Im Juni feierten die Befürworter der Privatsphäre in Kalifornien die Verabschiedung einer historischen Gesetzesvorlage, die den Bewohnern dieses Staates eine beispiellose Kontrolle darüber gab, wie Unternehmen ihre Daten nutzen. Zwei Monate später ist die Party vorbei.
Lobbygruppen und Wirtschaftsverbände, darunter auch einige Vertreter der Technologiebranche, drängten sofort auf eine Litanei tiefgreifender Änderungen, die ihrer Meinung nach die Umsetzung des Gesetzes erleichtern würden, bevor es im Januar 2020 in Kraft tritt könnte dazu führen, dass das Gesetz völlig außer Kraft gesetzt wird.
"Das ist ihre Aufgabe: zu versuchen, diese Sache absolut bedeutungslos zu machen. Unsere Aufgabe ist es, Nein zu sagen", sagt Alastair MacTaggart, Vorsitzender der Gruppe "Californians for Consumer Privacy", die eine Wahlinitiative unterstützt hat, die den Gesetzgeber umgangen und das Gesetz umgangen hätte California Consumer Privacy Act zur Abstimmung im November. Big Tech und andere Branchen haben sich vehement gegen die Initiative ausgesprochen. Im Juni zog MacTaggart es zurück, sobald die Rechnung, bekannt als AB 375, verabschiedet war.
Auf der grundlegendsten Ebene erlaubt das Gesetz den Einwohnern Kaliforniens, zu sehen, welche Daten Unternehmen über sie sammeln, zu verlangen, dass sie gelöscht werden, zu wissen, an welche Unternehmen ihre Daten verkauft wurden, und Unternehmen anzuweisen, den Verkauf dieser Informationen an Dritte einzustellen. Die Aufgabe, die Einzelheiten zu regeln, liegt jetzt in den Händen des Gesetzgebers - und der besonderen Interessen, denen sie gerecht werden.
 »Die neuen Sheriffs sind aufgetaucht und haben eine Waffe gezogen. Dann legten sie es beiseite und gingen weg “, sagt Kevin Baker, gesetzgebender Direktor der American Civil Liberties Union in Kalifornien, und verweist auf MacTaggarts Initiative. "Jetzt, wo sie das getan haben und die Bedrohung durch die Initiative weg ist, sind wir wieder wie gewohnt in der Politik."
Das Aufräumen
In der Legislaturperiode stehen nur noch drei Tage zur Verfügung, und die kalifornischen Gesetzgeber kämpfen darum, über einen neuen Gesetzesentwurf mit dem Namen SB-1121 abzustimmen. Der ursprüngliche Gesetzesentwurf war hastig verfasst und verabschiedet worden, um MacTaggarts Initiative von der Abstimmung abzuhalten. Das ursprüngliche Ziel von SB-1121 war es, Tippfehler und andere kleine technische Fehler zu beseitigen, mit der Hoffnung, im nächsten Jahr weitere wesentliche Änderungen in der Gesetzgebung einzuführen. Aber in den letzten Wochen haben Gruppen wie die Handelskammer und die Internet Association, die Unternehmen wie Google und Facebook vertritt, erhebliche Änderungen angestrebt, auch wenn die Tech-Industrie daran arbeitet, ein Datenschutzgesetz des Bundes zu entwickeln, das im Falle einer Verabschiedung das kalifornische Gesetz außer Kraft setzen.
"Das Fehlen präziser und klarer Definitionen in dieser Gesetzgebung erschwert die Einhaltung von Vorschriften für Unternehmen, die das Richtige tun möchten", sagte Robert Callahan, Vizepräsident für Regierungsangelegenheiten bei der Internet Association, in einer Erklärung. "Dies könnte zu schwerwiegenden und kostspieligen Konsequenzen für Internetunternehmen in Kalifornien führen, die 11, 5 Prozent zum gesamten BIP des Staates beitragen, ebenso wie für alle anderen Wirtschaftszweige."
Anfang August sandte eine Koalition von fast 40 Organisationen, die von der Bankenbranche über die Filmbranche bis zu den führenden Lobbygruppen der Technologiebranche reichte, einen 20-seitigen Brief an die Gesetzgeber hinter SB-1121. Die Vorschläge wurden zwar letztendlich nicht in den Entwurf aufgenommen, über den der Gesetzgeber in dieser Woche abstimmen wird, sie sind jedoch ein klares Zeichen für den bevorstehenden Kampf um 2019.
"Wenn diese Änderungen zulässig sind, kann ein Unternehmen Anreize bieten, die ungerecht oder unvernünftig sind."
Mary Stone Ross, Anwältin für Datenschutz
Zu den wichtigsten vorgeschlagenen Änderungen gehörte die Neuformulierung der Frage, wen das Gesetz als "Verbraucher" ansieht. Die Gesetzesvorlage gilt für alle Einwohner Kaliforniens. Eine Bestimmung, die von Industriegruppen verfasst wurde, wäre "nicht umsetzbar und hätte zahlreiche unbeabsichtigte Folgen". Stattdessen handelten Gruppen wollte, dass das Gesetz nur für Personen gilt, deren Daten erfasst wurden, weil sie einen Kauf bei einem Unternehmen getätigt oder dessen Dienstleistung in Anspruch genommen hatten, und dass nur Unternehmen das Recht hatten, Personen als Verbraucher zu identifizieren, und nicht umgekehrt um.
Eine solche Änderung mag klein erscheinen, würde aber den Geltungsbereich des Gesetzes erheblich einschränken, sagt Mary Stone Ross, die als ehemalige Präsidentin von Californians for Consumer Privacy an der Ausarbeitung der Wahlinitiative mitgewirkt hat. "Dies ist von Bedeutung, da es nicht für Informationen gilt, die ein Unternehmen nicht direkt vom Verbraucher erhält", sagt Ross, wie Daten, die von Datenbrokern oder anderen Dritten verkauft werden.
Eine weitere wichtige Änderung bestand darin, die Offenlegungsanforderungen zu optimieren. Während die ursprüngliche Rechnung von Unternehmen verlangt, bestimmte Daten zu teilen, ziehen die Branchengruppen es vor, die Grenze bei "Kategorien persönlicher Informationen" zu ziehen.
Es gibt auch andere, subtilere Änderungsvorschläge, die laut Ross weitreichende Auswirkungen haben würden. Das Gesetz enthält eine Sprache, die ein Unternehmen daran hindert, Menschen zu diskriminieren, indem es ihnen zum Beispiel unangemessene Gebühren berechnet, wenn sie sich gegen die Datenerfassung entscheiden. Das Verbot der pauschalen Diskriminierung ist jedoch zu weitreichend für die Unternehmensgruppen, die eine Einschränkung hinzufügen möchten, die angibt, dass sie möglicherweise nicht „unangemessen“diskriminieren. In einem anderen Abschnitt, in dem es darum geht, Verbrauchern Anreize für den Verkauf ihrer Daten zu bieten, schlugen die Branchengruppen vor, die Worte "ungerecht" und "unvernünftig" aus einer Zeile zu streichen, die lautet: "Ein Unternehmen darf keine ungerechten finanziellen Anreizpraktiken anwenden. unvernünftig, erzwungen oder wucherisch. “
"Wenn diese Änderungen zulässig sind, kann ein Unternehmen Anreize bieten, die ungerecht oder unvernünftig sind", sagt Ross. Eine Schwächung dieser Nichtdiskriminierungsbestimmungen könne "die Privatsphäre zu einer Ware machen, die die Armen unverhältnismäßig belastet".
Am Dienstagabend, während einer Anhörung der Versammlung über die Gesetzesvorlage, war der letzte Knackpunkt, insbesondere für die Technologiegiganten, der Umgang des Gesetzes mit für Werbezwecke gesammelten Daten. Zwar verbietet das Gesetz den Nutzern, Werbung gänzlich abzulehnen, es erlaubt ihnen jedoch, den Verkauf ihrer persönlichen Daten an Dritte abzulehnen. Die Branche wollte jedoch eine Ausnahme für Informationen schaffen, die zum Zwecke gezielter Werbung verkauft werden und deren Identität nicht an Dritte weitergegeben wird. Datenschutzgruppen wie die ACLU und die EFF lehnten den Vorschlag vehement ab, ebenso wie MacTaggart. Sie argumentierten, dass eine solche Ausgliederung eine zu große Lücke für Unternehmen schaffen und das Recht der Verbraucher untergraben würde, wirklich zu wissen, was Unternehmen über sie gesammelt hätten.
"Ich war überrascht, dass sie so offensichtlich waren, so früh", sagt MacTaggart. "Ich habe mit diesem Angriff im Jahr 2019 gerechnet, aber nicht im August 2018, zwei Monate nachdem wir die Gesetzesvorlage überhaupt verabschiedet hatten."
Ab Dienstagabend konnten die Branchengruppen diese Änderung nicht in die Gesetzesvorlage aufnehmen. Aber MacTaggart und andere rechnen damit, diesen Kampf im nächsten Jahr noch einmal zu bestreiten.
Raum für Verbesserung
Es ist nicht so, dass die Datenschutzerklärung perfekt ist. Die ACLU kritisierte zum einen den Ausschluss einer Bestimmung in der Wahlinitiative durch den Gesetzesentwurf, die den Menschen das Recht eingeräumt hätte, Unternehmen wegen Verletzung ihrer Datenschutzrechte zu verklagen. Die Vollstreckung bleibt stattdessen dem Generalstaatsanwalt überlassen, es sei denn, es liegt ein Datenverstoß vor. Generalstaatsanwalt Xavier Becerra hat seinerseits in einem Brief letzte Woche seine eigene Liste von Gesetzesänderungen vorgeschlagen, einschließlich der Wiederherstellung der Klagefähigkeit der Menschen.
Als die Gesetzesvorlage fertiggestellt wurde, stimmten alle Seiten einigen Änderungen zu, wie der Klärung der Sprache, die den Schutz der durch klinische Studien und andere gesundheitsbezogene Informationen gesammelten Daten gewährleisten würde. Eine weitere Änderung stellt sicher, dass die von Journalisten gesammelten Informationen geschützt bleiben. Und während der Generalstaatsanwalt nicht alles bekam, was er verlangte, stimmte der Gesetzgeber zu, seinem Amt weitere sechs Monate für die Umsetzung der Durchsetzungsbestimmungen zur Verfügung zu stellen.
Die Electronic Frontier Foundation räumt auch ein, dass das Gesetz substanziellere Arbeit benötigt. Die Organisation möchte die Rechnung so ändern, dass die Verbraucher sich für die Datenerfassung entscheiden können, anstatt sie abzulehnen. Der EFF möchte auch sicherstellen, dass das Gesetz nicht nur für Unternehmen gilt, die Daten kaufen und verkaufen, sondern auch für Daten, die sie frei teilen, manchmal ohne Kosten für beide Parteien. So konnten einige App-Entwickler jahrelang auf Tonnen von Facebook-Benutzerdaten zugreifen.
"Ich war überrascht, dass sie so offensichtlich waren, so früh."
Alastair MacTaggart, Kalifornier für den Datenschutz der Verbraucher
Und doch ist Lee Tien, leitender Anwalt der EFF, der Ansicht, dass es kontraproduktiv ist, wenn die Unternehmensgruppen sich bemühen, so viele Veränderungen innerhalb weniger Monate zu überstehen. "Es wird Streit um die Definition von Verbraucher- und persönlichen Informationen geben, und wir sind bereit, ernsthaft über diese Definitionen zu sprechen", sagt er. "Aber das kann nicht auf verantwortungsbewusste, erwachsene Weise in kurzer Zeit geschehen."
Im Moment sind sich alle Seiten zumindest einig, dass SB-1121 praktisch eine Notlösung ist. Die Tatsache, dass sich große Unternehmen diesmal nicht durchsetzten, signalisiert kaum einen durchschlagenden Sieg für die Privatsphäre. In der Legislaturperiode des nächsten Jahres werden wahrscheinlich neue Gesetzesvorlagen mit noch gravierenderen Änderungen erwartet, die von einflussreichen Branchen vorgeschlagen werden. "Sie haben eine weitere Chance, Erfolg zu haben, und sie werden auf jeden Fall wiederkommen", sagt Baker.
"Einer der Gründe, warum der AB 375 einstimmig verabschiedet wurde, ist, dass jeder wusste, dass es eine Bereinigungsrechnung geben würde, und dass er genügend Zeit hatte, sich für Änderungen einzusetzen", fügt Ross hinzu, der sich im Juni dagegen aussprach, die Wahlinitiative durchzusetzen.
