Legislación sobre violaciones de seguridad en Kentucky

KRS § 365.732, KRS §§ 61.931 a 61.934 es una ley de notificación de violaciones de seguridad que se aprobó en el estado estadounidense de Kentucky en 2014 y entró en vigor al año siguiente. Como es el caso de otras leyes de notificación de violaciones de seguridad a nivel estatal de EE.UU., KRS § 365.732, KRS §§ 61.931 a 61.934 establece el protocolo que las empresas dentro del estado están encargadas de seguir en caso de que se produzca una violación de seguridad. Dicho esto, KRS § 365.732, KRS §§ 61.931 a 61.934 representan los principales medios por los cuales los residentes del estado de Kentucky pueden proteger su información personal de las violaciones de seguridad.

¿Cómo se define una violación de la seguridad con arreglo a KRS § 365.732, KRS §§ 61.931 a 61.934?

Bajo KRS § 365.732, KRS §§ 61.931 a 61.934, una violación de seguridad se define como “la adquisición no autorizada de datos computarizados sin cifrar y sin redactar que comprometa la seguridad, confidencialidad o integridad de PI mantenidos por la Entidad como parte de una base de datos con respecto a múltiples individuos que realmente causa, o lleva a la Entidad a creer que ha causado o causará, robo de identidad o fraude contra cualquier residente de Kentucky”. Alternativamente, “la adquisición de buena fe de PI por un empleado o agente de la Entidad para los fines de la Entidad no es una violación de la seguridad del sistema si la PI no se utiliza o es objeto de otras divulgaciones no autorizadas.”

¿Cuáles son las obligaciones de notificación de violaciones de seguridad?

En virtud de KRS § 365.732, KRS §§ 61.931 a 61.934, las entidades comerciales del estado de Kentucky están obligadas a notificar a todas las partes afectadas si se produce una violación de datos. En particular, la ley también impone requisitos adicionales a “terceros no afiliados (NTP) de agencias gubernamentales estatales y municipales e instituciones educativas públicas que reciban o recopilen y mantengan información personal de las agencias e instituciones en virtud de un contrato”. Además, en caso de que una violación de la seguridad afecte a más de 1.000 residentes en Kentucky, la entidad empresarial que haya sufrido la violación también es responsable de notificarlo a las tres principales agencias de información crediticia de los consumidores de Estados Unidos.

¿Qué información personal está cubierta?

En virtud de KRS § 365.732, KRS §§ 61.931 a 61.934, las siguientes categorías de información personal están legalmente protegidas en caso de que se produzca una violación de datos, en combinación con el nombre y la inicial del nombre y apellidos de un residente de Kentucky, en los casos en que los siguientes elementos de datos no hayan sido redactados:

• Números de la seguridad social.
• Números del permiso de conducir.
• Números de cuenta y de tarjetas de crédito y débito, así como cualquier contraseña, código de acceso o código de seguridad necesarios que puedan utilizarse para acceder a la cuenta de una persona.

Es más, la ley también protege ciertas categorías de información personal que pueden estar en posesión de terceros no afiliados o NTP, organismos gubernamentales estatales y municipales e instituciones educativas públicas. Hasta este punto, las siguientes categorías de información personal también están protegidas por la ley, en combinación con “el nombre o la inicial del nombre y los apellidos de una persona; una marca personal; o una huella o imagen biométrica o genética única, en combinación con uno o más de los siguientes elementos de datos:”

• Números de cuenta y números de tarjetas de crédito y débito, así como cualquier contraseña, código de acceso o código de seguridad necesarios que pudieran utilizarse para acceder a la cuenta de una persona.
• Números de la seguridad social.
• Números de identificación fiscal que incorporen números de la seguridad social.
• Números de carné de conducir y de tarjeta de identificación estatal, así como cualquier otro número de identificación que pueda ser emitido por una agencia estatal dentro de Kentucky.
• Números de pasaporte, así como otros números de identificación que puedan ser emitidos por el gobierno federal de los Estados Unidos.
• “Información sanitaria individualmente identificable, tal como se define en 45 C.F.R. § 160.103, excepto los expedientes educativos amparados por la Ley de Privacidad y Derechos Educativos de la Familia, en su versión modificada, 20 U.S.C. § 1232g”.

A través de las disposiciones de KRS § 365.732, KRS §§ 61.931 a 61.934, la información personal de los residentes en el estado de Kentucky está legalmente protegida en caso de que se produzca una violación de datos o de seguridad. Además, como la ley se aplica tanto a entidades privadas como públicas dentro del estado, los residentes de Kentucky también pueden tener la tranquilidad de que su información personal está siendo protegida en todas las facetas de la sociedad. Con este fin, es probable que muchos otros estados del país también amplíen el nivel de cobertura que se proporciona a los ciudadanos estadounidenses en lo que respecta a las violaciones de seguridad y, a su vez, a la privacidad personal.