USA osariikide privaatsusõiguse navigaator

Jurisdiktsioonideülene kohaldatavuse analüüs, lünkade analüüs ja tööproduktide koostamine USA osariikide tarbijate privaatsusseaduste mosaiigi jaoks. Koostatud praktiseerivatele juristidele ja privaatsusspetsialistidele, kes vajavad kaitstavat, viitamisvalmis väljundit, mitte tarnijalaadseid kontrollnimekirju.

Mida see oskus teeb

1. Kohaldatavuse sõelumine. Ettevõtte profiili põhjal annab iga osariigi kohta kohaldatavuse otsuse (Kohaldub / Tõenäoliselt kohaldub / Ei kohaldu / Ebapiisav teave) koos lävendipõhise põhjendusega.
2. Lünkade analüüs. Võrdleb praegust praktikat iga kohalduva seaduse vastutava töötleja kohustuste ja tarbijate õigustega, koostab raskusastme järgi hinnatud probleemide logi ja seab parandustööd tähtsuse järjekorda.
3. Tööproduktid. Koostab memo (Markdown) ja vormistatud kliendivalmis dokumendi (.docx), mis sisaldab kohaldatavuse maatriksit, lünkade logi ja parandustööde teekaarti. Soovi korral koostab osariikide nõuetele vastavad teavitusklauslid, mis on seotud konkreetsete käivitunud kohustustega.
4. DSAR / tarbijaõiguste suunamine. Suunab ühe tarbija taotluse õigele vastamisprotseduurile, lähtudes taotleja elukohast, kasutatavast õigusest ja vastutava töötleja staatusest iga seaduse järgi.

Millal mida vaadata

See SKILL.md on orkestreerija. Sisuline sügavus asub kaustas references/. Loe viitefaile vajaduse järgi — ära kunagi laadi neid kõiki ette.

Peamised tööpõhimõtted

Need ei ole soovitused. Need tagavad kõigi selle oskuse koostatud analüüside kaitstavuse.

1. Seadused mälu asemel. Osariikide privaatsusõigus on muutunud kiiremini kui enamik treeningandmeid. Kui kasutaja nimetab osariigi või viitab seadustiku sättele, käsitle viitefaile tõena ja märgi iga vastuolu kasutaja mälu ja viitefaili vahel. Kui vaidlusaluse punkti kohta ei anna viidet ei viitefailid ega kasutaja, ütle seda selgesõnaliselt — ära kunagi mõtle välja seadustiku sätteid, regulatiivseid viiteid ega AG järelevalvemenetlusi.
2. Kõigepealt kohaldatavus. Ära analüüsi kunagi kohustusi enne, kui oled kohaldatavuse lävendtestide kaudu läbi viinud. Ettevõttel, mis ei ületa osariigi lävendit, ei ole selle seaduse alusel kohustusi; teisiti teeselda raiskab kasutaja aega ja muudab tööprodukti kasutuskõlbmatuks.
3. Staatus enne kohustusi. USA osariikide privaatsusseadused jagavad kohustused vastutavate töötlejate (controllers) ja volitatud töötlejate (processors) vahel (CA kasutab mõisteid business / service provider / contractor / third party; ülejäänud 19 kasutavad controller / processor). Tuvasta üksuse staatus iga kohalduva seaduse järgi enne kohustuste määramist.
4. Isikuandmed ≠ tarbija. Enamik osariikide seadusi jätab töötajate, kandidaatide, B2B kontaktide ja teatud HIPAA/GLBA/FCRA kohaldamisalasse kuuluvad andmed „tarbija“ mõistest või kohaldamisalast täielikult välja. California CCPA/CPRA hõlmab töötajaid ja B2B-d; teised osariigid üldiselt mitte. Rakenda üksuse ja andmeliigi filtrit enne, kui eeldad, et kohustus tekib.
5. Erista „müüki“ (sale), „jagamist“ (sharing), „sihitud reklaami“ (targeted advertising) ja „profileerimist“ (profiling). Need on seaduses eraldi mõisted ja igaüks käivitab erinevad loobumisvõimalused ja avalikustamised. Nende mõistete lohakas kokkusulatamine on tarnijate vastavustöö kõige levinum viga; see ei tohi selle oskuse väljundis esineda.
6. Viita jooksvalt. Igal väljundis esitatud mittetriviaalsel kohustusel, lävendil või õigusel peab olema tekstisisene viide asjakohasele osariigi seadustiku sättele, määrusele või AG/AGO juhendile. Vorming: (Cal. Civ. Code § 1798.140(d)), (Va. Code § 59.1-575) jne. Kui viidet viitefailides ei ole, märgi väide kui [citation needed — verify before reliance].
7. Mitte-õigusnõuande hoiak. Väljundid on analüüs ja mustandid, mille vaatab üle asjaomases jurisdiktsioonis tegutsemisõigusega kvalifitseeritud õigusnõustaja. Lisa see lahtiütlus igasse vormistatud tööprodukti. See ei ole enesekaitserefleks — see seab kasutaja ootused selle kohta, kuidas väljundit kasutada.
8. AD/BC dateering, kui vormistatud tööproduktides esineb kuupäevi. Kasuta AD/BC, mitte CE/BCE.

Standardne töövoog

See on loogiline järjestus, mitte jäik skript. Jäta samme vahele, kui kasutaja on sisendi juba andnud. Aeglusta või kiirenda vastavalt kasutaja asjatundlikkusele.

Intake → Applicability triage → Status determination → Conflict-of-laws synthesis →
Gap analysis (with precedent matching + AG-priority weighting) →
Remediation prioritization → Deliverables (memo + DOCX) →
Citation audit → Optional: clauses, DSAR routing

1. samm — sisendküsitlus

Kui kasutaja alustab konkreetse kitsa küsimusega („kas Colorado kohaldub, kui mu käive on 20 mln dollarit ja mul on 80 000 CO klienti?“), vasta sellele otse, kasutades asjakohaseid viitefaile.

Kui kasutaja alustab avatud palvega („aita mul nõuetega vastavusse jõuda“ / „palkan privaatsusjuristi ja vajan lähtetaset“), vii läbi struktureeritud sisendküsitlus. Loe faili references/workflows/intake-questionnaire.md ja esita küsimusi kuni 5 kaupa korraga. Ära küsi ühe küsimuse kaupa — see raiskab kasutaja aega.

Kriitilised sisendkategooriad: üksus ja ettevõtte struktuur; käibe ja tarbijate arvu lävendid; töödeldavad andmekategooriad (ja kas mõni neist on tundlik); kas üksus müüb andmeid, jagab neid kontekstideüleseks käitumuslikuks reklaamiks, profileerib isikuid või töötleb alaealiste andmeid; kanalid (veebisait, mobiil, võrguväline, riistvara); B2B vs B2C; olemasolevad teavitused ja lepingud; sektoripõhine kattekiht (HIPAA/GLBA/FCRA/COPPA).

2. samm — kohaldatavuse sõelumine

Iga osariigi puhul rakenda selle osariigi lävendtesti. Lävendid ei ole kõik ühesugused — California kasutab käivet või tarbijate arvu või andmemüügi osakaalu; Texasel puudub arvuline lävend, kuid see välistab SBA määratluse järgi väikeettevõtted koos tundlike andmete eranditega; Floridal on kitsas 1 mld dollari käivitaja. Koondmaatriksi leiad failist references/applicability-matrix.md.

Väljasta tabel veergudega: State | Statute | Applies? | Reasoning | Effective Date / Enforcement Status. Märgi „Ebapiisav teave“ arvamise asemel — ja loetle konkreetne sisend, mida vajaksid.

3. samm — staatuse määramine

Iga kohalduva osariigi puhul tee kindlaks, kas üksus on andmevoo kaupa vastutav töötleja, volitatud töötleja, kolmas isik, teenuseosutaja/lepingupartner (CA-spetsiifiline) või mingi kombinatsioon. Kõige puhul, mis on keerukam kui selgelt vastutava töötleja positsioon, loe faili references/workflows/status-determination.md ja läbi otsustuspuu iga andmevoo kohta. Kliendiandmeid töötlev SaaS-tarnija on nende andmete puhul tavaliselt volitatud töötleja ning oma ärikontaktide ja turundusandmete puhul vastutav töötleja. Paljudel üksustel on kahene staatus. Esita see selgesõnaliselt andmevoo kaupa, koos andmevoopõhise staatusetabeliga vastavalt töövoofailile.

3.5. samm — kollisiooninormide süntees (mitme osariigi tööd)

Kui kohaldub kaks või enam osariiki, ära piirdu paralleelsete osariigipõhiste analüüsidega. Käivita scripts/conflict_resolver.py --states CA,VA,CO,..., et sünteesida kohalduvate osariikide lõikes siduv piirang („vastavuslagi“). Iga ~13 vastavusdimensiooni kohta (teavituse sisu, tundlike andmete käsitlemine, tundlike andmete müük, alaealiste käsitlemine, vastamisaeg, edasikaebeõigus, UOOM-i tunnustamine, loobumise püsivus, volitatud töötleja lepingutingimused, DPA nõuded jne) tagastab skript rangeima kohalduva reegli, määrava osariigi, viite ja teiste osariikide seisukohad konteksti jaoks. Kasuta väljundit ühtse rakendussoovituse koostamiseks, mitte osariikide kaupa kontrollnimekirja jaoks, mida vastutav töötleja ei suuda ellu viia.

4. samm — lünkade analüüs

Iga kohalduva osariigi puhul käi läbi references/controller-duties.md ja asjakohane states/<xx>.md, võrreldes iga seadusjärgset kohustust praeguse praktikaga. Hinda iga lünka metoodika järgi failis references/workflows/gap-analysis-method.md:

• Raskusaste (1–5): regulatiivne risk vaidlustamise korral, arvestades varasemaid järelevalvemenetlusi ja heastamisvõimalust.
• Tõenäosus (1–5): tõenäosus, et regulaator, hageja või tarbija lünga avastab.
• Skoor = raskusaste × tõenäosus. Tasemed: madal (1–6), keskmine (7–12), kõrge (13–19), kriitiline (20–25).

Korrigeeri skoori AG hoiaku järgi. Loe faili references/ag-priorities.md ja rakenda jaotise „Risk weighting in gap analysis“ heuristilisi korrektsioone: lünk, mis puudutab väljakuulutatud 1. taseme AG prioriteeti (CA, TX, CO), saab +1 raskusastet; lünk tööstusharus, mis on parasjagu kontrollikampaania all (ühendatud sõidukid, tervishoiu-pikslid, lastele suunatud rakendused jne), saab +1 tõenäosust; lünk, millele kehtib aktiivne heastamisperiood, saab −1 raskusastet.

Seo iga oluline lünk analoogsete järelevalvemenetlustega. Kasuta skripti scripts/precedent_match.py korpuse rikkumisteooria siltidega (nt --tag gpc_not_honored --tag no_donotsell_link --state CA), et tuua failist references/enforcement_actions.json 3–5 kõige analoogsemat varasemat menetlust. Viita lünkade logi kandes kõige otsesemalt analoogsele asjale koos praktilise õppetunni ja peamise summaga. See muudab tööprodukti „siin on reegel“ asemel „siin on see, mis juhtus sinusuguses olukorras olnud ettevõtetega“.

Kõige raskemate lünkade puhul too ka kaitsepoolne raamistik failist references/defense-arguments.md, et tööprodukt näitaks nii riski kui ka taastumisvõimalusi.

Too esile valdkonnaülesed lüngad — nt üks puuduv avalikustamine, mis tekitab riski 8 seaduse alusel, on kõrgema prioriteediga parandus kui ainult CA-d puudutav äärmusjuhtum.

5. samm — parandustööde prioriseerimine

Sorteeri lüngad skoori järgi ja jaga need seejärel ribadesse 0–30 päeva, 31–90 päeva ja >90 päeva / strateegiline. Märgi sõltuvused — nt privaatsusteate uuendamine sõltub sageli kõigepealt andmeinventuuri lõpuleviimisest; too see esile.

6. samm — tööproduktid

Koosta kaks tulemit:

1. Markdowni memo. Kasuta skeletina faili assets/memo-template.md. Sisuline osa täidetakse. Salvesta töökataloogi.
2. DOCX-tööprodukt. See on vormistatud kliendivalmis versioon. Enne koostamist loe alati oskust docx (mis on tavaliselt selle kõrval saadaval). Seejärel käivita scripts/generate_docx_memo.js analüüsi põhjal koostatud JSON-andmetega. Skript on idempotentne ja loob US Letter formaadis dokumendi koos kaante, sisukorra, kohaldatavuse maatriksi, lünkade logi tabeli ja parandustööde teekaardiga.

Mõlemad tulemid peavad sisaldama mitte-õigusnõuande lahtiütlust ja jaotist „Piirangud ja eeldused“, mis loetleb, millest analüüs sõltub (nt kasutaja esitatud käibenumbrid, kirjeldatud andmevood, veel teadmata erandlike asjaolude puudumine).

6.5. samm — viidete audit (kohustuslik kvaliteedikontroll enne üleandmist)

Enne Markdowni memo lõplikuks vormistamist käivita scripts/citation_audit.py --input <memo>.md --strict. Audiitor jõustab tööpõhimõtetes nõutud viitamisdistsipliini:

• Igal sisulisel väitel (kohustuse, õiguse, lävendi või trahvi kinnitamine) peab olema tekstisisene viide.
• Viited peavad vastama asjakohase seaduse kanoonilisele vormingule (nt Cal. Civ. Code § 1798.140(d), Va. Code § 59.1-575, 4 CCR § 904-3).
• Viidatud sätete numbrid peavad olema usutavad (nt Cal. Civ. Code § 1798.X peab jääma CCPA kodifitseeritud vahemikku).
• „CCPA“ / „CPRA“ ei tohi väljaspool sulgudes olevaid märkusi esineda eraldiseisvate seadustena.
• Lõplikus memos ei tohi jääda ühtegi [citation needed] märget.

Ära anna üle memot, milles on auditivigu. Hoiatused on ülevaatamiseks; too need kasutajale esile, kui need ilmnevad.

7. samm — valikuline: teavitusklauslid ja DSAR-i suunamine

Kui kasutaja palub näidisklausleid (teavitus kogumisel, loobumise avalikustamine, tundlike andmete teavitus, rahalise soodustuse teavitus), võta kaustast assets/notice-clauses/ sobiv mall ja kohanda see üksuse konkreetsetele asjaoludele. Ära kunagi kleebi malli sõna-sõnalt — see tuleb häälestada tegelikult kasutusel olevatele andmekategooriatele, eesmärkidele, säilitustähtaegadele ja vastuvõtjatele.

Kui kasutaja küsib, kuidas konkreetset tarbijataotlust käsitleda, järgi faili references/workflows/dsar-routing.md.

Väljundi distsipliin

• Võrdluste jaoks tabelid. Mitme osariigi väljundi näitamisel kasuta alati tabelit. 5+ osariigi võrdlus jutuvormis on loetamatu.
• Viited teksti sees. Igal kohustusel, õigusel, lävendil või trahvisummal peab olema seadustiku säte. Kui sa ei saa viidata, märgi see.
• Kvantifitseeri ebakindlust. Kui kohaldatavus on piiripealne (nt tarbijate arv 100 000 lävendi lähedal), ütle seda ja selgita, mis selle ühele või teisele poole kallutaks.
• Ei mingit turunduskeelt. Ära kirjuta „valdkonna juhtiv“, „robustne“, „parim omas klassis“ ega „terviklik privaatsusprogramm“. See on õigusanalüüs, mitte brošüür.
• Tegumood ja konkreetsed alused. „Vastutav töötleja peab esitama“ — mitte „See tuleb esitada“.
• AD/BC kõigi jutustavas tekstis viidatud kuupäevade puhul. Seadusviited ja jõustumiskuupäevad kasutavad ametlikku vormi.

Levinud vead, mida vältida

Need on ebaõnnestumisviisid, mis privaatsusalases tööproduktis korduvalt ilmnevad. Oskus on osaliselt olemas just nende vältimiseks.

1. CCPA ja CPRA segiajamine. CCPA oli algne 2018. aasta seadus; CPRA (2020) muutis seda, lõi CPPA ameti ning lisas õigused ja kohustused, mis jõustusid 2023. aasta jaanuaris. Viita alati konsolideeritud Cal. Civ. Code §§ 1798.100 et seq., mitte „CCPA-le“ või „CPRA-le“ justkui eraldi seadustele.
2. „Tundlike andmete“ käsitlemine ühe mõistena. California kasutab mõistet „tundlik isikuteave“ (sensitive personal information) loobumise / kasutuse piiramise õiguse struktuuriga. Ülejäänud 19 osariiki kasutavad mõistet „tundlikud andmed“ (sensitive data), mille töötlemiseks on nõutav opt-in (nõusolek). Struktuurne erinevus on oluline.
3. Universaalse loobumissignaali nõude märkamata jätmine. CO, CT, OR, MT, NJ, NH, MN, MD, DE ja teised nõuavad universaalsete loobumismehhanismide (nt GPC) tunnustamist. California tunnustab samuti GPC-d müügist/jagamisest loobumiseks. Ära jäta seda välja.
4. Töötajate ja B2B kohaldamisala unustamine. California on erand — töötajate/kandidaatide andmed ja B2B kontaktandmed ON CCPA/CPRA kohaldamisalas. Teised osariigid jätavad need üldiselt välja. Väljundid, mis neid kokku panevad, on valed.
5. Heastamisperioodide esitamine püsivatena. Paljudel osariikidel olid seaduse vastuvõtmisel heastamisperioodid, mis on vahepeal lõppenud (nt California üldine 30-päevane heastamisperiood lõppes CPRA-ga; Colorado heastamisperiood lõppes 2025. aasta jaanuaris). Kontrolli faili references/enforcement.md, mitte mälu järgi.
6. Vananenud lävendinumbrid. Texas välistab SBA väikeettevõtted, kuid eranditega tundlike andmete müügile ilma nõusolekuta. Florida lävend on kitsalt seotud 1 mld dollari käibe ja loetletud tegevustega. Ära parafraseeri mälu järgi; viita.
7. Laste kattekihi vahelejätmine. California Age-Appropriate Design Code (osalise esialgse õiguskaitse ajalugu; vaata faili references/kids-and-teens.md), CT/CO teismeliste-spetsiifilised sätted ja föderaalne COPPA lisanduvad kõik osariikide seadustele, kui on kaasatud alaealised. Ainult osariigipõhine analüüs ilma selle kattekihita annab vale väljundi.

Selle oskuse piirangud

• Viitefailid kajastavad õigust selle oskuse frontmatteris märgitud versiooni kuupäeva seisuga. Seadused muutuvad; uued osariigid võtavad vastu seadusi (NM, IL biomeetria jne) ja olemasolevaid seadusi muudetakse (CPPA õigusloome automatiseeritud otsuste tegemise, profileerimise ja riskihindamiste kohta). Kui küsimus sõltub arengust, mis võib olla viitefailist hilisem, ütle seda ja soovita kasutajal kontrollida ajakohasest allikast.
• Oskus koostab analüüse ja mustandeid. See ei esita registreeringuid (nt California või Texase andmevahendajate registreerimine), ei esita riskihindamisi regulaatoritele ega kujuta endast õigusteenuse osutamist. Litsentseeritud advokaat peab selle üle vaatama.

Milleks see oskus ei ole mõeldud — selgesõnaline ulatus ja suunamised

See oskus on osariikide privaatsusseaduste mosaiigi navigaator. See on teadlikult kitsas ja just see kitsus teebki selle kasulikuks. Mitu kõrvalolevat režiimi jäävad tahtlikult ulatusest välja. Kui kasutaja küsimus on puhtalt ühe allpool loetletud režiimi piires — ilma osariigi privaatsusõiguse kattekihita —, on see oskus vale tööriist ja sellega edasi vastamine annab madala kvaliteediga tööprodukti. Soovita sektoripõhist ressurssi ja peatu.

Föderaalsed sektoripõhised režiimid (eraldiseisvana ulatusest väljas; kattekihina ulatuses).

• HIPAA (Privacy Rule, Security Rule, Breach Notification Rule) — eraldiseisva analüüsi jaoks kasuta HIPAA-spetsiifilist ressurssi.
• GLBA (Privacy Rule / Reg P, Safeguards Rule) — eraldiseisva analüüsi jaoks kasuta GLBA-spetsiifilist ressurssi.
• COPPA Rule'i järgimine (teavitus, VPC mehaanika, siseerand, 2025. aasta muudatused) — eraldiseisva analüüsi jaoks kasuta COPPA-spetsiifilist ressurssi.
• FERPA avalikustamise analüüs, kooliametniku erand, kataloogiteave — eraldiseisva analüüsi jaoks kasuta FERPA-spetsiifilist ressurssi.
• FCRA andmeesitajate kohustused, vaidluste mehaanika, lubatud eesmärk, ebasoodsa otsuse teavitused — eraldiseisva analüüsi jaoks kasuta FCRA-spetsiifilist ressurssi.
• NYDFS Part 500, FTC Safeguards Rule'i laiendus, HHS reproduktiivtervise privaatsuse muudatused eraldiseisvana.

Kui mõni ülaltoodust ristub osariigi privaatsusõigusega (nt HIPAA kohaldamisalasse kuuluv üksus küsib CCPA kohustuste kohta mitte-PHI turundusandmete osas; GLBA reguleeritud pank küsib CPA kohaldumise kohta B2B andmetele; COPPA alluv teenus küsib, kuidas MD täielik keeld alaealistele suunatud sihitud reklaamile selle peale lisandub), on õige alguspunkt references/federal-overlays.md. Kattekihtide fail on sild, mitte eraldiseisev navigaator.

Muud kõrvalolevad režiimid (täielikult ulatusest väljas; soovita spetsiaalseid oskusi).

• GDPR / UK GDPR / USA-välised privaatsusrežiimid (Kanada PIPEDA / Quebeci Law 25, Brasiilia LGPD jne) — täiesti erinev paradigma.
• Osariikide biomeetriaseadused eraldiseisvana (Illinois BIPA, Texas CUBI, Washingtoni biomeetria) — kuigi järelevalvemenetlused esinevad korpuses, kui need ristuvad osariigi privaatsustööga.
• Osariikide tarbija terviseandmete seadused eraldiseisvana (Washington MHMDA, Connecticuti muudatused, Nevada SB 370) — kuigi eraõigusliku hagiõiguse alusel esitatud hagid esinevad korpuses.
• Osariikide tehisarupõhised seadused (Colorado AI Act, NYC Local Law 144, Utah AI Disclosure Act).
• Osariikide sotsiaalmeedia / alaealiste platvormide seadused (CA SB 976, NY SAFE for Kids, FL HB 3, TX SCOPE Act) — eristuvad osariikide üldiste privaatsusseaduste alaealisi puudutavatest sätetest.

Kiirstardi päringud

Oskus on kõige kasulikum, kui kasutaja annab struktureeritud sisendi. Kui ta seda ei tee, juhi sisendküsitlust. Näited hästi sõnastatud päringutest:

• „Juhin B-seeria SaaS-ettevõtet, 40 mln dollarit ARR, ainult USA, 200 000 USA tarbijast lõppkasutaja kontot (40 000 California, 30 000 Colorado, 8000 Connecticut, ülejäänud hajali). Me ei müü andmeid, kuid kasutame Meta ja Google Adsi koos nende pikslitega uuesti sihtimiseks väljalogitud kasutajatele mõeldud turunduslehtedel. Millised osariikide seadused kohalduvad ja milline on meie 5 kõige olulisemat parandustööd?“
• „Oregoni tarbija saatis e-kirja ja palus oma andmed kustutada. Oleme tervishoiuga külgnev tarnija (mitte kohaldamisalasse kuuluv üksus). Juhenda mind vastamisel samm-sammult.“
• „Koosta kogumisaegne teavitus, mis vastab California, Colorado ja Connecticuti nõuetele e-kaubanduse ettevõttele, mis kasutab kolmanda osapoole analüütikat, näitab sihitud reklaami kontekstideülese käitumusliku reklaami kaudu ja pakub lojaalsusprogrammi koos allahindlusega e-postiga liitumise eest.“

Kui kasutaja päring on ebamäärane, vii läbi sisendküsitlus. Kui kasutaja päring on terav, vasta teravalt.