Quy tắc bảo vệ của FTC yêu cầu các tổ chức tài chính “phi ngân hàng” phải quản lý và lưu trữ thông tin khách hàng của họ một cách an toàn. Yêu cầu này áp dụng cho các tổ chức như nhà môi giới thế chấp, đại lý xe cơ giới và người cho vay ngắn hạn, đòi hỏi phải phát triển, triển khai và duy trì chương trình bảo mật toàn diện để bảo vệ dữ liệu khách hàng.
Cơ quan liên bang gần đây đã công bố một sửa đổi theo Quy tắc bảo vệ đã được phê duyệt trước đó, bắt buộc các tổ chức tài chính phải báo cáo kịp thời mọi vi phạm an ninh mà họ phát hiện trong hệ thống của mình. Theo FTC, các tổ chức được yêu cầu thông báo cho FTC “càng sớm càng tốt”, với khung thời gian tối đa là 30 ngày sau khi phát hiện bất kỳ sự cố bảo mật nào liên quan đến thông tin của 500 người tiêu dùng trở lên.
Thông báo là bắt buộc khi những kẻ độc hại hoặc trái phép có quyền truy cập vào thông tin khách hàng không được mã hóa, như FTC giải thích thêm. Tuy nhiên, yêu cầu này không áp dụng nếu thông tin được mã hóa và tội phạm mạng không có được quyền truy cập vào khóa mã hóa. Quy tắc mới dự kiến sẽ có hiệu lực sau 180 ngày kể từ khi được công bố trong Đăng ký Liên bang và việc thực thi sẽ bắt đầu vào tháng 4 năm 2024.
Sau khi phát hiện vi phạm an ninh, các tổ chức tài chính phi ngân hàng sẽ được yêu cầu gửi thông tin chi tiết liên quan đến FTC bằng cổng thông tin trực tuyến của cơ quan. Một báo cáo vi phạm phù hợp phải bao gồm tên và thông tin liên hệ của tổ chức báo cáo, số lượng người tiêu dùng bị ảnh hưởng, mô tả về dữ liệu bị lộ, ngày lộ và thời gian xảy ra sự cố.
Các tổ chức cũng sẽ có cơ hội thông báo cho FTC nếu việc tiết lộ công khai về vi phạm an ninh có thể cản trở cuộc điều tra hoặc gây ra mối đe dọa cho an ninh quốc gia. Quan chức thực thi pháp luật có thể yêu cầu trì hoãn thêm 60 ngày về việc tiết lộ công khai.
Samuel Levine, Giám đốc Cục Bảo vệ Người tiêu dùng của FTC, nhấn mạnh rằng các công ty được giao phó thông tin tài chính nhạy cảm cần phải minh bạch “nếu thông tin đó bị xâm phạm”. Yêu cầu tiết lộ mới sẽ cung cấp cho các công ty này “sự khuyến khích bổ sung” để bảo vệ thực sự dữ liệu của người tiêu dùng của họ.
FTC đã công bố các quy tắc nâng cao nhằm tăng cường bảo mật dữ liệu vào tháng 10 năm 2021, đồng thời lấy ý kiến công chúng về đề xuất sửa đổi bổ sung đối với các yêu cầu báo cáo vi phạm dữ liệu. Bản sửa đổi mới cuối cùng đã được thông qua với tỷ lệ bỏ phiếu nhất trí 3-0.