Frågor och svar om sekretesskrav

Det här dokumentet innehåller svar på vanliga frågor om vilka sekretessregler som stöds och hur de implementeras i Adobe Experience Cloud.

Allmänna frågor

Följande frågor rör alla sekretessbestämmelser som stöds av Experience Cloud.

Vilka påverkar de sekretessbestämmelser som stöds?

De sekretessregler som stöds av Experience Cloud gäller alla organisationer som lagrar och bearbetar personuppgifter för medborgare inom respektive jurisdiktion, oavsett var organisationen befinner sig.

Vad är personuppgifter?

Personuppgifter är varje information som rör en fysisk person eller en registrerad som kan användas för att direkt eller indirekt identifiera personen. Det kan vara vad som helst från ett namn, ett foto, en e-postadress, bankinformation, inlägg på sociala nätverksplatser, medicinsk information eller en IP-adress till en dator.

Följande identifierare används ofta i Experience Cloud och kan omfattas av sekretesskrav:

Personlig information kan också omfatta information om internetaktiviteter eller andra aktiviteter i elektroniska nätverk. Detta omfattar, men är inte begränsat till:

Även om sekretessbestämmelserna omfattar en mängd personuppgifter, innebär Adobe standardavtalsvillkor att känslig personlig information (som SSN, körkortsinformation, ekonomisk kontoinformation och biometriska data) i allmänhet inte får importeras och användas i Experience Cloud-tillämpningar.

Vad är skillnaden mellan en personuppgiftsansvarig och en personuppgiftsbiträde?

En datakontrollant är den enhet som bestämmer syften, villkor och sätt att bearbeta personuppgifter, medan dataprocessorn är en enhet som bearbetar personuppgifter för den personuppgiftsansvariges räkning.

En personuppgiftsansvarig är den person eller organisation som har behörighet och ansvar att fatta beslut om insamling, användning eller utlämnande av personuppgifter. En personuppgiftsbiträde är den person eller organisation som arbetar med insamling, användning eller utlämnande av personuppgifter och den personuppgiftsansvariges riktning.

Vad är skillnaden mellan uttryckligt och otvetydigt samtycke från registrerade?

Explicit samtycke hänvisar till en standard för samtycke som innefattar en specifik, informerad och otvetydig indikation på den registrerades önskemål i oral eller skriftlig form. Enkelt uttryckt måste den registrerade bokstavligen och uttryckligen säga"Jag godkänner" eller"Jag godkänner" för att samtycke ska kunna anses vara explicit. Dessutom måste det vara lika enkelt att dra tillbaka sitt samtycke som att ge det.

Tvetydigt (underförstått) samtycke refererar till samtycke som inte uttryckligen har getts av den registrerade, men som ändå är entydigt. Exempel: under registreringsprocessen för ett företags webbplats får man ett meddelande om att den registrerade genom att ange en e-postadress samtycker till att ta emot e-post om specialerbjudanden. Om den registrerade läser meddelandet är den positiva åtgärden att ange sin e-postadress tillräckligt för att betraktas som otvetydigt samtycke.

För många förordningar som GDPR krävs explicit samtycke för att behandla känsliga personuppgifter, där det inte räcker med"deltagande". För icke-känsliga uppgifter är dock entydigt (underförstått) samtycke godtagbart.

Kan registrerade under en viss ålder ge sitt samtycke?

Många integritetsbestämmelser föreskriver att om en registrerad är under en viss ålder kan de inte lagligen ge sitt samtycke till insamling av deras personuppgifter. Enligt vissa bestämmelser kan den person som har föräldraansvar för den registrerade i dessa fall ge sitt samtycke, men inte alla. I följande tabell anges den lägsta ålder som de registrerade måste ge sitt eget samtycke till varje förordning, med anmärkningar för ytterligare information:

Hur många dagar måste ett företag svara på en konsumentförfrågan om att få tillgång till eller ta bort personlig information?

Om man utgår ifrån att företaget har samlat in personuppgifter och att det kan autentisera eller verifiera en viss kunds identitet, kan sekretessreglerna medge ett visst tidsintervall för när en konsumentförfrågan kan utföras. I följande tabell visas de tillämpliga tidsintervallen för varje regel, med anmärkningar om några undantag:

Måste mitt företag utse en dataskyddsombud?

Om din organisations dataåtgärder faller under jurisdiktionerna för GDPR, LGPD eller PDPA måste du utse en dataskyddsombud i följande fall:

Hur kan jag stödja konsumentförfrågningar om jag upprätthåller data som omfattas av sekretesslagstiftningen?

När ni har vidtagit de åtgärder som krävs för att autentisera konsumenter som omfattas av lämplig juridisk behörighet, kan ni med Adobe Experience Platform Privacy Service skicka in förfrågningar om konsumentintegritet till kompatibla Experience Cloud-program. Mer information finns i Privacy Service översikten. Mer information om hur dina Experience Cloud-program kan hantera sekretessförfrågningar finns i handboken om program för Privacy Service och Experience Cloud.

CCPA-frågor

Följande frågor gäller specifikt CCPA.

Hur gäller CCPA:s olika roller och ansvarsområden för Experience Cloud?

Enligt CCPA gäller följande roller Adobe och dess kunder:

Som tjänsteleverantör samlar Adobe in och behandlar personuppgifter för företagets räkning och är enligt avtal bundet att använda dessa uppgifter endast för de särskilda ändamål som anges i avtalet.

Med tanke på detta förhållande och Adobe avtalsspråk skulle utlämnande av information till Adobe sannolikt inte betraktas som en"försäljning" som företag skulle behöva lämna besked om och begära samtycke till.

Adobes tjänster kan dock användas för att möjliggöra viss datadelning och överföring till tredje part. Dessa överföringar från tredje part kan betraktas som"försäljning" och kräver rättsligt utlämnande och samtycke. Kunderna bör samarbeta med sin juridiska rådgivare för att utvärdera specifika användningsfall för att bedöma tillämpliga krav.

Erbjuder Adobe andra verktyg som kan vara till hjälp för att tillgodose CCPA-kraven?

Adobe Experience Cloud-programmen har funktioner för datahantering och styrning som kan vara till hjälp för företagens integritetsbehov. Bland dessa verktyg finns etikettering av dataanvändning, rollbaserade åtkomstkontroller, IP-förfalskning och hash-funktioner.

Adobe har fått olika certifieringar av sin sekretess- och säkerhetspraxis, till exempel en ISO 27001-certifiering och en TrustArc GDPR-validering.

GDPR-frågor

Följande frågor gäller specifikt den allmänna dataskyddsförordningen.

Vad är skillnaden mellan en förordning och ett direktiv?

En förordning är en bindande lagstiftningsakt och måste tillämpas i sin helhet i hela EU. Ett direktiv är en lagstiftningsakt som fastställer ett mål som alla EU-länder måste uppnå, men det är de enskilda länderna som bestämmer hur.

Det är viktigt att notera att den allmänna dataskyddsförordningen är en förordning, i motsats till den tidigare lagstiftningen (dataskyddsdirektivet), som är ett direktiv.

Hur påverkar GDPR policyn kring dataintrång?

Föreslagna förordningar om dataintrång gäller i första hand de delgivningspolicyer som tillämpas av företag som har överträtts. Dataintrång som kan utgöra en risk för enskilda personer måste anmälas till dataskyddsmyndigheten inom 72 timmar och till berörda personer utan onödigt dröjsmål.

PDPA-frågor

Följande frågor gäller specifikt PDPA.

Vad är känsliga personuppgifter?

PDF-dokumentet innehåller strikta krav för insamling och lagring av känsliga personuppgifter, som omfattar personuppgifter om ras eller etnisk tillhörighet, politiska åsikter, religiös eller filosofisk övertygelse, kriminalregister, fackliga medlemskap, genetiska uppgifter, biometriska uppgifter, hälsoregister samt sexuell läggning eller sexuella preferenser.