Requisitos en materia de violación de la seguridad en Connecticut

Conn. Gen Stat. §§ 36a-701b, 4e-70 es una ley de notificación de violación de datos que se aprobó en el estado norteamericano de Connecticut en 2012. Conn. Gen Stat. §§ 36a-701b, 4e-70 establece las directrices legales que deben seguir las agencias, empresas y organizaciones de Connecticut en caso de que dichas entidades se vean implicadas en una violación de datos o incidente de seguridad que provoque el acceso no autorizado o la divulgación de información personal relativa a residentes del estado. Además, la ley también establece las diversas sanciones y penas que pueden imponerse a quienes incumplan las diversas disposiciones establecidas en Conn. Stat. §§ 36a-701b, 4e-70.

¿Cómo se definen las violaciones de la seguridad en Conn. Gen Stat. §§ 36a-701b, 4e-70?

En virtud del Conn. Gen Stat. §§ 36a-701b, 4e-70, una violación de la seguridad se define como el “acceso no autorizado o la adquisición no autorizada de archivos electrónicos, medios de comunicación, bases de datos o datos informatizados que contengan información personal cuando el acceso a la información personal no haya sido asegurado mediante encriptación o por cualquier otro método o tecnología que haga que la información personal sea ilegible o inutilizable”. Alternativamente, en lo que respecta al alcance y aplicación de la ley, las disposiciones de Conn. Gen Stat. §§ 36a-701b, 4e-70 son aplicables a “cualquier individuo o empresa que adquiera, posea, conceda licencias o mantenga información cubierta. Las entidades no comerciales pueden estar sujetas a requisitos diferentes, y algunas entidades pueden estar exentas de algunos o todos los requisitos.”

¿Cuáles son los requisitos de las entidades cubiertas en virtud del Conn. Gen Stat. §§ 36a-701b, 4e-70?

Conn. Gen Stat. §§ 36a-701b, 4e-70 obliga a las empresas y organizaciones del Estado de Connecticut a proporcionar a los particulares avisos de violación de datos en caso de que dichas entidades sufran una violación de la seguridad durante el transcurso de sus operaciones. Más concretamente, estos avisos de violación de datos deben proporcionarse a los particulares lo antes posible y sin demoras indebidas, y también deben detallar las categorías de información personal que se vieron comprometidas como resultado de la violación, entre otras cosas. Además, la ley también obliga a las entidades cubiertas a proporcionar “servicios apropiados de prevención y mitigación del robo de identidad sin coste alguno durante 12 meses o más si los números de la Seguridad Social fueron vulnerados”, así como información que detalle los pasos que los particulares pueden dar para congelar sus archivos de crédito.

Además, las entidades cubiertas también son responsables de notificar al Fiscal General de Connecticut cualquier violación de la seguridad, a más tardar cuando los ciudadanos del Estado también hayan sido notificados de ello. Por el contrario, en lo que respecta a los métodos que las entidades cubiertas pueden utilizar para enviar notificaciones de violación de datos, la ley exige que todas las notificaciones de violación de datos se realicen por escrito, por teléfono o electrónicamente de forma coherente con E-sign. Los terceros que participan en negocios con entidades cubiertas dentro del estado de Connecticut también están obligados a adherirse a este protocolo de violación de seguridad.

¿Qué categorías de información personal están cubiertas por Conn. Gen Stat. §§ 36a-701b, 4e-70?

En virtud del Conn. Gen Stat. §§ 36a-701b, 4e-70, las siguientes categorías de información personal están cubiertas por la ley, en relación con el nombre y apellidos o inicial del nombre y apellidos de un residente en el estado de Connecticut:

• Números de la seguridad social.
• Números de carné de conducir y de tarjeta de identificación estatal.
• Cuentas financieras.
• Números de tarjetas de crédito y débito, así como cualquier código de seguridad o acceso necesario para acceder a dichas cuentas.

En cuanto a las sanciones a las que pueden enfrentarse las entidades cubiertas en caso de infringir alguna de las disposiciones de la ley, Conn. Gen Stat. §§ 36a-701b, 4e-70 es aplicada por el Fiscal General de Connecticut. Como tal, el Fiscal General de Connecticut está facultado para imponer sanciones civiles a las entidades cubiertas que infrinjan la ley. Además, las infracciones del Conn. Gen Stat. §§ 36a-701b, 4e-70 también “se consideran una práctica comercial desleal en virtud de 42-110b”. A diferencia de muchas otras leyes de notificación de violación de datos que se han aprobado en EE.UU., Conn. Gen Stat. §§ 36a-701b, 4e-70 no otorga a los ciudadanos del estado de Connecticut el derecho de acción privada en lo que respecta a las infracciones de la ley.

Mediante la aprobación de Conn. Gen Stat. §§ 36a-701b, 4e-70, se proporcionó a los ciudadanos del estado de Connecticut protección jurídica en caso de que se acceda indebidamente a su información personal o se divulgue como resultado de una violación de datos. Aunque las disposiciones de la ley son relativamente suaves si se comparan con las de otros estados, la ley garantiza que los residentes en Connecticut dispongan de los medios para reclamar justicia en caso de que su información personal se vea implicada en una violación de datos, especialmente si dicha implicación tiene consecuencias adversas para las personas afectadas.