Ley de violación de la seguridad en Virginia

Va. Code § 18.2-186.6 § 32.1-127.1:05 es una ley de notificación de violación de datos que se aprobó inicialmente en el estado estadounidense de Virginia en 2008 y se ha modificado varias veces desde entonces, la última en 2019. Como Virginia es solo uno de los pocos estados dentro de los EE. UU. que ha aprobado una ley integral de protección de datos en la forma de la Ley de Protección de Datos del Consumidor de Virginia o VCDPA, Va. Code § 18.2-186.6 § 32.1-127.1:05 representa una parte de un marco jurídico ya existente en el estado orientado a la protección de los datos personales y la privacidad. Como tal, Va. Code § 18.2-186.6 § 32.1-127.1:05 establece el protocolo que las empresas del estado son responsables de seguir en caso de que se produzca una violación de datos, así como las sanciones que pueden imponerse por violar este protocolo.

¿Cuál es el alcance y la aplicación del Va. Code § 18.2-186.6 § 32.1-127.1:05?

En cuanto al alcance y la aplicación de Va. Code § 18.2-186.6 § 32.1-127.1:05, las disposiciones establecidas en la ley son aplicables a cualquier “persona física, sociedad, fideicomiso comercial, patrimonio, sociedad colectiva, sociedad comanditaria, sociedad de responsabilidad limitada, sociedad de responsabilidad limitada, asociación, organización, empresa conjunta, gobierno, subdivisión gubernamental, agencia o instrumentalidad o cualquier otra entidad jurídica, con o sin ánimo de lucro (colectivamente, Entidad) que posea o conceda licencias de datos informatizados que incluyan IP”. Alternativamente, la ley también contiene disposiciones separadas para ciertas entidades dentro de Virginia, como los centros sanitarios y las agencias gubernamentales.

¿Cuáles son los requisitos de notificación de violación de datos en virtud del Va. Code § 18.2-186.6 § 32.1-127.1:05?

Al igual que otras leyes de notificación de violación de datos de EE.UU., Va. Code § 18.2-186.6 § 32.1-127.1:05 obliga a las empresas a notificar a las partes afectadas si se produce una violación de datos. Sin embargo, la ley difiere de muchas otras leyes de notificación de violación de datos en que también cubre los datos de ingresos fiscales de los empleados. Dicho esto, además de proporcionar a los consumidores información como el alcance y la amplitud de la violación, así como los tipos de información personal que se revelaron durante la violación, las entidades comerciales de Virginia que “posean o autoricen datos informatizados relativos a la retención del impuesto sobre la renta estatal” también deben notificar al fiscal general de Virginia si sufren una violación de datos.

Además, todas las notificaciones de violación de datos que se proporcionen a particulares y partes dentro del estado de Virginia deben contener la siguiente información:

• Una descripción de los hechos que rodearon la violación de datos, en términos generales.
• Los tipos de información personal o médica que se divulgaron como resultado de la violación de datos.
• Cualquier acción que la entidad afectada haya emprendido para proteger la información personal de futuras divulgaciones no autorizadas.
• Un número de teléfono al que los afectados puedan dirigirse para recibir más información y detalles sobre la violación, si se dispone de dicha información.
• Cualquier consejo que los afectados puedan aprovechar para mitigar los efectos de la violación, como permanecer vigilantes mediante la revisión de los extractos de las cuentas financieras y los informes gratuitos de supervisión del crédito.

¿Qué tipos de información personal están cubiertos por Va. Code § 18.2-186.6 § 32.1-127.1:05?

Dado que Va. Code § 18.2-186.6 § 32.1-127.1:05 protege tanto la información personal como la sanitaria, existen dos categorías de datos que están protegidos por la ley. Hasta este punto, los siguientes tipos de información personal están protegidos legalmente en caso de que se produzca una violación de datos, en combinación con el nombre o la inicial del nombre y los apellidos de un residente de Virginia, siempre que los siguientes elementos de datos no hayan sido codificados o redactados:

• Números de la seguridad social.
• Números de carné de conducir y tarjetas de identificación estatales que puedan expedirse en lugar del carné de conducir.
• Números de cuentas financieras y números de tarjetas de crédito y débito, así como contraseñas, códigos de seguridad o códigos de acceso necesarios que puedan utilizarse para permitir el acceso a la cuenta financiera de una persona.
• Números de pasaporte.
• Números de identificación militar.

Por el contrario, Va. Code § 18.2-186.6 § 32.1-127.1:05 también protege los siguientes tipos de información médica:

• Información relativa al historial médico, tratamiento o diagnóstico de un individuo, así como a sus condiciones mentales y físicas.
• El número de póliza de seguro médico de un individuo o el número de identificación del suscriptor, cualquier identificador único utilizado por un asegurador de salud para identificar al individuo, o cualquier información en la solicitud de un individuo y el historial de reclamaciones, incluyendo cualquier registro de apelaciones.

¿Cuáles son las sanciones previstas en Va. Code § 18.2-186.6 § 32.1-127.1:05?

Las disposiciones establecidas en Va. Code § 18.2-186.6 § 32.1-127.1:05 son aplicables por el fiscal general de Virginia. Por consiguiente, el fiscal general de Virginia está facultado para imponer numerosas sanciones y penas a las entidades y organizaciones empresariales del Estado que infrinjan la ley. En particular, las empresas que incumplan la ley están sujetas a una sanción pecuniaria de hasta 150.000 dólares por violación. Además, las violaciones de datos que afectan a información sanitaria están sujetas a un conjunto separado de sanciones, de conformidad con la legislación federal, como la Ley de Portabilidad y Responsabilidad del Seguro Médico o HIPAA (Health Insurance Portability and Accountability Act).

Las disposiciones del Va. Code § 18.2-186.6 § 32.1-127.1:05 junto con la Ley de Protección de Datos de los Consumidores de Virginia representan el marco legal para la protección de los datos personales y la privacidad de los ciudadanos dentro del estado de Virginia. A través de la normativa establecida en dicha legislación, los residentes de Virginia disponen de múltiples vías a las que pueden recurrir en caso de que su información personal se vea comprometida por cualquier motivo. De este modo, los residentes de Virginia disfrutan de un nivel de protección de datos que no es habitual en la mayoría de los estados del país, ya que Estados Unidos aún no ha aprobado una ley integral de protección de datos a nivel federal.