Unión Europea y Estados Unidos: ¿Cuáles son las diferencias entre sus leyes de privacidad de datos?

La introducción del Reglamento General de Protección de Datos (RGPD) allá por mayo de 2018 puso un listón muy alto en la protección de la privacidad de las personas dentro de los estados miembros de la UE. El panorama de la privacidad de los datos en Estados Unidos ha cambiado considerablemente en los últimos años y las normas de protección de datos se alinean cada vez más con un enfoque europeo, aunque siguen existiendo grandes diferencias. Este artículo examina las diferencias entre las modernas leyes de protección de datos de la Unión Europea y de Estados Unidos.

RGPD: Breve resumen

El RGPD es una ley integral de privacidad de datos que se aplica a las organizaciones que recopilan, almacenan o poseen datos personales pertenecientes a los interesados en los Estados miembros de la UE. La Comisión Europea define los datos personales como cualquier información relacionada con una persona física identificada o identificable (sujeto de datos). Las organizaciones que operan en los países de la UE, las organizaciones que venden bienes o servicios a los ciudadanos de la UE y las organizaciones que supervisan el comportamiento de los sujetos de datos deben cumplir con el RGPD.

Las normas para el cumplimiento del RGPD son sustanciales y se basan en siete principios clave, como la minimización en la recogida de datos, la limitación del almacenamiento y la responsabilidad. Algunas categorías específicas de datos sensibles requieren una protección adicional.

El incumplimiento del RGPD divide las sanciones en dos niveles en función de la gravedad de las infracciones. Las infracciones estándar conllevan sanciones de hasta 10 millones de euros o el 2% del volumen de negocios anual global, mientras que las sanciones por infracciones más graves pueden ser de hasta 20 millones de euros o el 4% del volumen de negocios anual.

El RGPD sustituyó a la Directiva de Protección de Datos, ya que se consideró que su alcance y fuerza eran insuficientes para la protección moderna de la privacidad de los datos en Europa. Desde la aplicación del RGPD, varias sentencias importantes del Tribunal de Justicia de las Comunidades Europeas han reforzado aún más los derechos individuales, entre otras cosas permitiendo a las asociaciones de protección de los consumidores emprender acciones de representación en nombre de los consumidores afectados por las infracciones del RGPD. Las autoridades de protección de datos de cada Estado miembro suelen tramitar las denuncias presentadas por infracciones del RGPD.

Leyes de privacidad de datos de Estados Unidos y diferencias con la UE

Podría decirse que la diferencia más significativa entre la legislación estadounidense y la de la UE es la falta de una ley integral de privacidad de datos que se aplique a todos los tipos de datos y a todas las empresas estadounidenses. En su lugar, la legislación estadounidense adopta un enfoque más fragmentado con varias normativas que regulan diferentes sectores y tipos de datos, entre ellas:

• La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA, por sus siglas en inglés): esta ley federal protege la información sanitaria sensible de los pacientes especificando cómo los proveedores de servicios sanitarios deben proteger dichos datos contra el fraude y el robo. La ley también establece límites sobre el modo en que las organizaciones pueden utilizar o divulgar la información sanitaria protegida. Parece probable que se anuncien actualizaciones de la HIPAA en algún momento de 2022 o 2023 como máximo.
• La Ley Gramm-Leach-Bliley (GLBA): esta ley se aplica a las instituciones financieras y establece responsabilidades y normas para proteger la confidencialidad y seguridad de la información personal no pública de los consumidores. La Comisión Federal de Comercio (FTC) anunció importantes cambios en la Norma de Salvaguardias de la GLBA (que será obligatoria en noviembre de 2022), detallando medidas de seguridad de datos más prescriptivas que las instituciones financieras deben adoptar para proteger los datos de los clientes.
• La Ley Federal de Gestión de la Seguridad de la Información (FISMA): esta ley federal exige a las agencias federales que desarrollen, documenten y apliquen un programa para toda la agencia que proporcione seguridad a la información. FISMA 2022 es una actualización bipartidista de FISMA que adopta un enfoque vanguardista y estratégico para garantizar que los sistemas informáticos federales puedan prepararse y responder mejor a los desafíos cibernéticos actuales que amenazan la información federal y los sistemas de información contra el acceso, el uso y la divulgación no autorizados.

Cambio de leyes en EE.UU.

Una tendencia notable son los cambios recientes o inminentes de varias leyes estadounidenses de protección de datos que reflejan un mundo cada vez más interconectado, con mayores volúmenes de datos que nunca moviéndose en un ecosistema de información más complejo. La necesidad de estos cambios ejemplifica un enfoque diferente entre las leyes de la UE y las de Estados Unidos.

Podría decirse que el RGPD establece la norma para la privacidad de los datos en todo el mundo, y todavía no ha tenido que ser modificado. Sin embargo, la falta de un verdadero enfoque de privacidad en las distintas normativas estadounidenses sobre privacidad de datos hace necesario actualizarlas en consonancia con los derechos fundamentales que la gente espera ahora en torno a cómo se utilizan, comparten o divulgan sus datos.

CCPA y más

En los últimos años, han surgido leyes estatales que intentan proporcionar una mayor protección de los datos personales a los individuos en esas jurisdicciones y una mayor transparencia en torno a cómo se comparten los datos. La ley estadounidense más parecida al RGPD es la Ley de Privacidad del Consumidor de California (CCPA), que se aplica a los consumidores residentes en California.

La CCPA entró en vigor en enero de 2020, pero la inminente Ley de Derechos de Privacidad de California (CPRA, por sus siglas en inglés) modifica la legislación sobre privacidad para ampliar los derechos de exclusión voluntaria e introducir otros cambios que la alinean aún más con el RGPD. La CPRA entrará en vigor en enero de 2023. Curiosamente, Virginia y Colorado son los otros dos estados de Estados Unidos que han firmado una ley integral de privacidad de datos.

Diferencias culturales

Existen importantes diferencias culturales que no se pueden ignorar al evaluar las distintas leyes de protección de datos entre la UE y Estados Unidos. La Carta de Derechos Fundamentales de la UE establece la protección de datos como un derecho fundamental. Esta mentalidad que da prioridad a la privacidad se deriva probablemente de una historia de utilización de la información de los individuos con fines nefastos que se remonta a los tiempos del nacionalsocialismo y el comunismo.

Por el contrario, los Estados Unidos han adoptado tradicionalmente un enfoque más indiferente que favorece a las empresas que recogen y utilizan los datos personales. El uso de los datos personales con fines comerciales supera la importancia de la privacidad de los datos. En los últimos años se ha producido un cambio de mentalidad para proteger mejor a las personas, ya que las violaciones de datos siguen causando estragos, pero las diferencias culturales subyacentes tardarán más tiempo en disolverse y hacer que EE.UU. esté más alineado con la mentalidad y las leyes de la UE.

Sustitución del Marco del Escudo de Privacidad

En marzo de 2022 se anunció un importante cambio normativo: el Marco Transatlántico de Privacidad de Datos sustituirá al Marco del Escudo de Privacidad de la UE y Estados Unidos. Ambos marcos normativos se refieren a las transferencias de datos personales de la UE a Estados Unidos.
El Tribunal de Justicia Europeo invalidó el Escudo de Privacidad en 2020 después de que un activista austriaco alegara con éxito que el marco no protegía a los europeos de la vigilancia estadounidense. Esta sentencia provocó la incertidumbre de muchas empresas, como Google y Facebook, sobre las transferencias transfronterizas de datos.

El Marco Transatlántico de Privacidad de Datos introduce salvaguardias que limitan el acceso a los datos por parte de las autoridades de inteligencia estadounidenses a lo que es necesario y proporcionado para proteger la seguridad nacional. El resultado será probablemente un flujo de datos transfronterizo más libre y una menor incertidumbre normativa para las empresas que operan en ambas regiones.

Navegando por una economía de datos compleja

Hoy en día, las empresas deben navegar por una compleja economía de datos en la que un número cada vez mayor de normativas les obliga a ser muy cuidadosas con la forma en que recogen, almacenan y utilizan los datos de los clientes. Existen notables lagunas en el alcance y la fuerza de las leyes de privacidad de datos de EE.UU. en comparación con Europa, pero la marea sigue cambiando a medida que se modifican las leyes estadounidenses existentes y entran en vigor otras nuevas.

Independientemente de la(s) ley(es) que deba seguir su empresa, el cumplimiento de las leyes de privacidad de datos actuales es esencial para mantener la confianza de los clientes y evitar importantes consecuencias legales y financieras.