La privacidad de datos en los EE. UU. es, en muchos sentidos, un vacío legal. Si bien existen protecciones limitadas para los datos financieros y de salud, la cuna de las empresas tecnológicas más grandes del mundo, como Apple, Amazon, Google y Meta (Facebook), carece de una ley federal integral de privacidad de datos. Esto deja a los ciudadanos estadounidenses con protecciones de privacidad de datos mínimas en comparación con los ciudadanos de otras naciones. Pero eso podría estar a punto de cambiar.

Con un raro apoyo bipartidista, la Ley de Protección de Datos y Privacidad de los Estados Unidos salió del Comité de Energía y Comercio de la Cámara de Representantes de EE. UU. con una votación de 53 a 2 el 20 de julio de 2022. El proyecto de ley aún debe aprobarse en la Cámara y el Senado en pleno. y las negociaciones están en curso. Dada la estrategia de prácticas de datos responsables de la administración de Biden, es probable que la Casa Blanca respalde si se aprueba una versión del proyecto de ley.

Como erudito legal y abogado que estudia y practica la tecnología y la ley de privacidad de datos, he estado siguiendo de cerca la ley, conocida como ADPPA. Si se aprueba, alterará fundamentalmente la ley de privacidad de datos de EE. UU.

ADPPA llena el vacío de privacidad de datos, incorpora la prioridad federal sobre algunas leyes estatales de privacidad de datos, permite a las personas presentar demandas por violaciones y cambia sustancialmente la aplicación de la ley de privacidad de datos. Como todos los grandes cambios, ADPPA está recibiendo críticas mixtas de los medios, académicos y empresas. Pero muchos ven el proyecto de ley como un triunfo para la privacidad de datos de EE. UU. que proporciona un estándar nacional necesario para las prácticas de datos.

¿A quién y qué regulará ADPPA?

ADPPA se aplicaría a las entidades "cubiertas", es decir, cualquier entidad que recopile, procese o transfiera datos cubiertos, incluidas las organizaciones sin fines de lucro y los propietarios únicos. También regula a los proveedores de telefonía celular e Internet y otros operadores comunes, con cambios potencialmente preocupantes en la regulación federal de comunicaciones. No aplica para entidades gubernamentales.

ADPPA define los datos "cubiertos" como cualquier información o dispositivo que identifique o pueda vincularse razonablemente a una persona. También protege los datos biométricos, los datos genéticos y la información de geolocalización.

El proyecto de ley excluye tres grandes categorías de datos:datos no identificados, datos de empleados e información disponible públicamente. Esa última categoría incluye cuentas de redes sociales con configuraciones de privacidad abiertas al público. Si bien la investigación ha demostrado repetidamente que los datos desidentificados pueden volver a identificarse fácilmente, la ADPPA intenta abordar eso exigiendo a las entidades cubiertas que tomen "medidas técnicas, administrativas y físicas razonables para garantizar que la información no pueda, en ningún momento, usarse para volver a identificar". cualquier persona o dispositivo".

Cómo ADPPA protege sus datos

La ley requeriría que la recopilación de datos sea lo más mínima posible. El proyecto de ley permite que las entidades cubiertas recopilen, usen o compartan los datos de una persona solo cuando sea razonablemente necesario y proporcionado a un producto o servicio que la persona solicite o para responder a una comunicación que la persona inicie. Permite la recogida para autenticación, incidencias de seguridad, prevención de actividades ilícitas o daños graves a las personas, y cumplimiento de obligaciones legales.

Las personas obtendrían derechos de acceso y tendrían cierto control sobre sus datos. ADPPA otorga a los usuarios el derecho de corregir imprecisiones y potencialmente eliminar sus datos en poder de entidades cubiertas.

El proyecto de ley permite la recopilación de datos como parte de la investigación para el bien público. Permite la recopilación de datos para investigaciones revisadas por pares o investigaciones realizadas en interés público, por ejemplo, probar si un sitio web discrimina ilegalmente. Esto es importante para los investigadores que, de lo contrario, podrían infringir los términos del sitio o las leyes de piratería informática.

La ADPPA también tiene una disposición que aborda el problema del servicio condicionado al consentimiento:esos molestos recuadros de "Acepto" que obligan a las personas a aceptar un revoltijo de términos legales. Cuando hace clic en una de esas casillas, renuncia contractualmente a sus derechos de privacidad como condición para simplemente usar un servicio, visitar un sitio web o comprar un producto. El proyecto de ley evitará que las entidades cubiertas utilicen el derecho contractual para eludir las protecciones del proyecto de ley.

Buscando orientación en la ley federal de vigilancia electrónica

La Ley de privacidad de las comunicaciones electrónicas de los EE. UU. puede proporcionar orientación a los legisladores federales para finalizar la ADPPA. Al igual que la ADPPA, la legislación ECPA de 1986 involucró una revisión masiva de la ley de privacidad electrónica de los EE. UU. para abordar los efectos adversos para la privacidad individual y las libertades civiles que plantean las tecnologías avanzadas de vigilancia y comunicación. Una vez más, los avances en las tecnologías de vigilancia y datos, como la inteligencia artificial, están afectando significativamente los derechos de los ciudadanos.

ECPA, que aún está en vigor hoy, proporciona un estándar nacional de referencia para las protecciones de vigilancia electrónica. ECPA protege las comunicaciones de la intercepción a menos que una de las partes de la comunicación dé su consentimiento. Pero la ECPA no evita que los estados aprueben leyes más protectoras, por lo que los estados pueden optar por otorgar mayores derechos de privacidad. El resultado final:aproximadamente una cuarta parte de los estados de EE. UU. exigen el consentimiento de todas las partes para interceptar una comunicación, lo que brinda a sus ciudadanos mayores derechos de privacidad.

El equilibrio federal/estatal de la ECPA ha funcionado durante décadas, y la ECPA no ha abrumado a los tribunales ni destruido el comercio.

Preferencia nacional

Tal como está redactado, ADPPA se antepone a algunas leyes estatales de privacidad de datos. Esto afecta la Ley de Privacidad del Consumidor de California, aunque no se antepone a la Ley de Privacidad de la Información Biométrica de Illinois ni a las leyes estatales que regulan específicamente la tecnología de reconocimiento facial. Sin embargo, las disposiciones de preferencia están cambiando a medida que los miembros de la Cámara continúan negociando el proyecto de ley.

Los estándares nacionales de ADPPA proporcionan requisitos de cumplimiento uniformes, al servicio de la eficiencia económica; pero su prioridad sobre la mayoría de las leyes estatales tiene preocupados a algunos académicos, y California se opone a su aprobación.

Si se mantiene la preferencia, cualquier versión final de la ADPPA será la ley del país, lo que limitará a los estados de proteger más firmemente la privacidad de los datos de sus ciudadanos.

Derecho privado de acción y ejecución

ADDPA establece un derecho de acción privado, que permite a las personas demandar a las entidades cubiertas que violan sus derechos bajo ADPPA. Eso le da un gran impulso a los mecanismos de aplicación del proyecto de ley, aunque tiene restricciones significativas.

La Cámara de Comercio de EE. UU. y la industria tecnológica se oponen a un derecho de acción privado y prefieren que la aplicación de la ADPPA se limite a la Comisión Federal de Comercio. Pero la FTC tiene mucho menos personal y muchos menos recursos que los abogados litigantes de EE. UU.

ECPA, en comparación, tiene un derecho privado de acción. No ha abrumado a los tribunales ni a las empresas, y es probable que las entidades cumplan con la ECPA para evitar litigios civiles. Además, los tribunales han perfeccionado los términos de la ECPA, proporcionando un precedente claro y pautas de cumplimiento comprensibles.

¿Qué tan grandes son los cambios?

Los cambios en la ley de privacidad de datos de EE. UU. son grandes, pero ADPPA brinda la seguridad y la protección de datos que tanto necesitan los ciudadanos de EE. UU., y creo que funciona con ajustes.

Dada la forma en que funciona Internet, los datos fluyen de forma rutinaria a través de las fronteras internacionales, por lo que muchas empresas estadounidenses ya han incorporado el cumplimiento de las leyes de otras naciones en sus sistemas. Esto incluye el Reglamento General de Protección de Datos de la UE, una ley similar a la ADPPA. Facebook, por ejemplo, proporciona E.U. ciudadanos con las protecciones del RGPD, pero no brinda a los ciudadanos estadounidenses esas protecciones, porque no está obligado a hacerlo.

El Congreso ha hecho poco con la privacidad de los datos, pero la ADPPA está lista para cambiar eso. + Explora más

Cómo se podrían usar los datos de las aplicaciones de embarazo y seguimiento del período para enjuiciar a las personas embarazadas

Este artículo se vuelve a publicar de The Conversation bajo una licencia Creative Commons. Lea el artículo original.