Cumplimiento de la Florida Digital Bill of Rights con ConsentX

La Florida Digital Bill of Rights (FDBR) es la ley integral de privacidad de datos del consumidor de Florida. Reconoce derechos a los consumidores sobre sus datos personales e impone obligaciones a los responsables y encargados del tratamiento sujetos a ella. La norma entró en vigor el 1 de julio de 2024.

Los consumidores de Florida tienen, con carácter general, derecho a confirmar si se están tratando sus datos personales, acceder a ellos, rectificar inexactitudes, solicitar su supresión, obtener una copia portátil de sus datos personales, oponerse a la publicidad dirigida, oponerse a la venta de datos personales, oponerse a determinadas actividades de elaboración de perfiles, oponerse a la recogida o el tratamiento de datos sensibles y oponerse a determinada recogida de datos de reconocimiento de voz y facial.

La FDBR no exige consentimiento para todo tipo de tratamiento de datos personales. No obstante, se aplican requisitos de consentimiento específicos a determinadas actividades, como la venta de datos personales sensibles. Los responsables del tratamiento deben obtener el consentimiento previo del consumidor antes de vender datos sensibles, con sujeción a reglas específicas para los menores conocidos.

Los datos sensibles incluyen categorías como el origen racial o étnico, las creencias religiosas, el estado o diagnóstico de salud física o mental, la orientación sexual, la situación de ciudadanía o inmigración, los datos genéticos o biométricos utilizados para la identificación, la geolocalización precisa y los datos personales de un menor conocido. La FDBR reconoce a los consumidores el derecho a oponerse a la recogida o el tratamiento de datos sensibles.

Sí. Los consumidores tienen derecho a oponerse al tratamiento de sus datos personales con fines de publicidad dirigida.

Sí. La FDBR reconoce a los consumidores el derecho a oponerse a la venta de sus datos personales.

Sí. Los consumidores pueden oponerse a la elaboración de perfiles destinada a decisiones que produzcan efectos jurídicos o similarmente significativos para ellos.

Sí. Los consumidores tienen derecho a oponerse a la recogida de datos personales mediante el funcionamiento de una función de reconocimiento de voz o facial. La norma también restringe determinados usos de vigilancia de funciones del dispositivo, como las capacidades de voz, faciales, de vídeo, audio, visuales, térmicas u olfativas, cuando el consumidor no las está utilizando activamente, salvo autorización expresa.

La FDBR regula el tratamiento de datos personales y no las cookies como tecnología independiente. Aun así, las cookies, los píxeles, las etiquetas publicitarias, los SDK y otras tecnologías de seguimiento pueden recoger o tratar datos personales o servir de apoyo a la publicidad dirigida. Por ello, el descubrimiento de rastreadores y la aplicación de las preferencias de privacidad pueden ser una parte importante de un programa de cumplimiento de la FDBR.

Sí. Los responsables del tratamiento deben facilitar un aviso de privacidad que describa los tratamientos de datos personales pertinentes y los derechos de privacidad de los consumidores. El aviso debe ofrecer información significativa sobre cómo se recogen, utilizan, comunican y gestionan los datos personales.

Sí. Los responsables del tratamiento deben realizar y documentar evaluaciones de protección de datos para determinadas actividades, como la publicidad dirigida, la venta de datos personales, ciertas actividades de elaboración de perfiles, el tratamiento de datos sensibles y otros tratamientos que presenten un riesgo elevado de perjuicio para los consumidores.

Los responsables del tratamiento deben responder, con carácter general, sin dilación indebida y en un plazo máximo de 45 días desde la recepción de la solicitud. Ese plazo puede prorrogarse una vez por 15 días adicionales cuando sea razonablemente necesario, siempre que se notifique al consumidor dentro del plazo inicial de 45 días y se le indique el motivo de la prórroga.

Sí. Los responsables del tratamiento deben establecer un proceso para que los consumidores puedan reclamar frente a la negativa a atender una solicitud de privacidad. El responsable debe emitir una decisión por escrito sobre la reclamación en un plazo de 60 días desde su recepción.

Los responsables del tratamiento deben establecer al menos dos métodos seguros, fiables y claramente accesibles para que los consumidores presenten solicitudes de derechos de privacidad. El responsable no puede exigir que el consumidor cree una cuenta nueva únicamente para ejercer sus derechos, aunque sí puede utilizarse una cuenta existente para la autenticación.

Sí. La FDBR contiene protecciones específicas relativas a los datos de menores conocidos, incluidos requisitos especiales sobre la venta de datos sensibles y el consentimiento parental. La FDBR convive además con los requisitos independientes de Florida sobre privacidad de menores en línea.

El Florida Department of Legal Affairs es el responsable de la aplicación y ejecución de la FDBR. Florida ya ha informado de reclamaciones de consumidores y de actividad sancionadora conforme a la norma, lo que demuestra que la FDBR es una obligación de cumplimiento activa y no un marco meramente futuro.

ConsentX ayuda a poner en práctica controles de privacidad importantes, como la gestión del consentimiento, el descubrimiento de rastreadores, el bloqueo previo de scripts, la gestión de exclusiones, los flujos de solicitudes de derechos y las evidencias de auditoría. No obstante, ningún software puede garantizar por sí solo el cumplimiento legal. Las organizaciones deben evaluar su programa de privacidad completo frente a la FDBR y a todas las demás normas aplicables.