Nuevo proyecto de ley sobre privacidad

El 23 de junio de 2022, los representantes en el Congreso de EE.UU. Pallone, Rodgers, Schakowsky y Bilirakis presentaron la HR 8152, también conocida como Ley de Protección y Privacidad de Datos de Estados Unidos. La ley representa el esfuerzo más significativo del Gobierno Federal para aprobar una legislación integral de privacidad de datos hasta la fecha. Siguiendo el modelo de otras importantes normativas integrales de protección de datos que se han promulgado tanto a nivel nacional como internacional en los últimos años, como la ley GDPR de la UE y la Ley de Protección de los Consumidores de California (CCPA), el proyecto de ley concede a los ciudadanos estadounidenses numerosos derechos en lo que respecta a la recogida, tratamiento, conservación, destrucción y difusión de sus datos personales. Posteriormente, algunas disposiciones significativas dentro de la ley propuesta incluyen el deber de lealtad, los derechos de los datos de los consumidores y la responsabilidad de las empresas.

Deber de lealtad

La Ley de Privacidad y Protección de Datos de Estados Unidos impone una amplia gama de deberes legales a las entidades cubiertas dentro de Estados Unidos con respecto a la recogida y tratamiento de los datos personales de los miembros de la población estadounidense. En este sentido, la ley define una entidad cubierta como “cualquier entidad que recopile, procese o transfiera datos cubiertos y esté sujeta a la jurisdicción de la Comisión Federal de Comercio (FTC), incluidas las organizaciones sin ánimo de lucro y los operadores comunes de telecomunicaciones”. Los “datos cubiertos” se definen como información que identifica, vincula o puede vincularse razonablemente a un individuo o dispositivo vinculable a un individuo. Esto incluye datos derivados e identificadores únicos, pero no incluye datos desidentificados, datos de empleados o información disponible públicamente”.

Asimismo, la HR 8152 responsabiliza a las entidades cubiertas de proteger la privacidad individual de los ciudadanos estadounidenses de los que recopilan datos, así como de garantizar que determinadas formas de datos sensibles reciban un grado de protección aún mayor. Ejemplos de datos personales que se consideran sensibles en virtud de la ley incluyen cualquier información personal perteneciente a personas menores de 17 años, así como números de la seguridad social y del pasaporte, entre otras formas de datos. Dicho esto, las entidades cubiertas también están obligadas a aplicar salvaguardias, políticas y procedimientos razonables que sirvan para proteger la información personal que recopilan de los interesados.

Derechos de los consumidores

Siguiendo con las políticas de privacidad de datos, la Ley de Protección y Privacidad de Datos de Estados Unidos concede a los ciudadanos estadounidenses una serie de derechos en relación con la protección de los datos personales que facilitan a las entidades cubiertas de acuerdo con los fines comerciales, uno de los cuales es el derecho de los interesados a ser informados sobre su capacidad para ejercer los derechos que les otorga la ley. Más concretamente, estas políticas de privacidad deben abordar la forma en que una entidad cubierta pretende recoger, procesar, transferir y proteger la información personal que recopila de los interesados. Además, las entidades cubiertas deben notificar a los interesados cualquier modificación sustancial de sus políticas de privacidad.

Para ello, el proyecto de ley concede a los interesados numerosos derechos de privacidad, entre los que se incluyen los siguientes

• Derecho a acceder a sus datos personales.
• Derecho a rectificar sus datos personales.
• Derecho a suprimir sus datos personales.
• Derecho a la portabilidad de los datos.
• Derecho de consentimiento y oposición.
• Derecho de exclusión voluntaria.

Responsabilidad de las empresas

Cabe destacar que la Ley de Protección y Privacidad de Datos de Estados Unidos también contiene una disposición sobre responsabilidad corporativa que exige a los grandes titulares de datos que certifiquen que sus respectivas empresas mantienen “controles internos y estructuras de información razonables para el cumplimiento de la Ley”. Esta certificación debe presentarse anualmente, y la ley establece que los “funcionarios certificadores” llevarán a cabo una revisión de dichas certificaciones en un plazo de 90 días a partir de su presentación. Además, las entidades cubiertas también están obligadas a nombrar a uno o varios responsables de privacidad o seguridad de datos que se encargarán tanto de aplicar las políticas de privacidad de dichas entidades, como de garantizar que dichas entidades mantengan el cumplimiento de la ley.

Por otra parte, los terceros que recopilen información personal en nombre de las entidades cubiertas también deben cumplir las disposiciones sobre responsabilidad corporativa establecidas en la ley. Por ejemplo, se prohíbe a los terceros utilizar los datos personales que recojan de los interesados para fines distintos de los que les hayan indicado las entidades cubiertas que facilitaron dichas transacciones. Posteriormente, los terceros tienen en general las mismas obligaciones que las entidades cubiertas, “con la excepción de que, dado su papel no orientado al consumidor, sólo están obligados a ayudar a las entidades cubiertas para las que procesan datos cubiertos a satisfacer las solicitudes de los particulares para ejercer sus derechos en virtud de los artículos 203 y 204 de la Ley”.

Aunque la Ley de Privacidad y Protección de Datos de Estados Unidos es un proyecto de ley que puede que nunca llegue a aprobarse, el hecho de que pueda promulgarse una ley integral de protección de datos supone un avance positivo. Dado que los ciudadanos estadounidenses de todo el país entregan a diario sus datos a empresas, pequeños negocios y grandes corporaciones por igual, es de la máxima importancia una legislación federal que proteja estos datos personales del acceso, uso y divulgación no autorizados. Dado que prácticamente todas las demás naciones importantes del mundo han aprobado algún tipo de ley integral de protección de datos a partir de 2022, la presentación de la HR 8152 en el Congreso de EE.UU. se hizo esperar.