II.3.1 Consumentenbescherming

De Federal Trade Commission Act (‘FTCA’) beoogt consumenten te beschermen tegen oneerlijke en misleidende praktijken en is van toepassing op bedrijven en particulieren die handelen in de VS. De wet bevat geen bepaling ten aanzien van specifieke (categorieën van persoons)gegevens, maar kent een algemeen verbod op ‘unfair or deceptive acts or practices in or affecting commerce’.1 Onder ‘unfair of deceptive acts’ valt bijvoorbeeld ook de onvoldoende bescherming van klantgegevens waardoor deze worden blootgesteld aan cyberrisico’s,2 verandering van de privacy policies zonder dat de klanten daarvan op de hoogte worden gesteld en het niet voldoen aan de eigen privacy policy.3 De Federal Trade Commission (‘FTC’) handhaaft deze wet.

Ook de Fair Credit Reporting Act (‘FCRA’), gericht op credit reporting agencies,4 beoogt de belangen van consumenten te beschermen. Deze wet bestaat al sinds 1970 en wordt wel gezien als de eerste Amerikaanse privacywet.5 Dat kredietbureaus al vrij vroeg aan dergelijke (informationele) privacyregels zijn onderworpen, heeft volgens Winn te maken met het feit dat Amerikanen in grote mate afhankelijk zijn van krediet om hun levensstandaard te behouden: “[… T]he American public’s dependence on credit allows them to act as gatekeepers of the ‘American Dream’.”6

De FCRA bepaalt onder welke omstandigheden kredietbureaus de verzamelde gegevens mogen delen, dat de verzamelde gegevens enkel mogen worden gebruikt voor de in de wet bepaalde doeleinden en dat er redelijke maatregelen moeten worden getroffen om de vertrouwelijkheid, accuraatheid, de relevantie en het gebruik van de gegevens te waarborgen.7 Bovendien voorziet de FCRA consumenten van rechten op de accuraatheid van hun gegevens (bijvoorbeeld inzage en correctie). Overtreding van de FCRA betekent een unfair practice in de zin van de FTCA. Daarnaast bepaalt de FCRA zelf dat overtreders van de wet aansprakelijk zijn voor daaruit voortvloeiende schade, waaronder punitive damages.8

Sinds 2002 heeft de FTC meer dan zestig handhavingsprocedures gevoerd tegen bedrijven waarbij zich een (digitaal) beveiligingsprobleem voordeed. Geen van deze zaken is uitgeprocedeerd; zij zijn allemaal geschikt. De hoogste schikking die tot nu toe werd getroffen, was met LifeLock, een bedrijf dat zich (ironisch genoeg) richt op bescherming tegen identiteitsfraude: $ 100 miljoen.9 Het meest recente schandaal waarnaar de FTC een onderzoek is gestart is het datalek bij Facebook en Cambridge Analytica.10

De FTCA en de FCRA bevatten geen meldplicht bij datalekken.