Les problèmes d’IA et de cybersécurité devraient dominer le paysage de la confidentialité en 2022 | JD Supra

Meghan Stoppel, qui a passé plus d’une décennie en tant que procureure générale adjointe, puis chef de la protection des consommateurs, auprès des procureurs généraux des États démocrates et républicains, s’entretient avec Andy Baer, ​​président de la pratique de la technologie, de la confidentialité et de la sécurité des données de Cozen O’Connor, sur la façon dont les AG des États pèsent à la fois sur la politique et l’application en matière de confidentialité.

Andy: Meghan, le paysage législatif de l’État sur la protection de la vie privée évolue rapidement, comme vous l’avez expliqué dans votre récent article de WestLaw. Quels autres sujets « chauds » en matière de confidentialité ont attiré l’attention des AG des États en 2021 ? Comment cela pourrait-il affecter leurs priorités en 2022 ? Y a-t-il des plats à emporter pour le milieu des affaires?

Mégan : Nul doute que 2021 a été une année révélatrice. Nous avons vu des AG d’État exprimer publiquement leur inquiétude, dans plusieurs forums, au sujet des algorithmes et du potentiel de discrimination fondée sur les préjugés dans la prise de décision automatisée. Un certain nombre d’AG ont appelé à la fois à la coopération et à une transparence accrue de la part du monde des affaires, tandis que le procureur général de DC a présenté sa propre législation fin 2021 pour interdire la «discrimination algorithmique». Et bien que les AG n’aient annoncé aucune mesure d’exécution formelle dans ce domaine en 2021, je ne serais pas surpris si des enquêtes étaient déjà en cours. Les entreprises qui s’appuient sur des algorithmes pour prendre des décisions automatisées doivent être conscientes de l’attention accrue des AG dans ce domaine, en particulier en ce qui concerne les produits et services essentiels tels que le logement et les produits financiers (par exemple, le crédit).

2021 a également été une année remarquable pour les ransomwares et la cybersécurité, un fait qui n’a pas échappé aux AG. Nous avons vu la California AG émettre un rappel pour les établissements de santé et les prestataires en août, décrivant les mesures minimales que ces entités doivent prendre pour protéger les données des patients contre les attaques potentielles. Puis, au début de cette année, New York a annoncé les conclusions de son enquête de 2021 sur le « credential stuffing ». Parallèlement à un communiqué de presse, l’AG a publié des conseils pour les entreprises sur la façon de se protéger contre le credential stuffing – un vecteur d’attaque courant utilisé en ligne. Bien que ces documents soient certainement utiles, la leçon la plus importante pour les entreprises est la suivante : « Ignorez ce conseil à vos risques et périls ». Les entreprises risquent non seulement de faire l’objet d’une attaque en ne mettant pas en œuvre les mesures de protection recommandées, mais elles risquent également d’être la cible d’une mesure d’exécution de l’AG.

Enfin, nous savons d’après les poursuites parallèles intentées contre Google en janvier que la localisation est sur le radar de plusieurs AG d’État depuis au moins 2018. À l’heure actuelle, les poursuites ne concernent que quatre AG de DC, Indiana, Texas et Washington, mais le La nature bipartite de cette coalition indique une préoccupation importante au sein de la communauté des AG de l’État concernant le suivi de la localisation, en général, et les divulgations connexes faites aux consommateurs. Nous suivrons ce litige de près car les AG ont également allégué diverses violations de la protection des consommateurs liées à l’utilisation par Google de « modèles sombres » – ou des astuces de conception prétendument utilisées pour contourner ou manipuler les choix des consommateurs. Nous avons vu la FTC exprimer ses préoccupations concernant les modèles sombres en 2021, et je pense que nous continuerons à voir les AG des États (et la FTC) se concentrer sur cette question en 2022. Dans la mesure où les modèles sombres sont prétendument utilisés pour influencer le consentement des consommateurs concernant la collection et l’utilisation des informations personnelles, ces types de cas renforceront certainement les appels des procureurs généraux des États en faveur d’une législation solide sur la protection de la vie privée au niveau de l’État.

Andy: Avec plus de lois d’État sur les livres, comment les AG des États continueront-ils à façonner le débat à Washington DC sur la législation fédérale sur la protection de la vie privée ? Lorsque la FTC initiera l’élaboration de règles sur ce sujet, devrions-nous nous attendre à entendre les AG ?

Mégane: Avec les mi-mandats de 2022 qui approchent rapidement et le peu de consensus sur les propositions existantes en matière de confidentialité à DC, je pense que peu de défenseurs de la vie privée gardent espoir d’un mouvement cette année sur la législation fédérale. Mais dans tout débat fédéral, les AG des États continueront d’être des opposants virulents à toute proposition qui sape leur capacité à protéger les consommateurs, y compris tout langage qui prétend anticiper les lois d’État existantes et plus expansives – une objection que les AG des États ont déposée à plusieurs reprises auprès du Congrès. depuis au moins 2005. Dans une lettre de juillet 2015 concernant la législation fédérale sur la notification des violations, par exemple, 47 procureurs généraux des États ont déclaré au Congrès que « toute protection supplémentaire offerte aux consommateurs par une loi fédérale ne doit pas diminuer le rôle important que les États jouent déjà dans la protection des consommateurs ».[.]”

En fait, à mesure que de plus en plus d’États promulguent des lois de plus en plus complètes régissant la collecte et l’utilisation des données des consommateurs, je pense qu’il sera de plus en plus difficile pour le Congrès d’adopter une législation qui anticipe ces lois – malgré le fait que la simple existence de ces lois donne apparemment aux entreprises un meilleur argument concernant la nécessité d’une loi fédérale sur la protection de la vie privée.

Au contraire, plus le Congrès met de temps à agir sur cette question, plus les AG des États ont de temps pour démontrer leur propre efficacité et leur expertise dans ce domaine. Alors que les lois de Virginie, du Colorado et de l’Utah entrent en vigueur en 2023, et que la Californie continue d’appliquer sa Consumer Privacy Act, je m’attends à ce que les AG fassent une publicité agressive à la fois de leur matériel éducatif et de leurs efforts d’application – ne serait-ce que pour démontrer aux décideurs nationaux et à DC que les États sont bien placés pour répondre aux préoccupations des consommateurs en matière de confidentialité.

Ce sera certainement l’essentiel de tous les commentaires que les AG des États déposeront auprès de la Federal Trade Commission lors de l’élaboration imminente de règles par l’agence « pour freiner les pratiques de sécurité laxistes » et autrement « limiter les atteintes à la vie privée ». [1] Bien que la FTC n’ait pas encore publié les règles proposées sur ces sujets, les AG des États interviendront très probablement – à la fois pour soutenir toute règle, mais aussi pour rappeler à la FTC que les États sont particulièrement bien placés pour détecter et répondre aux préoccupations émergentes en matière de confidentialité par le biais de leur autorité de protection des consommateurs existante et de leurs propres lois nationales sur la confidentialité. Les AG ont fait des affirmations similaires dans un commentaire déposé auprès de la FTC aussi récemment qu’en 2018, à la suite de l’annonce par l’agence qu’elle tiendrait des audiences publiques sur « la concurrence et la protection des consommateurs au 21 ».^St Siècle. » J’étais le chef de la protection des consommateurs dans le Nebraska (un État qui a rejoint la lettre de commentaires) à l’époque et dans la lettre, les AG ont noté leur « expertise significative dans les lois et réglementations étatiques et fédérales sur la confidentialité » datant des années 1990.

Andy: Merci, Meghan, d’avoir partagé vos idées avec les lecteurs de Cyber ​​Law Monitor. C’était super de parler avec vous.

[1] https://www.reginfo.gov/public/do/eAgendaViewRule?pubId=202110&RIN=3084-AB69 et https://roar-assets-auto.rbl.ms/documents/13216/wanted%20the%20agency%20to% 20considérer.pdf