La Ley de Privacidad y Seguridad de Datos de Texas(TDPSA) entra en vigor el 1 de julio de 2024: ¿está preparada su empresa?
He creado esta lista de comprobación de seis pasos de la TDPSA para ayudar a las empresas a saber cómo prepararse para la nueva ley integral de privacidad de datos de Texas.
Lista de comprobación del cumplimiento de la TDPSA: Paso a paso
Siga estos pasos para simplificar la configuración de su sitio web para el cumplimiento de la TDPSA.
Parte 1: Realice una auditoría de privacidad
En mi opinión, una auditoría de privacidad es el primer paso que deben dar las empresas para cumplir la legislación sobre privacidad.
Completar una auditoría de privacidad o un inventario de datos le ayuda a determinar toda la información personal que recopila de los usuarios y por qué y cómo se utiliza.
Necesitará conocer estos detalles para cumplir cualquier ley de privacidad de datos, incluida la TDPSA.
Parte 2: Requisitos de notificación de privacidad
Tendrá que elaborar una política de privacidad para su sitio web que cumpla todos los requisitos de notificación establecidos por la TDPSA, entre los que se incluye la explicación:
- Qué categorías de datos personales recopila, incluidos, en su caso, los datos sensibles.
- Su finalidad para el tratamiento de los datos personales.
- Cómo pueden los consumidores de Texas ejercer sus derechos y recurrir las decisiones.
- Qué categorías de datos comparte con terceros, en su caso.
- Con qué categorías de terceros comparte datos, en su caso.
- Una descripción de cómo los consumidores pueden presentar solicitudes para ejercer sus derechos.
Además, si tiene previsto vender datos personales sensibles o datos biométricos, también debe aparecer un aviso en el mismo lugar donde presenta a los usuarios su política de privacidad:
- AVISO: Podemos vender sus datos personales sensibles.
- AVISO: Podemos vender sus datos biométricos.
Parte 3: Consentimiento del consumidor y tratamiento de datos
Su empresa debe ofrecer a los consumidores de Texas medios sencillos para ejercer sus derechos de exclusión, entre los que se incluyen:
- Optar por que no se procesen sus datos para publicidad dirigida
- Optar por que no se vendan sus datos
- Exclusión voluntaria de la elaboración de perfiles
Le recomiendo que lo consiga añadiendo a su sitio web un banner de consentimiento con un centro de preferencias, que permita a los usuarios retirar su consentimiento para estos distintos tipos de tratamiento de datos.
El método que aplique debe ser justo, razonable y conforme a las directrices de la TDPSA.
Además, recuerde que los consumidores de Texas tienen derecho a la no discriminación por hacer valer sus derechos de privacidad.
Parte 4: Obligaciones contractuales para compartir o vender datos personales
Si tiene previsto compartir datos personales con terceros encargados del tratamiento, debe elaborar y hacer firmar a todas las partes implicadas un contrato que incluya las siguientes disposiciones:
- Indica las instrucciones para el tratamiento de los datos, su naturaleza y su finalidad.
- Enumera todos los tipos de datos implicados que se procesan y durante cuánto tiempo.
- Describe los derechos de cada parte implicada en el contrato y sus obligaciones.
- Indica la duración del tratamiento.
- Exige un deber de confidencialidad con respecto a los datos personales.
- Exigir, por orden del responsable del tratamiento, la supresión o devolución de todos los datos personales solicitados al finalizar el servicio, a menos que la ley exija su conservación.
- Exige que el encargado del tratamiento coopere con las evaluaciones razonables realizadas por el responsable del tratamiento para confirmar el cumplimiento de la TDPSA.
- Exige que los subcontratistas firmen un contrato en el que se establezcan estas mismas obligaciones.
Parte 5: Derechos del consumidor y solicitudes verificables de los consumidores
Su empresa debe presentar a los consumidores de Texas dos o más formas de presentar solicitudes verificables de los consumidores para actuar sobre sus derechos de privacidad, que pueden incluir:
- Publicar un formulario de solicitud de acceso del interesado (DSAR) en su sitio web.
- Proporcionarles una dirección de correo electrónico operativa a la que puedan enviar sus solicitudes.
- Añadir un banner de consentimiento con un política de cookies en su sitio.
Además, la TDPSA exige que los sitios web acepten los mecanismos universales de exclusión voluntaria (UOOM), como el Control Global de la Privacidad(GPC), como una petición válida del consumidor antes del 1 de enero de 2025.
Parte 6: Procedimientos y prácticas de seguridad
La TDPSA le obliga a proteger la confidencialidad, integridad y accesibilidad de los datos personales, lo que incluye establecer, aplicar y mantener:
- Medidas administrativas
- Medidas técnicas
- Medidas físicas
Entre las técnicas de seguridad más comunes que he visto que utilizan los sitios web para proteger la información personal se incluyen:
- Anonimización de datos
- Cifrar la información
- Limitar el acceso a los datos
- Formar a los empleados que tengan acceso a ella
Preguntas Frecuentes sobre los requisitos de la TDPSA
A continuación, respondo a algunas preguntas frecuentes sobre la TDPSA.
¿Se aplica la TDPSA a mi empresa?
La TDPSA se aplica a su empresa si cumple los siguientes umbrales:
- Realizar negocios en Texas o dirigir productos o servicios en el estado.
- Tratar o dedicarse a la venta de datos personales.
- No se considera una pequeña empresa según la definición de la Administración de Pequeñas Empresas de Estados Unidos (SBA) a menos que venda datos personales sensibles.
¿Cuándo entra en vigor la TDPSA?
La TDPSA entra en vigor el 1 de julio de 2024.
¿Quién hará cumplir la TDPSA?
El Fiscal General de Texas tiene la autoridad exclusiva para hacer cumplir la TDPSA.
Darán a las entidades un periodo de subsanación de 30 días para corregir cualquier posible infracción.
¿Cuáles son las sanciones por infringir la TDPSA?
Las sanciones por infringir la TDPSA incluyen multas de hasta 7.500 dólares por incidente, pero el Fiscal General también puede:
- Recaudar sanciones civiles
- Impedir o prohibir a la persona que infrinja la TDSPA
- Solicitar medidas cautelares
- Recuperar los honorarios de abogados u otros gastos razonables incurridos durante una investigación.
Los consumidores no tienen derecho a emprender acciones privadas en virtud de esta ley.
¿Puede Termly ayudar a cumplir la TDPSA?
Termly ofrece una Generador de política de privacidad y gestión del consentimiento plataforma(CMP) que puede ayudar a las empresas a simplificar su cumplimiento de la TDPSA.
La dirección Generador de política de privacidad incluye los detalles necesarios para cumplir los requisitos de notificación establecidos por la ley de privacidad de datos de Texas.
Además, el CMP es configurable para que sus consumidores de Texas puedan optar por no recibir publicidad dirigida, por la venta de sus datos y por la elaboración de perfiles.
Resumen
Simplifique su proceso de cumplimiento de la TDPSA antes de que entre en vigor siguiendo mi sencilla lista de comprobación de seis pasos:
- Realice una auditoría de privacidad para conocer todos los datos personales que procesa su empresa.
- Elabore una política de privacidad que cumpla todos los requisitos de notificación descritos por la ley.
- Ofrezca a sus usuarios una forma sencilla de ejercer su derecho de exclusión.
- Presente a sus consumidores de Texas dos o más formas de presentar solicitudes de consumidores verificables para hacer un seguimiento de sus derechos de privacidad.
- Firmar contratos legalmente conformes que incluyan todas las disposiciones señaladas por la TDSPA.
- Establecer, aplicar y mantener medidas de seguridad adecuadas para proteger los datos.
Elimine aún más complicaciones en el cumplimiento de la privacidad utilizando recursos como nuestro Generador de política de privacidad y CMP.
Escrito por Natasha Piirainen
Natasha Piirainen es una escritora especializada en privacidad con una licenciatura en Inglés y Filosofía por el Wheaton College y más de 10 años de experiencia profesional en el desarrollo de contenidos basados en la investigación.
Leer todas las publicaciones de Natasha Piirainen
Revisado por Josh Langeland, CIPM
Josh Langeland es ingeniero especializado en privacidad y licenciado en Informática por la Universidad de Minnesota. Le apasiona utilizar la tecnología para respetar la privacidad de los usuarios y se desenvuelve con soltura en la intersección entre la tecnología compleja y la legislación en materia de privacidad, en constante evolución.
Leer todas las publicaciones revisadas por Josh Langeland, CIPM
