La semana pasada, la Cámara de Representantes de Utah aprobó por unanimidad un proyecto de ley de privacidad del consumidor, la Ley de Privacidad del Consumidor de Utah, acercándose un paso más a convertirse en el cuarto estado en promulgar una legislación de privacidad en los EE. UU.
El proyecto de ley regresará al Senado de Utah, donde fue aprobado a principios de este año. Los funcionarios allí deben decidir si aceptarán las enmiendas agregadas por los miembros de la Cámara antes de que se dirijan al escritorio del gobernador de Utah, Spencer Cox. Cox no respondió a las solicitudes de comentarios sobre si firmará el proyecto de ley si llega a su escritorio.
La Ley de Privacidad del Consumidor de Utah se aplica a las empresas con un ingreso bruto anual de $25 millones y aquellas que realizan negocios en Utah o producen bienes para los residentes de Utah. El proyecto de ley solo se aplica a las empresas que «controlan o procesan» la información personal de 100,000 residentes de Utah o «obtienen más del 50% de sus ingresos brutos de la venta de datos personales y controlan o procesan los datos personales de al menos 25,000 residentes».
El proyecto de ley entraría en vigencia en diciembre de 2023 y ofrecería a los residentes de Utah el derecho de notificación, acceso, portabilidad y eliminación, pero no ofrece a las personas el derecho de corrección. También hay exenciones para ciertos negocios. Incluye una sección de exclusión voluntaria que permite a las personas negar a las empresas el derecho de dirigirse a ellos con publicidad o vender su información personal.
Pero el proyecto de ley aún permite a las empresas realizar perfiles automatizados y excluye en gran medida los datos de los empleados, así como los datos compartidos entre empresas. Existe una disposición de exclusión voluntaria de información «sensible» que obliga a las empresas a notificar también a los clientes si están recopilando datos biométricos o genéticos, información de salud, datos de ciudadanía, orientación sexual, origen racial y creencias religiosas.
Al igual que otras leyes de privacidad de EE. UU., la fiscalía general de Utah gestiona su aplicación, pero, de manera controvertida, no permite un derecho de acción privado. La División de Protección al Consumidor del Departamento de Comercio de Utah investigará a las empresas en función de las quejas de los clientes antes de pasar los casos a la oficina del Fiscal General.
Dan Clarke, un experto en leyes de privacidad de EE. UU. que ha sido consultado por legisladores en varios estados sobre posibles leyes de privacidad, dijo MarketingyPublicidad.es que el proyecto de ley de Utah sigue el modelo de la ley de Virginia, aunque no incluye un requisito para las evaluaciones y no dice nada sobre seguir la señal del Control de privacidad global.
«Las leyes como la de Utah, que siguen los pasos de Virginia, son un buen paso hacia la privacidad del consumidor a nivel estatal, pero generalmente son más favorables para las empresas y menos restrictivas. Muchas de las leyes tienen una mentalidad predominantemente de exclusión y tienen sanciones más bajas. , especialmente por el incumplimiento de las empresas que se esfuerzan por hacer todo lo posible», dijo Clarke.
«No hay nada realmente innovador en la Ley de Privacidad del Consumidor de Utah. La aprobación de UCPA realmente solo consolida la tendencia que ha estado proliferando en las legislaturas en 2022, la mayoría de las cuales siguen a Virginia como modelo. Un elemento que es único es una disposición para que el fiscal general proponer cambios después de una ‘evaluación de cumplimiento’, pero eso no sucederá hasta 2025».
La analista principal de políticas de Consumer Reports, Maureen Mahoney, dijo que el proyecto de ley es «demasiado débil para proteger a los consumidores» y agregó que Consumer Reports ha instado al gobernador a vetar la medida.
«Es importante que cualquier ley de privacidad funcione para los consumidores, que al menos, como en California, puedan optar por no vender su información personal en todas las empresas en un solo paso, en lugar de tener que buscar entre cientos si no miles de sitios uno por uno, buscando una manera de optar por no participar», dijo Mahoney.
«Y las definiciones deben cubrir la publicidad dirigida, para que los consumidores puedan optar por no participar. Desafortunadamente, el proyecto de ley de Utah es incluso más débil que la medida favorable a la industria de Virginia, que carecía de estos elementos clave. La medida de Utah no tiene derechos de suscripción voluntaria para datos confidenciales, tiene una opción de exclusión más débil y un esquema de cumplimiento aún más débil».
Mahoney agregó: «Todo esto significa que los consumidores no podrán controlar sus datos. Es una victoria para empresas como Google y Facebook».
Lisa Sotto, jefa de la práctica global de privacidad y ciberseguridad en el bufete de abogados Hunton Andrews Kurth, explicó que la ley de Utah difiere de la ley de Virginia porque carece de un derecho de corrección, lo que, según ella, está fuera de sintonía con las leyes globales de protección de datos. — y un derecho de optar por no participar, en lugar de optar por el uso de datos confidenciales, que también se define de manera más estricta que en la ley de Virginia.
«La ley de Utah protege la privacidad, pero también es razonablemente amigable para los negocios. Este es un desarrollo bienvenido a la luz de la plétora actual de leyes integrales de privacidad en los EE. UU., con una alta probabilidad de que haya más por venir», dijo.
«Las empresas que han cumplido con las leyes de privacidad de los otros tres estados, cuyas fechas de vigencia son anteriores a las de la ley de Utah, están bien posicionadas para cumplir fácilmente con los requisitos de Utah. Cumplir con la ley de Utah una vez al día debería ser un ejercicio relativamente simple. existe un marco para el cumplimiento de California, Virginia y Colorado».
La legislación de Utah sigue las leyes de privacidad recientes promulgadas en Virginia y Colorado en 2021, así como varias leyes en California durante los últimos tres años.
Varios estados han pasado años intentando aprobar sus propias leyes de privacidad debido a la falta de movimiento en la legislación de privacidad a nivel federal. Nueva York, Texas, Washington y docenas de otros estados han enfrentado problemas para impulsar sus propias leyes de privacidad debido a la reacción violenta de las empresas que se quejan de que las facturas crearán una cantidad significativa de trabajo adicional para cualquier empresa con un sitio web.
Clarke, presidente de la compañía de privacidad IntraEdge, dijo que Washington acaba de avanzar por poco su ley de privacidad del comité de asignaciones de la Cámara, mientras que las leyes en Indiana, Wisconsin, Oklahoma y Florida actualmente son intercámaras y avanzan rápidamente.
«Creo que el rápido movimiento de Utah es más un resultado de la negociación fuera de la pantalla para nivelar el proyecto de ley y unificar después de los debates de 2021 con grupos de defensa del consumidor para un proyecto de ley más completo con derecho de acción privado, y la aceptación no arrojó los resultados querían», dijo Clarke.
«Las partes interesadas clave que querían una ley más integral se unieron a una colación que decidió que algo es mejor que nada. Este proyecto de ley es un compromiso entre los defensores agresivos de la privacidad del consumidor y los partidarios favorables a las empresas que estaba preestablecido».
