Conoce APRA, la iniciativa de Ley de Derechos de Privacidad de Estados Unidos

El Congreso de Estados Unidos tiene un proyecto de ley de privacidad y protección de datos personales con grandes probabilidades de ser aprobado. Es una iniciativa bipartidista y bicameral, presentada el 7 de abril de 2024 y bautizada como Ley de Derechos de Privacidad Digital (APRA, por la sigla en inglés de American Privacy Rights Act). De aprobarse, se rompería una tendencia a la balcanización legislativa, que ha visto el surgimiento de regulaciones estatales muy poderosas y ha dejado a Estados Unidos como uno de los pocos países que no cuentan con una ley federal que proteja la privacidad y el uso de la información personal de los ciudadanos.

APRA incorpora los principios ya tradicionales del régimen de privacidad europeo, emulado en las regulaciones latinoamericanas, dando mucho peso a los principios de información y consentimiento. Otorga derechos a los ciudadanos para satisfacer su autodeterminación informativa: la capacidad de controlar su información personal, ejerciendo derechos de acceso, rectificación, cancelación y oposición (conocidos por el acrónimo ARCO).

Da poder a los titulares para restringir las ventas o las transferencias de sus datos personales, con castigos a los proveedores que tomen represalias contra las personas que ejerzan sus derechos contemplados en APRA. Limita la cantidad de datos personales que los proveedores pueden recopilar de sus usuarios e impone plazos de caducidad, que deben quedar descritos en sus políticas de privacidad. Crea la categoría de datos personales sensibles, para los que exige un mayor nivel de protección, con límites a su tratamiento y sus transferencias.

APRA significa un empoderamiento de los ciudadanos. Opera bajo el modelo estadounidense que regula las relaciones entre ciudadanos y proveedores de servicios como una relación comercial, por eso la oficina responsable de vigilar su cumplimiento será la FTC o Federal Trade Commission (Comisión Federal de Comercio).

Pongo el foco en algunas virtudes del proyecto estadounidense que no se encuentran en la legislación mexicana, creada en 2010 y que se mantiene sin cambios ni actualizaciones.

1. APRA permite a los consumidores exigir compensaciones por daños y perjuicios por el uso ilegítimo de sus datos personales o vulneraciones a su información privada. El reclamo puede convertirse en un juicio cuando se trate de daños significativos contra los derechos morales y patrimoniales de los afectados o se involucre a menores de edad, evitando el arbitraje que permite a las compañías infractoras alcanzar arreglos extrajudiciales.

2. En paralelo, los estados a través de sus respectivas fiscalías o agencias de privacidad pueden seguir procesos sancionatorios (será el caso de California, Illinois o Washington).

3. La propuesta de ley incorpora conceptos indispensables de regulación en la era digital, como publicidad dirigida y datos biométricos, que ni por asomo figuran en la legislación mexicana de 2010. En el caso de la publicidad, cada vez más sofisticada y diversificada, la iniciativa permite a los ciudadanos negarse a recibir anuncios seleccionados con base en sus datos personales o su historial de navegación.

Sobre datos biométricos, como la recopilación y uso de huellas dactilares, iris de los ojos o las características del rostro, la regulación exigirá que los proveedores obtengan el consentimiento explícito de los titulares. Quizá lo más importante es que limita las transferencias de datos biométricos.

4. Particularmente me gusta la propuesta de que la FTC registre a los data brokers (las compañías dedicadas a crear y vender sus propias bases de datos personales o gestionar las de terceros). La iniciativa les exige poner a disposición de las personas un sistema digital para el ejercicio de derechos ARCO, con la opción de “No rastrear”, una capa de invisibilidad para los consumidores.

El proyecto de ley llega en un momento complicado para la política interna y externa de Estados Unidos, polarizada por las elecciones presidenciales de noviembre, dividida por los conflictos en Ucrania e Israel y trabada en un pulso geopolítico con China. ¿Pero cuándo no es complicado el momento legislativo de un país? E incluso en ese contexto, APRA tiene grandes probabilidades de ser aprobada. Ya veremos.