Ley de Protección de Datos de Colorado, Colorado Privacy Act .
El 1 de Julio de 2023 entra en vigor la Ley de Protección de Datos de Colorado, Colorado Privacy Act (CPA) promulgada en julio de 2021. Aunque la CPA no es particularmente innovadora, refleja la creciente tendencia a mejorar la protección de la privacidad de los consumidores en el Estado de Colorado. En líneas generales podríamos destacar:
- La CPA adopta un enfoque de Responsable/Encargado del tratamiento similar al del RGPD. Las relaciones entre ambos deberán articularse en un contrato.
- La CPA se aplica a los interesados que tengan la condición de consumidores, por lo tanto, un empleado de una empresa quedaría excluido de su ámbito de aplicación. La CPA define omite explícitamente a las personas que actúan en "un contexto comercial o laboral, como solicitante de empleo o como beneficiario de alguien que actúa en un contexto laboral".
-
La CPA se aplica a cualquier responsable del tratamiento que:
- Realice negocios en Colorado o produzca o suministre productos o servicios comerciales dirigidos intencionadamente a residentes de Colorado; y además
- -Controle o procese los datos personales de al menos 100.000 consumidores o más durante un año natural; o que
- Obtenga ingresos o reciba un descuento en el precio de bienes o servicios de la venta de datos personales y procese o controle los datos personales de 25.000 consumidores o más".
- La definición de datos personales de la CPA excluye explícitamente cualquier dato o que se haya puesto legalmente a disposición del público.
- Se establecen derechos para los consumidores (acceso, rectificación, supresión , portabilidad, exclusión voluntaria (nuestro derecho de oposición y derecho de recurso).
- En cuanto a los Principios se contemplan el Principio de Transparencia, limitación de la finalidad, información y minimización de los datos.
- En relación con la seguridad, la CPA exige que los responsables del tratamiento tomen precauciones de seguridad durante el almacenamiento y uso de los datos, imponiendo medidas "adecuadas al volumen, alcance y naturaleza de los datos personales tratados."
- Se impone la realización de Evaluaciones de Impacto para la protección de datos para las actividades "que presenten un mayor riesgo de perjuicio para un consumidor sin realizar y documentar una evaluación de protección de datos de cada una de sus actividades de tratamiento”.
El inconveniente que aprecio son las exclusiones en el ámbito de aplicación que minimizan el efecto bonificador de las normativas de protección de datos personales. Más información aquí