En 2023, los legisladores consideraron el proyecto de ley nº 1201 de la Cámara de Representantes -la Ley de Privacidad de Datos de los Consumidores de Pensilvania-, que describía los requisitos empresariales para el tratamiento de datos personales y habría concedido a los consumidores derechos sobre su información.
En esta guía, aprenderá sobre la propuesta de ley de privacidad de datos de Pensilvania, que fracasó, a quién se habría aplicado y sus implicaciones para las empresas si se hubiera convertido en ley.
ACTUALIZACIÓN: El proyecto de ley nº 1201 de la Cámara de Representantes no fue aprobado y Pensilvania no dispone actualmente de una ley general de protección de la intimidad de los consumidores de ámbito estatal.
- ¿Qué era la Ley de Protección de Datos de los Consumidores de Pensilvania (PCDPA)?
- ¿Qué cubre la Ley de Protección de Datos de los Consumidores de Pensilvania?
- Requisitos de la PCDPA
- El proyecto de ley de privacidad de datos de Pensilvania frente a otras leyes estatales: Similitudes y diferencias
- ¿Cómo afectaría la PCDPA a los consumidores?
- ¿Cómo habría afectado a las empresas la Ley de Protección de Datos de los Consumidores de Pensilvania?
- ¿Quién debe cumplir la Ley de Protección de Datos de Pensilvania?
- ¿Cómo se aplicaría la PCDPA?
- Multas y sanciones en virtud de la Ley de Protección de Datos de los Consumidores de Pensilvania
- Cómo ayuda Termly a cumplir la normativa
- ¿Existen otras leyes relacionadas con la privacidad en Pensilvania?
- Resumen
¿Qué era la Ley de Protección de Datos de los Consumidores de Pensilvania (PCDPA)?
La Pennsylvania Consumer Data Privacy Act(PCDPA) era un proyecto de ley que avanzaba en la Cámara de Representantes de Pensilvania.
Se habría convertido en la primera ley integral de protección de datos de los consumidores del Estado, pero no se aprobó.
Esbozaba los requisitos que deben cumplir las entidades que deseen recoger, procesar y utilizar datos personales de residentes en Pensilvania, y otorgaba a las personas derechos y cierto control sobre su información.
Términos clave y definiciones de la PCDPA
Para entender mejor el fallido proyecto de ley de privacidad de datos de Pensilvania, veamos algunos términos y definiciones clave exactamente como aparecían en el texto de la ley:
¿Qué cubre la Ley de Protección de Datos de los Consumidores de Pensilvania?
La PCDPA habría cubierto la información personal de los residentes del estado de Pensilvania.
No incluía a nadie del Estado que actuara en un contexto laboral o comercial.
En particular, si las transacciones con un controlador se producían únicamente en el marco de las funciones de una persona en una empresa u otra entidad, también quedaba excluida:
- Empleados
- Propietarios
- Directores
- Funcionarios
- Contratistas de una empresa
- Asociaciones
- Empresas individuales
- Organizaciones sin ánimo de lucro
- Organismos públicos
Requisitos de la PCDPA
Las empresas que se hubieran calificado como responsables del tratamiento de datos en virtud de la PCDPA habrían estado sujetas al cumplimiento de varios requisitos, que expongo en detalle a continuación.
Obligaciones de los responsables del tratamiento
En virtud del artículo 5 del proyecto de ley de privacidad de datos de Pensilvania, los responsables del tratamiento habrían recibido instrucciones para limitar la recogida de datos personales a lo que se considere razonablemente necesario para los fines del tratamiento revelado al consumidor.
Si un responsable del tratamiento quisiera recabar información adicional que quedara fuera de este ámbito, habría necesitado obtener el consentimiento del consumidor.
También habría sido necesario el consentimiento para tratar datos personales sensibles o información sobre un menor conocido.
Consentimiento
La PCDPA definía claramente el consentimiento en el artículo 2 del proyecto de ley.
Afirmó que debe ser una acción clara y afirmativa de un consumidor que la da libremente para un fin específico e inequívoco.
El consentimiento en virtud de este proyecto de ley podría incluir una declaración por escrito, incluso por medios electrónicos.
Sin embargo, no podría incluir la aceptación de términos muy generales o amplios o prácticas engañosas como:
- Pasar el ratón por encima del contenido
- Silenciar algo
- Pausar contenidos
- Cerrar una ventana emergente
Obligaciones contractuales entre responsables y encargados del tratamiento de datos
Según el artículo 6 de la PCDPA, los responsables y los encargados del tratamiento tendrían que firmar contratos específicos que regulasen las actividades del encargado del tratamiento, entre los que se incluían:
- Garantizar que el encargado del tratamiento está sujeto a un deber de confidencialidad con respecto a los datos personales.
- Exigir al encargado del tratamiento que suprima o devuelva todos los datos a petición del responsable del tratamiento, a menos que la ley exija su conservación.
- Poner todos los datos a disposición del responsable del tratamiento para demostrar el cumplimiento de la ley, previa solicitud razonable.
- Exigir a los subcontratistas que firmen un contrato con obligaciones similares.
- Obligar al encargado del tratamiento a permitir que el responsable del tratamiento o el evaluador designado realicen evaluaciones razonables para garantizar que el tratamiento cumple las normas de la PCDPA y a cooperar con ellas.
Evaluaciones de protección de datos
La PCDPA también detallaba los requisitos para realizar evaluaciones de protección de datos en la Sección 7 del proyecto de ley.
Afirmó que los responsables del tratamiento debían realizar y documentar una de estas evaluaciones si sus actividades de tratamiento presentaban un riesgo elevado de perjuicio para los consumidores.
El responsable del tratamiento tendría que identificar y sopesar los beneficios y los riesgos que pueden afectar a los derechos de los consumidores, así como las salvaguardias existentes para mitigar o reducir esos riesgos.
Las entidades habrían tenido que tener en cuenta todo lo siguiente en la evaluación:
- Utilización de datos no identificados
- Las expectativas razonables del consumidor
- Contexto del tratamiento de datos y relación entre responsables del tratamiento y consumidores
Mecanismos Universales de Exclusión Voluntaria
Si la PCDPA se hubiera convertido en ley, se habría exigido a las entidades cubiertas que respetaran los mecanismos universales de exclusión voluntaria (UooM) designados por los navegadores de los consumidores antes de 2026.
El proyecto de ley establecía que la tecnología UooM aprobada, como Global Privacy Control (GPC), debía cumplir los siguientes criterios:
- No perjudicar injustamente a otro controlador
- No utilizar una configuración por defecto, sino exigir al consumidor que decida libremente no participar en el tratamiento o venta de sus datos.
- Ser fácil de usar
- Ser coherente con otras plataformas, tecnologías o mecanismos similares.
- Permitir al controlador determinar si el consumidor es o no residente en Pensilvania.
El proyecto de ley de privacidad de datos de Pensilvania frente a otras leyes estatales: Similitudes y diferencias
El proyecto de ley de privacidad de Pensilvania no se convirtió en ley, pero estas otras leyes estatales están actualmente en vigor o entrarán en vigor en un futuro próximo:
- Ley de Protección del Consumidor de California (CCPA), modificada por la Ley de Derechos de Privacidad de California (CPRA) - actualmente en vigor
- Ley de Privacidad de Colorado (CPA) - actualmente en vigor
- Ley de Privacidad de Datos de Connecticut (CTDPA) - actualmente en vigor
- Ley de Privacidad de Datos Personales de Delaware (DPDPA) - actualmente en vigor
- Carta de Derechos Digitales de Florida (FDBR) - actualmente en vigor
- Ley de Protección de Datos de los Consumidores de Iowa (Iowa CDPA) - actualmente en vigor
- Ley de Protección de Datos de los Consumidores de Indiana (Indiana CDPA) - en vigor desde el 1 de enero de 2026
- Ley de Protección de Datos de los Consumidores de Kentucky (KCDPA) - en vigor desde el 1 de enero de 2026
- Ley de Protección de Datos de los Consumidores de Minnesota (MCDPA) - en vigor desde el 31 de julio de 2025
- Ley de protección de datos en línea de Maryland (MODPA) - en vigor desde el 1 de octubre de 2025
- Ley de Protección de Datos de los Consumidores de Montana (MCDPA) - actualmente en vigor
- Ley de Protección de Datos de Nebraska (NDPA) - actualmente en vigor
- Ley de Privacidad de Datos de New Hampshire (NHDPL) - actualmente en vigor
- Ley de Protección de Datos de Nueva Jersey (NJDPA) - actualmente en vigor
- Ley de Privacidad del Consumidor de Oregón (OCPA) - actualmente en vigor
- Ley de Protección de la Información de Tennessee (TIPA) - en vigor desde el 1 de julio de 2025
- Ley de Privacidad y Seguridad de Datos de Texas (TDPSA) - actualmente en vigor
- Ley de Privacidad del Consumidor de Utah (UCPA) - actualmente en vigor
- Ley de Protección de Datos de los Consumidores de Virginia (VCDPA) - actualmente en vigor
En el siguiente cuadro puede comparar algunas de estas leyes con la PCDPA.
| Legislación estatal | Consentimiento expreso para determinados tipos de tratamiento de datos | Consentimiento expreso para determinados tipos de tratamiento de datos | Debe presentar a los usuarios una política de privacidad (o aviso) | Requiere evaluaciones de protección de datos | Esboza la obligación contractual con terceros procesadores | Permite las demandas civiles o el derecho de acción privado | Debe respetar los controles globales de privacidad y la configuración de privacidad del navegador. |
|
PCDPA (proyecto de ley)
|
✓ | ✓ | ✓ | ✓ | ✓ | ||
| CCPA/CPRA | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ |
| CPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| CTDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| DPDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | |
| FDBR | ✓ | ✓ | ✓ | ✓ | |||
| CDPA de Indiana | ✓ | ✓ | ✓ | ✓ | |||
| Iowa CDPA | ✓ | ✓ | ✓ | ||||
| MCDPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| ODPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| TIPA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| TDPSA | ✓ | ✓ | ✓ | ✓ | ✓ | ||
| UCPA | ✓ | ✓ | ✓ | ||||
| VCDPA | ✓ | ✓ | ✓ | ✓ |
¿Cómo afectaría la PCDPA a los consumidores?
Si la Ley de Privacidad de Datos de los Consumidores de Pensilvania se hubiera convertido en ley, habría concedido a los residentes del estado ciertos derechos sobre cómo se procesa y utiliza su información.
En concreto, según el artículo 3 de la ley, los consumidores habrían podido:
- Confirmar si un responsable del tratamiento está tratando sus datos.
- Corregir inexactitudes en sus datos.
- Borrar sus datos personales.
- Obtener una copia de sus datos en formato portátil.
- Exclusión voluntaria del tratamiento de datos para publicidad dirigida.
- Optar por no vender sus datos personales.
- Exclusión voluntaria de la elaboración de perfiles en el marco de decisiones exclusivamente automatizadas que produzcan efectos jurídicos o de importancia similar.
Podrían haber ejercido estos derechos utilizando un método seguro establecido por el responsable del tratamiento y descrito en su aviso de privacidad.
¿A quién se aplica la PCDPA?
La PCDPA sólo se habría aplicado a los residentes del estado de Pensilvania que actuaran en un contexto personal o doméstico.
No se habría aplicado a ninguna persona del Estado que actuara en calidad de comerciante o empleado.
¿Cómo habría afectado a las empresas la Ley de Protección de Datos de los Consumidores de Pensilvania?
Si la PCDPA se hubiera convertido en ley, habría afectado a las empresas más allá de las obligaciones contractuales y las evaluaciones de impacto de datos que hemos cubierto anteriormente.
También describía directrices que habrían afectado a las políticas de privacidad y cookies.
¿Cómo afectaría la PCDPA a mi política de privacidad?
La PCDPA establecía requisitos de notificación que habrían afectado al contenido de la política de privacidad de las empresas.
En virtud de este proyecto de ley, los controladores debían proporcionar a los consumidores un aviso en el que se describiera:
- Categorías de datos personales tratados
- Finalidad del tratamiento de los datos
- Cómo pueden los consumidores hacer valer su derecho a la intimidad y recurrir las decisiones del responsable del tratamiento
- Categorías de datos personales compartidos con cada tercero
- Las categorías de cada tercero con el que el responsable del tratamiento comparte datos
- Una dirección de correo electrónico activa o mecanismos en línea para ponerse en contacto con el responsable del tratamiento
Además, los responsables del tratamiento debían revelar si tenían previsto vender datos personales a terceros o utilizar la información para publicidad selectiva y describir cómo los consumidores podían optar por no hacerlo.
¿Cómo afectaría la PCDPA a mi política de cookies?
La PCDPA también habría afectado a las políticas de cookies de las empresas si vendieran datos personales recogidos a través de las cookies de Internet o las utilizaran para publicidad dirigida.
Con este proyecto de ley, los consumidores habrían tenido derecho a optar por no participar en esas actividades de tratamiento de datos, y los responsables del tratamiento habrían estado obligados a revelar esta información a sus consumidores.
¿Quién debe cumplir la Ley de Protección de Datos de Pensilvania?
Si la PCDPA se convierte en ley, se aplicaría a las empresas con ánimo de lucro que desarrollen su actividad en el estado y cumplan una de las siguientes normas:
- Obtuvo unos ingresos brutos anuales iguales o superiores a 10.000.000 de dólares
- vendió o compartió con fines comerciales la información personal de al menos 50.000 consumidores, hogares o dispositivos
- Al menos el 50% de sus ingresos anuales proceden de la venta de datos personales.
¿Quién estaba exento de la PCDPA?
Las siguientes entidades estaban exentas de la PCDPA, tal y como estaba redactada:
- Subdivisiones del gobierno del estado de Pensilvania
- Organizaciones sin ánimo de lucro
- Instituciones de enseñanza superior
- Asociaciones nacionales de valores
- Instituciones financieras
- Entidad cubierta o socio comercial
¿Cómo se aplicaría la PCDPA?
Según la Sección 10 de la PCDPA, el Fiscal General habría tenido el derecho exclusivo de hacer cumplir la posible ley.
Multas y sanciones en virtud de la Ley de Protección de Datos de los Consumidores de Pensilvania
La versión del proyecto de ley de la PCDPA no describía un importe en dólares o un límite en relación con las multas previstas en el proyecto de ley.
Sin embargo, sí aclaró que los residentes en Pensilvania no tendrían derecho de acción privada.
Cómo ayuda Termly a cumplir la normativa
Termly ofrece soluciones de cumplimiento para ayudar a las empresas a cumplir fácilmente los requisitos establecidos por las leyes estatales estadounidenses aprobadas y actualmente en vigor.
Aunque la PCDPA ya no se debate, más de otros veinte estados tienen leyes en vigor. Termly Generador de Política de Privacidad cuenta actualmente con las cláusulas y la información necesarias para ayudarle a cumplir las obligaciones de estas y otras leyes de privacidad de datos de todo el mundo.
Vea cómo queda en la siguiente captura de pantalla.
También ofrecemos una plataforma de gestión del consentimiento (CMP) configurable para cumplir los requisitos de exclusión voluntaria en más de 70 regiones de todo el mundo.
Compruébalo en la siguiente captura de pantalla.
¿Existen otras leyes relacionadas con la privacidad en Pensilvania?
Mientras los legisladores de Pensilvania siguen debatiendo la aprobación de una ley integral de protección de datos, en el estado existen otras leyes relacionadas con la privacidad, como la:
- Ley de notificación de violación de datos personales de Pensilvania: Obliga a las entidades a notificar a los consumidores si se produce una violación de sus datos o si una persona no autorizada accede a ellos.
- Ley del Derecho a Saber(RTKL): Concede a los residentes el derecho a acceder a determinados documentos en poder de organismos gubernamentales estatales o locales, con lo que se pretende fomentar la transparencia.
Resumen
La PCDPA es ahora sólo un proyecto de ley fallido sobre privacidad de datos, pero seguiremos atentos para ver si alguna otra ley relevante avanza en el gobierno del estado de Pensilvania.
Actualmente están en vigor otras leyes de privacidad a nivel estatal en Estados Unidos, y la mayoría de ellas afectan a las políticas de privacidad y cookies de las empresas y a la gestión del consentimiento.
Soluciones como Termly ayudan a que el cumplimiento de las leyes actuales y futuras sea rápido, fácil y sin problemas.
Escrito por Natasha Piirainen
Natasha Piirainen es una escritora especializada en privacidad con una licenciatura en Inglés y Filosofía por el Wheaton College y más de 10 años de experiencia profesional en el desarrollo de contenidos basados en la investigación.
Leer todas las publicaciones de Natasha Piirainen
Revisado por Stefani Schmidt, M.S., CIPM, CIPP-US
Stefani Schmidt tiene un máster en Tecnologías de Seguridad por la Universidad de Minnesota – Twin Cities y una licenciatura en Periodismo y Ciencias Políticas. Es una profesional especializada en privacidad de datos, riesgos, cumplimiento normativo y gestión de programas con experiencia en los sectores de las comunicaciones, las finanzas y la tecnología publicitaria.
Leer todas las publicaciones revisadas por Stefani Schmidt, M.S., CIPM, CIPP-US
