Vermont aprió la caja de Pandora: Nuevas reglas para data brokers que te afectan (sí, a ti también)

¿Qué pasó en Vermont?

El estado de Vermont, conocido por su sirope de arce y sus paisajes nevados, acaba de dar un golpe en la mesa de la privacidad digital. El 1 de julio de 2023 entraron en vigor enmiendas sustanciales a su ley de registro de data brokers. No es una simple actualización: es un cambio de paradigma que pone a los intermediarios de datos contra las cuerdas.

Si creías que la privacidad era cosa de europeos con el GDPR, piensa de nuevo. Vermont se ha convertido en el laboratorio de pruebas de una regulación más agresiva en EE.UU., y lo que pase allí podría extenderse como un reguero de pólvora.

¿Qué es un data broker y por qué debería importarte?

Un data broker es una empresa que recopila, procesa y vende datos personales de terceros. Básicamente, son los stalkers profesionales del mundo digital: saben qué compras, dónde vives, cuánto ganas y hasta si tienes un perro. Y todo sin que tú les hayas dado permiso directamente.

Hasta ahora, operaban en una zona gris. Pero Vermont les ha puesto el foco: ahora tienen que registrarse, cumplir con obligaciones de transparencia y, lo más importante, responder ante los consumidores.

Las 4 claves de la nueva ley

1. Registro obligatorio y más información

Los data brokers ya no pueden esconderse. Deben registrarse anualmente y revelar detalles como qué categorías de datos recopilan, cómo los obtienen y si permiten a los usuarios optar por no participar. Es como pedirles que muestren sus cartas, y por fin los consumidores pueden ver quién está jugando con su información.

2. Derechos de los consumidores: el poder de decir 'no'

La ley introduce un derecho de exclusión voluntaria (opt-out) más amplio. Los residentes de Vermont pueden solicitar que sus datos no sean vendidos o compartidos. Además, los brokers deben proporcionar un mecanismo claro para ejercer este derecho. Si no lo hacen, se enfrentan a multas.

Imagina que puedes llamar a un data broker y decirle: 'Oye, deja de vender mis datos'. Pues ahora es posible. Bueno, no exactamente llamar, pero al menos enviar un formulario. Es un avance, aunque todavía no es tan sencillo como pedir una pizza.

3. Notificación de violaciones de datos: más rápido y más duro

Si un data broker sufre una brecha de seguridad, ahora tiene que notificarlo a los afectados y al fiscal general de Vermont en un plazo de 45 días. Antes no había un plazo claro. Y las sanciones por no hacerlo pueden alcanzar los 10.000 dólares por infracción, más 100 dólares por cada día de retraso. Vamos, que más vale que tengan un buen equipo de ciberseguridad.

4. Sanciones que duelen

Las multas se han disparado. Por violaciones de la ley, los brokers pueden enfrentarse a sanciones civiles de hasta 10.000 dólares por cada infracción, más 100 dólares por cada día que continúe la violación. Y si engañan a los consumidores, la factura puede ser aún mayor. Esto no es una palmada en la muñeca; es un mazazo en el bolsillo.

¿Qué significa esto para las empresas?

Si tu empresa opera como data broker o simplemente maneja datos personales en Vermont, necesitas actuar ya. La ley tiene impacto inmediato. No esperes a que te llegue una notificación de incumplimiento.

Primero, revisa si tu empresa califica como data broker según la definición de Vermont. No solo las empresas que venden datos, sino también las que los recopilan y comparten con terceros. Segundo, implementa un sistema de opt-out claro y accesible. Tercero, actualiza tus políticas de notificación de brechas. Y cuarto, prepárate para auditorías: el fiscal general de Vermont tiene dientes y los va a usar.

Como dijo un abogado de privacidad: 'Leer la nueva ley de Vermont es como leer las instrucciones de un mueble de IKEA: parece complicado, pero si no lo haces, terminas con una pata coja'.

Y para los consumidores: ¿qué puedes hacer?

Si vives en Vermont, tienes nuevos derechos. Ejercítalos. Busca el registro de data brokers en la web de la Secretaría de Estado y solicita la exclusión. Si no estás en Vermont, presiona a tus legisladores para que adopten leyes similares. La privacidad no debería ser un lujo.

Mientras tanto, recuerda: cada vez que aceptas cookies sin leer, un data broker se frota las manos. Pero con leyes como esta, quizá empiecen a temblar.

Para más detalles, consulta el texto oficial de la ley en Vermont Statutes Title 9, Chapter 62.