背景概述
根据 黄金形态通APP 报道，美国证券交易委员会（SEC）于2024年5月16日宣布通过《Regulation S-P》修正案，以现代化和加强管理特定金融机构处理消费者非公开个人信息的规则。此次修正案更新了对经纪交易商（broker-dealers）（包括融资门户）、投资公司（investment companies）、注册投资顾问（registered investment advisers）和过户代理机构（transfer agents）的要求，以应对自2000年SEC最初通过Regulation S-P以来技术扩展使用及相应风险的出现。
关键要点
修正案的核心要求包括：
- 受覆盖机构必须制定、实施和维护书面政策和程序，建立事件响应计划，旨在合理设计以检测、响应和恢复未经授权访问或使用客户信息的事件。
- 响应计划必须包括程序，在有限例外情况下，受覆盖机构需向敏感客户信息已被或合理可能已被未经授权访问或使用的个人提供通知。
- 受覆盖机构必须在意识到涉及未经授权访问或使用客户信息的事件已发生或合理可能已发生后，尽快提供通知，但不得晚于30天。
- 通知必须包括事件详情、被泄露的数据以及受影响个人如何应对泄露以保护自己的信息。
影响解读
该修正案将显著影响受覆盖机构的合规义务。机构需要投入资源开发和维护事件响应计划，并确保在发现数据泄露后30天内通知受影响个人。这有助于提升消费者信息保护水平，但也可能增加机构的运营成本。大型实体有18个月的合规期，小型实体有24个月，提供了适应时间。
关键对比表格
| 实体类型 | 合规期限 |
|---|---|
| 大型实体 | 联邦公报发布后18个月 |
| 小型实体 | 联邦公报发布后24个月 |
未来展望
修正案将在联邦公报发布后60天生效。受覆盖机构需在合规期限内调整其政策和程序，以符合新要求。预计这将推动行业加强数据安全措施，并可能引发更多关于消费者隐私保护的讨论。
编辑总结
SEC通过Regulation S-P修正案，标志着对消费者非公开个人信息保护的进一步强化。受覆盖机构应密切关注合规期限，并适时更新其事件响应计划，以降低数据泄露风险并确保及时通知受影响个人。
常见问题解答
问题：Regulation S-P修正案的主要目标是什么？
回答：修正案旨在现代化和加强管理特定金融机构处理消费者非公开个人信息的规则，以应对技术扩展使用及相应风险。
问题：哪些机构受修正案影响？
回答：经纪交易商（包括融资门户）、投资公司、注册投资顾问和过户代理机构。
问题：修正案要求机构在数据泄露后多长时间内通知个人？
回答：机构必须在意识到事件后尽快通知，但不得晚于30天。
问题：修正案何时生效？
回答：修正案将在联邦公报发布后60天生效。
问题：大型和小型实体的合规期限分别是多久？
回答：大型实体有18个月，小型实体有24个月，均从联邦公报发布之日起算。
