La ley de privacidad del consumidor de Delaware se aplicará a muchas más empresas el 1 de enero de 2027, después de que los legisladores redujeran su umbral de cobertura general de 35.000 consumidores a 10.000. El proyecto de ley 380 de la Cámara de Representantes también reduce el umbral para las empresas que obtienen más del 20% de sus ingresos de la venta de datos, de 10.000 consumidores a 5.000, según el texto de la ley.
El gobernador Matt Meyer promulgó el proyecto de ley HB 380 y una medida complementaria de privacidad el 2 de septiembre. La administración afirmó que el paquete ofrece a los residentes nuevas protecciones cuando se utilizan datos personales en decisiones automatizadas relacionadas con préstamos, vivienda o empleo. El anuncio también destacó nuevas salvaguardias para el origen nacional, la ciudadanía, el estatus migratorio y la identidad de género.
Los umbrales más bajos son solo una parte de la ampliación. La Ley HB 380 incluye expresamente a los terceros que adquieren datos personales de un responsable del tratamiento dentro del marco legal y establece obligaciones para dichos destinatarios. Un tercero sin el contrato requerido no puede continuar procesando los datos; los destinatarios deben cumplir con los términos del contrato y proporcionar la información necesaria para las evaluaciones de riesgos y la debida diligencia. Dos análisis jurídicos independientes, de Troutman y Squire Patton, identificaron estas obligaciones de terceros como una característica destacada del enfoque de Delaware.
Más datos se vuelven sensibles
La ley amplía el concepto de “datos sensibles” para incluir datos neuronales, credenciales de cuentas financieras, ciertos números de identificación gubernamentales e inferencias utilizadas para identificar características o condiciones protegidas. Estas características incluyen el origen nacional o étnico, el estado de salud, el embarazo, la condición de persona transgénero o no binaria, la ciudadanía y el estatus migratorio. Por lo general, los responsables del tratamiento deben obtener el consentimiento antes de procesar datos sensibles, y la venta de dichos datos requiere una notificación clara, el consentimiento expreso y un registro de dicho consentimiento durante cinco años, según el análisis jurídico.
Los sistemas de toma de decisiones automatizados reciben una atención especial. La ley amplía el derecho a oponerse a la elaboración de perfiles utilizados en decisiones con efectos legales o de importancia similar, incluso cuando la elaboración de perfiles sea solo un componente y no la única base. Cuando una empresa proporciona un informe utilizado para dicha decisión, los contratos deben exigir la notificación de una acción adversa e identificar los datos en los que se basa. Siempre que sea técnicamente factible, los residentes deben tener la oportunidad de una revisión humana. El proyecto de ley define las decisiones importantes de forma suficientemente amplia como para incluir préstamos, vivienda, seguros, educación, empleo, atención médica y acceso a bienes o servicios esenciales.
Las empresas que superen los nuevos umbrales también se enfrentarán a un umbral menor para las evaluaciones de protección de datos: 50 000 consumidores en lugar de 100 000, excluyendo el procesamiento exclusivo de pagos. Las empresas que utilicen la elaboración de perfiles para decisiones automatizadas importantes deben documentar los usos previstos, los daños previsibles, los límites de rendimiento, las medidas de seguridad y el seguimiento posterior a la implementación. El fiscal general podrá obtener dichas evaluaciones durante una investigación, si bien los documentos se mantendrán confidenciales y no serán de dominio público.
El resultado es un cambio significativo en el cumplimiento normativo para las empresas que eran demasiado pequeñas para acogerse al umbral anterior de 35 000 consumidores, así como para las filiales del sector financiero que se beneficiaban de una exención más amplia. La ley no prohíbe la toma de decisiones automatizada ni el comercio de datos. En cambio, amplía el alcance de la obligación de cumplimiento y añade requisitos de consentimiento, contratación, transparencia y evaluación antes de que los datos protegidos puedan utilizarse de forma más arriesgada.
