Las autoridades estatales de protección de datos vienen. ¿Qué historia les contarás?

Si recibe una llamada de John Ekins en la oficina del abogado de Delaware, ya ha presentado una violación de datos con el estado, por lo que sabe que hay un problema. Qué equipos de seguridad de la información harán a continuación podría significar la diferencia entre una multa alta o una advertencia y una llamada intacta.

El abogado adjunto de General de Delaware, Eakins, es responsable de hacer cumplir las nuevas regulaciones estatales como parte de la Ley de privacidad de datos personales de Delaware (DPDPA) después de haber informado una violación importante. Luego querrá perforar en dos criterios específicos: el daño y la pregunta de si se puede reparar.

«Debe esperar que se le solicite que proporcione información sobre la violación, la evaluación del daño causado y la sensibilidad de los datos lesionados», dice Eakins. Sin embargo, esto no significa necesariamente que la implementación sea inminente, agrega. En Delaware, junto con muchos otros estados, se ofrece un «derecho de curación», lo que significa que la compañía no es castigada si el error que condujo a la violación se puede establecer dentro de un rango de 30 a 60 días.

Aquí se vuelve crucial para las organizaciones y sus equipos de seguridad de datos tener una «historia que contar», dice Andreas Kaltsounis, abogado y asociado de Bakerhostetler, que trabaja en nombre de los clientes con autoridades de protección de datos.

Leyes estatales de protección de datos, cumplimiento del anticipo

Veinte estados, incluido Delaware, han emitido regulaciones de protección de datos de 2025, pero estas nuevas leyes no son realmente necesarias para que los estados recopilen castigos por lesiones de datos, como enfatiza Kaltsounis. La ley federal podría usarse en muchos de estos casos, la mitad de los estados ya tienen requisitos para la seguridad de la información en los libros, y casi todos los estados tienen alguna forma de «prácticas injustas, engañosas y abusivas» (UDAP), que también podrían Se utilizará como mecanismos de aplicación para muchos cuerpos de lesiones de datos que se utilizarán, agrega.

Lo que las nuevas leyes de protección de datos han hecho por las autoridades de supervisión no son tantas reglas para el libro es más dinero para hacer cumplir la protección de datos laxas entre las organizaciones, incluido el dinero para el empleo de conocimiento especializado interno. Combine esto con la desregulación federal bajo el Administración de TrumpY los estados están en una posición de primera clase para cerrar la brecha.

Cada estado selecciona su propio rastro.

Por su parte, Texas persigue datos de automóviles en red, la demanda contra General Motors y en los últimos tiempos. Compañía de seguros Allstate para Recopilar datos del consumidor sin cumplir con la nueva Ley de Privacidad de Datos de Texas (TDPSA). Texan AG afirma que la aseguradora ha pagado a los desarrolladores de otras aplicaciones, incluida Life360, para incluir un software secreto integrado para recopilar datos de teléfonos móviles para Texans y luego usar esta información para justificar los aumentos de tarifas de seguro.

La fiscal general de Nueva York, Letitia James, castigó recientemente una multa de empresas, incluida una distribución de una línea de Sistemas de seguridad inciertos para la seguridad del hogar ($ 450,000), Compañía de seguros Geico y viajeros Por no proteger los datos (11.3 millones de dólares estadounidenses) y Regiones de capital de proveedores de servicios de salud ($ 2.25 millones) por no proteger los datos médicos. En diciembre, Kathy Hochul del gobernador de Nueva York expandió la supervisión de la Ag La seguridad cibernética de los servicios financieros. Los principales esfuerzos de aplicación de Nueva York fueron capacitados en las considerables empresas de servicios financieros que trabajan en su responsabilidad.

Delaware se centra en el abuso de datos de geolocalización y la seguridad de los datos de las tecnologías emergentes para la inteligencia artificial (IA), según el diputado AG Ekins de Delaware.

A pesar de la avalancha de comunicados de prensa, representantes de los consumidores como el subdirector de la Legislativa de la Fundación Electrónica de la Frontera, Hayley Tsukayama, cada estado debería hacer mucho más para proteger los datos del consumidor. Tsukayama se refiere a las brechas comerciales como el «derecho a la curación», que las autoridades de supervisión, incluidas las de Delaware, como «salgan de la tarjeta libre de prisión» y quieren ver más presión sobre las empresas, para proteger los datos confidenciales antes que él. es tarde.

El Centro de Información de Privacidad Electrónica (EPIC) tampoco está impresionado con los esfuerzos del gobierno para proteger la protección de datos. En su último «»Condición de privacidad«Informe, Epic dijo que las nuevas leyes estatales» … no protege a los consumidores. «De los 19 países que han aprobado los paquetes legislativos del consumidor, casi la mitad de la épica recibió solo California recibió una B, y ningún estado recibió un A.

La subfinanciación crónica atrapó los esfuerzos de aplicación, dice Tsukayama. Pero eso es todo lo que cambiará.

El diputado AG Eakins de Delaware dijo que su oficina había recibido un aumento en el financiamiento junto con el DPDPA, y que su oficina ahora ha dado a un informátículo a tiempo completo que dio su investigación sobre el conocimiento especializado. Muchos otros estados han seguido el ejemplo y asignaron presupuestos más grandes para monitorear la protección de la protección de datos y los nuevos requisitos de cumplimiento.

¿Hace su historial de protección de datos ahora mismo?

El abogado Kaltsounis dice que las autoridades de supervisión están ocupadas; En su experiencia, las organizaciones estarán mucho mejor posicionadas con una «historia» convincente para evitar castigos. Esto significa que la organización se toma en serio la seguridad de la información antes de la violación. Recomienda una buena auditoría de datos de moda antigua y almacena todo lo que se encuentra en un servidor antiguo que ya no es necesario. Posteriormente, las empresas solo tienen que recopilar los datos que necesitan absolutamente durante el período de tiempo más corto.

«Ambos tienen que estar terminados», aconseja Kaltsondis.

Las empresas deben tratar este nuevo entorno regulatorio a nivel estatal como una oportunidad para incluir la protección de datos como el principio básico de la empresa.

«Una cosa es cierta: la protección de datos no desaparece», dice Edge. «Hay más de una docena de leyes de protección de datos en los Estados Unidos hoy en día. Puede parecer desalentador, pero no tiene que serlo. La compañía no tiene que reinventar la rueda para cada ley. Minimizar los riesgos, la conducta de calidad de datos y construcción de confianza con los consumidores.

Las organizaciones deben desarrollar una estrategia que incluya asignación de datos, clasificaciones de protección de datos y genedores de protección de datos para comprender cómo se utilizan los datos. Esto ayudaría a definir las pautas sobre cuánto tiempo los datos, cómo están protegidos y cómo se eliminan si ya no son necesarios.

En relación Acuerdo alcanzado con Marriott Hay un fuerte marco inicial por la falta de «seguridad adecuada» por parte de la compañía. Los requisitos técnicos básicos establecidos del acuerdo Marriott son un programa integral de seguridad de la información, por el cual se minimiza la cantidad de datos recopilados con los requisitos de eliminación y el monitoreo de la cadena de suministro. Este es un buen lugar para las organizaciones.

En el futuro, Kaltsounis espera que una «competencia amistosa» aparezca entre los estados para demostrar la postura de protección de datos más fuerte en nombre de sus ciudadanos. Con un mandato y un nuevo presupuesto, es probable que las oficinas de las autoridades reguladoras estatales se conviertan en un juego estándar después de una lesión de datos.

¿Qué historia tienes que contarte cuando llamas?