Cómo navegar por el cumplimiento y la normativa de datos a nivel mundial en 2025

17 de diciembre de 2024

Protección frente a pérdida, robo y corrupción: estos son los objetivos de la normativa de privacidad de los datos.

Cumplir esta normativa te convierte en un remitente de confianza, pero se necesitan recursos para mantenerse al día con las cambiantes políticas en torno a la privacidad de los datos. Como encargados del tratamiento dedicados que somos, respetamos cada bit de datos que tocamos, y este índice será tu guía sobre la legislación global existente y lo que cabe esperar para el año que viene.

El cumplimiento de los datos es el proceso que determina la legislación y la gobernanza para supervisar la privacidad de los datos. Esa es una forma sofisticada de decir que la legislación de datos te indica cómo gestionar los datos dentro de tu organización. La normativa de datos cubre el acceso y la gestión de datos correspondientes a:

• Privacidad de los consumidores
• Seguridad de los datos
• Requisitos de almacenamiento de datos
• Cómo gestionar el acceso no autorizado y los ataques de ciberseguridad

El cumplimiento de los datos cubre nada menos que derechos de seguridad fundamentales, y hay muchos ángulos desde los que podemos analizarlo: desde los derechos del individuo hasta el funcionamiento de las empresas.

Sabemos de primera mano que los datos son un tema empresarial complejo, pero los datos de los consumidores son mucho más que mera información o números. Hay seres humanos conectados a cada fragmento de datos que obtienes. Por eso merece la pena protegerlos y es de suma importancia que no caigan en las manos equivocadas.

Por supuesto, esos datos también son muy valiosos para las empresas que los recopilan, ya que les ayudan a hacer crecer su negocio y crear mejores experiencias de usuario. La legislación de datos no solo protege la privacidad de las personas normales y corrientes, sino también la seguridad de los activos de datos de una organización.

En una encuesta realizada por Sinch Mailjet, está claro que el RGPD se ha consolidado como una necesidad, pero un considerable 25 % de los encuestados no estaba seguro de la legislación de datos específica que se le aplicaba. Hay mucho que revisar entre países y definiciones, pero sigue leyendo y aclararemos las cosas sobre estas políticas.

Existen tres partes distintas afectadas por la legislación de datos: los interesados, los responsables del tratamiento y los encargados del tratamiento, cada una con su propio rol que desempeñar. Aunque estos tres actores están representados en toda la legislación de datos actual, no lo están de la misma manera en cada una.

Antes de desglosar quién tiene que seguir qué reglas, aclaremos algunas definiciones básicas.

Los interesados son personas cuyos datos personales son recopilados, almacenados, vendidos o procesados por una empresa u organización. Como remitente de email, tus interesados son tus suscriptores, o cualquier persona cuya dirección de email almacenes.

La legislación que representa los derechos de los datos de los consumidores surgió por primera vez en 2016 con el Reglamento General de Protección de Datos (RGPD) de la Unión Europea (UE) (con fecha de entrada en vigor en mayo de 2018). En EE. UU. actualmente no existe una legislación federal integral de protección de datos. Hasta ahora, solo un puñado de estados han propuesto su propia legislación, incluida California, con la Ley de Privacidad del Consumidor de California (CCPA) que entró en vigor en enero de 2020.

Los responsables del tratamiento determinan los fines y los medios por los que se procesan los datos personales. Si eres una empresa que recopila y almacena información de identificación personal (PII) y tienes tus propios usuarios/clientes, entonces eres un responsable del tratamiento. También eres un responsable del tratamiento por el mero hecho de procesar los datos de tus propios empleados. Los responsables del tratamiento son las personas encargadas de la toma de decisiones que determinan cómo se gestionan y utilizan los datos que recopilan.

Un encargado del tratamiento es quien lleva a cabo el procesamiento real de los datos. Un buen ejemplo de los roles de los datos sería pensar en tu tienda de comercio electrónico favorita. Los usuarios/clientes son los interesados, la tienda es el responsable del tratamiento que gestiona los productos, y una empresa como Mailgun es uno de los encargados del tratamiento que trabajan con esa empresa para habilitar sus emails transaccionales.

No te limitas necesariamente a un único rol de datos. Mailgun, por ejemplo, es un encargado del tratamiento cuando se trata de habilitar el email automatizado, pero también somos un responsable del tratamiento en lo que respecta a la recopilación y el almacenamiento de los datos propios de nuestros clientes, y un responsable del tratamiento en nuestra asociación con nuestro proveedor de pagos. También puede haber subencargados del tratamiento que procesan datos para el encargado del tratamiento en nombre del responsable del tratamiento.

Ahora que hemos aclarado las definiciones, hablemos de las leyes de datos que pueden afectarte.

Hay un número cada vez mayor de legislaciones, y según las leyes específicas, los interesados, los responsables y los encargados del tratamiento tienen diferentes derechos. Si tienes una empresa con sede en EE. UU., estas son las tres directrices generales que probablemente más te afecten:

El RGPDfue la primera legislación importante que se centró en la protección de los derechos de los datos al exigir transparencia y restaurar el control de los datos al individuo. El RGPD impone fuertes multas por infracciones y rige el uso de los datos con la mentalidad de que las personas prestan sus datos a los proveedores de servicios, en lugar de cederlos al registrarse. Su objetivo es garantizar la máxima protección a los consumidores.

Datos clave para recordar:

• En vigor desde el 25 de mayo de 2018.
• Armoniza las leyes de protección de datos en toda la UE.
• Afecta a cualquier empresa que procese datos de ciudadanos de la UE, independientemente de dónde residan.

La CCPAsolo protege los derechos de las personas que son residentes en California. Si ya cumples con el RGPD, cumplir con la CCPA no requerirá un esfuerzo adicional significativo.

Datos clave para recordar:

• En vigor desde el 1 de enero de 2020.
• Esta legislación proporciona derechos de protección de datos a los residentes de California.
• La CCPA afecta a las organizaciones que hacen negocios en California.

HIPAAincluye reglas para que las tecnologías emergentes gestionen datos de salud como el email, los proveedores de pagos digitales y los servicios de telesalud. El año 2022 trajo consigo propuestas de actualizaciones que afectan a la información de salud protegida (PHI), al flujo de información y a los derechos de acceso de los pacientes. La Regla de privacidad de la HIPAA tiene como objetivo mejorar la coordinación de la atención y el intercambio de datos (junto con el auge de la telesalud) y requerirá amplias actualizaciones de infraestructura y formación adicional para los proveedores de atención médica y los socios comerciales.

Datos clave para recordar:

• Aprobada originalmente en 1996.
• Protege la divulgación de información personal de salud.
• La HIPAA se aplica a las entidades cubiertas y socios comerciales dentro de los Estados Unidos, incluso con respecto a ciudadanos o residentes que no son de los Estados Unidos.

El RGPD, la CCPA y la HIPAA son los tres principales cuando se trata de regular los datos de los consumidores individuales, pero no son la única legislación, y operar sin algunos de los otros estándares de cumplimiento puede dificultar el funcionamiento de tu empresa a través de las fronteras.

Sabemos que toda esta charla sobre políticas podría estar empezando a parecer un poco como un libro de texto. No nos dedicamos a dar sermones, pero tenemos los datos. Si no estás seguro de qué legislación de datos se te aplica, hemos creado una tabla que te ayuda a obtener el conocimiento rápidamente.

Legislación	Multas	Interesados protegidos	Responsables y encargados del tratamiento afectados
RGPD: El Reglamento General de Protección de Datos de la UE	20 millones de euros o el 4 % de la facturación global anual (lo que sea mayor).	Cualquier ciudadano de la UE cuyos datos personales sean recopilados, guardados o procesados por una organización.	Empresas globales que procesan datos personales de ciudadanos de la UE, incluidas las organizaciones sin fines de lucro que aceptan donaciones de ciudadanos de la UE.
CCPA: Ley de Privacidad del Consumidor de California	De 100 a 750 $ por consumidor por incidente. De 2400 a 7500 $ por infracción civil.	Solo residentes de California.	Empresas que operan en CA que tienen ingresos de 25 millones de dólares o más, o procesan datos de 50 000 residentes o más.
UCPA Ley de Privacidad del Consumidor de Utah	Hasta 7500 $ por infracción.	Una persona que sea residente de Utah actuando en un contexto individual o doméstico.	Personas o entidades que hacen negocios en el estado de Utah con ingresos anuales de 25 000 000 $ o más, que procesan datos personales de 100 000 o más consumidores o derivan más del 50 % de sus ingresos brutos de la venta de datos personales mientras controlan o procesan datos personales de 25 000 o más consumidores.
VCDPA Ley de Protección de Datos del Consumidor de Virginia	Hasta 7500 $ por infracción aplicada por el fiscal general del estado.	Solo residentes de Virginia.	Personas físicas y jurídicas que realizan negocios en VA que cumplen al menos uno de estos requisitos: controlan o procesan datos personales de al menos 100 000 residentes de VA, o controlan y procesan datos personales de al menos 25 000 consumidores de VA y derivan el 50 % o más de los ingresos brutos de la venta de datos personales en un año natural.
OCPA Ley de Privacidad del Consumidor de Oregón	Hasta 7500 $ por infracción	Solo residentes de Oregón.	Empresas que controlan datos personales de al menos 100 000 consumidores o controlan o procesan datos personales de al menos 25 000 o más consumidores y derivan el 25 % o más de los ingresos brutos anuales de la venta de datos personales.
MTCDPA Ley de Privacidad de Datos del Consumidor de Montana	Multas no especificadas en la MTCDPA, pero señala que el Fiscal General puede «iniciar una acción»	Solo residentes de Montana	Empresas que controlan datos personales de al menos 35 000 consumidores excluyendo los datos personales controlados o procesados solo para completar transacciones de pago, o que controlan o procesan datos personales de al menos 10 000 o más consumidores y derivan el 20 % o más de los ingresos brutos anuales de la venta de datos personales
TDPSA Ley de Privacidad y Seguridad de los Datos de Texas	Hasta 7500 $ por infracción	Solo residentes de Texas	Empresas que realizan negocios en Texas o generan productos o servicios consumidos por residentes de Texas y que procesan o participan en la venta de datos personales que no se identifican como una pequeña empresa según la definición de la Administración de Pequeñas Empresas de EE. UU. (entidad independiente con fines de lucro con menos de 500 empleados)
HIPAA: Ley de Transferibilidad y Responsabilidad del Seguro Médico	Se imponen sanciones monetarias civiles (CMP) que van desde los 100 hasta los 50 000 $ por registro de PHI afectado, con una multa máxima de 1,5 millones de dólares por incidente.	Todos los registros médicos y otra información de salud identificable individualmente utilizada o divulgada por una entidad cubierta en cualquier forma.	La HIPAA afecta a los proveedores de atención médica, a los planes de salud, y a las cámaras de compensación de atención médica, y a los socios comerciales que realizan trabajos en nombre de una entidad cubierta.
RGPD del Reino Unido: La promulgación en Gran Bretaña del RGPD tras el Brexit. El RGPD se conserva en la legislación nacional como el RGPD del Reino Unido, pero el Reino Unido tiene la independencia de someter el marco a revisión.	El RGPD del Reino Unido tiene dos niveles de multas; la multa máxima estándar es de 8,7 millones de libras esterlinas o el 2 % de la facturación mundial anual total, y la multa máxima superior, de 17,5 millones de libras esterlinas o el 4 % de la facturación mundial anual total.	Rige el procesamiento de datos personales de las personas ubicadas dentro del Reino Unido.	El RGPD del Reino Unido se aplica a los responsables y encargados del tratamiento dentro del Reino Unido. Cubre a las organizaciones con sede fuera del Reino Unido si sus actividades de procesamiento están relacionadas con la supervisión, o la oferta de bienes o servicios a las personas en el Reino Unido.
LGPD: Ley General de Protección de Datos Personales de Brasil	Hasta el 2 % de la facturación neta del grupo económico en Brasil, en su último año fiscal, limitado a 50 millones de BRL (aprox. 10,5 millones de dólares) por infracción.	Se aplica a cualquier persona física ubicada en Brasil cuyos datos hayan sido recopilados o procesados, independientemente de dónde esté ubicada la empresa que recopila los datos.	La LGPD se aplica a cualquier procesamiento de datos que tenga lugar en Brasil, con el fin de ofrecer bienes y servicios o para procesar datos de personas que se encuentran en Brasil.
PIPEDA: Ley de Protección de Información Personal y Documentos Electrónicos de Canadá	Las organizaciones que cometan infracciones pueden estar sujetas a multas de hasta 100 000 CAD.	La PIPEDA protege la información personal de los individuos. Un individuo no tiene que ser un ciudadano canadiense o un residente de una provincia específica.	La PIPEDA se aplica a las organizaciones del sector privado en todo Canadá que recopilan, usan o divulgan información personal en el transcurso de una actividad comercial.
APPI: Ley de Privacidad de la Información Personal de Japón	Hasta 100 000 000 de yenes japoneses (907 715 $) o un castigo penal de hasta 1 año de prisión.	La APPI tiene como objetivo proteger los datos personales de los ciudadanos japoneses.	La APPI se aplica a todos los operadores comerciales que manejan los datos personales de las personas en Japón. Independientemente de si la empresa está ubicada dentro del país.
PIPL: Ley de Protección de la Información Personal de China	La PIPL impone una multa máxima de hasta 50 millones de yuanes (7,8 millones de dólares estadounidenses), o el 5 % de los ingresos anuales del año fiscal anterior.	La PIPL tiene como objetivo proteger los derechos e intereses de los individuos, regular las actividades de procesamiento de información personal y facilitar el uso razonable de la información personal.	Los requisitos de la PIPL cubren a todas las empresas que manejan los datos de los ciudadanos chinos, ya sean empresas nacionales o internacionales, y ya sean grandes o pequeñas.

No podemos ofrecerte un artículo sobre políticas de datos sin hablar de esto: PCI DSS, SOC2 e ISOson estándares de cumplimiento de datos. Aunque a menudo se superponen con la legislación global que hemos cubierto, hay entidades de cumplimiento independientes que los rigen.

Estos estándares de seguridad de datos son esencialmente auditorías que resultan en certificaciones de cumplimiento. Una vez obtenidos, estos estándares hacen saber a los responsables del tratamiento que una organización es un socio responsable.

Trabajar con organizaciones que han logrado estos estándares puede ahorrarte la molestia de tener que obtenerlos tú mismo. Por ejemplo, Mailgun no necesita cumplir con la norma PCI porque subcontratamos como encargado del tratamiento los servicios de pago, y nos asociamos con procesadores de pago que están respetando sus propias obligaciones.

Aprendamos un poco más sobre estos estándares.

El PCI DSSse trata de generar confianza y seguridad al procesar los pagos. Este estándar está regido por el PCI Security Standards Council y es un conjunto de estándares de seguridad formados en 2004 por Visa, Mastercard, Discover Financial Services, JCB International y American Express. Protege los datos de los titulares de tarjetas y los datos de autenticación de las personas y reduce el riesgo de filtraciones de datos.

El PCI DSS tiene cuatro objetivos principales:

1. Proteger los datos almacenados de los titulares de tarjetas.
2. Utilizar y actualizar periódicamente los programas o el software antivirus.
3. Restringir el acceso a los datos de los titulares de tarjetas por la necesidad de conocimiento de la empresa.
4. Rastrear y monitorear todo el acceso a los recursos de red y a los datos de los titulares de tarjetas.

Los Controles de Sistemas y Organizaciones (SOC) son informes internos que proporcionan pruebas de seguridad. Los proveedores de servicios tecnológicos como Mailgun obtienen voluntariamente esta certificación para demostrar que se puede confiar en sus procesos de seguridad. Otro estándar de cumplimiento basado en auditorías, el SOC2, responsabiliza a los proveedores por sus métodos de procesamiento de datos y controles de ciberseguridad.

Mailgun cuenta con el SOC2 Tipo I y II, que son informes rigurosos e integrales que prueban la eficacia de los controles de seguridad y garantizan que estén funcionando.

• SOC 2 Tipo I: Pruebas para garantizar que los controles de seguridad del email estén en marcha (lo necesitas para el Tipo II).
• SOC 2 Tipo II: Pruebas para garantizar que los controles estén en marcha y funcionen con eficacia.

Los estándares ISO establecen las seguridades básicas. Si cada país tuviera diferentes enfoques sobre las mejores prácticas de seguridad, sería casi imposible que las empresas crearan una infraestructura de seguridad. La solución es un organismo internacional de estandarización compartido que gestione el cumplimiento por consenso. La Organización Internacional de Normalización (ISO) ha desarrollado y publicado 25 000 estándares desde 1947 (Mailgun ha logrado dos).

El cumplimiento de la ISO demuestra que puedes manejar diferentes escenarios y controlar variables que ayudan a proteger los datos y prevenir ciberataques maliciosos, filtraciones de datos y otros desastres de seguridad. Estos estándares también pueden ser específicos. Por ejemplo, la ISO27701 es una certificación rara en el espacio del email que contiene 40 controles de privacidad que están estrechamente alineados con los estándares del RGPD.

Por la información que hemos compartido, podrías pensar que la legislación existente cubre casi todo, pero las cosas no son así. En realidad, hay muchas más políticas en camino.

Como puedes ver en nuestra enorme tabla al principio de este artículo, no toda la legislación sobre datos se crea de la misma manera. Actualmente, el cumplimiento de los datos está regulado por países individuales, y en los EE. UU., por estados individuales, y eso puede dificultar el establecimiento de prácticas empresariales eficaces. Aquí tienes los principales aspectos que debes tener en cuenta:

• Jurisdicción de los datos: Dónde se encuentra tu empresa no importa necesariamente. La jurisdicción de los datos viene determinada más bien por dónde se encuentran tus interesados.
• Impacto de los datos: No todas las organizaciones son lo suficientemente grandes como para estar representadas en la legislación. Por ejemplo, en California, la CCPA solo te afecta si procesas datos de 50 000 residentes o más.
• Multas: No hay coherencia respecto a cómo se sancionan las infracciones. Algunos cobran un porcentaje total de la facturación neta, mientras que otros cobran por interesado afectado en cada infracción.

La política de datos no solo está cambiando, sino que lo está haciendo muy rápido.

En los EE. UU., una orden ejecutiva fue firmada por el presidente Biden a principios de octubre de 2022, implementando el Marco de Privacidad de los Datos entre la UE y EE. UU., lo que nos acerca a arreglar las protecciones de las transferencias de datos transfronterizas.

El 10 de julio de 2023 la Comisión Europea adoptó su decisión de adecuación para el acuerdo de la UE-EE. UU. relativo al Marco de Privacidad de los Datos. ¿Qué significa esto? Esta adopción significa que los Estados Unidos proporcionan un nivel adecuado de protección para los datos personales de los ciudadanos de la UE transferidos a través de organizaciones estadounidenses.

Esta reciente adopción sigue al Marco de Puerto Seguro (invalidado en 2015) y al Marco del Escudo de Privacidad de la UE y EE. UU. (invalidado en 2020), ambos revocados por los tribunales europeos.

Es probable que unas leyes federales de datos sean inminentes para EE. UU., especialmente si el programa DPF se mantiene, que serán comparables al RGPD de Europa y harán que las políticas de datos entre los EE. UU. y la UE sean más fluidas. A finales de 2024, los EE. UU. siguen viendo surgir un mosaico de leyes estatales, acercándose a una legislación federal sobre datos. Los siguientes estados han confirmado nuevas leyes de privacidad de los datos de los consumidores que entrarán en vigor en 2025 y más adelante:

Leyes firmadas

• La Ley de Privacidad de los Datos Personales de Delaware entra en vigor el 1 de enero de 2025
• La Ley de Protección de Datos del Consumidor de Iowa entra en vigor el 1 de enero de 2025
• La legislación de Nueva Jersey entra en vigor el 15 de enero de 2025
• La Ley de Protección de la Información de Tennessee entra en vigor el 1 de julio de 2025
• La Ley de Protección de Datos del Consumidor de Indiana entra en vigor el 1 de enero de 2026
• La Ley de Privacidad de Colorado entró en vigor el 1 de julio de 2023 de forma gradual, y tendrá pleno efecto el 1 de octubre de 2025
• La Ley de Privacidad de los Datos de Nebraska entra en vigor el 1 de enero de 2025
• La Ley de Protección de Datos del Consumidor de Kentucky entra en vigor el 1 de enero de 2026
• La Ley de Privacidad de los Datos en Línea de Maryland entra en vigor el 1 de octubre de 2025
• El Proyecto de Ley 332 del Senado de Nueva Jersey entra en vigor el 15 de enero de 2025
• La Ley de Privacidad de los Datos de Connecticut entró en vigor el 1 de julio de 2023 de forma gradual, y tendrá pleno efecto el 1 de enero de 2025
• La Ley de Transparencia de Datos y Protección de la Privacidad de Rhode Island entra en vigor el 1 de enero de 2026
• El Proyecto de Ley 255 del Senado de Nuevo Hampshire entra en vigor el 1 de enero de 2025

Estados con legislación en comisión

• Ohio
• Pensilvania
• Míchigan

Estados con legislación presentada

• Oklahoma

Una vez que todos los estados anteriores cuenten con legislación activa, aproximadamente el 50 % del país operará con políticas de datos de distintos niveles, mientras que en la otra mitad de estados actualmente no se han presentado proyectos de ley. La creciente adopción de leyes específicas de cada estado está acelerando la presión a favor de una legislación a nivel federal, reflejando potencialmente los estándares del RGPD.

Estos países están desarrollando legislación que podríamos ver finalizada en 2025 o en el próximo par de años.

Australia

La Ley de Privacidad actualizada de Australia aborda las preocupaciones digitales y mejora la privacidad en línea y otras medidas. El proyecto de ley (propuesto en 2021) dará efecto al compromiso del Gobierno australiano de fortalecer la Ley de Privacidad de 1988. Permite la introducción de un código de privacidad en línea vinculante para las redes sociales y ciertas otras plataformas en línea, aumenta las multas y las medidas de aplicación, y tiene como objetivo alinear las políticas de datos de Australia con los estándares establecidos por el RGPD. En febrero de 2023, el Departamento de la Fiscalía General de Australia publicó un informe final sobre su revisión de la Ley de Privacidad, en el que presentó más de 100 reformas propuestas a la ley para actualizarla para la era digital. Se espera que las enmiendas del Gobierno australiano a la Ley de Privacidad de 1988 se finalicen en 2025. Las actualizaciones propuestas se centran en la privacidad digital, la transparencia de los datos de los consumidores y las multas alineadas con el RGPD.

India

El Proyecto de Ley de Protección de Datos Personales (PDPB) de la India se propuso en 2019 y se retiró recientemente (A partir de agosto. de 2022) con fuertes críticas por parte de los interesados que creían que el proyecto de ley otorgaría al gobierno demasiado poder sobre los datos de sus ciudadanos. La nueva legislación fue aprobada por el presidente de la India en agosto de 2023. La Ley de Protección de Datos Personales Digitales (DPDP) de la India se prevé que entre en pleno vigor a mediados de 2025, lo que establecerá estrictos límites de procesamiento de datos para las empresas que manejan datos de ciudadanos indios.

Canadá

La esperada actualización de Canadá a la Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA) integrará protecciones de derechos individuales más sólidas y directrices de transferencia de datos transfronteriza, previstas para el primer trimestre de 2025.

Los datos representan a las personas, y en Mailgun respetamos a las personas.

No es de extrañar que los datos (un recurso inagotable) requieran mucha explicación e investigación para entenderlos. Como responsables del tratamiento en tecnología, nadie lo sabe mejor que nosotros. Si los enlaces de este artículo no te dirigen a la información que necesitas, o si quieres saber más sobre cómo Mailgun gestiona tus datos, echa un vistazo a nuestra guía de datos y cumplimiento.