April 7, 2025
Rep. Brett Guthrie (KY-02), Chairman
Rep. John Joyce, Vice Chairman
House Committee on Energy and Commerce
Rayburn House Office Building, 2125,
Washington, DC 20515
Response to the Request for Information for a Data Privacy and Security Framework
La Centre de choix des consommateurs is an independent, non-partisan consumer advocacy group championing the benefits of freedom of choice, innovation, and abundance in everyday life. We champion smart policies that are fit for growth, promote lifestyle choice, and defend technological innovation.
Herein, we will offer our comments on a future data privacy and security, albeit from a consumer-focused perspective.
The APRA
The previous attempt at comprehensive privacy legislation, the Loi américaine sur le droit à la vie privée, was flawed for several reasons.
While this privacy bill addressed important principles, such as exigeant la transparence des données collectées, la possibilité pour les consommateurs d'avoir accès portable à leurs informations, et les mécanismes pour punir les mauvais acteurs, it went too far in granting government agencies power over private contracts and business models while exempting any agency from those same privacy rules.
The particular provision creating a new droit d'action privé, unheard of in any other global privacy bill, inevitably would have created a quagmire that would litter our justice system with bogus and outrageous claims, all the while empowering politically connected trial attorneys who stand the most to gain. This would only further increase the $500 billion “lawfare liability” tax on our economy. This ultimately would have degraded the quality and raised the prices of goods and services that consumers depend on and would do nothing to safeguard user privacy.
OUR RECOMMENDATIONS:
- Championne de l'innovation
- Défendre la portabilité
- Autoriser l'interopérabilité
- Adoptez la neutralité technologique
- Éviter la législation disparate
- Promouvoir et autoriser un cryptage fort
CE QU'IL FAUT ÉVITER
En Californie, la Loi sur la confidentialité des consommateurs de 2018 exige que les entreprises calculent la valeur des données individuelles, offrent des options de non-participation, obligent les entreprises à informer les consommateurs si leurs données sont vendues, permettent aux consommateurs de demander la suppression des données (droit à l'oubli) et permettent aux consommateurs d'accéder aux données collectées par lesdites entreprises dans des formats lisibles.
La loi sur la protection de la vie privée du Vermont oblige les entreprises à informer directement les consommateurs des violations de données et interdit également certaines formes de publicité ciblée, en particulier lorsqu'il s'agit d'étudiants.
Ces deux lois contiennent des éléments du RGPD de l'UE, qui est maintenant en vigueur depuis près de 3 ans. Comme ce fut c'est noté selon plusieurs analystes, les énormes coûts et efforts de mise en conformité ont entraîné une réduction significative des investissements et de l'activité du marché des petites et moyennes entreprises liées aux données. De plus, les utilisateurs européens ont depuis été coupés ou empêchés d'utiliser de nombreux services en dehors de la juridiction de l'UE, car les entreprises sont éviter de se heurter de la réglementation stricte. Cela s'est traduit par une diminution du nombre de produits et de services accessibles aux citoyens européens.
Ces précédentes tentatives de lois sur la confidentialité sont défectueuses pour les raisons suivantes :
Première, de nombreuses parties de ces lois entravent et empêchent l'innovation. En rendant plus difficile et plus coûteuse pour les entreprises le traitement des données sur les consommateurs, les entreprises sont moins incitées à investir des ressources dans des services et des offres innovants pour les consommateurs, ce qui réduit le choix des consommateurs et accroît la barrière à l'entrée pour les nouveaux concurrents.
Deuxième, at least in the cases of Vermont and California, these laws create a patchwork of regulation that makes compliance difficult or nearly impossible for firms operating in both the national and global marketplace, thereby driving up
costs and depriving consumers of these firms’ services irrespective of which state they reside in. A national law or widely adopted (and ideally global) industry self-regulation, which protects consumer privacy and also champions innovation, would be preferred.
Troisième, calculer la valeur des données pour chaque client de l'entreprise et détailler chaque aspect de la façon dont ces données sont utilisées est presque impossible, ce qui augmente considérablement les coûts des services qui seront inévitablement répercutés sur les consommateurs.
Quatrième, these laws do not take into consideration existing business practices that already provide adequate consumer and data protection, and have thus been used as industry standards. They also thwart innovation practices such as targeted advertising, geo-targeting, and personalization, which consumers prefer.
Dernier, chacune de ces lois sur la protection de la vie privée enhardit davantage les litiges, déclenchant de nouvelles poursuites et procès qui serviraient à augmenter considérablement le coût des produits et services de consommation normaux.
CHAMPION DE L'INNOVATION
Considérant que des milliers d'entreprises ont à la fois protégé et utilisé les données des consommateurs de manière responsable, les législateurs devraient chercher à créer des règles claires et uniformes qui respectent les normes actuelles, permettent l'innovation et apportent de la clarté aux entreprises et aux consommateurs. Les règles de confidentialité qui imposent un fardeau excessif aux entreprises qui respectent la loi, plutôt que de cibler les exemples les plus flagrants de violations de données et d'irrégularités, finiront par augmenter le coût des affaires et donc les prix pour les consommateurs.
Il devrait être reconnu que les consommateurs donnent volontairement des données aux entreprises afin de recevoir un service final ou un bien qui leur sera utile. Tant que les procédures appropriées sont suivies et qu'aucune donnée n'est divulguée ou ne change de mains sans autorisation, il ne devrait pas y avoir d'exigences réglementaires supplémentaires qui compliqueraient la relation volontaire d'un consommateur avec une entreprise.
DÉFENDEZ LA PORTABILITÉ
Consumer-friendly data portability should be a reasonable standard applied to most firms that complete data transactions. Most of today’s firms allow personal data to be exported for review, but should also remain confidential and secure to avoid potential exploitation. If portability standards are kept too lax, this would be an
invitation to hackers and pirates looking to profit from identity or intellectual property theft.
Compte tenu de la rapidité avec laquelle cet environnement évolue, les normes de l'industrie pourraient être un moyen plus agile d'appliquer la portabilité par rapport à la réglementation.
PERMETTRE L'INTEROPÉRABILITÉ
Si nécessaire, les entreprises devraient être incitées à maintenir des normes de données ouvertes pouvant être utilisées entre les plates-formes si nécessaire. Cependant, compte tenu de la nature évolutive des structures et des normes de données, les législateurs devraient éviter de privilégier une méthode particulière de collecte ou d'exportation de données, que ce soit JSON, HTML ou autre.
Au contraire, un principe général de « neutralité technologique» permettrait aux meilleures normes d'évoluer naturellement plutôt que d'être arbitrairement déterminées par les organismes de réglementation. L'application des normes d'interopérabilité serait donc acceptée par les entreprises manipulant des données, et pas nécessairement déterminée par la loi. Les consommateurs devraient finalement décider s'ils veulent un service ou un produit qui permet l'interopérabilité ou non. La large acceptation des applications et des normes telles que Apple CarPlay montre que la plupart des entreprises favorisent de telles normes qui permettent aux consommateurs de bénéficier en « se branchant ».
ADOPTER LA NEUTRALITÉ TECHNOLOGIQUE
Étant donné que les normes et les technologies évoluent si rapidement, les législateurs doivent éviter toute législation qui favorise une méthode ou une technologie particulière dans les règles de confidentialité des données. L'application d'une règle uniforme sur le format ou le processus de la technologie servirait à limiter la quantité d'innovation et d'évolution naturelle qui définit actuellement notre secteur technologique existant.
Dans tous les cas, la législation devrait englober et encourager la concurrence et les préférences des consommateurs pour déterminer la meilleure technologie. La technologie évolue trop rapidement et trop de réglementation pourrait empêcher les nouvelles technologies et normes d'émerger aussi vite qu'elles le pourraient dans un cadre plus flexible.
ÉVITEZ LA LÉGISLATION EN PATCHWORK
Due to the ever-growing consumer base across both state lines and international borders, state-by-state regulations that would impose different rules on different
residents should be avoided. This patchwork of legislation would increase the cost of delivering services in an efficient manner, and would likely stunt the availability of various products or services to consumers in various jurisdictions. As such, a broad and agile uniform standard should be agreed to at the federal level, rather than individual states or municipalities.
PROTECT AND ALLOW STRONG ENCRYPTION
L'utilisation du cryptage par les particuliers et les entreprises est essentielle à nos droits numériques en ligne. De nombreuses propositions législatives depuis les années 1990 ont tenté d'interdire les méthodes cryptographiques de sécurisation et de cryptage des données. La plupart de ces propositions ont été justifiées par des raisons de sécurité nationale et d'application de la loi. Cela dit, les lois existantes sur les mandats judiciaires et les protections du quatrième amendement s'appliquent aux entreprises, et il n'y a aucune raison de croire qu'une interdiction du cryptage rendrait cela plus facile ou plus productif.
Les législateurs devraient reconnaître le droit des citoyens de crypter et de protéger les informations et devraient étendre cela aux méthodes de cryptage exclusives que les entreprises et les entreprises utilisent pour servir leurs clients. La protection des droits au cryptage est une méthode sûre et efficace pour garantir le respect de la confidentialité des consommateurs et des données, qu'il s'agisse de données médicales, d'informations personnellement identifiables ou de données financières.
CONCLUSION
As we have outlined, there are examples of existing laws on data and consumer privacy that go far beyond the scope of consumer protection. Often, these laws serve to thwart innovation and slow down the progress that firms and companies can deliver to their customers.
What’s more, a regulatory approach that is far too restrictive or cumbersome will serve large incumbent players that can afford the additional costs while locking out start-ups and new competitors.
While we cheer the focus on data and privacy framework that would benefit consumers, we hope these recommendations are taken into account.