Ley de Protección de Datos en EE.UU

En Estados Unidos, la protección de datos personales se rige por un entramado complejo de leyes federales y estatales, sin una normativa única y general como el Reglamento General de Protección de Datos (RGPD) en Europa. A continuación, se ofrece una visión general del panorama actual.

¿Qué es esta Ley y cuándo entró en vigor?

Estados Unidos no cuenta con una ley federal integral de protección de datos. En su lugar, existen múltiples leyes sectoriales a nivel federal y diversas leyes estatales que abordan aspectos específicos de la privacidad y la protección de datos personales. Entre las principales leyes federales se encuentran:

• Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA): Promulgada en 1996, protege la información médica de los individuos.
• Ley de Protección de la Privacidad en Línea de los Niños (COPPA): Promulgada en 1998, regula la recopilación de información personal de menores de 13 años por parte de servicios en línea.
• Ley Gramm-Leach-Bliley (GLBA): Promulgada en 1999, obliga a las instituciones financieras a explicar sus prácticas de intercambio de información y a proteger la confidencialidad de los datos de sus clientes.
• Ley de Informe Justo de Crédito (FCRA): Promulgada en 1970, regula la recopilación y uso de la información crediticia de los consumidores.

¿Qué obligaciones establece?

Las obligaciones varían según la ley aplicable, pero en general incluyen:

• Transparencia: Informar a los consumidores sobre las prácticas de recopilación, uso y compartición de datos personales.
• Derechos del consumidor: Permitir a los individuos acceder, corregir, eliminar y, en algunos casos, portar sus datos personales.
• Consentimiento: Obtener el consentimiento del consumidor para ciertas actividades, especialmente en el caso de datos sensibles o de menores.
• Seguridad de los datos: Implementar medidas razonables para proteger los datos personales contra accesos no autorizados o divulgaciones.
• Notificación de violaciones: Informar a los consumidores y, en algunos casos, a las autoridades pertinentes sobre violaciones de seguridad que afecten datos personales.

¿En qué se diferencia del RGPD europeo?

• Enfoque legislativo: El RGPD es una ley integral y uniforme que se aplica en toda la Unión Europea, mientras que en EE. UU. existe una combinación de leyes sectoriales y estatales.
• Ámbito de aplicación: El RGPD tiene un alcance extraterritorial, aplicándose a empresas fuera de la UE que procesan datos de ciudadanos europeos. En EE. UU., las leyes suelen aplicarse a entidades dentro de su jurisdicción específica.
• Derechos del interesado: El RGPD otorga derechos amplios y detallados a los individuos, como el derecho al olvido y la portabilidad de datos, que no siempre están presentes en las leyes estadounidenses.
• Consentimiento: El RGPD requiere un consentimiento claro y afirmativo para el procesamiento de datos personales, mientras que en EE. UU. muchas leyes permiten el procesamiento basado en un modelo de exclusión voluntaria (opt-out).
• Autoridad supervisora: El RGPD establece autoridades de protección de datos en cada país miembro con poderes significativos, mientras que en EE. UU. no existe una autoridad centralizada equivalente.

¿En qué se diferencia de la LOPDGDD española?

• Uniformidad: La LOPDGDD se aplica de manera uniforme en todo el territorio español, mientras que en EE. UU. las leyes varían entre estados y sectores.
• Derechos digitales: La LOPDGDD introduce derechos digitales específicos, como el derecho a la desconexión digital, que no tienen equivalentes directos en las leyes estadounidenses.
• Sanciones: Las infracciones al RGPD y la LOPDGDD pueden conllevar sanciones significativas, mientras que en EE. UU. las sanciones varían según la ley aplicable y, en algunos casos, pueden ser menos severas.

¿Qué dice esta ley sobre el Delegado de Protección de Datos?

En el marco legal estadounidense, no existe una obligación general de designar un Delegado de Protección de Datos (DPO) como lo establece el RGPD. Sin embargo, algunas leyes sectoriales o estatales pueden requerir la designación de un responsable de privacidad o seguridad de la información. Por ejemplo, la HIPAA exige que las entidades cubiertas designen un oficial de privacidad responsable de desarrollar e implementar políticas y procedimientos de privacidad.

Enlace a la ley completa

Dado que no existe una ley federal única de protección de datos en EE. UU., se recomienda consultar las leyes específicas según el sector o el estado correspondiente. A continuación, se proporcionan enlaces a algunas de las principales leyes:

• HIPAA: Ley de Portabilidad y Responsabilidad de Seguros de Salud
• COPPA: Ley de Protección de la Privacidad en Línea de los Niños
• CCPA/CPRA: Ley de Privacidad del Consumidor de California y su enmienda

Para obtener información actualizada sobre las leyes estatales de privacidad, se puede consultar el siguiente recurso: Guía de leyes de privacidad de datos en EE. UU. por estado