Política de notificación de violaciones de seguridad en PA

73 Pa. Stat. § 2301, también conocida como Breach of Personal Information Notification Act, es una ley de notificación de violación de datos que se aprobó en el estado de Pensilvania en 2006. La Ley de Notificación de Violación de Datos Personales de Pensilvania representa el marco jurídico principal que rige los incidentes de violación de datos en el estado. Dicho esto, la ley establece los requisitos que las entidades y organizaciones empresariales del estado de Pensilvania deben cumplir en caso de que se produzca una violación de la seguridad. Además, 73 Pa. Stat. § 2301 también establece las penas y sanciones que pueden imponerse a quienes infrinjan la ley.

¿Cómo se define una violación de la seguridad en la Ley de Notificación de Violaciones de Pennsylvania?

Según la Ley de Notificación de Violación de Datos Personales de Pensilvania, una violación de seguridad se define como “el acceso no autorizado y la adquisición de datos informatizados que comprometen materialmente la seguridad o confidencialidad de la información personal mantenida por la entidad como parte de una base de datos de información personal relativa a múltiples individuos y que causa o la entidad cree razonablemente que ha causado o causará pérdidas o daños a cualquier residente de esta Commonwealth.” Por el contrario, la “adquisición de buena fe de información personal por parte de un empleado o agente de la entidad para los fines de la entidad no constituye una violación de la seguridad del sistema si la información personal no se utiliza para un fin distinto del fin lícito de la entidad y no es objeto de divulgación ulterior no autorizada.”

¿Cuáles son los requisitos de notificación de violaciones de datos?

Al igual que otras leyes de notificación de violación de datos que se han aprobado a nivel estatal en EE.UU., la Ley de Notificación de Violación de Datos Personales de Pensilvania obliga a las entidades y organizaciones empresariales del estado a notificar las violaciones de datos a todas las personas y partes afectadas en caso de que se produzca una violación de datos. Estas notificaciones deben proporcionarse a los consumidores sin demora injustificada y deben detallar el alcance y la gravedad de la violación, así como las categorías de información personal que se vieron comprometidas como resultado de la violación, entre otra información pertinente. Además, la ley también exige que las entidades notifiquen a las tres principales agencias de información crediticia de EE.UU. en los casos en que una violación de seguridad afecte a más de 1.000 consumidores de Pensilvania.

¿Qué categorías de información personal cubre la ley?

En virtud de la Ley de Notificación de Violación de Datos Personales de Pensilvania, las siguientes categorías de información personal están protegidas en caso de que se produzca una violación de datos, en combinación con el nombre y apellidos o la inicial del nombre y apellidos de un residente de Pensilvania, siempre que esta información no haya sido redactada o codificada:

• Números de la seguridad social.
• Números de carné de conducir y de tarjeta de identificación estatal.
• Números de cuentas financieras.
• Números de tarjetas de crédito y débito, así como cualquier código de seguridad requerido o códigos de acceso que pudieran utilizarse para conceder acceso a la cuenta financiera de una persona.

¿Cuáles son las sanciones por infringir la Ley?

En cuanto a la aplicación de la Ley de Notificación de la Violación de Datos Personales de Pensilvania, las disposiciones establecidas en la ley son aplicadas por el Fiscal General de Pensilvania. En este sentido, las entidades y organizaciones empresariales que infrinjan la ley están sujetas a numerosas penas y sanciones. Dichas penas incluyen sanciones civiles y desagravios. Además, “se considerará que las personas o entidades que actúen de una manera que se considere un acto o práctica desleal o engañosa infringen esta legislación, conocida como Ley de Prácticas Comerciales Desleales y Protección del Consumidor. La Fiscalía General tendrá el derecho exclusivo de perseguir las infracciones de esta ley. No se establecen limitaciones al alcance de las penas por estas violaciones”.

La promulgación de la Ley de Notificación de Violación de Datos Personales de Pensilvania en 2006 proporcionó a los residentes del estado protección legal en caso de que se produzca una violación de datos o un incidente relacionado. Dado que los Estados Unidos aún no han aprobado una ley nacional integral de privacidad de datos como el Reglamento General de Protección de Datos de la UE o GDPR, la legislación estatal como la Ley de Notificación de Violación de Información Personal de Pensilvania se erige como el principal medio por el cual el ciudadano estadounidense medio puede buscar alivio y asistencia cuando su información personal se ha visto comprometida o se ha divulgado indebidamente tras una violación de seguridad. Por lo tanto, los legisladores, tanto a nivel federal como estatal, tendrán que hacer de la seguridad de los datos y la privacidad personal una prioridad de cara al futuro, o se arriesgarán a poner en peligro la información personal de los ciudadanos estadounidenses.