Descubriendo la Ley de Privacidad de Datos Personales de Delaware

En una era donde la protección de datos personales, es decir, información personal identificable e información de salud protegida (PII/PHI), se ha vuelto primordial, la introducción de la Ley de Privacidad de Datos Personales de Delaware (DPDPA) marca el último capítulo en la narrativa legislativa de los Estados Unidos sobre la privacidad de datos. Como la séptima ley estatal integral de privacidad aprobada en 2023 (actualmente, no existe una ley nacional de privacidad de datos en EE. UU.), la DPDPA dicta ciertas prácticas comerciales como notificaciones de privacidad, salvaguardias de datos y estipulaciones de consentimiento. Este artículo tiene como objetivo proporcionar un examen detallado de las estipulaciones de la DPDPA.

Visión General de la Ley de Privacidad de Datos Personales de Delaware

La Ley de Privacidad de Datos Personales de Delaware (DPDPA) se une a la creciente lista de leyes de protección de privacidad de datos estatales en EE. UU., proporcionando derechos de protección de datos integrales a los consumidores. La DPDPA se aplica a las entidades que realizan negocios en Delaware o producen bienes o servicios dirigidos a los residentes de Delaware. Las empresas deben cumplir si cumplen con uno de los dos siguientes criterios:

1. Han controlado o procesado datos personales de más de 35,000 consumidores, o
2. Han procesado datos personales de más de 10,000 consumidores y derivado más del 20% de sus ingresos de la venta de datos personales.

A diferencia de otras leyes estatales de privacidad de datos, la DPDPA no otorga exenciones universales para entidades cubiertas bajo la Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA), ni ofrece una excepción amplia para organizaciones sin fines de lucro. Sin embargo, la DPDPA proporciona una exención a nivel de entidad para empresas cubiertas por la Ley Gramm-Leach-Bliley (GLBA), presumiblemente para evitar redundancias y sobre-regulación.

Al igual que las leyes de privacidad de datos de los estados de Colorado, Connecticut y Oregón, la DPDPA estipula un proceso de opt-in para el manejo de datos sensibles, reconoce señales de preferencia de opt-out y manda una provisión de opt-out para la elaboración de perfiles vinculados a decisiones automatizadas que puedan producir efectos legales o igualmente cruciales en los consumidores.

Definición de Datos Sensibles Bajo la DPDPA

Según la DPDPA, “datos sensibles” se refiere a tipos específicos de información que incluyen:

• Orígenes raciales o étnicos de un individuo
• Sus creencias religiosas
• Sus condiciones de salud mental o física, incluyendo si están embarazadas o no
• Detalles sobre su vida sexual
• Su orientación sexual
• Su estatus como transgénero o no binario
• Estatus de ciudadanía o inmigración
• Cualquier dato genético o biométrico que puedan tener
• Cualquier dato relacionado con niños
• Datos de geolocalización precisa

Es importante señalar que la DPDPA requiere que las empresas obtengan un consentimiento válido de un residente del estado (o de un padre/tutor en el caso de datos de un niño) antes de procesar cualquier dato sensible.

Esta amplia definición de datos sensibles refleja un cambio en otras leyes estatales de privacidad, incluyendo elementos novedosos como datos sobre el estatus transgénero o no binario, y datos genéticos. Además, la DPDPA es una de las pocas leyes estatales de privacidad que explícitamente considera el estatus de embarazo como parte de los datos sensibles, haciendo su definición una de las más completas entre las leyes estatales.

¿Quiénes Son los Consumidores, Controladores y Procesadores Bajo la Ley de Privacidad de Datos Personales de Delaware?

Bajo la DPDPA, los consumidores se definen como residentes de Delaware. Los controladores se refieren a las empresas que determinan por qué y cómo se procesan los datos personales, y los procesadores son entidades que procesan datos personales en nombre de un controlador.

La DPDPA designa numerosas obligaciones esenciales para los controladores de datos. Por ejemplo, los controladores de datos deben:

• Restringir la recopilación de datos personales a lo que se considere pertinente, sustancial y justificadamente necesario en relación con por qué se están procesando los datos
• Evitar usar datos personales para cualquier objetivo que no sea razonablemente necesario o compatible con los propósitos divulgados para los cuales se están procesando los datos
• Establecer, lanzar y mantener métodos de seguridad apropiados para proteger la confidencialidad, integridad y accesibilidad de los datos personales
• Evitar procesar datos sensibles relacionados con un consumidor sin obtener primero la aprobación del consumidor
• Abstenerse de procesar datos personales de una manera que entre en conflicto con las leyes estatales o federales de Delaware que prohíben la discriminación ilegal
• Proporcionar una vía eficiente para que un consumidor retire su consentimiento y detenga el procesamiento de los datos dentro de los 15 días tras recibir dicha solicitud de revocación
• Abstenerse de procesar los datos personales de un consumidor para publicidad dirigida o vender los datos personales del consumidor sin el consentimiento del consumidor, particularmente cuando el consumidor tiene entre 13 y 18 años
• Evitar mostrar prejuicios contra un consumidor por ejercer cualquiera de sus derechos como consumidor

Kiteworks presume una larga lista de logros en cumplimiento y certificación.

Derechos Definidos por la Ley de Privacidad de Datos Personales de Delaware

La Ley de Privacidad de Datos Personales de Delaware no solo proporciona una definición amplia de datos sensibles para proteger la privacidad de los residentes de Delaware, sino que también otorga varios derechos a los consumidores con base en Delaware. Estos derechos incluyen:

Los Residentes de Delaware Tienen el Derecho de Solicitar Acceso a Sus Datos Personales

Bajo la DPDPA, los residentes de Delaware tienen el derecho de solicitar acceso a sus datos personales y el derecho de saber si una corporación los está recopilando y utilizando, a menos que hacerlo revele los secretos comerciales de la corporación. Este derecho permite a los individuos mantener el control sobre su información personal. Requiere que las corporaciones, si se les solicita, divulguen los datos personales que han recopilado, cómo se utilizan y si se han divulgado a terceros. Sin embargo, las corporaciones no están obligadas a proporcionar dicha información si revelaría secretos comerciales que impactarían negativamente su capacidad para competir en su respectivo mercado. Este derecho equilibra el secreto corporativo y los derechos de privacidad individuales.

Los Residentes de Delaware Tienen el Derecho de Solicitar Que Se Corrijan Cualquier Error o Inconsistencia en Sus Datos Personales

La DPDPA proporciona a los individuos el derecho a la corrección rápida de inexactitudes en los datos personales que se tienen sobre ellos. Este derecho es crítico para asegurar que los datos no se utilicen de manera engañosa o perjudicial. Este derecho asume que cualquier incorrecta o mala representación de los datos puede tener consecuencias graves, y por lo tanto esta disposición permite a los individuos asegurar que sus datos sean precisos.

Los Residentes de Delaware Tienen el Derecho de Solicitar Que Se Elimine Cualquier Información Personal Que la Empresa Haya Acumulado o Recopilado Sobre Ellos

Conocido comúnmente como “el derecho al olvido”, esta disposición aborda los datos personales de un residente de Delaware que ya no son necesarios para el propósito para el cual fueron recopilados. Empodera a los residentes de Delaware para solicitar que cualquier dato que se tenga sobre ellos sea eliminado, protegiendo contra el posible uso indebido o acceso no autorizado.

Los Residentes de Delaware Tienen el Derecho de Obtener una Copia de los Datos Personales Que la Empresa Ha Procesado en un Formato Útil y Portátil

Esta disposición de la Ley de Privacidad de Datos Personales de Delaware asegura que los individuos puedan recibir una copia de sus datos personales en un formato estructurado, común y legible por máquina. Esto puede permitirles cambiar entre proveedores de servicios con facilidad y puede promover la competencia.

Los Residentes de Delaware Tienen la Opción, Con Algunas Restricciones, de Rechazar Algunos Usos de Sus Datos Personales, Como la Publicidad Dirigida y la Venta de Datos

La DPDPA permite a los residentes de Delaware objetar, en ciertas circunstancias, que sus datos personales sean utilizados para propósitos como la publicidad dirigida y la venta de datos. Esta disposición empodera a los residentes de Delaware para expresar consentimiento o disenso en escenarios específicos y ayuda a prevenir la explotación no deseada de datos personales. Este derecho demuestra el énfasis de la DPDPA en el consentimiento, la transparencia y el control individual sobre los datos personales.

¿Qué Es el Aviso de Privacidad de la DPDPA?

Bajo la DPDPA, se requiere que las empresas proporcionen a los consumidores un Aviso de Privacidad integral. El Aviso de Privacidad está destinado a mantener la transparencia y conformidad con las obligaciones legales de la DPDPA. El Aviso de Privacidad debe ser fácilmente accesible, comprensible y significativo para comunicar efectivamente los siguientes detalles:

• Los tipos de datos personales que la empresa procesa o maneja
• Los propósitos específicos para los cuales se procesan estos datos personales
• Instrucciones claras sobre cómo los consumidores pueden hacer valer sus derechos con respecto a sus datos personales
• Las categorías de datos personales que la empresa comparte con entidades de terceros
• Información sobre las entidades de terceros con las que la empresa comparte datos personales
• Detalles de contacto para la empresa, incluyendo una dirección de correo electrónico u otros métodos en línea, a través de los cuales los consumidores pueden iniciar comunicación

Esta información agiliza el proceso de manejo de datos y asegura a los consumidores con base en Delaware que sus datos están siendo gestionados en cumplimiento con la DPDPA.

¿Cómo Se Hace Cumplir la Ley de Privacidad de Datos Personales de Delaware?

La DPDPA, programada para entrar en vigor el 1 de enero de 2025, será aplicada por el Departamento de Justicia de Delaware. El Departamento tiene el mandato de supervisar la aplicación de la Ley, investigar posibles violaciones y llevar a cabo procesamientos cuando sea necesario.

La DPDPA comprende un período de remedio único de 60 días para las empresas en violación de la ley de privacidad y les proporciona una ventana para resolver cualquier infracción. Sin embargo, esta disposición está programada para expirar el 31 de diciembre de 2025, y el período de remedio se volverá discrecional.

El Departamento de Justicia de Delaware puede considerar las infracciones de la DPDPA como prácticas comerciales desleales, con cada violación llevando una pena máxima de $10,000.

Kiteworks Ayuda a las Empresas a Demostrar Cumplimiento con la DPDPA

La Red de Contenido Privado de Kiteworks ayuda a las empresas a asegurar el cumplimiento con la Ley de Privacidad de Datos Personales de Delaware. Kiteworks ofrece una plataforma segura para gestionar y compartir información sensible como datos personales, un requisito esencial bajo la DPDPA. Kiteworks proporciona rigurosos controles de seguridad para proteger la información personal de los consumidores, incorporando autenticación multifactor, controles de políticas granulares, permisos basados en roles, integraciones de infraestructura de seguridad, y cifrado de extremo a extremo.

Kiteworks consolida canales de comunicación de terceros como correo electrónico, uso compartido de archivos, y transferencia de archivos en una sola plataforma, protegida por un dispositivo virtual reforzado auto-contenido y preconfigurado.

Cada archivo que contiene PII de un consumidor es rastreado a medida que entra, se mueve a través de, o sale de una organización. Rastrear toda la actividad de archivos, es decir, quién envió qué a quién y cuándo, permite a las empresas señalar comportamientos anómalos, realizar análisis forenses, cumplir con solicitudes de retención legal, y demostrar cumplimiento con muchas leyes y estándares de privacidad de datos.

Para obtener más información sobre la Red de Contenido Privado de Kiteworks y cómo tu empresa puede cumplir con la Ley de Privacidad de Datos Personales de Delaware, programa una programa una demostración personalizada hoy.

Volver al Glosario de Riesgo y Cumplimiento