Ley de Notificación de Brechas de Seguridad en WV

W.V. Code § 46A-2A-101 es una ley de notificación de violación de datos que se aprobó en el estado estadounidense de Virginia Occidental en 2008. W.V. Code § 46A-2A-101 establece el protocolo que las personas, entidades comerciales y organizaciones dentro del estado están obligadas a seguir cuando se produce una violación de datos. Además, la ley también establece las sanciones y penas que pueden imponerse a las personas y entidades que infrinjan la ley. Dicho esto, W.V. Code § 46A-2A-101 representa el principal medio legal por el que los residentes del estado de Virginia Occidental pueden solicitar reparación por incidentes de violación de datos, en lugar de una ley estatal de privacidad exhaustiva como la Ley de Protección de Datos de los Consumidores de Virginia.

¿Cómo se define una violación de datos con arreglo al artículo 46A-2A-101 del Código de Virginia Occidental?

En virtud del artículo 46A-2A-101 del Código de Virginia Occidental, una violación de datos se define como el “acceso no autorizado y la adquisición de datos informatizados no cifrados y no redactados que comprometen la seguridad o la confidencialidad de la información personal mantenida por una entidad como parte de una base de datos de información personal relativa a varias personas y que hace que la entidad crea razonablemente que la violación de la seguridad ha causado o causará el robo de identidad u otro fraude a cualquier residente de Virginia Occidental”. Por el contrario, la “adquisición de buena fe de IP por un empleado o agente de una Entidad para los fines de la Entidad no constituye una violación de la seguridad del sistema, siempre que la IP no se utilice para un fin distinto de un fin lícito de la Entidad o sea objeto de una divulgación ulterior no autorizada.”

¿Cuáles son los requisitos de las entidades y organizaciones empresariales en virtud del artículo 46A-2A-101 del Código de W.V.?

El artículo 46A-2A-101 del Código de Virginia Occidental obliga a toda persona, entidad comercial u organización del estado de Virginia Occidental a notificar a todas las personas y partes afectadas en caso de que se produzca un incidente de violación de datos. Además, si un incidente de violación de datos afecta a más de 1.000 residentes en el estado de Virginia Occidental, la persona o entidad que haya sufrido la violación también está obligada a notificarlo a las tres principales agencias de información crediticia de Estados Unidos (Equifax, Experian y TransUnion). Hasta este punto, las notificaciones de violación de datos proporcionadas a los consumidores de conformidad con el Código de W.V. § 46A-2A-101 deben contener la siguiente información:

• Una descripción de las categorías de información personal que se vieron comprometidas tras la violación, incluidos los números de la seguridad social, los números del permiso de conducir y los datos financieros, en la medida en que sea posible facilitar dicha información.
• “Un número de teléfono o dirección de sitio web que el individuo pueda utilizar para ponerse en contacto con la entidad o el agente de la entidad y de quien el individuo pueda saber: qué tipos de información mantenía la entidad sobre ese individuo o sobre individuos en general; y si la entidad mantenía o no información sobre ese individuo”.
• La información de contacto gratuita de las tres agencias de crédito de EE.UU., así como información sobre los pasos que pueden dar los consumidores afectados para colocar una alerta de fraude o congelación de seguridad en su informe crediticio.

¿Qué categorías de información personal cubre el artículo 46A-2A-101 del Código de W.V.?

En virtud del artículo 46A-2A-101 del Código de Virginia Occidental, las siguientes categorías de información personal están protegidas en caso de violación de datos, en combinación con el nombre o la inicial del nombre y los apellidos de un residente en Virginia Occidental, siempre que dichos datos no hayan sido redactados, codificados o alterados de otro modo:

• Números de la seguridad social.
• Números de carné de conducir y de tarjeta de identificación estatal.
• Números de cuenta, números de tarjeta de crédito y números de tarjeta de débito, junto con los códigos de seguridad, códigos de acceso y contraseñas necesarios que puedan utilizarse para acceder a la cuenta financiera de una persona.

Por otra parte, las categorías de información personal cubiertas por la ley no incluyen “información obtenida legalmente a partir de información públicamente disponible, o de registros gubernamentales federales, estatales o locales legalmente puestos a disposición del público en general”. Además, las entidades y organizaciones empresariales de Virginia Occidental también están autorizadas a proporcionar notificaciones sustitutorias de violación de datos a los consumidores afectados, aunque en determinadas circunstancias. Dichas circunstancias incluyen los casos en los que el coste de proporcionar notificaciones de violación de datos estándar a las personas y partes afectadas supere los 50.000 dólares, los casos en los que el grupo de residentes afectados sea superior a 100.000 y los casos en los que una empresa u organización no disponga de suficiente información de contacto para proporcionar a los consumidores una notificación estándar.

¿Cuáles son las sanciones por infringir el artículo 46A-2A-101 del Código de W.V.?

En lo que respecta a la aplicación de la ley, las disposiciones establecidas en el Código de Virginia Occidental § 46A-2A-101 son aplicadas por el Fiscal General de Virginia Occidental. Por consiguiente, el Fiscal General de Virginia Occidental está facultado para imponer una serie de sanciones y penas a las personas, entidades empresariales y organizaciones que no cumplan las disposiciones establecidas en la ley. Dichas sanciones incluyen penas civiles en los casos en que se haya determinado que una entidad u organización empresarial ha infringido repetidamente la ley. Estos castigos conllevan una sanción máxima de 150.000 dólares por cada infracción. Además, “el incumplimiento de los requisitos de notificación constituye un acto o práctica desleal o engañosa y es exigible por el Fiscal General”.

Mediante la promulgación del Código de Virginia Occidental § 46A-2A-101 en 2008, los residentes del estado de Virginia Occidental dispusieron de un recurso legal en caso de que su información personal se viera comprometida tras una violación de seguridad. Dado que muy pocos estados de EE.UU. han aprobado una legislación exhaustiva en materia de privacidad, leyes como W.V. Code § 46A-2A-101 representan el principal medio por el que el ciudadano estadounidense medio puede protegerse de los efectos adversos de las violaciones de datos o de seguridad. Por ello, el artículo 46A-2A-101 del Código de W.V. ofrece a los ciudadanos de Virginia Occidental este tipo de protección jurídica.