SEC, FTC headline a rise in U.S. privacy and cybersecurity efforts
Authors
Pooja Bhaskar
Christopher M. Caparelli
The past year has been marked by a flurry of data privacy activity in the United States. Recent policy and enforcement initiatives by the Federal Trade Commission (FTC), proposed cybersecurity regulations from the Securities and Exchange Commission (SEC), new state legislation, and developing international data privacy standards make clear that data privacy is a priority for the government—and therefore must be prioritized by businesses.
FTC adopts new policies and steps up enforcement
Recent data privacy policies
2023 so far has seen the FTC address data privacy matters with vigour, issuing a series of policy statements bolstered by several enforcement actions.
In a February 2023 blog post addressing its approach to data privacy, the FTC laid out three practices that market participants should follow to “effectively protect user data”:
- offer multi-factor authentication for consumers and require it for employees;
- require that connections within a company’s systems be both encrypted and authenticated; and
- require companies to develop, publish and adhere to a data retention schedule.
Further, the FTC issued a policy statement in May 2023 outlining the types of practices it considers violations of section 5 of the FTC Act, which governs unfair or deceptive practices nationally, including:
- false or unsubstantiated marketing claims relating to the validity, reliability, accuracy, performance, fairness or efficacy of technologies using biometric information;
- failing to assess foreseeable harms to consumers before collecting biometric information; and
- failing to provide appropriate training for employees and contractors whose job duties involve interacting with biometric information or technologies that use such information.
Recent data privacy enforcement
Recent FTC enforcement actions in the telehealth and home security industries further demonstrate the FTC’s commitment to protecting the privacy of U.S. consumers’ data.
The FTC brought enforcement actions against telehealth service providers GoodRx and BetterHelp for improperly sharing patient health data in violation of the Health Breach Notification Rule, which requires vendors of personal health records to notify the FTC, consumers and, in many cases, the media, of health record data breaches. In settling these cases, the FTC required these companies to obtain users’ affirmative consent before disclosing health information to third parties and implement comprehensive privacy programs to protect their customers’ data.
In the home security industry, the FTC brought an enforcement action against Amazon’s home surveillance product, Ring, for consumer privacy breaches. The breaches impacted at least 55,000 U.S. customers and were largely the result of unchecked employee access to private video recordings of customers’ homes. The FTC’s proposed order, pending approval by a federal court, targets malicious insiders, including restricting access to databases so that only employees on authorized networks can access them.
Through these settlement orders and newly adopted policies, the FTC appears to be providing a roadmap applicable across industries for best practices to mitigate patient and consumer data breaches.
The SEC tackles issuers’ cybersecurity through new proposed rules
The SEC has given greater attention to data privacy matters, by increasing transparency for investors and leveraging its oversight of registered companies to improve cybersecurity.
As we discussed in an April 2022 bulletin, the SEC proposed new rules that, if adopted, would impose significant new cybersecurity-related disclosure obligations on U.S. reporting companies. These rules are expected to be finalized soon.
The SEC’s Fall 2022 Unified Agenda of Regulatory and Deregulatory Actions further articulated cybersecurity agenda items, including to 1) create additional rules addressing registrant cybersecurity risk and related disclosures; 2) amend rules to better inform investors about a registrant’s cybersecurity risk management, strategy and governance as well as to provide timely notification of material cybersecurity incidents; and 3) promulgate rules to enhance fund and investment adviser disclosures and governance relating to cybersecurity risks.
While the proposed SEC rules are not yet final, the pending rule proposals should give U.S. public companies a sense of potential regulatory requirements in the future.
The patchwork of state data privacy legislation continues to grow
An increasing number of states are enacting comprehensive data privacy laws that have introduced a complex weave of potentially overlapping and divergent requirements for companies doing business in the United States.
As noted in our Spring 2022 Torys Quarterly, California, Colorado, Utah and Virginia have already enacted comprehensive data privacy legislation, with California continuing to lead the way in the scope and requirements for companies doing business with its residents. In the past year, several additional states, including Connecticut, Florida and Texas, likewise have adopted comprehensive legislation that generally protects consumer rights, including the right to access, delete, correct and opt out of targeted advertising, sale and certain forms of profiling.
Considering the continued absence of U.S. national data privacy legislation, businesses and individuals alike need to keep a close eye on the rapidly evolving legal environment at the state level.
The EU and the U.S. reach a deal on data transfer
On July 10, 2023, the European Union (EU) formally approved the EU-U.S. Data Privacy Framework, a deal under which the EU recognizes the U.S. as ensuring sufficient protection for Europeans’ personal data under the EU’s General Data Protection Regulation. The agreement paves the way to facilitate the transfer of data between the EU and the U.S. without the need for additional safeguards and approvals.
U.S. businesses will certify compliance with the framework by adopting certain privacy principles with respect to, for example, data collection and retention, and obligations regarding data security and sharing data with third parties.
The FTC will enforce compliance by U.S. businesses, while EU individuals can seek redress in a newly created Data Protection Review Court.
Proactivity is key
While the increasing activity and wide range of international, federal and state approaches to data privacy protection signals positive outcomes for individual consumers, it undoubtedly creates a difficult and ever-changing field to navigate for entities doing business in the U.S. and abroad—ultimately emphasizing for organizations that proactivity will continue to be key to compliance.
Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.
Développement de contre-mesures médicales au Canada
Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.
Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19
Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.
Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada
La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.
Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.
Prochaines étapes
Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.
Tags
Marchés des capitaux
Gouvernance et services-conseils au conseil d’administration
Opérations et transactions
Cybersécurité
Protection des renseignements personnels
Stratégie et gouvernance des données
Services-conseils et réglementation
Protection du consommateur
Technologies
Litige en valeurs mobilières
New York