El proyecto de ley federal de privacidad que se adelantaría a las leyes estatales de privacidad enfrenta un futuro incierto

Una nueva ley nacional de privacidad que promete a los estadounidenses muchos de los mismos derechos de privacidad del consumidor que el Reglamento General de Protección de Datos (GDPR) de la Unión Europea se está abriendo paso en el Congreso de los EE. UU. Sin embargo, el proyecto de ley propuesto no cumple con las protecciones de privacidad de datos ya consagradas en las leyes y regulaciones estatales de privacidad existentes.

El objetivo de la legislación federal es proporcionar una base nacional única para la privacidad de los datos de los consumidores, al mismo tiempo que proporciona supervisión gubernamental y cumplimiento por parte del Comisión Federal de Comercio (FTC). En realidad, la propuesta Ley estadounidense de privacidad y protección de datos no cumple con los puntos de referencia establecidos en el Ley de privacidad del consumidor de California (CCPA) de 2018, o en el reemplazo Ley de derechos de privacidad de California (CPRA), que entrará en vigor el 1 de enero de 2023, dicen los críticos.

La ley caería dentro del ámbito de la Comisión Federal de Comercio (FTC), lo que significa que solo cubre aquellos temas ya abordados por la FTC. Estos incluyen el fraude al consumidor, el robo de identidad, la privacidad de los niños y algunos problemas de seguridad cibernética.

Nancy Pelosi, una representante de California que, como presidenta de la Cámara, tiene el poder de evitar que el proyecto de ley llegue al pleno de la Cámara para su votación, emitió una declaración
el 1 de septiembre señalando que "la Ley de Protección y Privacidad de Datos de los Estados Unidos no garantiza las mismas protecciones esenciales para el consumidor que las leyes de privacidad existentes de California". Los expertos interpretan su declaración en el sentido de que no apoyará el proyecto de ley sin un nuevo lenguaje preventivo para proteger las leyes de California, y lo anularía en lugar de someterlo a votación.

En una carta abierta a los líderes del Congreso, 10 fiscales generales que representan a los estados que actualmente tienen leyes de privacidad alentaron al Congreso a aprobar una legislación que establece solo una línea de base para la privacidad. “Alentamos al Congreso a adoptar una legislación que establezca un piso federal, no un techo, para los derechos críticos de privacidad y respete el importante trabajo ya realizado por los estados para brindar fuertes protecciones de privacidad para nuestros residentes”, escribieron. Citaron las líneas de base federales existentes para otras leyes, incluidas las protecciones de privacidad del consumidor existentes, la privacidad de los niños y la privacidad de la salud, y HIPAA. “Cualquier marco federal de privacidad debe dejar espacio para que los estados legislen en respuesta a los cambios en la tecnología y las prácticas de recopilación de datos”, escribió el fiscal general en la carta. “Esto se debe a que los estados están mejor equipados para adaptarse rápidamente a los desafíos que presenta la innovación tecnológica que puede eludir la supervisión federal”.

La Electronic Frontier Foundation también envió una carta al representante Frank Pallone, presidente del Comité de Energía y Comercio de la Cámara de Representantes y patrocinador del proyecto de ley, solicitando que se refuercen las disposiciones del proyecto de ley federal y que se elimine la prioridad sobre los proyectos de ley estatales de privacidad. La Ley de privacidad de la información de Illinois, la CCPA y la Ley de corredores de datos de Vermont ya protegen a los consumidores, y otros estados están analizando propuestas similares. “Si bien EFF apoya la legislación federal que en realidad protege la privacidad de los datos del consumidor, nos hemos opuesto durante mucho tiempo a hacerlo si el precio es la preferencia de leyes estatales más estrictas”, escribió EFF en la carta.

California se opone a las protecciones debilitadas

El proyecto de ley también generó fuertes críticas de California, donde la Agencia de Protección de Privacidad de California emitió un memorando que recomienda que la delegación del Congreso de California, que constituye el 12% de la Cámara de Representantes, se oponga al proyecto de ley.

Los legisladores y funcionarios estatales de California citan varias áreas en las que afirman que la ley federal reduciría las protecciones de privacidad que actualmente brindan las leyes estatales existentes. Estos incluyen la reducción de las protecciones de privacidad para las personas que ven servicios relacionados con el aborto y la salud mental de los adolescentes.

El proyecto de ley federal, tal como está redactado actualmente, no permite que California recupere las sanciones monetarias asociadas con la aplicación de la ley federal. En contraste, CCPA actualmente permite la recuperación de sanciones significativas por las violaciones de la ley estatal.

Otros cambios que ADPPA haría para California, actualmente cubiertos por CCPA:

• Eliminación de la exclusión actual de la toma de decisiones automatizada
• Reemplazando la definición de California de Información Personal con una definición de datos cubiertos que no incluye algunos "datos derivados e identificadores únicos" según la ley de California
• Eliminación de ciertas protecciones con respecto a la no represalia por ejercer los derechos de privacidad
• Agregar un requisito para autenticar las solicitudes de exclusión global: la ley de California exige que las empresas respeten las señales de privacidad del navegador como opción de exclusión, mientras que ADPPA requiere una suscripción explícita para categorías confidenciales

Debbie Reynolds, experta mundial en privacidad y protección de datos y directora ejecutiva y directora de privacidad de Debbie Reynolds Consulting, dice que el proyecto de ley federal limita los derechos de privacidad solo al consumidor original de un dispositivo. Por ejemplo, si un asistente digital, como Alexa, está en una oficina, solo la empresa que compró el servicio de Alexa tendría su privacidad protegida. Cualquier empleado que esté sobre la cabeza del dispositivo discutiendo información privada no estaría protegido por la ley ya que no era el consumidor del servicio del dispositivo.

Fiona Campbell-Webster, directora de privacidad de MediaMath y ex asesora legal principal y directora de protección de datos global de Beeswax basada en la nube, una aplicación SaaS adquirida por Comcast, dice que hay consecuencias en la vida real.

“Creo que debemos tener en cuenta, antes de que se finalicen estas leyes, lo que eso significará para la experiencia de consumir contenido de interactuar en Internet”, dice. "Las preocupaciones sobre... las consecuencias no deseadas de las grandes plataformas que finalmente controlan todo".

Ella advierte que la privacidad tiene un precio. “Creo que sería una verdadera lástima ver un mundo en el que nos penalizaran si no pudiéramos pagar todos estos servicios diferentes que ahora obtenemos gratis de cierta manera”. Advirtió que algunas consecuencias no deseadas del proyecto de ley de privacidad podrían afectar negativamente a las pequeñas empresas, obligándolas a pagar costos más altos para cumplir con las nuevas regulaciones de privacidad.

Canadá considera legislación similar

Estados Unidos no es el único país de América del Norte que trabaja para crear un nuevo proyecto de ley de privacidad nacional. Canadá presentó la muy esperada Ley de Implementación de la Carta Digital, 2022 — Proyecto de ley C-27 — que reemplaza un proyecto de ley similar que no fue aprobado por el Parlamento canadiense en agosto de 2021. El proyecto de ley promulgaría la Ley de Protección de la Privacidad del Consumidor (CPPA), la Ley del Tribunal de Protección de Datos e Información Personal, y la Ley de Datos e Inteligencia Artificial, así como modificar otros actos existentes.

“Esta es una ley muy importante para Canadá”, dice David Goodis, socio de INQ Law en Toronto. “Se aplicará en todas las provincias y territorios excepto en Columbia Británica, Alberta y Quebec. Quebec aprobó su propia ley nueva y actualizada a principios de este año. BC y Alberta están considerando actualizar sus leyes, ahora muy antiguas. Además de Quebec, la CPPA será la ley de privacidad más moderna y estricta de Canadá, y estará aproximadamente a la par del RGPD de Europa y la CCPA de California”.

Hay algunas diferencias significativas entre el antiguo proyecto de ley C-11 y el nuevo proyecto de ley C-27, dice Goodis. “Hay varios deberes nuevos impuestos a las organizaciones que pueden generar sanciones monetarias si no se cumplen. Por ejemplo, las organizaciones deberán implementar un programa de gestión de la privacidad, asegurarse de que sus proveedores de servicios tengan una protección de privacidad equivalente cuando transfieran información personal de la empresa al proveedor de servicios, y asegurarse de que un proveedor de servicios que descubra una brecha de seguridad notifique a la organización. También hay una parte completamente nueva de la legislación que aborda las preocupaciones específicas sobre la protección de la privacidad de los niños”, explica.

Además, de acuerdo con análisis
del bufete de abogados de negocios globales DLA Piper, el antiguo proyecto de ley no reemplazó las leyes provinciales que son "sustancialmente similares" a la ley federal, lo que significaba que las provincias de Quebec, Alberta y Columbia Británica habrían podido aplicar sus leyes en su lugar. del federal. Si bien el nuevo proyecto de ley permite que el gobierno federal decida si las leyes provinciales son sustancialmente similares y, por lo tanto, se les permite mantenerse, aún no está claro si Alberta y la Columbia Británica aprobarán el examen: Quebec, que actualizó su ley de privacidad en 2021, se espera que esté exento.