Desglosando la Orden Ejecutiva sobre Datos Personales Sensibles

El presidente Biden emitió un orden ejecutiva para “proteger los datos personales sensibles de los estadounidenses de la explotación por parte de países de interés”. En resumen, la orden busca mitigar el riesgo de seguridad nacional al impedir que las empresas vendan, compartan o transfieran datos confidenciales sobre estadounidenses a “países de preocupación” no identificados, que el New York Times informes son China, Rusia, Irán, Corea del Norte, Cuba y Venezuela.

La limitación a seis países preocupantes confirma que se trata más de seguridad nacional y contrainteligencia que de protección de los datos de los consumidores. Pero el ángulo de la seguridad nacional es nuevo y podría inspirar una legislación federal sobre privacidad que sea más amplia que esta orden ejecutiva.

La orden aborda dos áreas de riesgo

Esta orden define los datos confidenciales como los sospechosos habituales (datos genómicos y biométricos, datos financieros, datos de salud personal) pero también cubre datos de geolocalización y “ciertos tipos de información de identificación personal”. La orden ejecutiva plantea la falta de protecciones sólidas de la privacidad de los datos como un riesgo desde dos ángulos:

1. Un riesgo para la seguridad nacional. La orden hace múltiples referencias a cómo los corredores de datos comerciales y otras empresas pueden vender estas categorías de datos de consumidores, que eventualmente pueden llegar a gobiernos, ejércitos y servicios de inteligencia extranjeros. A su vez, argumenta la orden, la venta de estos datos plantea “significativos riesgos de privacidad, contrainteligencia, chantaje y otros riesgos de seguridad nacional”.
2. Un riesgo para las libertades civiles. Con esfuerzos específicos de compra o recopilación de datos, los países de interés pueden acceder a datos confidenciales pertenecientes a “activistas, académicos, periodistas, disidentes, figuras políticas y miembros de organizaciones no gubernamentales y comunidades marginadas”. Combinado con el chantaje y otros riesgos descritos anteriormente, esto podría dar a los malos actores una ventaja para intimidar o silenciar a los disidentes y las voces influyentes, limitando su libertad de expresión.

Biden responde a una oleada de preocupaciones sobre la privacidad y la seguridad de los datos

Esta orden ejecutiva es una respuesta nada sorprendente a una serie condenatoria de investigaciones y audiencias en el Congreso sobre datos de consumidores. El año pasado, varios estados de EE. UU. tenían legislación pendiente sobre datos biométricos, dos casos históricos relacionados con la Ley de Privacidad de la Información Biométrica de Illinois, una violación de datos en 23yyoy violaciones significativas de importante empresa de telecomunicaciones empresas (T-Mobile, Comcast, AT&T, Verizon).

Duplicar la privacidad, la seguridad y el riesgo como prioridad estratégica

La orden ejecutiva envía una señal importante sobre la priorización de la privacidad, la seguridad y los riesgos de los datos por parte de la administración Biden. No es exhaustivo, pero es un paso en la dirección correcta. Las órdenes ejecutivas crean un efecto de goteo, ya que afectan a las empresas que trabajan con el gobierno e influyen en el cambio entre proveedores y empresas, como en 2021, con la decisión de Biden. orden ejecutiva sobre confianza cero. Con esta orden ejecutiva, esté atento a:

• Nueva regulación de datos personales sensibles. La orden pide al Departamento de Justicia (DOJ) que emita regulaciones que protejan los datos confidenciales de los consumidores. También pide al Departamento de Justicia que proteja mejor los datos confidenciales relacionados con el gobierno, incluidos los datos sobre miembros del ejército y los datos de geolocalización en sitios confidenciales. Esto creará un efecto dominó a medida que los corredores de datos consideren la sensibilidad de los datos que venden y posiblemente restrinjan el acceso o la venta en el futuro.
• Sus parámetros de intercambio de datos con su ecosistema de terceros. Su empresa es directamente responsable de los datos sobre clientes, empleados y socios que llegan a manos de “países de interés”. Catalogar todas las entidades de terceros que tienen acceso a estos datosincluido tecnologías de marketingagencias y aplicaciones de código abierto, y asegúrese de que su organización siga las mejores prácticas de gestión de riesgos de terceros para proteger a sus clientes y su marca. En los casos en los que comparta datos con terceros, utilice nuestro marco confiable de intercambio de datos para reducir la brecha de confianza.
• Su manejo de los datos de los niños. La última frase de la orden ejecutiva hace un guiño a proteger la seguridad de los niños. En 2023, de los 35 principales abusos, multas y violaciones de la privacidad a nivel mundial que Analizamoscuatro multas, por un total de casi 424 millones de dólares, relacionadas con el uso indebido y la retención de datos de niños, además de la falta de transparencia, notificación y consentimiento para la recopilación y el procesamiento de datos.
• Sus requisitos como normativa hacen cumplir las medidas de ciberseguridad. Esta orden es otro ejemplo más de los requisitos de ciberseguridad establecidos en el sector privado bajo la apariencia de preocupaciones de seguridad nacional. Mientras la administración trabaja para “establecer altos estándares de seguridad para evitar el acceso de países de interés”, las organizaciones deben estar preparadas para que estos estándares lleguen al sector privado. Catalogar los gobiernos con los que están asociadas las empresas y cómo se controla y accede a los datos en cada una de esas regiones es fundamental a medida que se establecen más pedidos como estos.
• Su uso de geolocalización y direcciones IP para la toma de decisiones. La geolocalización por GPS y direcciones IP, la reputación/huellas dactilares del dispositivo y los datos biométricos del comportamiento se consideran información personal en muchos países europeos y Canadá. Esto prohíbe su uso con fines de marketing y ventas, pero permite su uso con fines de seguridad y gestión del fraude. Esperamos que esta orden ejecutiva allane el camino para una legislación estadounidense que estipule los usos permitidos y el intercambio de información personal según el caso de uso. Queda por ver cómo responden los minoristas, los bancos y los grupos de presión de otras empresas a dicha legislación.

Hay más de lo que parece en esta orden ejecutiva. Continuaremos monitoreando (¡y blogueando sobre!) el impacto de esta orden. Mientras tanto, programa una sesión de orientación si deseas profundizar más.