Cumplimiento de la Tennessee Information Protection Act (TIPA)

¿Qué es la TIPA?

La Tennessee Information Protection Act (TIPA), ley de protección de la información de Tennessee, es la ley integral de privacidad del consumidor de Tennessee. Se aprobó como House Bill 1181 y se firmó en mayo de 2023, y está codificada en el Tennessee Code Annotated § 47-18-3201 y los artículos siguientes. Al igual que las leyes de privacidad de Virginia y de otros estados de EE. UU., otorga a los residentes derechos sobre su información personal y fija normas para las empresas que la recogen.

Según la TIPA, los consumidores de Tennessee tienen derecho a:

• Confirmar si una empresa trata su información personal y acceder a ella
• Rectificar las inexactitudes de su información personal
• Suprimir la información personal que hayan facilitado o que se haya obtenido sobre ellos
• Obtener una copia portable de la información personal que hayan facilitado
• Excluirse (opt-out) de la venta de su información personal, de la publicidad dirigida y de la elaboración de perfiles que produzca efectos jurídicos o de importancia similar

La TIPA también considera datos sensibles determinada información, como el origen racial o étnico, las creencias religiosas, los diagnósticos de salud, la orientación sexual, la ciudadanía o la situación migratoria, los datos genéticos o biométricos usados para identificar a una persona, la geolocalización precisa y la información personal recogida de un menor del que se tenga conocimiento.

¿Qué ocurre si no cumplo la TIPA?

El fiscal general de Tennessee tiene la competencia exclusiva para hacer cumplir la TIPA. Los puntos principales son:

• Periodo de subsanación: antes de emprender una acción, el fiscal general debe enviar una notificación por escrito y conceder 60 días para subsanar la infracción. Este periodo de subsanación es permanente y no caduca.
• Sanciones civiles: un tribunal puede imponer hasta 7.500 $ por cada infracción.
• Triple indemnización: en las infracciones intencionadas o a sabiendas, un tribunal puede conceder el triple de los daños.
• Costas: el fiscal general puede recuperar los honorarios razonables de abogados y los gastos de investigación.
• Sin derecho de acción privada: los consumidores no pueden demandar directamente a una empresa al amparo de la TIPA.

La TIPA también ofrece a las empresas una defensa afirmativa si mantienen un programa de privacidad por escrito que se ajuste razonablemente al NIST Privacy Framework o a normas documentadas comparables, lo mantienen actualizado y garantizan a los consumidores los derechos que exige la ley.

Cómo cumplir la TIPA

Si su tienda online alcanza los umbrales de la TIPA, el trabajo más importante en cuanto a cookies y seguimiento es este:

1. Ofrezca la exclusión de la publicidad dirigida y de la venta. Los píxeles y etiquetas publicitarios que siguen a los visitantes por otros sitios web suelen considerarse publicidad dirigida. La TIPA le exige informar de forma clara y visible sobre este tratamiento y sobre cómo pueden excluirse los consumidores. Un enlace de exclusión visible y un banner de cookies con opciones claras son la forma habitual de hacerlo. La TIPA no exige a las empresas respetar las señales universales de exclusión, como Global Privacy Control.
2. Obtenga el consentimiento previo (opt-in) para los datos sensibles. No debe tratar datos sensibles, como la geolocalización precisa, sin el consentimiento del consumidor. Los datos de un menor del que se tenga conocimiento deben tratarse conforme a la ley federal Children’s Online Privacy Protection Act.
3. Publique un aviso de privacidad claro. Debe enumerar las categorías de información personal que trata, por qué la trata, las categorías que vende y los terceros a los que las vende, y cómo pueden los consumidores ejercer sus derechos y recurrir sus decisiones.
4. Atienda a tiempo las solicitudes de los consumidores. Ofrezca al menos una forma segura y fiable de enviar solicitudes, sin exigir la creación de una cuenta nueva. Responda en un plazo de 45 días, ampliable una vez por otros 45 días cuando sea razonablemente necesario, y resuelva los recursos en un plazo de 60 días.
5. Documente su programa de privacidad. Alinearlo con el NIST Privacy Framework puede darle la defensa afirmativa descrita anteriormente.

Para facilitarlo, considere una plataforma de gestión del consentimiento (CMP) como Pandectes GDPR Compliance. Está diseñada para tiendas Shopify y ofrece un banner de cookies con opciones de exclusión para los estados de EE. UU., un enlace “Do not sell or share my personal information” (No vender ni compartir mi información personal), detección y clasificación automáticas de cookies, una declaración de cookies, registros del consentimiento y gestión de las solicitudes de los interesados. La configuración del banner por región le permite mostrar a los visitantes de Tennessee la experiencia adecuada según su ubicación.

Para conocer el origen de la ley, lea nuestro artículo La aprobación de la Information Protection Act en Tennessee (en inglés).

Cada empresa es diferente, así que revise sus obligaciones según la TIPA con un asesor legal cuando proceda.