Ley de Protección de la Información de Tennessee: Primer vistazo y resumen

Tennessee fue el octavo estado de EE.UU. en aprobar una ley oficial de privacidad de datos, denominada Ley de Protección de la Información de Tennessee (TIPA).

En esta guía sobre la TIPA, describo a quién se aplica esta ley, cómo afecta a empresas y consumidores, y los pasos que hay que dar para lograr su pleno cumplimiento.

¿Qué es la Ley de Protección de la Información de Tennessee (TIPA)?

La Ley de Protección de la Información de Tennessee -o TIPA, por sus siglas en inglés- es una ley de protección de datos y privacidad aprobada en el estado estadounidense de Tennessee.

Se dirige a las empresas que hacen negocios en el estado recogiendo y procesando información personal y pretende devolver a los residentes de Tennessee los derechos sobre cómo se recogen, procesan y utilizan esos datos.

Fecha de entrada en vigor del TIPA

La Ley de Protección de la Información de Tennessee entra en vigor el 1 de julio de 2025.

Los responsables firmaron la ley TIPA el 11 de mayo de 2023, y la versión final del texto se publicó el 24 de mayo.

Términos clave y definiciones de TIPA

La Ley de Protección de la Información de Tennessee define términos clave en el artículo 47-18-3201, partes (1) a (30) de la ley, algunos de los cuales le facilito a continuación.

¿Qué cubre la Ley de Protección de la Información de Tennessee?

La TIPA cubre la información personal de los consumidores de Tennessee que es procesada por un controlador o procesador de datos.

Según la Sección 47-18-3208 Parte (f) de esta nueva ley estatal, las entidades sólo pueden procesar información personal en la medida en que el procesamiento sea:

• Razonablemente necesaria y proporcionada a los fines enumerados como "bases jurídicas" en virtud de la Ley de Protección de la Información de Tennessee.
• Adecuada, pertinente y limitada a lo necesario en relación con los fines específicos (bases jurídicas) descritos en TIPA 3208 partes (a-e).

Además de los fundamentos jurídicos para el tratamiento, la Ley TIPA esboza escenarios en los que un responsable o encargado del tratamiento puede tratar datos, como el cumplimiento de leyes y reglamentos, el cumplimiento de investigaciones penales o la defensa de reclamaciones legales.

Requisitos de la Ley de Protección de la Información de Tennessee

En virtud de la TIPA, las empresas deben proporcionar ciertos derechos a sus consumidores y cumplir obligaciones específicas que la ley señala y que explicaré en profundidad en los siguientes apartados.

Responsabilidades del responsable del tratamiento frente al encargado del tratamiento

Los responsables del tratamiento y los encargados del tratamiento tienen responsabilidades ligeramente diferentes en virtud de la TIPA.

Según el artículo 47-18-3204 de la ley, la transparencia es una de las responsabilidades del responsable del tratamiento de datos y estas empresas deben hacer lo siguiente:

• Debe limitar la recogida de datos personales a lo que sea adecuado, pertinente y razonablemente necesario para el fin para el que se tratan los datos, tal y como se ha comunicado al consumidor.
• No debe tratar los datos personales para fines que vayan más allá de lo razonablemente necesario para alcanzar los objetivos del tratamiento, tal y como se han comunicado al consumidor, a menos que obtenga el consentimiento de éste.
• Debe establecer, aplicar y mantener prácticas razonables de seguridad administrativa, técnica y física de los datos.
• No debe exigírsele que elimine la información agregada o desidentificada, siempre que no esté vinculada a un consumidor concreto.
• No debe tratar datos personales infringiendo una ley estatal o federal que prohíba la discriminación de los consumidores.
• No debe procesar datos personales sensibles relativos a un consumidor sin obtener su consentimiento o, si los datos proceden de un niño conocido, procesarlos siguiendo la Ley de Protección de la Privacidad Infantil en Internet(COPPA).

También deben proporcionar a los consumidores un aviso de privacidad razonable y accesible, como se aborda más adelante en la guía.

Los encargados del tratamiento de datos en virtud de la TIPA deben seguir todas las instrucciones indicadas por el responsable del tratamiento y ayudarle a cumplir las obligaciones que establece esta ley estatal, entre ellas:

• Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone el encargado del tratamiento para satisfacer las solicitudes de los consumidores en relación con sus derechos
• Facilitar datos para que un responsable del tratamiento pueda llevar a cabo una evaluación del tratamiento de datos(DPA)

Obligaciones contractuales entre responsables y encargados del tratamiento de datos

Según el artículo 47-18-3205 (b) de la TIPA, debe existir un contrato que regule las prácticas de tratamiento de datos del encargado del tratamiento por cuenta del responsable del tratamiento.

El contrato debe exigir que el transformador

• Garantiza que toda persona que trate datos personales esté sujeta al deber de confidencialidad.
• Suprime o devuelve al responsable del tratamiento todos los datos solicitados al final de la vigencia del contrato, siguiendo las instrucciones del responsable del tratamiento.
• Pone a disposición toda la información que obra en su poder a petición razonable del responsable del tratamiento para demostrar el cumplimiento de las obligaciones TIPA.
• coopere con las evaluaciones razonables del controlador o del evaluador designado
• Exija a los subcontratistas, mediante un contrato escrito, que cumplan las mismas obligaciones que el encargado del tratamiento en relación con los datos personales.

Consentimiento y TIPA

Los responsables del tratamiento de datos en virtud de la TIPA no pueden tratar información personal más allá de lo razonablemente necesario y compatible con los fines que se hayan indicado en su política de privacidad, a menos que obtengan el consentimiento del consumidor, como se explica en el artículo 47-18-3204, parte (a)(2).

El consentimiento legal debe ser una acción clara y afirmativa, libremente otorgada, específica, informada e inequívoca.

También debe obtener el consentimiento para tratar datos personales sensibles sobre sus consumidores.

Derechos de exclusión voluntaria en relación con el tratamiento de datos

La Ley de Protección de la Información de Tennessee (Tennessee Information Protection Act) concede a los consumidores el derecho a excluirse de determinados tipos de tratamiento de datos en el artículo 47-18-3203. Parte (a)(2)(E).

En concreto, los responsables del tratamiento deben ofrecer a los usuarios la posibilidad de excluirse:

• La venta de su información personal
• Publicidad dirigida
• Elaboración de perfiles con vistas a la adopción de decisiones que produzcan efectos jurídicos o de importancia similar para el consumidor.

Corresponde al responsable del tratamiento determinar el proceso para permitir a los usuarios ejercer este derecho. No obstante, sea cual sea el método que aplique, debe estar claramente descrito en la política de privacidad que presente a los consumidores.

Todo responsable del tratamiento debe estar en condiciones de atender una solicitud presentada directamente en la que se especifiquen los derechos que el consumidor desea invocar.

Por último, el tutor legal de un menor conocido puede invocar los derechos del consumidor en nombre del menor.

Solicitudes de consumidores autenticados

En virtud de la TIPA, los consumidores pueden invocar sus derechos presentando una solicitud al responsable del tratamiento, y existen algunas directrices que su empresa debe seguir para facilitar este proceso, como se indica en el artículo 47-18-3203, partes (a) y (b).

Legalmente, debes hacerlo:

• Responder a la solicitud sin demoras indebidas, pero al menos en un plazo de 45 días a partir de la recepción de la solicitud (este plazo puede ampliarse a otros 45 días en función de la complejidad de la solicitud, siempre que informe al consumidor de la demora).
• Informar al consumidor sin demora indebida o al menos en un plazo de 45 días si rechaza su solicitud. Describa los motivos de la denegación.
• Facilitar gratuitamente la información al consumidor hasta dos veces al año.
• Si el responsable del tratamiento no puede autenticar la solicitud utilizando esfuerzos comercialmente razonables, no está obligado a atenderla y puede solicitar información adicional al consumidor para ayudar a la autenticación.
• No exigir a su consumidor que cree una nueva cuenta para ejercer sus derechos, tal como está escrito en la Parte 47-18-3204 Sección (e)(2) de la ley.

También debe crear un proceso para que los consumidores presenten un recurso si rechaza una de sus solicitudes. El proceso de apelación debe ser visible, estar a su disposición sin coste alguno y ser similar al método que utilice para que presenten la solicitud.

A continuación, dispone de 60 días para informar al consumidor por escrito sobre las medidas que tomará (o no tomará) en respuesta a su recurso.

Evaluaciones de protección de datos

La Ley de Protección de Datos de Tennessee establece en su artículo 47-18-3206(a)(1-5) que los responsables del tratamiento deben realizar evaluaciones de protección de datos (DPA ) para cada uno de los siguientes tipos de actividades de tratamiento:

• Tratamiento de datos personales para publicidad dirigida
• Venta de información personal
• El tratamiento de datos personales con fines de elaboración de perfiles cuando presente un riesgo previsible de trato injusto o engañoso, perjuicio financiero, físico o para la reputación, intrusiones físicas o de otro tipo en la soledad de los asuntos o intereses privados, u otros perjuicios sustanciales.
• Tratamiento de datos personales sensibles
• Actividades de tratamiento de datos que presentan un mayor riesgo de perjuicio para los consumidores

Estas APD deben sopesar los beneficios directos e indirectos del tratamiento de datos frente a los posibles riesgos para los derechos de los consumidores asociados.

También debe tener en cuenta el uso que hace la empresa de los datos desidentificados, las expectativas de los consumidores y el contexto del tratamiento.

La Ley de Tennessee frente a las Leyes de Privacidad de Datos de otros Estados: Similitudes y diferencias

Actualmente, en EE.UU., siete estados cuentan con leyes activas sobre privacidad de datos, y varios más entrarán en vigor a lo largo del próximo año. Todas ellas comparten algunas similitudes con la TIPA, pero difieren en aspectos significativos.

Para ayudarte, he creado una tabla que compara las siguientes leyes y proyectos de ley estadounidenses con la Ley de Protección de la Información de Tennessee:

• Ley de Protección del Consumidor de California (CCPA), modificada por la Ley de Derechos de Privacidad de California (CPRA) - actualmente en vigor
• Ley de Privacidad de Colorado (CPA) - actualmente en vigor
• Ley de Privacidad de Datos de Connecticut (CTDPA) - actualmente en vigor
• Ley de Privacidad de Datos Personales de Delaware (DPDPA) - actualmente en vigor
• Carta de Derechos Digitales de Florida (FDBR) - actualmente en vigor
• Ley de Protección de Datos de los Consumidores de Iowa (Iowa CDPA) - actualmente en vigor
• Ley de Protección de Datos de los Consumidores de Indiana (Indiana CDPA) - en vigor desde el 1 de enero de 2026
• Ley de Protección de Datos de los Consumidores de Kentucky (KCDPA) - en vigor desde el 1 de enero de 2026
• Ley de Protección de Datos de los Consumidores de Minnesota (MCDPA) - en vigor desde el 31 de julio de 2025
• Ley de protección de datos en línea de Maryland (MODPA) - en vigor desde el 1 de octubre de 2025
• Ley de Protección de Datos de los Consumidores de Montana (MCDPA) - actualmente en vigor
• Ley de Protección de Datos de Nebraska (NDPA) - actualmente en vigor
• Ley de Privacidad de Datos de New Hampshire (NHDPL) - actualmente en vigor
• Ley de Protección de Datos de Nueva Jersey (NJDPA) - actualmente en vigor
• Ley de Privacidad del Consumidor de Oregón (OCPA) - actualmente en vigor
• Ley de Privacidad y Seguridad de Datos de Texas (TDPSA) - actualmente en vigor
• Ley de Privacidad del Consumidor de Utah (UCPA) - actualmente en vigor
• Ley de Protección de Datos de los Consumidores de Virginia (VCDPA) - actualmente en vigor

Compruébelo a continuación.

¿Existen otras leyes relacionadas con la privacidad en Tennessee?

Tennessee no tiene en vigor ninguna otra ley centrada en la privacidad de los datos, pero, como todos los demás estados de EE.UU., reconoce el agravio de derecho consuetudinario de la invasión de la privacidad, que permite a las personas interponer demandas contra otros que se inmiscuyan ilegalmente en sus asuntos privados.

El estado también cuenta con una ley de notificación de violación de datos descrita en el Código de Tennessee, modificada en 2017.

Obliga a las entidades a notificar a los consumidores una violación de datos cifrados y no cifrados, y fue el primer estado de EE.UU. en plasmarlo en una ley.

Además, el 28 de abril de 2023 se firmó la Ley de Privacidad de la Información Genética, que entró en vigor el 1 de julio de 2023. Esta ley impide a los proveedores de seguros exigir a las personas que reciben cobertura sanitaria que revelen información genética sobre sí mismas o sus familiares.

También impide a los proveedores de seguros revelar información genética sobre una persona sin autorización escrita.

Algunos aspectos de la Ley de Protección del Consumidor de Tennessee regulan protecciones adyacentes a la privacidad, como la protección de los datos personales de los consumidores frente a vendedores de cintas de vídeo o proveedores de servicios.

¿Cómo afectará la TIPA a las empresas?

La TIPA afectará a las empresas de varias maneras.

Además de prepararse para las evaluaciones de protección de datos y las obligaciones contractuales mencionadas anteriormente, las empresas que cumplen los requisitos para ser responsables del tratamiento de datos también deben actualizar sus políticas de privacidad y de cookies para dar cuenta de la información necesaria que exige la ley.

¿Cómo afectará la TIPA a mi política de privacidad?

Para cumplir con la TIPA, es posible que tenga que añadir información adicional a su política de privacidad.

En particular, el artículo 47-18-3204, parte (c), de la ley establece que los responsables del tratamiento deben facilitar a los consumidores un aviso de privacidad que describa:

• Qué categorías de datos personales trata el responsable del tratamiento
• Finalidad del tratamiento de los datos personales
• Cómo pueden ejercer sus derechos, incluido cómo recurrir una decisión del responsable del tratamiento en relación con una solicitud.
• Las categorías de información personal que el responsable del tratamiento comparte con terceros, en su caso
• Las categorías de terceros, en su caso, con los que el responsable del tratamiento compartió la información personal

Además, la Sección 47-18-3213 Partes (a) (1) y (2) explica los detalles sobre un programa voluntario de privacidad que puede actuar como defensa afirmativa para un controlador o procesador en caso de que se produzca una causa de acción por una violación.

En otras palabras, puede proporcionar una defensa legal adecuada para su empresa si alguien le reclama por infringir la ley.

¿La defensa afirmativa? Una política de privacidad que:

• Se ajusta al marco de privacidad del Instituto Nacional de Normas y Tecnología (NIST) titulado "A Tool for Improving Privacy Through Enterprise Risk Management Version 1.0" u otras políticas, normas y procedimientos documentados diseñados para salvaguardar la privacidad de los consumidores; y
• Se actualiza para confirmar razonablemente con la revisión posterior del NIST o marco de privacidad comparable en un plazo de dos años a partir de la fecha de publicación indicada en la revisión más reciente del NIST o marco similar.
• Proporciona a una persona los derechos sustantivos exigidos por la TIPA

Sin embargo, este programa voluntario de privacidad no sólo afecta a su política de privacidad, ya que también debe tener en cuenta las siguientes condiciones:

• El tamaño y la complejidad de su empresa
• La naturaleza y el alcance de las actividades de su empresa
• La sensibilidad de la información tratada
• Coste y disponibilidad de herramientas para mejorar la protección de la privacidad y la gobernanza de los datos.
• Si cumple las leyes estatales o federales comparables

¿Cómo afectará la TIPA a mi política de cookies?

La Ley de Protección de la Información de Tennessee afecta a su política de cookies de dos maneras posibles.

En primer lugar, dado que la Ley TIPA utiliza una descripción amplia de los datos personales, las cookies de Internet entrarán probablemente en la definición legal y usted deberá cumplir las mismas obligaciones que aplica a otras actividades de tratamiento de datos, como la transparencia y la explicación de su base jurídica.

En virtud de esta ley, los consumidores también tienen derecho a optar por no recibir publicidad dirigida, y los anuncios dirigidos suelen implicar el uso de cookies de Internet. Actualice su política de cookies para hacer constar este derecho.

¿Cómo afectará la TIPA a los consumidores?

La Ley de Protección de Datos de Tennessee afecta a los consumidores al concederles nuevos derechos sobre el uso o tratamiento de su información personal.

En concreto, la sección (1) de la Parte 47-18-3203 (a) establece que los consumidores pueden invocar sus derechos presentando una solicitud al responsable del tratamiento de datos en la que especifiquen qué derecho desean hacer valer.

Los residentes de Tennessee en virtud de 47-18-3203 (a) Sección (2) tienen derecho a:

• Confirmar si un responsable del tratamiento está tratando sus datos personales y acceder a ellos.
• Corregir inexactitudes en su información.
• Suprimir la información personal facilitada por el consumidor u obtenida sobre él (sin embargo, el responsable del tratamiento no necesita suprimir la información agregada o desidentificada).
• Obtener una copia portátil de su información personal.
• Optar por la no venta de sus datos, la publicidad dirigida y la elaboración de perfiles.

De acuerdo con la Sección (c) de la Parte 47-18-3204, los consumidores también tienen derecho a saber:

• Qué categorías de datos personales trata el responsable del tratamiento
• Finalidad del tratamiento de los datos personales
• Cómo pueden ejercer sus derechos, incluido cómo recurrir una decisión del responsable del tratamiento en relación con una solicitud.
• Las categorías de información personal que el responsable del tratamiento comparte con terceros, en su caso
• Las categorías de terceros, en su caso, con los que el responsable del tratamiento compartió la información personal

¿A quién se aplica la TIPA?

La Ley de Protección de la Información de Tennessee se aplica a las personas físicas residentes en Tennessee que actúan en un contexto personal.

No protege a las personas que se encuentran en Tennessee con fines comerciales o laborales. Este ámbito de aplicación se describe claramente en el artículo 47-18-3201, apartado (7), partes (A) y (B) de la ley.

¿Quién debe cumplir la nueva Ley de Protección de Datos de Tennessee?

Debe cumplir la TIPA si tiene negocios en Tennessee o fabrica productos o servicios dirigidos a residentes del estado, obtiene más de 25 millones de dólares de ingresos anuales y, o bien

• Controlar o procesar la información personal de al menos 25.000 consumidores de Tennessee y obtener el 50% de sus ingresos brutos anuales de la venta de dicha información o
• Procesar o controlar la información personal de al menos 175.000 consumidores de Tennessee durante un año natural.

Como muchas otras normativas de protección de datos, esto significa que la TIPA tiene un ámbito de aplicación extraterritorial y afecta a empresas de fuera de Tennessee.

¿Quién está exento de la TIPA?

Las siguientes entidades, organizaciones y grupos están exentos y no necesitan cumplir la Ley de Protección de la Información de Tennessee:

• Subdivisiones políticas del Estado, así como organismos, autoridades, juntas, oficinas, comisiones, distritos u otras agencias del Estado.
• Instituciones financieras, filiales de una institución financiera o cualquier dato sujeto al título V de la Ley Gramm Leach Bliley(GLBA).
• Entidades cubiertas o socios comerciales que se rigen por las normas de privacidad, seguridad y notificación de infracciones recogidas en las Normas de Privacidad y Seguridad de la Ley de Portabilidad y Responsabilidad del Seguro Médico(HIPAA).
• Sin ánimo de lucro
• Centros de enseñanza superior
• Información sanitaria protegida por la HIPAA
• Datos identificativos del paciente

Además, si no hace negocios en EE.UU. y está seguro de que nadie de Tennessee compra sus productos o utiliza sus servicios, entonces está exento de la TIPA.

Tampoco tiene que cumplir la ley si su empresa no alcanza el umbral de 25 millones de dólares de ingresos anuales.

¿Cómo pueden prepararse las empresas para el TIPA?

Las empresas pueden prepararse para la TIPA actualizando su política de privacidad y política de cookies para tener en cuenta todos los nuevos derechos que la ley concede a los consumidores de Tennessee, incluido su derecho a ser informados sobre aspectos concretos de sus actividades de tratamiento de datos.

También debe ofrecer a sus consumidores de Tennessee la posibilidad de rechazar la venta de sus datos personales, la elaboración de perfiles y la publicidad selectiva.

Para ello, utilice una plataforma gestión del consentimiento (CMP) con un centro de preferencias para cada tipo específico de tratamiento de datos.

Los responsables del tratamiento de datos también deben ofrecer a los usuarios una forma de presentar solicitudes verificables de los consumidores, así que considere la posibilidad de publicar un formulario de solicitud de acceso del interesado(DSAR o SAR) en su sitio web o aplicación.

¿Cómo se aplicará la TIPA?

Actualmente, el Fiscal General de Tennessee tiene la autoridad exclusiva para hacer cumplir todas las disposiciones recogidas en la TIPA.

El Fiscal General o el informador tienen motivos razonables para creer que un responsable o encargado del tratamiento de datos está infringiendo la TIPA, ya sea llevando a cabo su propia investigación o respondiendo a una denuncia pública o de un consumidor.

Antes de emprender cualquier acción, el Fiscal General o el informador deben notificar por escrito a la entidad, con 60 días de antelación, qué disposiciones de la TIPA han infringido presuntamente.

No se emprenderá ninguna otra acción si el encargado del tratamiento o el responsable del tratamiento puede subsanar satisfactoriamente las infracciones y presentar al Fiscal General una notificación expresa por escrito.

Multas y sanciones en virtud de la Ley de Protección de la Información de Tennessee

Si un controlador o procesador no subsana sus presuntas infracciones de la TIPA en el plazo de notificación de 60 días, el Fiscal General o el informador pueden llevar a la entidad ante los tribunales para reclamar:

• Una sentencia declaratoria de que el acto o práctica de la entidad vulnera la Ley de Protección de la Información de Tennessee.
• Medidas cautelares (incluidas medidas cautelares preliminares y permanentes para impedir nuevas infracciones y obligar al cumplimiento de la TIPA)
• Sanciones civiles de hasta 7.500 dólares por infracción, o el triple de daños y perjuicios si el controlador o el transformador infringe la ley deliberadamente o a sabiendas.
• Otras medidas que determine el tribunal

Sin embargo, los consumidores no pueden ejercer un derecho de acción privada o una demanda colectiva.

¿Cómo ayudará Termly a cumplir la TIPA?

Ya hemos implementado las actualizaciones oportunas en nuestras herramientas para ayudar a su empresa a cumplir varios de los requisitos establecidos por la Ley de Protección de la Información de Tennessee.

En concreto, puede utilizar nuestra plataforma Generador de política de privacidad y la plataformagestión del consentimiento , para simplificar su cumplimiento de la nueva ley de Tennessee antes de que entre en vigor en 2025.

Nuestro equipo se mantiene al día de las nuevas leyes, leyes y proyectos de ley sobre privacidad de datos que cambian y evolucionan en todo el mundo. Y créeme, últimamente están pasando muchas cosas.

Esté atento a nuestros próximos anuncios, porque seguro que habrá muchos más.

Resumen

Si su empresa puede considerarse responsable o encargado del tratamiento de datos con arreglo a la nueva Ley de Protección de Datos de Tennessee, debe prepararse para realizar algunos cambios que garanticen su cumplimiento antes del 1 de julio de 2025.

Por ejemplo, recuerde actualizar sus políticas de privacidad y cookies para cumplir todos los requisitos de transparencia y notificación que marca la ley.

Ofrecer a los consumidores la posibilidad de rechazar la venta de sus datos, la publicidad dirigida y la elaboración de perfiles, y realizar evaluaciones de protección de datos siguiendo las directrices de la TIPA.

Facilite a su empresa todo el proceso de cumplimiento de la normativa probando Termly.

Más sobre el autor

Escrito por Josh Langeland, CIPM

Hola, soy Josh. Soy un ingeniero de privacidad apasionado por el uso de la tecnología para respetar la privacidad de los usuarios. Prospero en la intersección de la tecnología compleja y la legislación sobre privacidad en constante cambio. Si no estoy redactando una revisión de diseño o rediseñando un sistema, puede que me encuentres leyendo una biografía o haciendo senderismo en el parque nacional más cercano. Más sobre el autor