✨ Guía definitiva sobre las leyes de protección de datos de privacidad en EE. UU. 2024: Mantente seguro con Veriff

1. Visión general del panorama de privacidad en EE. UU.

Durante años, la protección de datos en Estados Unidos se basó en un enfoque sectorial. Esto significaba que las regulaciones de privacidad de datos en EE. UU. solo se aplicaban a industrias específicas. Existía (y todavía existe) la Ley de Portabilidad y Responsabilidad de Seguro de Salud (HIPAA) para regular el procesamiento de información de salud protegida por entidades cubiertas y asociados comerciales; en la industria de servicios financieros, los consumidores recibían cierta protección de privacidad bajo la Ley de Informe de Crédito Justo (FCRA) o la Ley Gramm-Leach-Bliley; y también hay leyes para regular la privacidad en la educación, telecomunicaciones y marketing, así como la privacidad en el lugar de trabajo. Sin embargo, ninguna de estas leyes proporciona protección integral al individuo.

Recientemente, la protección de datos en EE. UU. dio un giro interesante. En 2018, se firmó la Ley de Privacidad del Consumidor de California (CCPA). Entró en vigencia el 1 de enero de 2020 y fue la primera ley integral de privacidad de datos en Estados Unidos. Da a los consumidores mucho más control sobre su información personal que cualquiera de las leyes de privacidad anteriores. La Ley de Privacidad del Consumidor de California (CCPA) protege a los consumidores a otro nivel, sirviendo de ejemplo para otros estados. De repente, los consumidores podían preguntar sobre qué datos personales se estaban recopilando sobre ellos, recibir información sobre divulgaciones de datos, decir "no" a la venta de sus datos personales, o incluso solicitar que se eliminara su información personal, independientemente de la industria del negocio.

Tomó un tiempo para que otros estados siguieran su ejemplo. Pero hoy, aunque California sigue siendo de lejos la más estricta de las leyes estatales de protección de datos, hay varias leyes de protección de datos y privacidad a nivel estatal que otorgan protecciones igualmente amplias a los consumidores en otros estados también.

Con la Ley de Derechos de Privacidad Americana (APRA) en el horizonte, solo el tiempo dirá si algún día también habrá una "Reglamento General de Protección de Datos de Estados Unidos" (sí, una comparación directa, torpe con el GDPR europeo).

Mientras tanto, vamos a sumergirnos en la visión general de las leyes de protección de datos y privacidad promulgadas por varios estados de EE. UU.

2. Mirada profunda a las leyes de protección de datos y privacidad de los estados de EE. UU.

Es esencial reconocer que el panorama de privacidad de EE. UU. está en constante cambio. Por lo tanto, no podemos prometer una visión general exhaustiva de todas las leyes de protección de datos del consumidor a nivel estatal. Sin embargo, hemos preparado una lista de los actos legales más relevantes que están moldeando el panorama de privacidad en 2024. Ofrecemos información sobre las disposiciones clave de cada ley y cómo impactan a las empresas. Así que, aquí está la lista de las disposiciones clave de las leyes de protección de datos y privacidad en EE. UU. que ya están en vigor o están entrando en vigor en 2024:

California

• Acto: Ley de Privacidad del Consumidor de California de 2018 (CCPA) y su enmienda Ley de Derechos de Privacidad de California (CPRA).
• Fecha de entrada en vigor: 1 de enero de 2023 (para enmiendas de CPRA).

Alcance:

• Roles: La CCPA impone obligaciones a "empresas" y "prestadores de servicios" en California. La CPRA enmienda y amplía la CCPA para crear derechos adicionales para los consumidores e imponer obligaciones adicionales a las empresas.
• Sujetos: La ley protege a los "consumidores", que se refiere a una persona natural identificable que reside en California. Esto incluye a clientes individuales, pero también empleados y representantes de clientes B2B.
• PII: La información personal se define como cualquier información que identifica, se relaciona, describe, es razonablemente capaz de ser asociada con, o podría razonablemente ser vinculada, directa o indirectamente, con un consumidor o hogar particular.

Requisitos básicos:

• General: La CCPA se enfoca en los principios de responsabilidad, control y transparencia. Las principales obligaciones se correlacionan con los derechos otorgados a los consumidores, asegurando que tengan control sobre sus datos personales. La CCPA junto con las enmiendas de la CPRA es sin duda la más estricta de todas las leyes de protección de datos y privacidad en EE. UU.
• Reglas para datos sensibles: Los consumidores pueden optar por no participar en el procesamiento de datos sensibles, lo que significa que pueden, en ciertas instancias, restringir el uso o divulgación de datos sensibles por parte de una empresa.
• Principales derechos de los consumidores: Derecho a saber, derecho a eliminar, derecho a optar por no participar en la venta, derecho a no ser discriminado, y la CPRA agregó derecho a corregir y derecho a limitar.
• Exenciones, si las hay: La ley exime datos públicos, datos desidentificados y también tiene varias exclusiones sectoriales (por ejemplo, GLBA, FCRA, HIPAA).
• ¿Cómo se aplica? La CCPA puede ser aplicada por el Fiscal General y la Agencia de Protección de Privacidad de California (CPPA). También incluye un derecho privado limitado de acción para ciertas violaciones de seguridad.
• Penalizaciones: Incluye penalizaciones como US$2.500 por violación o incluso US$7.500 por violación intencional o violación que involucre a menores.

Virginia

• Acto: Ley de Protección de Datos del Consumidor de Virginia (VCDPA)
• Fecha de entrada en vigor: 1 de enero de 2023

Alcance:

• Roles: La VCDPA impone obligaciones a "controladores" y "procesadores", que reflejan efectivamente las designaciones de controlador/procesador bajo el GDPR.
• Sujetos: La ley protege a los "consumidores", que significa individuos en Virginia actuando en un contexto individual o familiar. No incluye a una persona natural actuando en un contexto comercial o laboral.
• PII: Los datos personales significan información que está vinculada o razonablemente vinculable a una persona identificada o identificable.

Requisitos básicos:

• General: De manera similar a otras leyes de protección de datos y privacidad, la Ley de Protección de Datos del Consumidor de Virginia tiene como objetivo dar a los consumidores más control sobre sus datos personales. Sin embargo, hay varias diferencias clave entre las leyes, y la VCDPA ha sido considerada incluso como un modelo alternativo para las leyes de privacidad de datos a nivel estatal en EE. UU.
• Reglas para datos sensibles: El consumidor debe optar por participar en el procesamiento, lo que significa que la empresa debe primero obtener el consentimiento afirmativo del consumidor para procesar datos sensibles.
• Principales derechos del consumidor: Derecho a confirmar, derecho a acceder, derecho a corregir, derecho a eliminar, derecho a obtener una copia, derecho a optar por no participar, derecho a no ser discriminado.
• Exenciones, si las hay: La ley exime datos de empleados, datos de contacto B2B, información pública, datos desidentificados y también tiene varias exclusiones sectoriales (por ejemplo, GLBA, FCRA, HIPAA).
• ¿Cómo se aplica: La VCDPA es aplicada por el Fiscal General de Virginia. No hay derecho privado de acción.
• Penalizaciones: Incluye penalizaciones como US$7.500 por violación.

Colorado

• Acto: Ley de Privacidad de Colorado (CPA)
• Fecha de entrada en vigor: 1 de julio de 2023

Alcance:

• Roles: La Ley de Privacidad de Colorado (CPA) impone obligaciones a "controladores" y "procesadores", que reflejan efectivamente las designaciones de controlador/procesador bajo el GDPR.
• Sujetos: La ley protege a los "consumidores", que significa individuos en Colorado actuando en un contexto individual o familiar. No incluye a una persona natural actuando en un contexto comercial o laboral.
• PII: Los datos personales significan información que está vinculada o razonablemente vinculable a una persona identificada o identificable.

Requisitos básicos:

• General: La CPA se enfoca en proteger la privacidad digital del consumidor y tiene la intención de darles más control sobre el procesamiento de sus datos personales. También enfatiza obligaciones y responsabilidades en cuanto a la transparencia del procesamiento. La CPA es algo especial en el conjunto de leyes de protección de datos y privacidad en EE. UU., ya que también está acompañada de un conjunto de reglas de implementación.
• Reglas para datos sensibles: El consumidor debe optar por participar en el procesamiento, lo que significa que la empresa debe primero obtener el consentimiento afirmativo del consumidor para procesar datos sensibles.
• Principales derechos de los consumidores: Derecho a acceder, derecho a corrección, derecho a eliminar, derecho a portabilidad, derecho a optar por no participar, derecho a no ser discriminado.
• Exenciones, si las hay: La ley exime datos de empleados, datos de contacto B2B, información pública, datos desidentificados y también tiene varias exclusiones sectoriales (por ejemplo, GLBA, FCRA, HIPAA).
• ¿Cómo se aplica: La CPA es aplicada por el Fiscal General de Colorado y los Fiscales de Distrito. No hay derecho privado de acción.
• Penalizaciones: Incluye penalizaciones de hasta US$20,000 por violación, o en algunos casos raros incluso hasta US$50,000 por violación.

Connecticut

• Acto: Ley de Privacidad de Datos de Connecticut (CTDPA)
• Fecha de entrada en vigor: 1 de julio de 2023

Alcance:

• Roles: La Ley de Privacidad de Datos de Connecticut (CTDPA) impone obligaciones a "controladores" y "procesadores", que reflejan efectivamente las designaciones de controlador/procesador bajo el GDPR.
• Sujetos: La ley protege a los "consumidores", que significa individuos en Connecticut actuando en un contexto individual o familiar. No incluye a una persona natural actuando en un contexto comercial o laboral.
• PII: Los datos personales significan información que está vinculada o razonablemente vinculable a una persona identificada o identificable.

Requisitos básicos:

• General: La ley sigue un modelo similar al de las leyes de protección de datos y privacidad previamente discutidas, estableciendo protección al consumidor al otorgar un conjunto diverso de derechos para los sujetos de datos. En consecuencia, hay obligaciones impuestas a las empresas para cumplir con estos derechos y asegurar control para el sujeto de datos.
• Reglas para datos sensibles: El consumidor debe optar por participar en el procesamiento, lo que significa que la empresa debe primero obtener el consentimiento afirmativo del consumidor para procesar datos sensibles.
• Principales derechos de los consumidores: Derecho a saber, derecho a corregir, derecho a eliminar, derecho a optar por no participar, derecho a portabilidad, derecho a no ser discriminado.
• Exenciones, si las hay: La ley exime datos de empleados, datos de contacto B2B, información pública y datos desidentificados y también tiene varias exclusiones sectoriales (por ejemplo, GLBA, FCRA, HIPAA).
• ¿Cómo se aplica?: La CTDPA es aplicada por el Fiscal General de Connecticut. No hay derecho privado de acción.
• Penalizaciones: Incluye penalizaciones como US$7.500 por violación.

Utah

• Acto: Ley de Privacidad del Consumidor de Utah (UCPA)
• Fecha de entrada en vigor: 31 de diciembre de 2023

Alcance:

• Roles: La Ley de Privacidad del Consumidor de Utah (UCPA) impone obligaciones a "controladores" y "procesadores", que reflejan efectivamente las designaciones de controlador/procesador bajo el GDPR.
• Sujetos: La ley protege a los "consumidores", que significa individuos en Utah actuando en un contexto individual o familiar. No incluye a una persona natural actuando en un contexto comercial o laboral.
• PII: Los datos personales significan información que está vinculada o razonablemente vinculable a una persona identificada o identificable.

Requisitos básicos:

• General: La UCPA establece requisitos similares a otras leyes de privacidad estatales. Su objetivo es dar a los consumidores más control sobre sus datos e imponer requisitos de seguridad de datos más estrictos a las empresas. También enfatiza obligaciones y responsabilidades en cuanto a la transparencia del procesamiento.
• Reglas para datos sensibles: El consumidor puede optar por no participar en el procesamiento, lo que significa que el controlador no puede procesar los datos sensibles de los consumidores sin primero presentar al consumidor un aviso claro y una oportunidad de optar por no participar en el procesamiento.
• Principales derechos de los consumidores: Derecho a saber, derecho a eliminar, derecho a portabilidad, derecho a no ser discriminado y derecho limitado a optar por no participar (ten en cuenta que no hay derecho a optar por no participar en la toma de decisiones automatizadas).
• Exenciones, si las hay: La ley exime datos de empleados, datos de contacto B2B, información pública, datos desidentificados y también tiene varias exclusiones sectoriales (por ejemplo, GLBA, FCRA, HIPAA).
• ¿Cómo se aplica? La UCPA es aplicada por el Fiscal General de Utah. No hay derecho privado de acción.
• Penalizaciones: Incluye penalizaciones como US$7,500 por violación.

Texas

• Acto: Ley de Privacidad y Seguridad de Datos de Texas (TDPSA)
• Fecha de entrada en vigor: 1 de julio de 2024

Alcance:

• Roles: La TDPSA impone obligaciones a "controladores" y "procesadores", que reflejan efectivamente las designaciones de controlador/procesador bajo el GDPR.
• Sujetos: La ley protege a los "consumidores", que significa individuos en Texas actuando en un contexto individual o familiar. No incluye a una persona natural actuando en un contexto comercial o laboral.
• PII: Los datos personales significan información que está vinculada o razonablemente vinculable a una persona identificada o identificable.

Requisitos básicos:

• General: La Ley de Privacidad y Seguridad de Datos de Texas se inspira en la VCDPA. Tiene un alcance amplio tanto en requisitos de privacidad como de seguridad. Aunque es similar a otras leyes de privacidad aprobadas recientemente, hay algunas diferencias. Por ejemplo, aunque todavía busca dar a los consumidores control sobre el procesamiento de sus datos, carece del requisito explícito de proporcionar medios para revocar un consentimiento.
• Reglas para datos sensibles: El consumidor debe optar por participar en el procesamiento, lo que significa que la empresa debe primero obtener el consentimiento afirmativo del consumidor para procesar datos sensibles.
• Principales derechos de los consumidores: Derecho a acceder, derecho a corregir, derecho a eliminar, derecho a portabilidad, derecho a optar por no participar, derecho a no ser discriminado.
• Exenciones, si las hay: La ley exime datos de empleados, datos de contacto B2B, información pública, datos desidentificados y también tiene varias exclusiones sectoriales (por ejemplo, GLBA, FCRA, HIPAA).
• ¿Cómo se aplica?: La TDPSA es aplicada por el Fiscal General de Texas. No hay derecho privado de acción.
• Penalizaciones: Incluye penalizaciones como US$7.500 por violación. Sin embargo, ten en cuenta que la TDPSA también incluye un derecho a reparar y la cláusula de período de reparación será permanente; a diferencia de muchas otras leyes de privacidad en EE. UU., no tiene una fecha de caducidad.

Oregón

• Acto: Ley de Privacidad del Consumidor de Oregón (OCPA)
• Fecha de entrada en vigor: 1 de julio de 2024 (2025 para organizaciones sin fines de lucro)

Alcance:

• Roles: La OCPA impone obligaciones a "controladores" y "procesadores", que reflejan efectivamente las designaciones de controlador/procesador bajo el GDPR.
• Sujetos:  La ley protege a los "consumidores", que significa individuos en Oregón actuando en cualquier capacidad distinta a un contexto comercial o laboral.
• PII: Los datos personales significan datos, datos derivados o cualquier identificador único que esté vinculado a o sea razonablemente vinculable a un consumidor o a un dispositivo que identifica, está vinculado o es razonablemente vinculado a uno o más consumidores en un hogar.

Requisitos básicos:

• General: Oregón tiene una redacción un tanto única de definiciones y obligaciones; sin embargo, hablando en términos generales, el alcance es todavía similar al de otras leyes de protección de datos y privacidad en EE. UU. Es consistente con otras leyes de protección de datos a nivel estatal al proporcionar control a los consumidores sobre sus datos y obligar a las empresas a ser más transparentes.
• Reglas para datos sensibles: El consumidor debe optar por participar en el procesamiento, lo que significa que la empresa debe primero obtener el consentimiento afirmativo del consumidor para procesar datos sensibles.
• Principales derechos de los consumidores: Derecho a acceder, derecho a corregir, derecho a eliminar, derecho a portabilidad, derecho a optar por no participar, derecho a no ser discriminado.
• Exenciones, si las hay: La ley exime datos de empleados, datos de contacto B2B, información pública, datos desidentificados y también tiene varias exclusiones sectoriales (por ejemplo, GLBA, FCRA, HIPAA).
• ¿Cómo se aplica: La OCPA es aplicada por el Fiscal General de Oregón. No hay derecho privado de acción.
• Penalizaciones: Incluye penalizaciones como US$7.500 por violación.

Florida

• Acto: Ley Digital de Derechos de Florida (FDBR)
• Fecha de entrada en vigor: 1 de julio de 2024

Alcance:

• Roles: La FDBR impone obligaciones a "controladores" y "procesadores", que son similares a las designaciones de controlador/procesador bajo el GDPR. Sin embargo, la definición de un “controlador” es mucho más matizada bajo la FDBR.
• Sujetos: La ley protege a los "consumidores", que significa individuos en Florida actuando en un contexto individual o familiar. No incluye a una persona natural actuando en un contexto comercial o laboral.
• PII: La información personal significa cualquier información que esté vinculada o razonablemente vinculable a una persona identificada o identificable. Ten en cuenta que la FDBR enfatiza por separado que los datos personales incluyen datos vinculados o razonablemente vinculables a un niño identificado o identificable, incluida información biométrica y identificadores únicos para el niño.

Requisitos básicos:

• General: La Ley de Derechos Digitales de Florida (FDBR) es algo especial en comparación con otras leyes de protección de datos y privacidad en EE. UU. Se enfoca más en la protección de los datos personales de los niños y temas de redes sociales. Parece que el objetivo principal de la ley son las grandes empresas tecnológicas, sin embargo, todas las empresas deberían prestar más atención a la transparencia hacia los consumidores. Con sus definiciones únicas, enfoque específico y altas multas, la FDBR definitivamente necesita más atención para el cumplimiento.
• Reglas para datos sensibles: El consumidor debe optar por participar en el procesamiento, lo que significa que la empresa debe primero obtener el consentimiento afirmativo del consumidor para procesar datos sensibles.
• Principales derechos de los consumidores: Derecho a acceder, derecho a corregir, derecho a eliminar, derecho a portabilidad, derecho a optar por no participar, derecho a no ser discriminado.
• Excepciones, si las hay: La ley exonera los datos de empleados, datos de contactos B2B, información pública, datos desidentificados y también tiene varias excepciones sectoriales (por ejemplo, GLBA, FCRA, HIPAA).
• ¿Cómo se hace cumplir? La FDBR es aplicada por el Fiscal General de Florida. No hay derecho privado de acción.
• Multas: Incluye multas más estrictas pero también un posible período de subsanación. Las multas pueden ser de hasta 50.000 por violación o incluso triplicar la cantidad en casos graves. Sin embargo, el Fiscal General puede otorgar un período de subsanación de 45 días. Esta cláusula es permanente en la ley y no tiene fecha de caducidad.

Provincia de Montana

• Acta: Ley de Privacidad de Datos del Consumidor de Montana (MTCDPA)
• Fecha de entrada en vigor: 1 de octubre de 2024

Alcance:

• Roles: La Ley de Privacidad de Datos del Consumidor de Montana (MTCDPA) impone obligaciones a los "controladores" y "procesadores", que efectivamente reflejan las designaciones de controlador/procesador según el GDPR.
• Sujetos: La ley protege a los "consumidores", lo que significa individuos en Montana actuando en un contexto individual o familiar. No incluye a una persona natural actuando en un contexto comercial o laboral.
• PII: Los datos personales significan información que está vinculada o razonablemente vinculable a una persona identificada o identificable.

Requisitos básicos:

• General: La ley sigue un modelo similar a las leyes de protección de datos y privacidad discutidas anteriormente, estableciendo el control del consumidor al otorgar un conjunto de derechos para los sujetos de datos con obligaciones correspondientes impuestas a las empresas.
• Reglas para datos sensibles: El consumidor debe optar por participar en el procesamiento, lo que significa que la empresa debe primero obtener el consentimiento afirmativo del consumidor para procesar datos sensibles.
• Derechos principales del consumidor: Derecho de acceso, derecho de corrección, derecho de eliminación, derecho de exclusión, derecho de portabilidad, derecho a no ser discriminado.
• Excepciones, si las hay: La ley exonera los datos de empleados, datos de contactos B2B, información pública y datos desidentificados y también tiene varias excepciones sectoriales (por ejemplo, GLBA, FCRA, HIPAA).
• ¿Cómo se hace cumplir? La MTCDPA es aplicada por el Fiscal General de Montana. No hay derecho privado de acción.
• Multas: La MTCDPA no incluye ningún monto específico en dólares para las multas.

3. Información útil: consejos para mantener su negocio en cumplimiento

El cumplimiento de la privacidad nunca es un destino, es un viaje

El primer paso para el cumplimiento es siempre conocer su estado actual y familiarizarse con las leyes de protección de datos y privacidad relevantes. Al evaluar las necesidades de una empresa en el contexto de las regulaciones de privacidad de datos en EE. UU., incluye análisis continuo de la aplicabilidad, alcance y mejores prácticas de cada ley de protección de datos del consumidor a nivel estatal. Un asesor legal informado puede proporcionar orientación valiosa en esta área

Sea transparente y respete las exclusiones

Las leyes de protección de datos y privacidad adoptadas, así como las que están por venir, en EE. UU. tienen como objetivo proteger a los consumidores. La protección de la privacidad en línea se está volviendo cada vez más relevante. Para las empresas, esto significa que deben ser cada vez más transparentes sobre sus actividades de procesamiento de datos. La mayoría de las leyes de privacidad de datos en EE. UU. se centran en los derechos de los individuos. Los individuos deben saber cómo se procesan y protegen sus datos, y también pueden ejercer su derecho a optar por no participar en el procesamiento. A veces también es obligatorio pedir el consentimiento del consumidor antes de procesar sus datos. Al depender de proveedores de servicios, asegúrese de que apoyen su marco de cumplimiento bajo las leyes de protección de datos y privacidad aplicables a su negocio.

Asegúrese de que su equipo esté actualizado

Con la ola de leyes de privacidad de datos integrales, asegúrese de que las políticas y procedimientos relevantes estén en su lugar y actualizados. Además, capacitar a su personal en las tendencias de protección de datos y privacidad es una de las mayores ventajas. Un equipo informado reduce riesgos, pero también aumenta el potencial comercial. Empodera al equipo para tomar mejores decisiones y reconocer oportunidades potenciales en datos de buena calidad.

4. ¿Cómo puede ayudar Veriff?

Veriff ayuda a los clientes a navegar por el complejo terreno de las obligaciones regulatorias y de cumplimiento con tecnología de verificación de identidad de vanguardia. En industrias donde conocer a su cliente (KYC) y la prevención de lavado de dinero (PLD) son estrictas, las soluciones de Veriff agilizan el proceso de verificación, asegurando que las empresas puedan seguir cumpliendo con las leyes locales e internacionales. Al emplear algoritmos avanzados de IA y aprendizaje automático, Veriff verifica automáticamente la autenticidad de los documentos y la identidad de los usuarios, reduciendo el riesgo de fraude. Esto no solo fortalece la confianza y la seguridad en línea, sino que también disminuye significativamente las repercusiones legales y financieras asociadas con el incumplimiento.

Veriff’s Services are flexible to align with various privacy laws (including the US State Privacy Laws) to assist the customer with any data protection related matters.

Please note that Veriff does not provide legal advice. This article is provided for informational purposes only. You should always discuss your privacy and data protection operations or issues with a qualified legal counsel or privacy specialists.