• - É proibida a transmissão de informações pessoais para locais onde não exista proteção de dados “equivalente”.

• - Certos dados são demasiado sensíveis para serem armazenados, a menos que existam circunstâncias extremas (por exemplo, orientação sexual, religião).

A directiva contém uma série de princípios fundamentais que os Estados-Membros devem cumprir. Qualquer pessoa que processe dados pessoais deve cumprir os oito princípios de boas práticas aplicáveis.[13]​ Eles indicam que os dados devem ser:.

1. • Processado de forma justa e legal.

2. • Processado para fins limitados.

3. • Adequado, oportuno e não excessivo.

4. • Preciso.

5. • Não guarde mais do que o necessário.

6. • Processado de acordo com os direitos do sujeito.

7. • Claro.

8. • Só pode ser transferido em países com proteção adequada.

Os dados pessoais abrangem factos e opiniões sobre o indivíduo.[13] Isto também inclui informações sobre as intenções do responsável pelo tratamento de dados em relação ao indivíduo, embora em algumas circunstâncias limitadas possam ser aplicadas isenções. Com o processamento, a definição é muito mais ampla do que antes. Por exemplo, incorpora os conceitos de “obtenção”, “posse” e “revelação”[14]​.

Todos os estados da UE adotaram legislação em conformidade com esta diretiva ou adaptaram as suas leis existentes. Cada país também tem os seus próprios supervisores para monitorizar o nível de proteção.[15]​.

Por causa disto, em teoria, a transferência de informações pessoais da UE para os EUA é proibida quando não existe proteção de privacidade equivalente à dos EUA. As empresas americanas que trabalhariam com dados da UE devem cumprir a estrutura do porto seguro. Os princípios básicos dos dados protegidos são coleta limitada, consenso do proprietário, exatidão, integridade, segurança e direito do sujeito de revisão e exclusão. Como resultado, os clientes de organizações internacionais como a Amazon e o eBay na UE têm a capacidade de rever e eliminar informações, enquanto os americanos não o fazem.

Nos Estados Unidos, a filosofia orientadora equivalente é o Código de Práticas de Informação Justa (FTC).

A diferença de linguagem aqui é importante: nos Estados Unidos o debate é sobre privacidade, enquanto na Comunidade Europeia o debate é sobre protecção de dados. A passagem do debate sobre a privacidade para a protecção de dados é vista por alguns filósofos como um mecanismo para avançar no domínio prático sem exigir acordo sobre questões fundamentais sobre a natureza da privacidade.

A França adaptou a sua lei existente “nª 78-17 de 6 de janeiro de 1978 sobre tecnologia da informação, arquivos e liberdades civis”[16]​.

Na Alemanha, o governo federal e os estados promulgaram leis.[17]​.

A Suíça não é membro da União Europeia (UE) ou do Espaço Económico Europeu (EEE), implementou parcialmente a Directiva da UE sobre a protecção de dados pessoais em 2006, consentindo com os acordos STE 108 do Conselho da Europa e uma alteração correspondente à Lei Federal de Protecção de Dados. No entanto, a lei suíça impõe menos restrições ao processamento de dados do que a directiva em vários aspectos.[18]​.

Na Suíça, o direito à privacidade é garantido no artigo 13 da Constituição Federal Suíça. A Lei Federal Suíça de Proteção de Dados (DPA)[19]​ e a Portaria Federal Suíça de Proteção de Dados (DPO) entraram em vigor em 1º de julho de 1993. As últimas alterações à DPA e DPO entraram em vigor em 1º de janeiro de 2008.

A DPA aplica-se ao processamento de dados pessoais por particulares e agências governamentais federais. Ao contrário da legislação de proteção de dados de muitos outros países, a DPA protege os dados pessoais pertencentes a pessoas singulares e coletivas.[20]​.

O Comissário Federal Suíço para Proteção de Dados e Informação, em particular, supervisiona a conformidade das agências governamentais federais com o DPA, presta aconselhamento a particulares sobre proteção de dados, conduz investigações e faz recomendações sobre práticas de proteção de dados.

Alguns arquivos de dados devem ser registrados no Comissário Federal para Proteção de Dados e Informações antes de serem criados. No caso de uma transferência de dados pessoais para fora da Suíça, devem ser cumpridos requisitos especiais e, dependendo das circunstâncias, o Comissário Federal para a Proteção de Dados e Informações deve ser informado antes da transferência ser realizada.[20]​.

A maioria dos cantões suíços promulgou as suas próprias leis de proteção de dados que regulam o processamento de dados pessoais por órgãos cantonais e municipais.

No Reino Unido, a Lei de Proteção de Dados de 1998" (c 29) (Comissário da Informação) implementou a Diretiva da UE sobre a proteção de dados pessoais. Ela substituiu a Lei de Proteção de Dados de 1984" (c 35). Substitui a Lei de Proteção de Dados de 1984 (c 35). O Regulamento Geral de Proteção de Dados de 2016 substituiu as anteriores Leis de Proteção de Dados. A Lei de Proteção de Dados de 2018(c 12) atualizou as leis de triagem de dados no Reino Unido. É uma lei nacional que complementa o Regulamento Geral de Proteção de Dados (GDPR) da União Europeia.

• Uma estação de transmissão.

7. • Um banco.

8. • Uma obra que, embora inteiramente situada numa província, antes ou depois da sua execução, declarada pelo Parlamento como sendo para benefício geral do Canadá ou para benefício de duas ou mais províncias.

9. • Obra, empresa ou negócio fora da legislatura exclusiva das províncias.

10. • Um trabalho, empresa ou negócio ao qual se aplicam leis federais, na acepção da secção 2 da Lei dos Oceanos, aplica-se no âmbito da secção 20 dessa Lei e de qualquer regulamento feito ao abrigo do parágrafo 26(1)(k) dessa Lei.

PIPEDA concede aos indivíduos o direito de:.

1. • Compreender as razões pelas quais as organizações recolhem, utilizam ou divulgam informação pessoal.

2. • Fazer com que as organizações recolham, utilizem ou divulguem informações pessoais de forma razoável e apropriada.

3. • Compreender quem é responsável pela proteção das informações pessoais dos indivíduos na organização.

4. • Garantir que as organizações protejam as informações pessoais de forma razoável e segura.

5. • Garantir que as informações pessoais mantidas pelas organizações sejam precisas, completas e atualizadas.

6. • Ter acesso aos seus dados pessoais e solicitar qualquer correção ou ter o direito de apresentar reclamações às organizações.

PIPEDA exige que as organizações:.

1. • Obtenha consentimento antes de coletar, utilizar e divulgar qualquer informação pessoal.

2. • Coletar informações pessoais de maneira razoável, apropriada e legal.

3. • Estabelecer políticas de informações pessoais que sejam claras, razoáveis ​​e disponíveis para proteger as informações pessoais das pessoas.

Artigo principal: Lei de Privacidade dos Estados Unidos").

A privacidade de dados não é amplamente legislada ou regulamentada nos EUA[23]​. Nos Estados Unidos, o acesso a conteúdos de dados privados, tais como relatórios de crédito de terceiros, pode ser solicitado quando se procura emprego ou cuidados de saúde, ou quando se fazem compras com condições de crédito. Embora existam regulamentações parciais, não existe uma lei abrangente que regule a aquisição, armazenamento ou uso de dados pessoais nos EUA. De um modo geral, nos EUA, qualquer pessoa que tenha problemas para inserir os dados é considerada como tendo o direito de armazenar e usar os dados, mesmo que os dados tenham sido coletados sem permissão, exceto na medida em que sejam regulamentados por leis e regras, como as disposições da Lei Federal de Comunicações e as regras de implementação da Comissão Federal de Comunicações, que regulam o uso de informações de rede de propriedade do cliente "(CPNI). Por exemplo, a Lei de Responsabilidade e Portabilidade de Seguros de Saúde de 1996 (HIPAA), a Lei de Proteção à Privacidade Online das Crianças de 1998 (COPPA) e a Lei de Transações de Crédito Justas e Precisas de 2003 (FACTA) são exemplos de disposições legais federais dos EUA que tendem a promover a eficiência do fluxo de informações.

A Suprema Corte interpretou a Constituição para conceder o direito à privacidade aos indivíduos no caso Griswol v. Connecticut "Griswold (Connecticut)"). No entanto, muito poucos estados reconhecem o direito à privacidade dos indivíduos, especialmente a Califórnia. O direito inalienável à privacidade está consagrado no Artigo 1, Secção 1 da Constituição da Califórnia, e a legislatura da Califórnia promulgou várias leis destinadas a proteger este direito. A Lei de Proteção à Privacidade Online da Califórnia (OPPA) de 2003 exige que os operadores de sites comerciais ou serviços online que coletam informações pessoais de residentes da Califórnia por meio de um site publiquem de forma visível uma política de privacidade no site e cumpram sua política.

Os Princípios Internacionais de Porto Seguro foram desenvolvidos pelo Departamento de Comércio dos Estados Unidos para fornecer um meio para as empresas americanas demonstrarem conformidade com as Diretivas da Comissão Europeia e, assim, simplificar as relações entre elas e as empresas europeias.[24]​.

Recentemente, legisladores de vários estados propuseram leis para mudar a forma como as empresas online lidam com as informações dos usuários. Entre aquelas que geram atenção significativa estão diversas legislações “Do Not Track” e a Lei do Direito de Saber (Projeto de Lei AB 1291 da Califórnia). A Lei do Direito de Saber da Califórnia, se aprovada, exigiria que todas as empresas que continuam a armazenar informações dos usuários fornecessem aos seus usuários uma cópia das informações armazenadas, mediante solicitação.[25] O projeto enfrentou forte oposição de grupos comerciais como Google, Microsoft e Facebook, e não o fez. Foi aprovado.[26]​.

Em 28 de junho de 2018, a legislatura da Califórnia aprovou a AB 375, a Lei de Privacidade do Consumidor da Califórnia de 2018, em vigor a partir de 1º de janeiro de 2020.[27] Se a lei não for alterada antes de entrar em vigor, a Lei de Privacidade do Consumidor da Califórnia, AB. 375 - concede aos residentes da Califórnia uma série de novos direitos, a começar pelo direito de serem informados sobre quais tipos de dados pessoais serão coletados pela empresa e por que são coletados.[28]​.

A Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPPA) foi promulgada pelo Congresso dos EUA em 1996 e também é conhecida como Lei de Portabilidade e Responsabilidade de Seguros de Saúde Kennedy-Kassebaum (HIPPA- Lei Pública 104-191), em vigor em 21 de agosto de 1996. A ideia básica do HIPPA é que um indivíduo que é sujeito de informações de saúde identificáveis ​​​​individualmente deve ter:.

• - Procedimentos estabelecidos para o exercício dos direitos individuais de privacidade das informações de saúde.

• - O uso e divulgação de informações de saúde individuais devem ser autorizados ou exigidos.

Uma dificuldade do HIPPA é que deve haver um mecanismo de autenticação para o paciente que solicita acesso aos seus dados. Como resultado, mecanismos médicos facilitam a obtenção de solicitações de Número de Seguro Social dos pacientes, possivelmente diminuindo a privacidade ao simplificar o processo de correlação de registros de saúde com outros registros. A questão do consentimento é problemática no âmbito da HIPPA, porque os prestadores de serviços médicos simplesmente tornam os cuidados dependentes do acordo com os padrões de privacidade na prática.

O Fair Credit Reporting Act aplica os princípios do Código de Práticas Justas de Relatórios às agências de relatórios de crédito. A FCRA permite que indivíduos optem por não receber ofertas de crédito indesejadas:

• - Equifax (888) 567-8688 Equifax Options, P.O. Caixa 74'123 Atlanta GA 20274-0123.

• - Experian(800) 353-0809 ou (888) 5OPTOUT P.O. Caixa 919, Allen, TX 75013.

• - TransUnion(800) 680-7293 ou (888) 5OPTOUT P.O. Caixa 97328, Jackson MS 39238.

Por causa da Lei de Transações de Crédito Justas e Precisas, todos podem obter um relatório de crédito anual gratuito.

O Fair Credit Reporting Act tem sido eficaz na prevenção da proliferação de diretórios de crédito privados enganosos. Antes de 1970, os diretórios de crédito privado ofereciam informações detalhadas, embora não confiáveis, sobre indivíduos facilmente identificáveis.[29] Antes do Fair Credit Reporting Act, podia ser incluído material obsceno sem fundamento e, de facto, os boatos eram amplamente incluídos nos relatórios de crédito. EPIC tem uma página FCRA. A Consumer Data Industry Association, que representa a indústria de relatórios de consumo, também possui um site com informações da FCRA.

O Fair Credit Reporting Act oferece aos consumidores a capacidade de visualizar, corrigir, responder e limitar o uso de relatórios de crédito. A FCRA também protege a agência de crédito da acusação de liberação negligente em caso de declaração falsa do requerente. As agências de crédito devem perguntar ao requerente a finalidade da divulgação da informação solicitada, mas não devem fazer nenhum esforço para verificar a veracidade das declarações do requerente. Na verdade, os tribunais decidiram que “a lei claramente não fornece uma solução para o uso ilegal ou abusivo de informações do consumidor” (Henry v Forbes, 1976). É amplamente aceito que, para evitar a FCRA, a Equifax criou o ChoicePoint, altura em que a empresa-mãe copiou todos os seus registos para a sua subsidiária recém-criada. ChoicePoint não é uma agência de relatórios de crédito e, portanto, a FCRA não se aplica.[30]​.

A Lei de Práticas Justas de Cobrança de Dívidas limita de forma semelhante a divulgação de informações sobre as transações financeiras de um consumidor. Impede que os credores ou os seus agentes revelem o facto de um indivíduo estar em dívida com terceiros, embora permita que os credores e os seus agentes tentem obter informações sobre a localização do devedor. Limita as ações de quem busca o pagamento de uma dívida. Por exemplo, as agências de cobrança de dívidas estão proibidas de assediar ou contactar pessoas na Lei de Prevenção do Abuso de Falências e Protecção do Consumidor de 2005 (que na verdade eliminou a protecção do consumidor, por exemplo, em caso de falência como resultado de custos médicos) limitou alguns destes controlos sobre os devedores.

A Lei de Privacidade das Comunicações Eletrônicas (ECPA) estabelece penalidades criminais para a interceptação de comunicações eletrônicas. No entanto, a legislação tem sido criticada pela falta de impacto devido a lacunas.

Algumas das leis, regulamentos e diretivas relacionadas com a proteção dos sistemas de informação estão resumidas abaixo:

• - Lei de Relatórios de Crédito Justo dos EUA de 1970").

• - Lei de Organizações Corruptas e Influenciadas por Extorsionistas dos EUA (RICO) de 1970).

• - Lei de Privacidade e Direitos Educacionais da Família de 1974 (FERPA)").

• - Lei de Privacidade dos EUA de 1974").

• - Diretrizes de 1980 da Organização para a Cooperação e o Desenvolvimento Econômico (OCDE)").

• - Lei de Crimes Informáticos Médicos dos EUA de 1984.

• - Lei Federal de Crimes Informáticos dos EUA de 1984 (reforçada em 1986 e 1994).

• - Lei de Fraude e Abuso de Computadores dos EUA de 1986") (alterada em 1986, 1994, 1996 e 2001).

• - Lei de Privacidade de Comunicações Eletrônicas dos EUA (ECPA) de 1986.

• - Lei de Segurança de Computadores dos EUA de 1987") (revogada pela Lei Federal de Gerenciamento de Segurança da Informação de 2002")).

• - Lei de Proteção à Privacidade de Vídeo dos EUA de 1988").

• - Lei de Uso Indevido de Computadores do Reino Unido de 1990").

• - Diretrizes Federais de Penas dos EUA de 1991").

• - 1992 Diretrizes da OCDE de 1992 para servir como uma estrutura de segurança abrangente.

• - Lei de Assistência às Comunicações para Aplicação da Lei de 1994).

• - Diretiva do Conselho de Proteção de Dados de 1995 para a União Europeia (UE).

• - Lei de Proteção de Informações Econômicas e Privadas dos EUA de 1996").

• - Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA) de 1996 (requisito adicionado em dezembro de 2000).

• - Lei de Direitos Autorais do Milênio Digital dos EUA (DMCA) de 1998.

• - Lei Uniforme de Transações de Informações de Computadores dos EUA (UCITA) de 1999).

• - Lei de Assinaturas Eletrônicas do Congresso dos EUA de 2000 na Lei de Comércio Nacional Global ("ESIGN").

• - 2001 Unindo e fortalecendo a América, fornecendo ferramentas apropriadas para restringir, interceptar e obstruir o terrorismo (USA PATRIOT).

• - Lei de Segurança Interna (HSA) de 2002).

• - Lei Federal de Gestão de Segurança da Informação de 2002").

Várias agências federais dos EUA têm estatutos de privacidade que cobrem a coleta e o uso de informações privadas. Estes incluem o Census Bureau, o Internal Revenue Service e o National Center for Educational Statistics (ao abrigo da Lei de Reforma das Ciências da Educação). Além disso, o estatuto do CIPSEA protege a confidencialidade dos dados coletados pelas agências federais de estatística.

• Proteção de dados sensíveis: O projeto estabelece bases jurídicas adicionais para o tratamento de dados pessoais sensíveis e define critérios para maior responsabilidade no seu tratamento.

• Proteção dos dados das crianças: Está prevista uma proteção especial para os dados pessoais das crianças e são estabelecidas regras específicas para salvaguardar a sua informação quando esta é processada nos serviços da sociedade.

[33]​.

A directiva contém uma série de princípios fundamentais que os Estados-Membros devem cumprir. Qualquer pessoa que processe dados pessoais deve cumprir os oito princípios de boas práticas aplicáveis.[13]​ Eles indicam que os dados devem ser:.

1. • Processado de forma justa e legal.

2. • Processado para fins limitados.

3. • Adequado, oportuno e não excessivo.

4. • Preciso.

5. • Não guarde mais do que o necessário.

6. • Processado de acordo com os direitos do sujeito.

7. • Claro.

8. • Só pode ser transferido em países com proteção adequada.

Os dados pessoais abrangem factos e opiniões sobre o indivíduo.[13] Isto também inclui informações sobre as intenções do responsável pelo tratamento de dados em relação ao indivíduo, embora em algumas circunstâncias limitadas possam ser aplicadas isenções. Com o processamento, a definição é muito mais ampla do que antes. Por exemplo, incorpora os conceitos de “obtenção”, “posse” e “revelação”[14]​.

Todos os estados da UE adotaram legislação em conformidade com esta diretiva ou adaptaram as suas leis existentes. Cada país também tem os seus próprios supervisores para monitorizar o nível de proteção.[15]​.

Por causa disto, em teoria, a transferência de informações pessoais da UE para os EUA é proibida quando não existe proteção de privacidade equivalente à dos EUA. As empresas americanas que trabalhariam com dados da UE devem cumprir a estrutura do porto seguro. Os princípios básicos dos dados protegidos são coleta limitada, consenso do proprietário, exatidão, integridade, segurança e direito do sujeito de revisão e exclusão. Como resultado, os clientes de organizações internacionais como a Amazon e o eBay na UE têm a capacidade de rever e eliminar informações, enquanto os americanos não o fazem.

Nos Estados Unidos, a filosofia orientadora equivalente é o Código de Práticas de Informação Justa (FTC).

A diferença de linguagem aqui é importante: nos Estados Unidos o debate é sobre privacidade, enquanto na Comunidade Europeia o debate é sobre protecção de dados. A passagem do debate sobre a privacidade para a protecção de dados é vista por alguns filósofos como um mecanismo para avançar no domínio prático sem exigir acordo sobre questões fundamentais sobre a natureza da privacidade.

A França adaptou a sua lei existente “nª 78-17 de 6 de janeiro de 1978 sobre tecnologia da informação, arquivos e liberdades civis”[16]​.

Na Alemanha, o governo federal e os estados promulgaram leis.[17]​.

A Suíça não é membro da União Europeia (UE) ou do Espaço Económico Europeu (EEE), implementou parcialmente a Directiva da UE sobre a protecção de dados pessoais em 2006, consentindo com os acordos STE 108 do Conselho da Europa e uma alteração correspondente à Lei Federal de Protecção de Dados. No entanto, a lei suíça impõe menos restrições ao processamento de dados do que a directiva em vários aspectos.[18]​.

Na Suíça, o direito à privacidade é garantido no artigo 13 da Constituição Federal Suíça. A Lei Federal Suíça de Proteção de Dados (DPA)[19]​ e a Portaria Federal Suíça de Proteção de Dados (DPO) entraram em vigor em 1º de julho de 1993. As últimas alterações à DPA e DPO entraram em vigor em 1º de janeiro de 2008.

A DPA aplica-se ao processamento de dados pessoais por particulares e agências governamentais federais. Ao contrário da legislação de proteção de dados de muitos outros países, a DPA protege os dados pessoais pertencentes a pessoas singulares e coletivas.[20]​.

O Comissário Federal Suíço para Proteção de Dados e Informação, em particular, supervisiona a conformidade das agências governamentais federais com o DPA, presta aconselhamento a particulares sobre proteção de dados, conduz investigações e faz recomendações sobre práticas de proteção de dados.

Alguns arquivos de dados devem ser registrados no Comissário Federal para Proteção de Dados e Informações antes de serem criados. No caso de uma transferência de dados pessoais para fora da Suíça, devem ser cumpridos requisitos especiais e, dependendo das circunstâncias, o Comissário Federal para a Proteção de Dados e Informações deve ser informado antes da transferência ser realizada.[20]​.

A maioria dos cantões suíços promulgou as suas próprias leis de proteção de dados que regulam o processamento de dados pessoais por órgãos cantonais e municipais.

No Reino Unido, a Lei de Proteção de Dados de 1998" (c 29) (Comissário da Informação) implementou a Diretiva da UE sobre a proteção de dados pessoais. Ela substituiu a Lei de Proteção de Dados de 1984" (c 35). Substitui a Lei de Proteção de Dados de 1984 (c 35). O Regulamento Geral de Proteção de Dados de 2016 substituiu as anteriores Leis de Proteção de Dados. A Lei de Proteção de Dados de 2018(c 12) atualizou as leis de triagem de dados no Reino Unido. É uma lei nacional que complementa o Regulamento Geral de Proteção de Dados (GDPR) da União Europeia.

• Uma estação de transmissão.

7. • Um banco.

8. • Uma obra que, embora inteiramente situada numa província, antes ou depois da sua execução, declarada pelo Parlamento como sendo para benefício geral do Canadá ou para benefício de duas ou mais províncias.

9. • Obra, empresa ou negócio fora da legislatura exclusiva das províncias.

10. • Um trabalho, empresa ou negócio ao qual se aplicam leis federais, na acepção da secção 2 da Lei dos Oceanos, aplica-se no âmbito da secção 20 dessa Lei e de qualquer regulamento feito ao abrigo do parágrafo 26(1)(k) dessa Lei.

PIPEDA concede aos indivíduos o direito de:.

1. • Compreender as razões pelas quais as organizações recolhem, utilizam ou divulgam informação pessoal.

2. • Fazer com que as organizações recolham, utilizem ou divulguem informações pessoais de forma razoável e apropriada.

3. • Compreender quem é responsável pela proteção das informações pessoais dos indivíduos na organização.

4. • Garantir que as organizações protejam as informações pessoais de forma razoável e segura.

5. • Garantir que as informações pessoais mantidas pelas organizações sejam precisas, completas e atualizadas.

6. • Ter acesso aos seus dados pessoais e solicitar qualquer correção ou ter o direito de apresentar reclamações às organizações.

PIPEDA exige que as organizações:.

1. • Obtenha consentimento antes de coletar, utilizar e divulgar qualquer informação pessoal.

2. • Coletar informações pessoais de maneira razoável, apropriada e legal.

3. • Estabelecer políticas de informações pessoais que sejam claras, razoáveis ​​e disponíveis para proteger as informações pessoais das pessoas.

Artigo principal: Lei de Privacidade dos Estados Unidos").

A privacidade de dados não é amplamente legislada ou regulamentada nos EUA[23]​. Nos Estados Unidos, o acesso a conteúdos de dados privados, tais como relatórios de crédito de terceiros, pode ser solicitado quando se procura emprego ou cuidados de saúde, ou quando se fazem compras com condições de crédito. Embora existam regulamentações parciais, não existe uma lei abrangente que regule a aquisição, armazenamento ou uso de dados pessoais nos EUA. De um modo geral, nos EUA, qualquer pessoa que tenha problemas para inserir os dados é considerada como tendo o direito de armazenar e usar os dados, mesmo que os dados tenham sido coletados sem permissão, exceto na medida em que sejam regulamentados por leis e regras, como as disposições da Lei Federal de Comunicações e as regras de implementação da Comissão Federal de Comunicações, que regulam o uso de informações de rede de propriedade do cliente "(CPNI). Por exemplo, a Lei de Responsabilidade e Portabilidade de Seguros de Saúde de 1996 (HIPAA), a Lei de Proteção à Privacidade Online das Crianças de 1998 (COPPA) e a Lei de Transações de Crédito Justas e Precisas de 2003 (FACTA) são exemplos de disposições legais federais dos EUA que tendem a promover a eficiência do fluxo de informações.

A Suprema Corte interpretou a Constituição para conceder o direito à privacidade aos indivíduos no caso Griswol v. Connecticut "Griswold (Connecticut)"). No entanto, muito poucos estados reconhecem o direito à privacidade dos indivíduos, especialmente a Califórnia. O direito inalienável à privacidade está consagrado no Artigo 1, Secção 1 da Constituição da Califórnia, e a legislatura da Califórnia promulgou várias leis destinadas a proteger este direito. A Lei de Proteção à Privacidade Online da Califórnia (OPPA) de 2003 exige que os operadores de sites comerciais ou serviços online que coletam informações pessoais de residentes da Califórnia por meio de um site publiquem de forma visível uma política de privacidade no site e cumpram sua política.

Os Princípios Internacionais de Porto Seguro foram desenvolvidos pelo Departamento de Comércio dos Estados Unidos para fornecer um meio para as empresas americanas demonstrarem conformidade com as Diretivas da Comissão Europeia e, assim, simplificar as relações entre elas e as empresas europeias.[24]​.

Recentemente, legisladores de vários estados propuseram leis para mudar a forma como as empresas online lidam com as informações dos usuários. Entre aquelas que geram atenção significativa estão diversas legislações “Do Not Track” e a Lei do Direito de Saber (Projeto de Lei AB 1291 da Califórnia). A Lei do Direito de Saber da Califórnia, se aprovada, exigiria que todas as empresas que continuam a armazenar informações dos usuários fornecessem aos seus usuários uma cópia das informações armazenadas, mediante solicitação.[25] O projeto enfrentou forte oposição de grupos comerciais como Google, Microsoft e Facebook, e não o fez. Foi aprovado.[26]​.

Em 28 de junho de 2018, a legislatura da Califórnia aprovou a AB 375, a Lei de Privacidade do Consumidor da Califórnia de 2018, em vigor a partir de 1º de janeiro de 2020.[27] Se a lei não for alterada antes de entrar em vigor, a Lei de Privacidade do Consumidor da Califórnia, AB. 375 - concede aos residentes da Califórnia uma série de novos direitos, a começar pelo direito de serem informados sobre quais tipos de dados pessoais serão coletados pela empresa e por que são coletados.[28]​.

A Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPPA) foi promulgada pelo Congresso dos EUA em 1996 e também é conhecida como Lei de Portabilidade e Responsabilidade de Seguros de Saúde Kennedy-Kassebaum (HIPPA- Lei Pública 104-191), em vigor em 21 de agosto de 1996. A ideia básica do HIPPA é que um indivíduo que é sujeito de informações de saúde identificáveis ​​​​individualmente deve ter:.

• - Procedimentos estabelecidos para o exercício dos direitos individuais de privacidade das informações de saúde.

• - O uso e divulgação de informações de saúde individuais devem ser autorizados ou exigidos.

Uma dificuldade do HIPPA é que deve haver um mecanismo de autenticação para o paciente que solicita acesso aos seus dados. Como resultado, mecanismos médicos facilitam a obtenção de solicitações de Número de Seguro Social dos pacientes, possivelmente diminuindo a privacidade ao simplificar o processo de correlação de registros de saúde com outros registros. A questão do consentimento é problemática no âmbito da HIPPA, porque os prestadores de serviços médicos simplesmente tornam os cuidados dependentes do acordo com os padrões de privacidade na prática.

O Fair Credit Reporting Act aplica os princípios do Código de Práticas Justas de Relatórios às agências de relatórios de crédito. A FCRA permite que indivíduos optem por não receber ofertas de crédito indesejadas:

• - Equifax (888) 567-8688 Equifax Options, P.O. Caixa 74'123 Atlanta GA 20274-0123.

• - Experian(800) 353-0809 ou (888) 5OPTOUT P.O. Caixa 919, Allen, TX 75013.

• - TransUnion(800) 680-7293 ou (888) 5OPTOUT P.O. Caixa 97328, Jackson MS 39238.

Por causa da Lei de Transações de Crédito Justas e Precisas, todos podem obter um relatório de crédito anual gratuito.

O Fair Credit Reporting Act tem sido eficaz na prevenção da proliferação de diretórios de crédito privados enganosos. Antes de 1970, os diretórios de crédito privado ofereciam informações detalhadas, embora não confiáveis, sobre indivíduos facilmente identificáveis.[29] Antes do Fair Credit Reporting Act, podia ser incluído material obsceno sem fundamento e, de facto, os boatos eram amplamente incluídos nos relatórios de crédito. EPIC tem uma página FCRA. A Consumer Data Industry Association, que representa a indústria de relatórios de consumo, também possui um site com informações da FCRA.

O Fair Credit Reporting Act oferece aos consumidores a capacidade de visualizar, corrigir, responder e limitar o uso de relatórios de crédito. A FCRA também protege a agência de crédito da acusação de liberação negligente em caso de declaração falsa do requerente. As agências de crédito devem perguntar ao requerente a finalidade da divulgação da informação solicitada, mas não devem fazer nenhum esforço para verificar a veracidade das declarações do requerente. Na verdade, os tribunais decidiram que “a lei claramente não fornece uma solução para o uso ilegal ou abusivo de informações do consumidor” (Henry v Forbes, 1976). É amplamente aceito que, para evitar a FCRA, a Equifax criou o ChoicePoint, altura em que a empresa-mãe copiou todos os seus registos para a sua subsidiária recém-criada. ChoicePoint não é uma agência de relatórios de crédito e, portanto, a FCRA não se aplica.[30]​.

A Lei de Práticas Justas de Cobrança de Dívidas limita de forma semelhante a divulgação de informações sobre as transações financeiras de um consumidor. Impede que os credores ou os seus agentes revelem o facto de um indivíduo estar em dívida com terceiros, embora permita que os credores e os seus agentes tentem obter informações sobre a localização do devedor. Limita as ações de quem busca o pagamento de uma dívida. Por exemplo, as agências de cobrança de dívidas estão proibidas de assediar ou contactar pessoas na Lei de Prevenção do Abuso de Falências e Protecção do Consumidor de 2005 (que na verdade eliminou a protecção do consumidor, por exemplo, em caso de falência como resultado de custos médicos) limitou alguns destes controlos sobre os devedores.

A Lei de Privacidade das Comunicações Eletrônicas (ECPA) estabelece penalidades criminais para a interceptação de comunicações eletrônicas. No entanto, a legislação tem sido criticada pela falta de impacto devido a lacunas.

Algumas das leis, regulamentos e diretivas relacionadas com a proteção dos sistemas de informação estão resumidas abaixo:

• - Lei de Relatórios de Crédito Justo dos EUA de 1970").

• - Lei de Organizações Corruptas e Influenciadas por Extorsionistas dos EUA (RICO) de 1970).

• - Lei de Privacidade e Direitos Educacionais da Família de 1974 (FERPA)").

• - Lei de Privacidade dos EUA de 1974").

• - Diretrizes de 1980 da Organização para a Cooperação e o Desenvolvimento Econômico (OCDE)").

• - Lei de Crimes Informáticos Médicos dos EUA de 1984.

• - Lei Federal de Crimes Informáticos dos EUA de 1984 (reforçada em 1986 e 1994).

• - Lei de Fraude e Abuso de Computadores dos EUA de 1986") (alterada em 1986, 1994, 1996 e 2001).

• - Lei de Privacidade de Comunicações Eletrônicas dos EUA (ECPA) de 1986.

• - Lei de Segurança de Computadores dos EUA de 1987") (revogada pela Lei Federal de Gerenciamento de Segurança da Informação de 2002")).

• - Lei de Proteção à Privacidade de Vídeo dos EUA de 1988").

• - Lei de Uso Indevido de Computadores do Reino Unido de 1990").

• - Diretrizes Federais de Penas dos EUA de 1991").

• - 1992 Diretrizes da OCDE de 1992 para servir como uma estrutura de segurança abrangente.

• - Lei de Assistência às Comunicações para Aplicação da Lei de 1994).

• - Diretiva do Conselho de Proteção de Dados de 1995 para a União Europeia (UE).

• - Lei de Proteção de Informações Econômicas e Privadas dos EUA de 1996").

• - Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA) de 1996 (requisito adicionado em dezembro de 2000).

• - Lei de Direitos Autorais do Milênio Digital dos EUA (DMCA) de 1998.

• - Lei Uniforme de Transações de Informações de Computadores dos EUA (UCITA) de 1999).

• - Lei de Assinaturas Eletrônicas do Congresso dos EUA de 2000 na Lei de Comércio Nacional Global ("ESIGN").

• - 2001 Unindo e fortalecendo a América, fornecendo ferramentas apropriadas para restringir, interceptar e obstruir o terrorismo (USA PATRIOT).

• - Lei de Segurança Interna (HSA) de 2002).

• - Lei Federal de Gestão de Segurança da Informação de 2002").

Várias agências federais dos EUA têm estatutos de privacidade que cobrem a coleta e o uso de informações privadas. Estes incluem o Census Bureau, o Internal Revenue Service e o National Center for Educational Statistics (ao abrigo da Lei de Reforma das Ciências da Educação). Além disso, o estatuto do CIPSEA protege a confidencialidade dos dados coletados pelas agências federais de estatística.

• Proteção de dados sensíveis: O projeto estabelece bases jurídicas adicionais para o tratamento de dados pessoais sensíveis e define critérios para maior responsabilidade no seu tratamento.

• Proteção dos dados das crianças: Está prevista uma proteção especial para os dados pessoais das crianças e são estabelecidas regras específicas para salvaguardar a sua informação quando esta é processada nos serviços da sociedade.

[33]​.