Dos nuevas leyes de privacidad en Estados Unidos

Dos nuevas leyes de privacidad estatales han entrado en vigor en los Estados Unidos (las de Colorado y Connecticut) y se espera una más antes de que finalice 2023 (la de Utah), informó el sitio de noticias Axios. En 2026 habrá 9 normas estatales en activo.

• Desde la aprobación de la ley de California en 2018 se han sumado a la lista Virginia, Colorado, Connecticut, Utah (31 de diciembre, 2023), Tennessee (1 de julio, 2024), Montana (1 de octubre, 2024), Iowa (1 de enero, 2025) e Indiana (1 de enero, 2026).

¿Por qué importa? Estados Unidos no cuenta con una ley federal, lo que ha permitido que los estados diseñen sus propias normas, creando una hidra regulatoria que dificulta el cumplimiento de las compañías y el entendimiento de los ciudadanos. 

Las regulaciones de Colorado y Connecticut entraron en vigor el sábado 1 de julio de 2023. Al igual que en la regulación mexicana, estas leyes contemplan los derechos ARCO:

• acceso: derecho a saber qué datos tienen de ti, cuál es el motivo de su recolección y qué uso se les está dando, además de solicitar una copia
• rectificación: derecho a corregir o actualizar tus datos personales
• cancelación: derecho a que tus datos sean borrados si no existe impedimento legal
• oposición: derecho a suspender el tratamiento de tus datos personales

Sí es sí y no es no. Las regulaciones también priorizan el consentimiento, un mecanismo clave para el tratamiento de la información personal, sobre todo cuando se trata de datos sensibles o se procesan datos de menores de edad.

Vigilancia y cumplimiento. Los fiscales de Colorado y Connecticut serán responsables de garantizar el cumplimiento de las nuevas leyes. En el modelo mexicano existe una agencia federal para vigilar al gobierno federal y a las compañías privadas (también existe burocracia estatal, limitada a vigilar el uso legítimo de los datos en posesión de los gobiernos de los estados).

El paradigma comercial. Las leyes estatales imponen requisitos para que una entidad privada esté obligada al cumplimiento regulatorio, lo que puede ocurrir por:

1. los ingresos anuales totales de una compañía (casos California y Utah)
2. la cantidad de datos recabados de ciudadanos de un estado por una compañía (todos los casos, comenzando con 50,000 registros)
3. la cantidad de datos revendidos de ciudadanos de un estado por una compañía a terceros (todos los casos)

Se trata de un paradigma comercial parte de la tradición estadounidense de considerar la protección de la privacidad como un asunto de nivelación de poder entre proveedores y consumidores.

El asunto, en cualquier caso, tiende a balcanizarse:

• El Congreso de Estados Unidos no se ha puesto de acuerdo para crear una normativa federal, principalmente por las presiones de la industria de la tecnología, la vanguardia en la recolección y tratamiento de datos personales con fines lucrativos.
• Y si no hay una regulación federal, lo que tendremos serán leyes de privacidad estatales en la mejor tradición de la autonomía legislativa y judicial de los estados en Estados Unidos.

Comentarios