Delaware promulgó la House Bill 380, una reforma sustantiva a su Delaware Personal Data Privacy Act (DPDPA) que ajusta obligaciones para controladores de datos, amplía derechos de los consumidores y endurece requisitos de transparencia. La movida convierte a Delaware en uno de los estados estadounidenses con la legislación de privacidad más actualizada del país, y el impacto se extiende a cualquier empresa latinoamericana que opere o comercialice servicios en ese mercado.
Delaware no es un actor menor en el ecosistema corporativo de América: es el estado de constitución de más del 65% de las empresas Fortune 500, según datos de la División de Corporaciones de Delaware. Eso significa que la reforma no es solo una cuestión local. Cualquier entidad constituida allí —y muchas con sede en Brasil, México o Argentina lo están— queda alcanzada por las nuevas obligaciones, independientemente de dónde procese los datos.
Qué modifica HB 380 en la DPDPA original
La HB 380 introduce ajustes en al menos tres ejes centrales de la DPDPA vigente desde 2023. Primero, refuerza las obligaciones de evaluación de impacto de protección de datos (DPIA) para tratamientos de alto riesgo, incluyendo publicidad dirigida, venta de datos personales y elaboración de perfiles con efectos jurídicos. Segundo, amplía la definición de “datos sensibles” para incorporar categorías que la ley original dejaba en zona gris, entre ellas datos de salud mental y datos derivados de inferencias sobre características protegidas. Tercero, establece mecanismos más precisos de opt-out universales para los consumidores, alineándose con el Global Privacy Control (GPC), señal técnica que varios estados ya reconocen como método válido de ejercicio de derechos.
El régimen de cumplimiento también se toca: la reforma ajusta los plazos para responder solicitudes de derechos —equivalentes a los DSAR del GDPR— y precisa qué información debe incluirse en las políticas de privacidad para que se consideren suficientes ante una eventual acción del Attorney General, que retiene la facultad exclusiva de aplicación de la ley.
LGPD, Ley 25.326 y LFPDPPP frente al estándar Delaware
El ejercicio comparativo revela tanto convergencias como brechas relevantes para equipos de compliance en la región. Brasil, con la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), ya reconoce la evaluación de impacto —llamada Relatório de Impacto à Proteção de Dados Pessoais (RIPD)— como obligación para tratamientos de alto riesgo, lo que la acerca conceptualmente a la DPIA reforzada por HB 380. Sin embargo, la ANPD aún no ha publicado criterios definitivos sobre qué tratamientos activan ese umbral, lo que deja margen de incertidumbre operativa que Delaware, en cambio, empieza a cerrar con texto más preciso.
Argentina opera bajo la Ley 25.326 de Protección de Datos Personales, sancionada en el año 2000 y objeto de un proceso de reforma que lleva años pendiente en el Congreso. La AAIP ha impulsado un proyecto de actualización que incorporaría, entre otras cosas, evaluaciones de impacto y mecanismos de opt-out más modernos —exactamente lo que HB 380 consolida en Delaware—. Mientras Argentina espera, las empresas argentinas con presencia en Estados Unidos enfrentan la paradoja de cumplir estándares más exigentes en el norte que los que rigen en su propio mercado doméstico.
México presenta una dinámica distinta. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, 2010) incluye derechos ARCO robustos y avisos de privacidad detallados, pero carece de un mecanismo equivalente al opt-out universal vía señal técnica. El INAI ha dado señales de modernización regulatoria, aunque sin cronograma firme. Para empresas mexicanas que operan en ambos mercados, la HB 380 de Delaware anticipa un nivel de granularidad técnica que el marco mexicano todavía no exige.
Impacto operativo para empresas con vínculos en Delaware
Las obligaciones concretas que HB 380 activa para controladores de datos incluyen revisar si los mecanismos de opt-out actuales son compatibles con el GPC, actualizar las DPIA para reflejar las nuevas categorías de datos sensibles y auditar las políticas de privacidad públicas para verificar que cumplen los requisitos de contenido mínimo que la reforma especifica. Las empresas latinoamericanas con subsidiarias, fondos de capital o estructuras holding constituidas en Delaware deben evaluar si esas entidades califican como controladores bajo la DPDPA reformada —el umbral aplica a quienes realizan negocios en Delaware o dirigen productos a residentes del estado.
El riesgo de no actuar no es inmediato en términos de multa automática, ya que la DPDPA mantiene el modelo de aplicación exclusiva por el Attorney General, sin causa de acción privada. Pero la ausencia de cumplimiento documentado puede transformarse en pasivo legal en el momento en que ese órgano inicie una investigación, especialmente si el incumplimiento involucra datos sensibles de la nueva categoría.
Qué monitorear en los próximos seis meses
Delaware no especificó en la HB 380 una fecha de entrada en vigor diferida larga, por lo que los equipos de compliance deben asumir que los cambios son exigibles en el corto plazo. Los hitos a seguir incluyen:
- Publicación de guías interpretativas del Attorney General de Delaware sobre los nuevos requisitos de DPIA y opt-out.
- Avance del proyecto de reforma de la Ley 25.326 en el Congreso argentino, que podría incorporar estándares similares.
- Resolución de la ANPD brasileña sobre criterios de activación del RIPD para tratamientos de alto riesgo.
- Posibles lineamientos del INAI mexicano sobre reconocimiento de señales técnicas de opt-out en el contexto de la LFPDPPP.
Nuestro análisis
La HB 380 es relevante para LATAM no porque Delaware sea un referente regulatorio directo de la región, sino porque actúa como laboratorio de estándares corporativos globales. Cuando la mayoría de las grandes empresas latinoamericanas se constituyen o financian a través de Delaware, los requisitos de ese estado se convierten de facto en el piso de compliance que esas estructuras deben sostener. El movimiento de Delaware hacia el opt-out técnico universal y la expansión de datos sensibles es consistente con una tendencia global que LGPD, GDPR y el futuro marco argentino ya anticipan. Los equipos de privacidad en la región que esperan a que “su” regulador local se actualice están gestionando el riesgo por el lado equivocado: el riesgo Delaware ya está activo hoy.
¿Tiene su organización mapeadas las entidades constituidas en Delaware y evaluado si califican como controladores bajo la DPDPA reformada? Esa pregunta debería estar en la agenda del próximo comité de privacidad.
