La Ley de Privacidad de Datos de Connecticut (CTDPA)

Connecticut se unió recientemente a otros cuatro estados de EE. UU. al aprobar una ley integral de privacidad del consumidor, la Ley de Privacidad de Datos de Connecticut (CTDPA). La nueva ley, firmada por el Gobernador Ned Lamont el 10 de mayo de 2022, entra en vigor el 1 de julio de 2023, y da a las organizaciones un tiempo limitado para cumplir.

¿Qué es la Ley de Privacidad de Datos de Connecticut (CTDPA)?

La Ley de Privacidad de Datos de Connecticut (CTDPA) es una ley integral de privacidad de datos que protege los datos personales de los residentes de Connecticut. Incluye muchos de los mismos derechos, obligaciones y excepciones que las leyes de privacidad del consumidor vigentes en California, Colorado, Utah y Virginia. Aunque algunas áreas de la CTDPA reflejan estas otras leyes, también tiene algunas distinciones notables que las organizaciones deben considerar en sus estrategias de cumplimiento.

Esta página del glosario describe las disposiciones clave de la Ley de Privacidad de Datos de Connecticut, sus efectos en el panorama empresarial y cómo las organizaciones pueden asegurar el cumplimiento normativo en todo momento.

¿Qué hace la Ley de Privacidad de Datos de Connecticut?

La Ley de Privacidad de Datos de Connecticut (CTDPA) establece un marco integral para proteger los datos personales de los residentes de Connecticut. Define las responsabilidades de las empresas que procesan, recopilan o almacenan datos sobre los residentes de Connecticut, y otorga derechos a esos mismos individuos. La CTDPA, por ejemplo, prohíbe la venta de información derivada de datos personales, con algunas excepciones.

La Ley de Privacidad de Datos de Connecticut (CTDPA) se aplica a las entidades que operan dentro de Connecticut o que producen bienes o servicios dirigidos a los residentes de Connecticut, que durante el año calendario anterior procesaron datos personales de al menos 100,000 consumidores o generaron más del 25% de sus ingresos brutos de ventas de datos personales de al menos 25,000 consumidores. No se aplica a entidades que procesan datos personales únicamente para transacciones de pago. No incluye un umbral de ingresos anuales, lo que significa que no se aplica a empresas con ciertos ingresos anuales.

Definición de Términos Clave Bajo la Ley de Privacidad de Datos de Connecticut

La CTDPA establece un conjunto de definiciones para explicar el alcance de la ley. Es importante estar al tanto de estas definiciones para entender las responsabilidades impuestas a las empresas y los derechos otorgados a los residentes de Connecticut.

• Consumidor: cualquier residente de Connecticut y excluye explícitamente a individuos que actúan en un contexto comercial o laboral.
• Controlador: una persona o entidad responsable de la recopilación y procesamiento de datos personales.
• Procesador: una persona o entidad que procesa datos personales en nombre de un controlador.
• Tercero: una persona o entidad que no es un controlador ni un procesador.
• Datos Personales: cualquier información que se relacione con un individuo identificable. Sin embargo, la Ley excluye los datos desidentificados y los datos disponibles públicamente de la definición de datos personales.
• Venta de Datos Personales: el intercambio de datos personales por una contraprestación monetaria u otra consideración valiosa por parte del controlador a un tercero; sin embargo, las divulgaciones públicas a un procesador o a un afiliado del controlador no cuentan.
• Información Disponible Públicamente: información legalmente disponible a través de registros gubernamentales o medios de comunicación ampliamente distribuidos, y el controlador tiene una base razonable para creer que el consumidor ha hecho la información disponible al público de manera legal.
• Datos Sensibles: cualquier dato personal que revele la raza, creencias religiosas, salud, orientación sexual, antecedentes penales o información biométrica de una persona.
• Patrón Oscuro: cualquier práctica utilizada para ofuscar o engañar a los consumidores sobre la recopilación y procesamiento de sus datos personales.

¿Cuáles son los Derechos del Consumidor Bajo la Ley de Privacidad de Datos de Connecticut?

La Ley de Privacidad de Datos de Connecticut (CTDPA) otorga a los consumidores el derecho de acceder y controlar cómo se utilizan sus datos. Todos los consumidores tienen el derecho de confirmar si sus datos están siendo procesados y de solicitar una copia de los datos que ya han sido proporcionados al controlador. Además, los consumidores tienen el derecho de eliminar sus datos, optar por no participar en el procesamiento para publicidad dirigida, y actualizar o corregir inexactitudes. Las solicitudes para estas acciones, que deben ser atendidas dentro de 45 días, no pueden estar sujetas a una tarifa a menos que la solicitud sea la segunda o subsiguiente del consumidor dentro del mismo período de 12 meses.

La CTDPA también proporciona a los consumidores la capacidad de asignar un agente autorizado que pueda actuar en nombre del consumidor para realizar solicitudes. El controlador debe verificar la identidad tanto del consumidor como la autoridad del agente antes de atender la solicitud.

Para proteger los datos de los consumidores, los procesadores deben adherirse a las instrucciones del controlador e implementar los controles de seguridad apropiados. También deben asistir al controlador en el cumplimiento de sus obligaciones, idealmente acordadas mediante un contrato vinculante. Este contrato debe especificar las instrucciones para procesar los datos, el propósito y duración del procesamiento, y los derechos y obligaciones de ambas partes. Al proporcionar a los consumidores estos derechos, así como al delinear las obligaciones del procesador, la CTDPA asegura que los consumidores tengan control y acceso a sus datos.

Obligaciones de los Controladores Bajo la Ley de Privacidad de Datos de Connecticut

La Ley de Privacidad de Datos de Connecticut (CTDPA) pone la responsabilidad en el controlador respecto a la recopilación de datos, para operar de acuerdo con principios comunes como la limitación de propósito y la minimización de datos. Los controladores también deben obtener el consentimiento para el uso secundario de los datos y cualquier divulgación de esos datos a terceros. Para asegurar que el consumidor esté al tanto de sus derechos y cómo ejercerlos, el controlador debe hacer ciertas divulgaciones, como los tipos de datos recopilados, el propósito de su uso, una forma de contactar al controlador, y una manera segura para que el consumidor ejerza sus derechos. El controlador también no debe procesar datos sensibles sin obtener el consentimiento del consumidor y debe tener un mecanismo para que el consumidor revoque su consentimiento.

Los controladores deben realizar y documentar una evaluación de protección de datos para sus actividades de procesamiento que tengan un riesgo elevado de daño al consumidor, como la publicidad dirigida o la venta de datos personales. Cuando se han realizado tales evaluaciones que son similares en alcance y efecto a los requisitos de la CTDPA, pueden ser utilizadas para satisfacer el requisito. La CTDPA existe para asegurar que los datos del consumidor estén protegidos, mientras que la conciencia de los derechos de los consumidores también se incrementa, creando un entorno de procesamiento de datos seguro y confiable.

¿Cómo se Aplicará la CTDPA?

La CTDPA será aplicada por el Fiscal General de Connecticut. El Fiscal General puede investigar cualquier violación de la CTDPA y, si es necesario, emprender acciones legales civiles para hacer cumplir sus requisitos. Además, el Fiscal General puede buscar daños en nombre de los consumidores.

¿Cuáles son las Sanciones por No Cumplir con la CTDPA?

Las entidades o individuos que violen la CTDPA pueden enfrentar sanciones civiles de hasta $5,000 por violación, de acuerdo con la Ley de Prácticas Comerciales Desleales de Connecticut. Además de las sanciones civiles, el Fiscal General también puede buscar medidas cautelares, restitución o devolución de ganancias.

Comunicaciones de Contenido Sensible y la CTDPA

La Ley de Privacidad de Datos de Connecticut es una ley importante que establece un marco integral para proteger los datos personales de los residentes de Connecticut. Impone obligaciones a las empresas que procesan, recopilan y almacenan datos sobre los residentes de Connecticut, y otorga derechos a esos mismos consumidores. Al comprender las definiciones, derechos, obligaciones y sanciones en la Ley de Privacidad de Datos de Connecticut, las empresas pueden asegurar mejor el cumplimiento de la ley y proteger la privacidad de los residentes de Connecticut.

Para cumplir con la CTDPA, las empresas deben tomar medidas para rastrear, controlar y asegurar adecuadamente las comunicaciones digitales de información personal identificable (PII) perteneciente a los residentes de Connecticut. Los enfoques tradicionales de aislar los canales de comunicación, como el correo electrónico, el uso compartido de archivos, los formularios web y las transferencias de archivos, han resultado en metadatos bifurcados que dificultan la gobernanza central y la gestión del riesgo asociado con la PII.

Afortunadamente, Kiteworks proporciona una solución innovadora para ayudar a las empresas a abordar este problema. Al consolidar las comunicaciones digitales en una Red de Contenido Privado, Kiteworks permite a las organizaciones asegurar el cumplimiento con la CTDPA mientras unifican, rastrean, controlan y aseguran la PII compartida y enviada dentro, hacia y fuera de la organización. Como resultado, Kiteworks puede ser una herramienta poderosa para las empresas de Connecticut que buscan cumplir con la Ley de Privacidad de Datos de Connecticut (CTDPA).

Mira un video breve sobre cómo Kiteworks habilita las Redes de Contenido Privado. O simplemente programa una demostración personalizada hoy mismo para ver la plataforma Kiteworks en acción.

Volver al Glosario de Riesgo y Cumplimiento