. एस. को निर्देशित करती है। सजा आयोग पहचान की चोरी के लिए सजा के दिशानिर्देशों सहित व्यक्तिगत रूप से पहचान योग्य जानकारी तक पहुँचने, या दुरुपयोग, डिजिटल या इलेक्ट्रॉनिक व्यक्तिगत रूप से पहचान करने के लिए धोखाधड़ी का उपयोग करने के लिए दोषी व्यक्तियों के लिए संघीय सजा के दिशानिर्देशों की समीक्षा और संशोधन, यदि उचित हो, तो करेगा। धारा 104 संघीय दिवालियापन संहिता में संशोधन करती है ताकि ऋणदाता की विफलता के आधार पर दिवालियापन के मामले को खारिज करने या परिवर्तित करने पर प्रतिबंध लगाया जा सके, जिसका अर्थ है पात्रता आवश्यकताओं का परीक्षण करना यदि ऐसा ऋणदाता पहचान की चोरी का शिकार है। शीर्षक II-डेटा ब्रोकर धारा 201 अंतरराज्यीय डेटा ब्रोकरों (व्यावसायिक संस्थाओं के रूप में परिभाषित, जो मौद्रिक शुल्क या बकाया के लिए, नियमित रूप से 5,000 से अधिक व्यक्तियों की संवेदनशील व्यक्तिगत रूप से पहचान योग्य जानकारी को गैर-संबद्ध तीसरे पक्षों को अंतरराज्यीय आधार पर एकत्र करने, प्रसारित करने या पहुंच प्रदान करने के अभ्यास में संलग्न हैं) की आवश्यकता हैः (1) अनुरोध करने वाले व्यक्ति को ऐसे अनुरोध के समय अपने डेटाबेस या सिस्टम में ऐसे व्यक्ति से संबंधित सभी व्यक्तिगत इलेक्ट्रॉनिक रिकॉर्ड का खुलासा करें; (2) ऐसे व्यक्तियों को अपने रिकॉर्ड में अशुद्धियों को सुधारने के लिए मार्गदर्शन प्रदान करें; (3) अपने डेटाबेस में जानकारी के आधार पर किसी तीसरे पक्ष द्वारा किसी व्यक्ति के खिलाफ की गई किसी भी प्रतिकूल कार्रवाई की लिखित या इलेक्ट्रॉनिक सूचना प्रदान करें; और (4) अपने डेटाबेस में किसी भी गलत जानकारी को सही करें। डेटा ब्रोकर के डेटाबेस में जानकारी की पूर्णता या सटीकता पर विवाद करने के लिए प्रक्रियाएं निर्धारित करता है। डेटा ब्रोकर को किसी व्यक्ति द्वारा विवादित जानकारी की जांच करने या समीक्षा को समाप्त करने से इनकार करने की अनुमति देता है यदि डेटा ब्रोकर उचित रूप से निर्धारित करता है कि विवाद तुच्छ है और धोखाधड़ी करने का इरादा रखता है। धारा 202 उन डेटा दलालों पर नागरिक दंड लगाती है जो इस शीर्षक की आवश्यकताओं का उल्लंघन करते हैं। डेटा दलालों पर संघीय व्यापार आयोग (एफ. टी. सी.) प्रवर्तन प्राधिकरण को अनुदान देता है। राज्य के महान्यायवादी को डेटा दलालों के खिलाफ नागरिक उपचार करने की अनुमति देता है जिन्हें राज्य के निवासियों के लिए खतरा माना जाता है। धारा 203 डेटा दलालों के राज्य विनियमन को रोकती है। धारा 204 इस अधिनियम के अधिनियमन के 180 दिनों के बाद इस शीर्षक के प्रावधानों को प्रभावी बनाती है। शीर्षक III-व्यक्तिगत रूप से पहचान योग्य जानकारी की गोपनीयता और सुरक्षा उपशीर्षक ए-एक डेटा गोपनीयता और सुरक्षा कार्यक्रम धारा 301 उन व्यावसायिक संस्थाओं पर व्यक्तिगत डेटा गोपनीयता और सुरक्षा कार्यक्रम के लिए आवश्यकताओं को लागू करता है जो 10,000 या अधिक अमेरिकी व्यक्तियों पर इलेक्ट्रॉनिक या डिजिटल रूप में संवेदनशील व्यक्तिगत रूप से पहचान योग्य जानकारी बनाए रखते हैं। कुछ वित्तीय संस्थानों, स्वास्थ्य बीमा सुवाह्यता और जवाबदेही अधिनियम (एच. आई. पी. ए. ए.) के तहत शामिल संस्थाओं और सार्वजनिक अभिलेखों को ऐसी आवश्यकताओं से छूट देता है। धारा 302 एक ऐसी व्यावसायिक संस्था की आवश्यकता है जो डेटा गोपनीयता और सुरक्षा आवश्यकताओं के अधीन होः (1) संवेदनशील व्यक्तिगत रूप से पहचान करने वाली जानकारी की गोपनीयता, सुरक्षा और गोपनीयता सुनिश्चित करने के लिए एक व्यापक व्यक्तिगत डेटा गोपनीयता और सुरक्षा कार्यक्रम को लागू करना और ऐसी जानकारी के उल्लंघन और अनधिकृत पहुंच से बचाने के लिए जो किसी भी व्यक्ति को नुकसान या धोखाधड़ी का महत्वपूर्ण जोखिम पैदा कर सकती है; (2) संभावित सुरक्षा उल्लंघनों का जोखिम मूल्यांकन करना; (3) जोखिम प्रबंधन और नियंत्रण नीतियों और प्रक्रियाओं को अपनाना; (4) डेटा सुरक्षा कार्यक्रमों के कार्यान्वयन के लिए कर्मचारी प्रशिक्षण और पर्यवेक्षण सुनिश्चित करना; और (5) व्यक्तिगत डेटा गोपनीयता और सुरक्षा कार्यक्रमों की भेद्यता परीक्षण और निगरानी करना। धारा 303 उन व्यावसायिक संस्थाओं पर नागरिक दंड लगाती है जो इस उपशीर्षक की डेटा गोपनीयता और सुरक्षा आवश्यकताओं का उल्लंघन करती हैं। एफ. टी. सी. को ऐसी आवश्यकताओं के लिए प्रवर्तन प्राधिकरण अनुदान देता है। धारा 304 संवेदनशील व्यक्तिगत रूप से पहचान करने वाली जानकारी की सुरक्षा के लिए प्रशासनिक, तकनीकी और भौतिक सुरक्षा उपायों से संबंधित राज्य कानूनों को रोकती है। उपशीर्षक बी-सुरक्षा उल्लंघन अधिसूचना धारा 311 किसी भी एजेंसी या व्यावसायिक इकाई को संवेदनशील व्यक्तिगत रूप से पहचान योग्य जानकारी के साथ बिना किसी अनुचित देरी के किसी भी अमेरिकी निवासी को सुरक्षा उल्लंघन के बारे में सूचित करने की आवश्यकता है जिसमें ऐसे निवासी की जानकारी रही है, या उचित रूप से माना जाता है कि उसे एक्सेस किया गया है या प्राप्त किया गया है। धारा 312 एजेंसियों या व्यावसायिक संस्थाओं को सुरक्षा उल्लंघन अधिसूचना आवश्यकताओं से छूट देती है यदि वे गुप्त सेवा को लिखित प्रमाणन प्रदान करते हैं कि ऐसी अधिसूचना प्रदान करने से आपराधिक जांच में बाधा आएगी या राष्ट्रीय सुरक्षा को नुकसान होगा। इस तरह के प्रमाणन के गुणों का मूल्यांकन करने के लिए गुप्त सेवा की आवश्यकता होती है। धारा 313 किसी एजेंसी या व्यावसायिक संस्था से किसी भी प्रभावित व्यक्ति को सुरक्षा उल्लंघन की सूचना देने की अपेक्षा करती हैः (1) उनके अंतिम ज्ञात घर के मेलिंग पते पर लिखित सूचना द्वारा, टेलीफोन द्वारा, या ईमेल द्वारा (यदि ईमेल अधिसूचना के लिए सहमति दी गई थी); और (2) प्रमुख मीडिया आउटलेट्स को यदि सुरक्षा उल्लंघन से प्रभावित राज्य में निवासियों की संख्या 5,000 से अधिक है। धारा 314 उन व्यक्तियों के लिए अधिसूचना की आवश्यकता है जिनके संवेदनशील व्यक्तिगत रूप से पहचान योग्य जानकारी तक पहुँच प्राप्त की गई है जिसमें शामिल हैंः (1) किसी अनधिकृत व्यक्ति द्वारा प्राप्त जानकारी की श्रेणियों का विवरण; और (2) उस एजेंसी या व्यावसायिक संस्था से संपर्क करने के लिए टोल-फ्री नंबर जिनके डेटाबेस का उल्लंघन किया गया है और प्रमुख क्रेडिट रिपोर्टिंग एजेंसियां। धारा 325 किसी भी व्यावसायिक संस्था या एजेंसी से सभी उपभोक्ता रिपोर्टिंग एजेंसियों को सूचित करने के लिए सुरक्षा उल्लंघन के 5,000 से अधिक व्यक्तियों को अधिसूचना प्रदान करने की आवश्यकता होती है। धारा 316 किसी भी व्यावसायिक संस्था या एजेंसी से किसी भी डेटा सुरक्षा उल्लंघन के 14 दिनों के भीतर संवेदनशील व्यक्तिगत रूप से पहचान करने वाली जानकारी के सुरक्षा उल्लंघन के बारे में गुप्त सेवा को सूचित करने की आवश्यकता होती है जिसमें शामिल हैंः (1) 10,000 से अधिक व्यक्ति; (2) एक डेटाबेस जिसमें देश भर में दस लाख से अधिक व्यक्तियों के बारे में जानकारी होती है; (3) एक संघीय सरकारी डेटाबेस; या (4) राष्ट्रीय सुरक्षा या कानून प्रवर्तन में शामिल सरकारी कर्मचारियों या ठेकेदारों के रूप में जाने जाने वाले व्यक्ति। सीक्रेट सर्विस को फेडरल ब्यूरो ऑफ इन्वेस्टिगेशन (एफ. बी. आई.), यू. एस. को सूचित करने की आवश्यकता है। डाक सेवा, और किसी भी उल्लंघन की सूचना प्राप्त करने के 14 दिनों के भीतर सुरक्षा उल्लंघन के प्रत्येक प्रभावित राज्य के महान्यायवादी। धारा 317 महान्यायवादी को सुरक्षा उल्लंघन अधिसूचना आवश्यकताओं के उल्लंघन के लिए अमेरिकी जिला अदालत में निषेधाज्ञा सहित नागरिक कार्रवाई करने के लिए अधिकृत करती है। धारा 318 राज्य के महान्यायवादी को सुरक्षा उल्लंघन अधिसूचना आवश्यकताओं को लागू करने के लिए अमेरिकी जिला अदालत में नागरिक कार्रवाई करने की अनुमति देती है। महान्यायवादी को राज्य की किसी भी कार्रवाई पर रोक लगाने या उसमें हस्तक्षेप करने के लिए अधिकृत करता है। धारा 319 घोषणा करती है कि इस उपशीर्षक के प्रावधान किसी अंतरराज्यीय व्यावसायिक इकाई या एजेंसी द्वारा सुरक्षा उल्लंघन की अधिसूचना से संबंधित संघीय या राज्य कानून के किसी अन्य प्रावधान को हटा देंगे। धारा 320 गुप्त सेवा को सुरक्षा उल्लंघनों की जांच और जोखिम मूल्यांकन करने के लिए विनियोग को अधिकृत करती है। धारा 321 गुप्त सेवा को जोखिम मूल्यांकन छूट के परिणामस्वरूप सुरक्षा उल्लंघनों पर कांग्रेस को रिपोर्ट करने की आवश्यकता है। धारा 322 इस उपशीर्षक के प्रावधानों को इस अधिनियम के अधिनियमन के 90 दिनों के बाद प्रभावी बनाती है। शीर्षक IV-वाणिज्यिक डेटा तक सरकारी पहुंच और उपयोग धारा 401 के तहत सामान्य सेवा प्रशासन (जी. एस. ए.) के प्रशासक को, डेटा दलालों को कुल 500,000 डॉलर से अधिक के अनुबंध देने के लिए, उनके डेटा गोपनीयता और सुरक्षा कार्यक्रमों, उनके अनुपालन, सुरक्षा द्वारा उनके डेटाबेस और प्रणालियों के साथ किस हद तक समझौता किया गया है, का मूल्यांकन करने की आवश्यकता होती है। समर्थन और विपक्ष समर्थन साइबर उद्योग मीडिया से समर्थन जब विधेयक पहली बार पेश किया गया था, डेटा सुरक्षा और व्यक्तिगत रूप से पहचान योग्य जानकारी और सुरक्षा उल्लंघनों में जवाबदेही के प्रावधानों के लिए इसके व्यापक दृष्टिकोण के लिए विधेयक को माना गया था। विधेयक की व्यापक प्रकृति का उद्देश्य राज्य स्तर से विभिन्न कानूनों को एक साथ जोड़ना था जो कुछ निवासियों को एक संघीय विधेयक में संरक्षित करता है जिसमें सर्वोच्चता होगी और व्यक्तियों की जानकारी को अधिक सुरक्षा प्रदान करेगा, विशेष रूप से राज्य डेटा उल्लंघन अधिसूचना कानूनों को पूर्ववत करना। कंज्यूमर रिपोर्ट्स के गैर-लाभकारी प्रकाशक कंज्यूमर यूनियन ने समर्थन की पेशकश करने के लिए सीधे सीनेटर लेही को संबोधित किया। दुर्भाग्य से विधेयक के समर्थकों के लिए, विधेयक को कांग्रेस में अपेक्षित ध्यान नहीं मिला। विपक्षी संगठन यू. एस. चैंबर ऑफ कॉमर्स अमेरिकन एसोसिएशन ऑफ एडवर्टाइजिंग एजेंसीज अमेरिकन फाइनेंशियल सर्विसेज एसोसिएशन इंटरनेट कॉमर्स कोएलिशन नेशनल ऑटोमोबाइल डीलर्स एसोसिएशन नेशनल रिटेल फेडरेशन रिटेल इंडस्ट्री लीडर्स एसोसिएशन नेशनल बिजनेस कोएलिशन ऑन ई-कॉमर्स एंड प्राइवेसी द फाइनेंशियल सर्विसेज राउंडटेबल कंज्यूमर डेटा इंडस्ट्री एसोसिएशन ने संयुक्त राज्य अमेरिका में इंटरनेट कानून का संदर्भ दिया सूचना गोपनीयता 111वीं संयुक्त राज्य कांग्रेस का प्रस्तावित कानून