¿Qué es la Ley de Privacidad y Seguridad de Datos de Texas (TDPSA)?
La Ley de Privacidad y Seguridad de Datos de Texas (TDPSA) se promulgó el 18 de junio de 2023, lo que convierte a Texas en el décimo estado de EE. UU. en autorizar una ley de privacidad integral que protege a los consumidores residentes.
La TDPSA toma prestados muchos estatutos de otras leyes estatales de privacidad, principalmente la Ley de Protección de Datos del Consumidor de Virginia (VCDPA) y la Ley de Privacidad del Consumidor de California (CCPA). Casi todas las disposiciones aprobadas como parte de la TDPSA entrarán en vigor el 1 de julio de 2024, el mismo día en que entra en vigor la Declaración de Derechos Digitales de la Florida (FDBR).
Las entidades que realizan negocios en Texas o producen un producto que consumen los residentes del estado serán las más afectadas por la TDPSA.
Descubra cómo la solución de ciberseguridad todo en uno de UpGuard puede ayudar a su empresa a lograr el cumplimiento >
¿Su empresa debe cumplir con la Ley de Privacidad y Seguridad de Datos de Texas?
A diferencia de otras leyes de privacidad de datos en los Estados Unidos, la aplicabilidad de la TDPSA no solo incluye a las grandes empresas que procesan una cantidad significativa de datos de consumidores. En cambio, la TDPSA se aplica ampliamente a una amplia variedad de organizaciones e individuos (descritos como controladores en la ley) que cumplen con TODOS los siguientes criterios:
- Realizar negocios en Texas o vender un producto o servicio que consumen los residentes de Texas
- Participar en el procesamiento o venta de datos personales
- La Administración de Pequeñas Empresas de los Estados Unidos (SBA, por sus siglas en inglés) no las define como una pequeña empresa
Nota importante: La Administración de Pequeñas Empresas de EE. UU. define una pequeña empresa como una organización con menos de 500 empleados. Sin embargo, la SBA también tiene una variedad de definiciones a nivel de la industria de "pequeña empresa", que pueden incluir un requisito de ingreso bruto.
¿Quién está exento de la TDPSA?
Las empresas adicionales, incluidas algunas sociedades de responsabilidad limitada (LLP), pueden estar exentas de la TDPSA si se encuentran en una de las siguientes categorías de exención general:
- Organizaciones sin fines de lucro
- Instituciones financieras sujetas a la Ley Gramm-Leach-Bliley (GLBA)
- Proveedores de atención médica sujetos a la Ley de Portabilidad y Responsabilidad de Seguros Médicos (HIPAA)
- Proveedores de educación superior
- Proveedores de servicios eléctricos
La TDPSA tampoco se aplica a los datos anónimos, la información protegida de los empleados, la información de atención médica (HIPAA), la información regulada por la Ley de Informes de Crédito Justos o cualquiera de estos tipos de información que procesa un socio comercial.
Derechos del Consumidor Otorgados Bajo la TDPSA
La TDPSA otorga a los residentes de Texas varios derechos con respecto a sus datos personales confidenciales y la recopilación de datos.
Los derechos de los consumidores otorgados en virtud de la TDPSA incluyen:
- El derecho a saber si un controlador está recopilando datos del consumidor, qué categorías de datos personales se están recopilando y si el controlador está participando en actividades de procesamiento (todo descrito en un aviso de privacidad)
- El derecho a corregir y eliminar inexactitudes en los datos que se han recopilado
- El derecho a recibir un informe digital portátil de los datos que se han recopilado (portabilidad de datos)
- El derecho a excluirse de la venta de datos personales, publicidad o elaboración de perfiles que sean el resultado de una preocupación legal en nombre del consumidor
- El derecho a apelar la denegación de cualquier otra protección otorgada por la TDPSA
Datos Personales vs. Datos Sensibles (TDPSA)
La TDPSA define en términos generales lo que constituye un dato personal. De acuerdo con la TDPSA, los datos personales incluyen cualquier información, incluidos los datos confidenciales, que pueda vincularse razonablemente a una persona identificable.
La TDPSA también establece explícitamente que los datos seudónimos utilizados junto con información adicional se consideran datos personales.
La ley define los datos sensibles de manera más estricta como cualquier dato personal que caiga en una de las siguientes categorías:
- Revela el origen racial o étnico, el estado de ciudadanía o el estado migratorio de una persona
- Indica el diagnóstico de salud mental o física de una persona
- Describe las creencias religiosas de una persona
- Datos personales genéticos o biométricos utilizados para identificar a una persona
- Muestra la geolocalización precisa de una persona
- Datos recopilados de un niño conocido
¿Cómo siguen cumpliendo los controladores con la TDPSA?
Para seguir cumpliendo con la TDPSA, los controladores deben seguir varias regulaciones de seguridad de datos para proteger los datos personales de un consumidor. Según el proyecto de ley de privacidad del Senado, los controladores deben:
- Proporcionar a los consumidores una política de privacidad que indique explícitamente qué tipos de datos se están recopilando o procesando y el uso previsto de los datos.
- Incluya una declaración en su política de privacidad que diga: "AVISO: Podemos vender sus datos confidenciales" si tienen la intención de vender datos biométricos u otros datos confidenciales.
- Practicar la minimización de datos, evitar usos secundarios de datos que no figuren en el aviso de privacidad público y realizar evaluaciones periódicas de protección de datos.
- Tomar medidas razonables para garantizar que los datos anonimizados no puedan rastrearse hasta ninguna persona o sujeto de datos.
- Autentique las solicitudes de los consumidores con prontitud
Nota importante: Si bien la mayoría de los estatutos de la TDPSA entrarán en vigencia el 1 de julio de 2024, los controladores tienen hasta el 1 de enero de 2025 para proporcionar a los consumidores un proceso para optar por no participar en la venta de sus datos, publicidad dirigida o elaboración de perfiles. Después de la fecha de entrada en vigencia, los controladores deben presentar a los consumidores una dirección (correo electrónico, número de teléfono gratuito o enlace) donde puedan completar el proceso de exclusión.
A medida que más y más estados aprueban legislación sobre privacidad, las empresas pueden esperar que el cumplimiento se vuelva cada vez más confuso. UpGuard ofrece a las organizaciones de todos los tamaños una solución integral de ciberseguridad para ayudar a combatir esta confusión, entre otras preocupaciones de seguridad.
La tecnología de riesgo de proveedores de UpGuard permite a las empresas automatizar su proceso de evaluación de riesgos de proveedores, recibir actualizaciones en tiempo real de su postura de seguridad y gestionar el cumplimiento de todos los proveedores en un flujo de trabajo central.
La tecnología BreachSight de UpGuard permite a las empresas monitorear de manera proactiva su superficie de ataque durante todo el día, ganar confianza en sus protecciones de ciberseguridad y proteger la reputación de su organización.
Además, UpGuard ofrece cuestionarios de seguridad que pueden permitir a las organizaciones hacer un balance del cumplimiento de la seguridad de su proveedor y elaborar un plan para remediar cualquier riesgo y vulnerabilidad críticos.
Requisitos contractuales entre controladores y procesadores
El estado de Texas ha esbozado los requisitos contractuales que los controladores y procesadores deben seguir en virtud de la TDPSA.
La TDPSA establece que los controladores deben:
- Esbozar instrucciones claras para el tratamiento de datos personales
- Indicar la finalidad de todas las actividades de tratamiento
- Los tipos de datos que son objeto de tratamiento
- La duración en la que se producirá el procesamiento
La TDPSA establece que los procesadores deben:
- Garantizar la confidencialidad de todos los datos personales
- Eliminar y devolver todos los datos al responsable del tratamiento después de completar el servicio
- Poner a disposición toda la información que obre en su poder para demostrar el cumplimiento.
- Cooperar con las evaluaciones de datos programadas por el responsable del tratamiento
- Restrinja a los subcontratistas a las mismas regulaciones que ellos mismos en virtud del contrato
Aplicación de la Ley de Privacidad y Seguridad de Datos de Texas
El gobernador Greg Abbott ha encomendado al Fiscal General de Texas (AG) la tarea de hacer cumplir la TDPSA. El Fiscal General llevará a cabo todas las acciones regulatorias asociadas con las leyes estatales del proyecto de ley. La TDPSA no otorga a los consumidores el derecho privado de acción contra las entidades cubiertas.
Si la oficina del Fiscal General considera que un controlador está violando la TDPSA, el Fiscal General debe proporcionar un aviso de 30 días a la entidad. Cualquier entidad que no subsane una violación dentro del período de subsanación de 30 días puede recibir una multa civil de hasta US$7500.
Las multas pueden acumularse rápidamente bajo la TDPSA; el Fiscal General contabiliza las infracciones de cada consumidor afectado. Por ejemplo, si 100 consumidores se vieran afectados por un incumplimiento en particular, la sanción civil se multiplicaría por 100.
Leyes de privacidad de datos en los Estados Unidos
>El movimiento de privacidad de datos que actualmente circula por los Estados Unidos fue principalmente una respuesta a la legislación establecida por la Unión Europea. El Reglamento General de Protección de Datos (RGPD) de la UE sentó un precedente sobre cómo responderían los estados de EE. UU. a los controladores que recopilan datos personales y otras preocupaciones sobre la privacidad de los consumidores.
Los siguientes estados han aprobado una legislación integral de protección de la privacidad:
California (CCPA)
Colorado (CPA)
Connecticut (CTDPA)
Indiana (INCDPA)
Iowa (ICDPA)
Montana (MTCDPA)
Tennessee (TIPA)
Texas (TDPSA)
Utah (UCPA)
Virginia (CDPA)