La Ley de Notificación de Brechas de Datos de Florida Tuvo Dientes en 2019: ¿Está Tu Negocio Listo?

La Ley de Protección de Información de Florida comúnmente llamada FIPA ha estado en vigor desde 2014, pero la actividad de aplicación y la conciencia pública en torno a la ley han crecido significativamente en 2019 a medida que las brechas de datos se han vuelto más frecuentes, más visibles y más consecuentes para los consumidores afectados. Si posees o administras un negocio en Florida que recopila, mantiene o procesa información personal sobre residentes de Florida, la FIPA crea obligaciones específicas y sensibles al tiempo que se aplican a ti independientemente del tamaño de tu negocio.

Qué Cubre la FIPA: La Definición de Información Personal

Bajo la FIPA, "información personal" significa el nombre o la primera inicial y el apellido de una persona en combinación con cualquiera de los siguientes elementos de datos cuando el nombre o dato no está cifrado:

• Número de Seguro Social
• Número de licencia de conducir o de tarjeta de identificación de Florida
• Número de cuenta financiera (número de tarjeta de crédito o débito) combinado con código de seguridad, código de acceso o contraseña
• Historial médico, condición mental o física, o tratamiento o diagnóstico médico por un profesional de la salud
• Número de póliza de seguro de salud o número de identificación de suscriptor
• Nombre de usuario o dirección de correo combinada con una contraseña o pregunta y respuesta de seguridad

Si tu negocio recopila cualquier combinación de lo anterior y la mayoría de los negocios lo hacen, incluso solo a través de un formulario de contacto que captura nombre y correo estás dentro del alcance de la FIPA.

Qué Requiere la FIPA Cuando Ocurre una Brecha

El Reloj de Notificación de 30 Días

La FIPA requiere que notifiques a los residentes de Florida afectados dentro de los 30 días calendario posteriores a descubrir una brecha de seguridad. "Brecha de seguridad" significa acceso no autorizado a datos en forma electrónica que contienen información personal. El reloj de 30 días comienza desde el descubrimiento no desde cuando ocurrió la brecha. Si descubres hoy una brecha que comenzó hace seis meses, tu obligación de notificación de 30 días comenzó hoy.

Contenido de la Notificación Requerida

La notificación a las personas afectadas debe incluir: una descripción del incidente, la fecha aproximada en que ocurrió y se descubrió la brecha, los tipos de información personal involucrados, los pasos tomados para proteger a las personas afectadas de daños adicionales, un número de contacto o correo para el negocio, e información sobre qué acciones pueden tomar las personas afectadas para protegerse.

Notificación al Departamento de Asuntos Legales

Si la brecha afecta a más de 500 residentes de Florida, también debes notificar al Departamento de Asuntos Legales de Florida. La notificación debe ocurrir en el mismo plazo que la notificación individual dentro de los 30 días posteriores al descubrimiento.

Qué Necesitas Tener Listo Antes de que Ocurra una Brecha

1. 1Un plan de respuesta a incidentes por escrito que incluya tu proceso de notificación de brechas y las partes responsables "resolverlo cuando suceda" no es un plan
2. 2Asesoría legal preidentificada con experiencia en respuesta a brechas de datos encontrar un abogado por primera vez después de que ocurre una brecha sucede en medio de una ventana caótica de 30 días
3. 3Una lista de todos los sistemas y bases de datos que contienen información personal, para que puedas evaluar rápidamente el alcance cuando se descubra un incidente
4. 4Una plantilla de notificación preliminar que pueda personalizarse rápidamente el lenguaje de notificación tiene implicaciones legales y debe ser revisado por asesoría con anticipación, no redactado bajo presión
5. 5Seguro de responsabilidad cibernética que cubra los costos de notificación de brechas la notificación individual a escala (correo certificado, centros de llamadas) puede costar $5–$20 por persona afectada