Leyes de Privacidad de Datos de Georgia: Notificación de Violaciones de Datos y Derechos del Consumidor (2026)

Georgia no cuenta con una ley integral de privacidad de datos del consumidor. El Proyecto de Ley del Senado 111 habría creado la Ley de Protección de la Privacidad del Consumidor de Georgia y otorgado a los residentes el derecho a acceder, corregir y eliminar sus datos personales, pero un comité de la Cámara eliminó ese texto en marzo de 2026. El gobernador Kemp firmó como ley el proyecto sustituto, una medida no relacionada sobre créditos fiscales para hospitales rurales, el 11 de mayo de 2026. El estatuto de notificación de violaciones de datos del estado, la Sección 10-1-912 del O.C.G.A., exige por separado una notificación pronta después de cualquier violación de datos, pero alcanza a un conjunto de entidades mucho más reducido que las leyes de violación de datos de la mayoría de los estados.

El proyecto de ley integral de privacidad de Georgia fracasó por segundo año consecutivo en la primavera de 2026, aunque avanzó más que cualquier intento anterior. El Senado aprobó el Proyecto de Ley del Senado 111, la Ley de Protección de la Privacidad del Consumidor de Georgia, a principios de 2026. Un comité de la Cámara reemplazó luego todo el proyecto con un sustituto no relacionado que modifica el estatuto estatal de crédito fiscal para hospitales rurales, la Sección 31-8-9.1 del O.C.G.A. Ese sustituto, no el proyecto de privacidad, es lo que el gobernador Brian Kemp firmó como ley con el nombre de Ley 462 el 11 de mayo de 2026. Georgia permanece sin un estatuto integral de privacidad de datos del consumidor.

De haberse aprobado tal como se presentó, el SB 111 habría otorgado a los residentes de Georgia derechos sobre sus datos personales que actualmente no existen a nivel estatal: el derecho a acceder, corregir, eliminar y optar por no participar en la venta de su información y su uso para publicidad dirigida. También habría impuesto obligaciones a las empresas que cumplen con umbrales específicos de ingresos y procesamiento de datos. Grupos de defensa del consumidor, incluidos EPIC y la ACLU de Georgia, criticaron el proyecto aprobado por el Senado por ser una de las propuestas de privacidad más débiles del país, incluso antes de que fuera vaciado de contenido, citando umbrales de aplicabilidad altos, un período de subsanación de 60 días antes de que se pudieran imponer sanciones, y la ausencia de un derecho de acción privado.

Los residentes de Georgia continúan dependiendo de la ley estatal de notificación de violaciones de datos, estatutos sectoriales específicos, y protecciones federales para la cobertura de privacidad. Esas leyes permanecen vigentes y son la principal fuente de protección de privacidad para los habitantes de Georgia, ya que el estado no cuenta con un estatuto integral de privacidad del consumidor.

Esta guía cubre la historia legislativa completa del SB 111, junto con el estatuto de notificación de violaciones de datos, la Ley de Protección de Sistemas Informáticos, las protecciones de datos estudiantiles, la ley de divulgación de chatbots de IA, la ley de verificación de edad en redes sociales actualmente en los tribunales federales, y el marco federal que se aplica a todos los residentes de Georgia.

SB 111: Cómo Fracasó la Ley de Protección de la Privacidad del Consumidor de Georgia (2026)

El Proyecto de Ley del Senado 111 comenzó como la Ley de Protección de la Privacidad del Consumidor de Georgia, que habría promulgado el Artículo 37 del Título 10 del Código Oficial de Georgia Anotado (Secciones del Código propuestas 10-1-960 a 10-1-974). El Senado aprobó esta versión de privacidad, siguiendo el modelo de la Ley de Protección de Datos del Consumidor de Virginia (VCDPA), utilizado por muchos otros estados. Los defensores del consumidor de EPIC le otorgaron al proyecto aprobado por el Senado una calificación de 6 sobre 100, citando umbrales inadecuados y mecanismos de cumplimiento débiles.

Un comité de la Cámara reemplazó luego todo el proyecto con un sustituto no relacionado con la privacidad. El sustituto modifica la Sección 31-8-9.1 del O.C.G.A., revisando la definición de organización hospitalaria rural para efectos del programa estatal de crédito fiscal para hospitales rurales de Georgia. Ese sustituto, no el proyecto de privacidad, fue aprobado por la Cámara y el Senado, y es lo que el gobernador Kemp firmó como ley con el nombre de Ley 462 el 11 de mayo de 2026. El propio comunicado del gobernador anunciando la firma describe el SB 111 únicamente como una ampliación de la elegibilidad de créditos fiscales para hospitales rurales y departamentos de emergencia independientes, sin mencionar la privacidad del consumidor. Este es el segundo año consecutivo en que un proyecto de ley integral de privacidad de Georgia no logra llegar intacto al escritorio del gobernador, después de que un esfuerzo similar (SB 473) se estancara en 2024.

Umbrales de aplicabilidad

De haberse convertido en ley, el SB 111 se habría aplicado a las entidades que realizan negocios en Georgia o producen productos o servicios dirigidos a residentes de Georgia, Y que cumplieran con uno de los siguientes umbrales:

• Controlar o procesar datos personales de al menos 175,000 residentes de Georgia por año calendario, O
• Controlar o procesar datos personales de al menos 25,000 residentes de Georgia por año calendario Y obtener más del 50% de los ingresos brutos anuales de la venta de datos personales

El proyecto también habría exigido que la entidad superara los $25 millones en ingresos brutos anuales. Esos umbrales eran sustancialmente más altos que los de estados como California y Maryland, una de las razones por las que los defensores del consumidor criticaron el proyecto aprobado por el Senado como débil. Nada de esto se aplica en Georgia hoy, ya que las disposiciones de privacidad nunca se convirtieron en ley.

Sectores y tipos de datos exentos

La versión del SB 111 aprobada por el Senado contenía amplias exenciones consistentes con otras leyes basadas en el modelo de Virginia. Las siguientes entidades y tipos de datos habrían estado generalmente exentos de haberse convertido el proyecto en ley:

• Entidades gubernamentales y sus contratistas
• Instituciones financieras y datos sujetos a la Ley Gramm-Leach-Bliley (GLBA)
• Entidades cubiertas y asociados comerciales sujetos a la HIPAA
• Organizaciones sin fines de lucro
• Instituciones de educación superior
• Datos sujetos a la Ley de Informe Justo de Crédito (FCRA)
• Datos de empleados y contratistas procesados en un contexto de recursos humanos

Derechos del consumidor

De haber entrado en vigor el SB 111 tal como fue aprobado por el Senado, los residentes de Georgia habrían tenido los siguientes derechos, ejercidos mediante la presentación de una solicitud verificada a un controlador cubierto:

• Derecho de acceso: Confirmar si un controlador procesa sus datos personales y obtener una copia de ellos.
• Derecho de corrección: Corregir los datos personales inexactos que se mantengan sobre usted.
• Derecho de eliminación: Solicitar la eliminación de los datos personales que usted proporcionó o que el controlador recopiló sobre usted.
• Derecho a la portabilidad: Obtener una copia de sus datos personales en un formato portátil y de fácil uso.
• Derecho a excluirse de la publicidad dirigida: Optar por no participar en el procesamiento de sus datos personales con fines de publicidad dirigida.
• Derecho a excluirse de la venta de datos: Optar por no participar en la venta de sus datos personales.
• Derecho a excluirse de la elaboración de perfiles: Optar por no participar en la elaboración de perfiles que respalde decisiones que produzcan efectos legales o de importancia similar.

Bajo el proyecto nunca promulgado, los controladores habrían tenido que responder a las solicitudes verificadas de los consumidores dentro de 45 días, con una prórroga permitida de 45 días adicionales cuando fuera razonablemente necesaria. Ninguno de estos derechos o plazos se aplica en Georgia hoy.

Datos sensibles

El SB 111 aprobado por el Senado definía ampliamente los datos sensibles para incluir datos personales que revelan el origen racial o étnico, las creencias religiosas, una condición o diagnóstico de salud mental o física, la orientación sexual, o la condición de ciudadanía o estatus migratorio, datos genéticos o biométricos procesados con el fin de identificar de manera única a una persona natural, datos de geolocalización precisa, y datos personales de un menor conocido.

Los controladores habrían tenido que obtener el consentimiento del consumidor antes de procesar datos sensibles bajo el proyecto aprobado por el Senado. Nada de esto está en vigor hoy, ya que las disposiciones de privacidad nunca se convirtieron en ley.

Datos de menores

El SB 111 aprobado por el Senado habría permitido que el padre, madre o tutor legal de un menor conocido ejerciera en su nombre cualquiera de los derechos del consumidor previstos en el proyecto, y habría exigido consentimiento antes de procesar los datos sensibles de un menor conocido. Ninguna de estas protecciones existe bajo la ley vigente de Georgia.

Obligaciones del controlador y del procesador

De haberse convertido el SB 111 en ley, los controladores habrían estado obligados a:

• Proporcionar a los consumidores un aviso de privacidad razonablemente accesible que describa las categorías de datos recopilados, los fines del procesamiento, cómo los consumidores pueden ejercer sus derechos, y las categorías de datos compartidos con terceros.
• Limitar la recopilación de datos a lo que sea adecuado, relevante y razonablemente necesario para los fines divulgados.
• Establecer prácticas de seguridad administrativas, técnicas y físicas razonables, apropiadas al volumen y la naturaleza de los datos personales procesados.
• Realizar evaluaciones de protección de datos para las actividades de procesamiento de alto riesgo, incluida la publicidad dirigida, la venta de datos personales, la elaboración de perfiles con efectos significativos, el procesamiento de datos sensibles, y las actividades de procesamiento que presenten un riesgo elevado de daño.
• Suscribir acuerdos de procesamiento de datos con los procesadores que establezcan las instrucciones y obligaciones del procesador.

Los procesadores habrían estado obligados a procesar los datos únicamente según instrucciones documentadas del controlador y a asistir a los controladores en el cumplimiento de sus obligaciones de seguridad y de derechos del consumidor. Ninguna de estas obligaciones existe bajo la ley de Georgia hoy.

Cumplimiento y sanciones

El SB 111 aprobado por el Senado habría otorgado al Fiscal General de Georgia autoridad exclusiva para hacer cumplir la ley, sin derecho de acción privado para los consumidores individuales. Habría exigido un período de subsanación de 60 días antes de que el Fiscal General pudiera iniciar una acción de cumplimiento, tras el cual el Fiscal General podría haber buscado:

• Sanciones civiles de hasta $7,500 por infracción
• Medidas cautelares

Ninguno de estos mecanismos de cumplimiento existe, porque el proyecto de ley de privacidad nunca se convirtió en ley.

Lo que el SB 111 no exige

Incluso tal como fue aprobado por el Senado, antes de ser vaciado de contenido, el SB 111 no habría exigido:

• Un Mecanismo Universal de Exclusión (UOOM) o el reconocimiento del Control de Privacidad Global (GPC)
• Una agencia dedicada a la privacidad (el Fiscal General la habría hecho cumplir)
• La minimización de datos como un requisito independiente más allá de lo razonablemente necesario para los fines divulgados

Esto habría colocado al proyecto aprobado por el Senado hacia el extremo menos protector del espectro en comparación con California (CPRA), Oregón (OCPA) y Maryland (MODPA), de haberse convertido en ley. Tal como fue realmente promulgada, Georgia no cuenta con ningún estatuto integral de privacidad.

Ley de Notificación de Violaciones de Datos de Georgia (Secciones 10-1-910 a 10-1-912 del O.C.G.A.)

La Ley de Protección de la Identidad Personal de Georgia, promulgada originalmente en 2005 y ampliada en 2007, es el marco real de protección de datos del estado, ya que las disposiciones de privacidad del SB 111 aprobado por el Senado nunca se convirtieron en ley. Su alcance es inusualmente reducido, y esa es la característica más distintiva de la ley de violaciones de datos de Georgia. La Sección 10-1-912(a) impone el deber de notificar a cualquier corredor de información o recolector de datos que mantenga información personal computarizada. La Sección 10-1-911(2) del O.C.G.A. define un recolector de datos como cualquier agencia o subdivisión estatal o local, incluido cualquier departamento, oficina, autoridad, universidad o colegio público, academia, comisión u otra entidad gubernamental. La Sección 10-1-911(3) define un corredor de información como una persona o entidad que, a cambio de honorarios o cuotas monetarias, se dedica a recopilar, reunir, evaluar, compilar, reportar, transmitir, transferir o comunicar información sobre personas con el propósito principal de proporcionar información personal a terceros no afiliados.

Un minorista, restaurante o empleador común de Georgia que mantiene registros de clientes o empleados no está, por lo tanto, cubierto en absoluto por la Sección 10-1-912(a). Ese tipo de empresa solo queda alcanzado por la Sección 10-1-912(b), y únicamente cuando mantiene los datos en nombre de un corredor de información o un recolector de datos, en cuyo caso su deber es notificar a ese corredor o recolector, en lugar de notificar a las personas afectadas.

¿Qué califica como información personal protegida?

Bajo la Sección 10-1-911 del O.C.G.A., información personal significa el nombre o la inicial del nombre y el apellido de una persona combinados con uno o más de los siguientes elementos no cifrados o no redactados:

• Número de Seguro Social
• Número de licencia de conducir o de identificación estatal
• Número de cuenta, número de tarjeta de crédito o de tarjeta de débito, si existen circunstancias en las que dicho número pudiera usarse sin información de identificación adicional, códigos de acceso o contraseñas
• Contraseñas de cuenta, números de identificación personal u otros códigos de acceso

La Sección 10-1-911(6)(E) amplía luego la definición: cualquiera de esos elementos por sí solo, sin estar vinculado a un nombre o inicial del nombre y apellido, sigue considerándose información personal si lo comprometido bastaría para cometer o intentar cometer un robo de identidad contra la persona. La definición excluye la información legalmente disponible para el público en general a partir de registros gubernamentales federales, estatales o locales.

Requisitos de notificación

Cuando ocurre una violación de datos, el corredor de información o recolector de datos cubierto debe notificar a los residentes afectados de Georgia en el tiempo más expedito posible y sin demora injustificada. Georgia no impone un plazo específico medido en días calendario, lo que la distingue de los estados que exigen la notificación dentro de 30, 45 o 72 horas. El único retraso permitido es cuando una agencia de aplicación de la ley determina que la notificación comprometería una investigación criminal activa.

La Sección 10-1-911(4) del O.C.G.A. permite la notificación escrita, la notificación telefónica o la notificación electrónica conforme a la Ley federal E-Sign. La notificación sustitutiva solo está disponible cuando el costo de proporcionar la notificación superaría los $50,000, la clase afectada supera las 100,000 personas, o la entidad carece de información de contacto suficiente.

La notificación sustitutiva no consiste únicamente en un aviso a los medios. La ley establece que debe incluir todos los siguientes elementos: notificación por correo electrónico cuando la entidad cuente con las direcciones de correo electrónico de las personas, publicación visible del aviso en la página web de la entidad si mantiene una, y notificación a los principales medios de comunicación de todo el estado. Una entidad que solo publica un aviso en los medios no ha cumplido con la ley.

Reporte de violaciones a gran escala

Cuando una violación afecta a más de 10,000 residentes de Georgia a la vez, la entidad también debe notificar a las tres agencias nacionales de informes de crédito al consumidor. Esta notificación debe incluir el momento, la distribución y el contenido de los avisos enviados a las personas afectadas.

Notificación de procesadores de datos externos

Cualquier persona o empresa que mantenga información personal computarizada en nombre de un corredor de información o un recolector de datos debe notificar a ese corredor o recolector dentro de las 24 horas posteriores al descubrimiento de una violación. Esta es la disposición que alcanza a los proveedores y prestadores de servicios comunes, y el deber que crea corre hacia la entidad cliente, no hacia las personas afectadas.

Cumplimiento

El Artículo 34 guarda silencio respecto al cumplimiento. Las Secciones 10-1-910 a 10-1-912 del O.C.G.A. no contienen ninguna sanción, ningún mecanismo de cumplimiento ni ningún derecho de acción privado, y tampoco remiten a la Ley de Prácticas Comerciales Justas de Georgia. El contraste es revelador: el estatuto de Georgia sobre violaciones de registros telefónicos, la Sección 46-5-214(d) del O.C.G.A., declara expresamente que una infracción constituye una práctica injusta o engañosa en el sentido de la Ley de Prácticas Comerciales Justas, mientras que las secciones del Artículo 34 sobre violaciones de datos no contienen una cláusula comparable. Los consumidores aún pueden reportar una violación a la División de Protección al Consumidor del Fiscal General de Georgia, que atiende quejas de consumidores en general.

En 2024, la División de Protección al Consumidor del Fiscal General Chris Carr obtuvo casi $80 millones en total para los contribuyentes y consumidores de Georgia mediante el cumplimiento de múltiples estatutos de protección al consumidor.

Ley de Protección de Sistemas Informáticos de Georgia (Sección 16-9-90 y siguientes del O.C.G.A.)

La Ley de Protección de Sistemas Informáticos establece sanciones penales por el acceso no autorizado a sistemas informáticos y datos personales. Funciona junto con la ley de notificación de violaciones de datos, agregando responsabilidad penal por intrusiones en sistemas informáticos y datos personales.

Delitos penales

La ley establece cuatro delitos graves principales bajo la Sección 16-9-93 del O.C.G.A.:

Hurto informático (Sección 16-9-93(a)): Usar una computadora con la intención de tomar o apropiarse de la propiedad de otra persona, incluidos datos y programas.

Allanamiento informático (Sección 16-9-93(b)): Acceso no autorizado a una computadora con la intención de eliminar, alterar, dañar o destruir datos, o de introducir un contaminante.

Invasión informática de la privacidad (Sección 16-9-93(c)): Usar una computadora con la intención de examinar datos de empleo, médicos, salariales, crediticios u otros datos financieros o personales relacionados con otra persona sin autorización.

Falsificación informática (Sección 16-9-93(d)): Usar una computadora para crear, alterar o eliminar datos de una manera que constituiría falsificación bajo la ley de Georgia.

Cada uno de estos delitos graves conlleva una multa máxima de $50,000 y hasta 15 años de prisión, o ambas penas. La divulgación de contraseñas informáticas es un delito menor separado que conlleva una multa máxima de $5,000 y hasta un año de cárcel.

Recursos civiles

Cualquier persona cuya propiedad o persona resulte perjudicada por una infracción de la Ley de Protección de Sistemas Informáticos puede presentar una demanda civil. El plazo de prescripción para las reclamaciones civiles es de cuatro años a partir de la fecha en que se descubrió la infracción o debió haberse descubierto mediante diligencia razonable.

Ley de Protección de los Niños de Georgia en las Redes Sociales (SB 351, 2024)

La Ley de Protección de los Niños de Georgia en las Redes Sociales fue firmada como ley en 2024. Exige que las plataformas de redes sociales verifiquen la edad de los usuarios y obtengan el consentimiento de los padres antes de permitir que los menores de 16 años creen cuentas.

Inmediatamente siguió un litigio federal. El grupo de la industria NetChoice presentó una demanda argumentando que la ley viola la Primera Enmienda. La jueza federal de distrito Amy Totenberg emitió una orden judicial preliminar que bloqueó la ley el 26 de junio de 2025, apenas días antes de su fecha de vigencia del 1 de julio de 2025. Ella determinó que la ley probablemente violaba los derechos de la Primera Enmienda de los menores, los adultos y las plataformas.

El Fiscal General de Georgia, Chris Carr, apeló ante el Tribunal de Apelaciones de los Estados Unidos para el Undécimo Circuito. Los argumentos orales se llevaron a cabo el 10 de marzo de 2026 en Jacksonville, Florida. Un panel de tres jueces cuestionó a NetChoice sobre la legitimación procesal y si el tribunal inferior actuó con demasiada rapidez al emitir una orden judicial general. El panel mostró cierta receptividad hacia los argumentos de Georgia, pero no había emitido un fallo al momento de escribir este artículo. La ley permanece suspendida mientras se resuelve la apelación.

Ley de Divulgación de Chatbots de Compañía de IA de Georgia (SB 540, 2026)

El gobernador Kemp firmó el SB 540 como ley en mayo de 2026. La ley, que promulga la Sección 39-5-6 del O.C.G.A., entra en vigor el 1 de julio de 2027. Alcanza específicamente a los chatbots de compañía de IA, no a los chatbots en general: sistemas que simulan una relación humana o similar a la humana sostenida con un usuario al conservar información de interacciones o sesiones anteriores, al hacer preguntas basadas en emociones sin haber sido solicitadas que van más allá de responder directamente a una instrucción, y al sostener un diálogo continuo sobre asuntos personales del usuario. Los operadores de un chatbot cubierto deben divulgar de manera clara y visible que el usuario está interactuando con un chatbot de compañía de IA y no con una persona natural.

La definición contiene exclusiones expresas. No cubre los sistemas usados únicamente para fines internos de una empresa, los sistemas diseñados y comercializados principalmente para el desarrollo de software, la investigación, la asistencia técnica o la productividad empresarial, los chatbots de servicio al cliente que no sostienen una relación a través de múltiples interacciones ni provocan apego emocional, los dispositivos de voz independientes y los asistentes virtuales, las herramientas educativas estrechamente diseñadas para objetivos de aprendizaje alineados con el currículo en lugar de una compañía conversacional abierta, los personajes no jugables de videojuegos limitados al contenido del juego, o los sistemas vinculados a una película, un programa de televisión, otra obra audiovisual o una atracción de parque temático. Por lo tanto, es poco probable que un chatbot común de servicio al cliente o de tareas quede cubierto.

Los requisitos clave incluyen:

• La divulgación debe aparecer al inicio de cada interacción o sesión y al menos cada tres horas durante una interacción continua.
• Cuando el operador sepa o razonablemente debiera saber que el usuario es menor de edad, o cuando el chatbot esté dirigido o comercializado a menores, esa divulgación debe repetirse cada hora en su lugar.
• Cuando el usuario sea menor de edad, el operador debe tomar medidas razonables para impedir que el chatbot afirme ser consciente de sí mismo o una persona natural, o que niegue la divulgación.
• Todo operador debe mantener un protocolo para detectar y responder ante ideación suicida, autolesiones y crisis relacionadas, incluida la remisión a la Línea de Ayuda para Crisis y Suicidio 988, y debe publicar un resumen en lenguaje sencillo de ese protocolo.
• El Fiscal General hace cumplir la ley y puede buscar una sanción civil de hasta $10,000 por infracción cometida a sabiendas, con la facultad discrecional de conceder un período de subsanación de 30 días para una primera infracción que no implique conducta indebida a sabiendas, explotación sexual de un menor, o conducta indebida relacionada con autolesiones.

Privacidad de datos estudiantiles

Georgia promulgó la Ley de Privacidad, Accesibilidad y Transparencia de Datos Estudiantiles (Secciones 20-2-661 a 20-2-667 del O.C.G.A.), vigente desde el 1 de julio de 2016, para proteger la información personal de los estudiantes de kínder a duodécimo grado. La ley exige que el Departamento de Educación de Georgia designe un funcionario principal de privacidad, restringe la recopilación de datos sensibles de los estudiantes, incluidas las afiliaciones políticas y las creencias religiosas, impone requisitos de gestión de datos a los operadores de tecnología educativa, y otorga a los padres el derecho a inspeccionar los registros educativos de sus hijos.

Estas protecciones estatales complementan la Ley Federal de Derechos Educativos y Privacidad Familiar (FERPA), que ha regido el acceso a los registros educativos de los estudiantes desde 1974.

Privacidad de datos de seguros

Georgia regula la recopilación, el uso y la divulgación de información personal en las transacciones de seguros a través de la Sección 120-2-87 del Código Administrativo de Georgia, emitida por la Oficina del Comisionado de Seguros. Estas regulaciones implementan el Título V de la Ley federal Gramm-Leach-Bliley (GLBA) y cubren a las instituciones de seguros, agentes y organizaciones de apoyo que operan en Georgia.

Las entidades cubiertas deben proporcionar avisos de privacidad, permitir la exclusión de ciertos intercambios de información con terceros no afiliados, e implementar salvaguardas para proteger la información de los clientes.

Georgia no ha adoptado la Ley Modelo de Seguridad de Datos de Seguros de la NAIC (Modelo 668), que impondría requisitos de ciberseguridad más específicos a las aseguradoras.

Privacidad de la información de salud

Georgia no cuenta con una ley estatal de privacidad de datos de salud que supere las protecciones federales. La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) regula la información de salud protegida en manos de entidades cubiertas y sus asociados comerciales. Georgia depende principalmente de la Regla de Privacidad y la Regla de Seguridad de la HIPAA.

Georgia sí cuenta con estatutos que rigen el acceso a los registros médicos: la Sección 31-33-2 del O.C.G.A. exige que los médicos proporcionen a los pacientes copias de sus registros médicos a solicitud, y la Sección 31-33-3 establece tarifas de copiado con ajustes anuales según el IPC.

Privacidad de datos en el lugar de trabajo y de los empleados

Georgia no cuenta con un estatuto integral de privacidad de datos de empleados. Los derechos de vigilancia del empleador son amplios: se permite la vigilancia por video en áreas comunes, la grabación de audio de comunicaciones comerciales es lícita bajo el estándar de consentimiento de una parte de Georgia (Sección 16-11-62 del O.C.G.A.), y generalmente se permite la supervisión del empleador sobre el uso de computadoras y las comunicaciones en los sistemas de la empresa. De haberse convertido el SB 111 en ley, habría eximido de sus disposiciones de derechos del consumidor a los datos de empleados y contratistas procesados en un contexto de recursos humanos.

Leyes federales que protegen a los residentes de Georgia

Los estatutos federales siguen siendo el marco de privacidad principal para los residentes de Georgia, ya que el estado no cuenta con una ley integral de privacidad propia.

Ley TAKE IT DOWN (Pub. L. 119-12, firmada el 19 de mayo de 2025)

La Ley TAKE IT DOWN es una ley federal dirigida a las representaciones visuales íntimas no consensuadas (NCII, por sus siglas en inglés), incluidos los deepfakes generados por IA. El presidente Trump la firmó como ley el 19 de mayo de 2025. La prohibición penal de publicar NCII entró en vigor de inmediato al momento de la firma.

Las obligaciones de retiro de contenido para las plataformas entraron en vigor el 19 de mayo de 2026. Las plataformas cubiertas ahora deben mantener un proceso para que los consumidores reporten NCII y deben retirar el contenido reportado dentro de las 48 horas posteriores a la recepción del aviso. La FTC hace cumplir estas obligaciones y puede buscar sanciones civiles de hasta $53,088 por infracción. La FTC lanzó TakeItDown.ftc.gov para que los consumidores reporten infracciones.

HIPAA

La HIPAA protege la información de salud individualmente identificable en manos de entidades cubiertas (proveedores de atención médica, planes de salud, cámaras de compensación) y sus asociados comerciales. El sector de atención médica de Georgia es una industria importante regulada por la HIPAA.

Ley Gramm-Leach-Bliley (GLBA)

La GLBA exige que las instituciones financieras expliquen sus prácticas de intercambio de información y protejan los datos de los clientes. El regulador de seguros de Georgia hace cumplir la GLBA para las aseguradoras a través del GAC 120-2-87. Los reguladores bancarios federales cubren a los bancos y las cooperativas de crédito.

Ley de Protección de la Privacidad Infantil en Línea (COPPA)

La COPPA exige que los operadores de sitios web y servicios en línea dirigidos a menores de 13 años obtengan el consentimiento verificable de los padres antes de recopilar información personal. La FTC hace cumplir la COPPA a nivel nacional y tiene amplia autoridad regulatoria.

Ley de Informe Justo de Crédito (FCRA)

La FCRA regula la recopilación, el uso y la divulgación de la información crediticia del consumidor. Los residentes de Georgia tienen derechos bajo la FCRA para acceder a sus expedientes de crédito y disputar información inexacta. La ley estatal proporciona dos informes de crédito gratuitos adicionales al año de cada agencia de informes principal, además del que garantiza la ley federal.

Sección 5 de la Ley de la FTC

La Ley de la FTC prohíbe las prácticas comerciales injustas o engañosas. La FTC utiliza la autoridad de la Sección 5 para hacer cumplir los compromisos de seguridad de datos y privacidad contra empresas de todos los sectores, incluidas aquellas que violan sus propias políticas de privacidad o no mantienen una seguridad de datos adecuada.

Ley de Derechos de Privacidad Estadounidense (APRA)

El Congreso presentó la Ley de Derechos de Privacidad Estadounidense como un proyecto de ley federal bipartidista de privacidad integral en 2024. No fue aprobado por el 118.º Congreso. A mediados de 2026, ningún proyecto de ley sucesor ha sido promulgado como ley. No existe una ley federal integral de privacidad del consumidor en vigor.

Pasos prácticos de cumplimiento para las empresas

Las empresas que operan en Georgia enfrentan un entorno de cumplimiento más limitado del que crearía una ley integral de privacidad, ya que Georgia no cuenta con un estatuto integral de privacidad del consumidor a mediados de 2026.

Esté atento a un posible proyecto de privacidad revivido: El proyecto de privacidad de Georgia ha fracasado ahora en esta forma específica por segunda sesión consecutiva, después de que el SB 473 se estancara en 2024 y el texto de privacidad del SB 111 fuera eliminado en 2026. Los umbrales y obligaciones aprobados por el Senado descritos anteriormente muestran lo que una futura ley de Georgia podría exigir si los legisladores reintroducen un texto similar.

Verifique si el estatuto de violaciones de datos la alcanza: La Ley de Protección de la Identidad Personal (Sección 10-1-910 y siguientes del O.C.G.A.) impone el deber de notificar a los corredores de información y a los recolectores de datos gubernamentales, no a las empresas de Georgia en general. Si mantiene información personal en nombre de una de esas entidades, su obligación bajo la Sección 10-1-912(b) es notificar a esa entidad dentro de las 24 horas posteriores al descubrimiento de una violación. Las empresas fuera del alcance del estatuto igual enfrentan obligaciones contractuales, sectoriales y de las leyes de violación de datos de otros estados, por lo que mantener un plan de respuesta por escrito sigue siendo valioso.

Revise las obligaciones sectoriales específicas: Las empresas de seguros, salud y educación continúan enfrentando obligaciones bajo las regulaciones de privacidad de datos de seguros de Georgia, la HIPAA y la ley estatal de privacidad de datos estudiantiles.

Prepare las divulgaciones de chatbots de compañía de IA: Si opera un chatbot de compañía de IA, planifique el cumplimiento del SB 540 antes del 1 de julio de 2027. Los chatbots de servicio al cliente, empresariales y educativos alineados con el currículo quedan fuera de su definición.

Cumplimiento de TAKE IT DOWN: Si opera una plataforma cubierta, mantenga un proceso de notificación y retiro para imágenes íntimas no consensuadas.

Cómo ejercen sus derechos los residentes de Georgia

Los residentes de Georgia no tienen un derecho bajo la ley estatal para presentar solicitudes de acceso, corrección, eliminación u opt-out a las empresas, ya que las disposiciones de derechos del consumidor del SB 111 fueron eliminadas del proyecto antes de convertirse en ley. Los residentes aún pueden ejercer cualquier derecho que una empresa ofrezca voluntariamente, o los derechos disponibles bajo las leyes de privacidad de otros estados cuando una empresa también esté sujeta a esas leyes. Muchos corredores de datos y sitios de búsqueda de personas también tienen sus propios formularios de opt-out, que lista nuestro directorio de opt-out de corredores de datos.

Para asuntos de notificación de violaciones de datos, presente una queja ante la División de Protección al Consumidor del Fiscal General de Georgia en consumer.georgia.gov o llame al 404-651-8600.

Para NCII o imágenes íntimas de deepfake en plataformas, reporte las infracciones a la FTC en TakeItDown.ftc.gov a partir del 19 de mayo de 2026.

Para asuntos de privacidad relacionados con el crédito, comuníquese con la Oficina de Protección Financiera del Consumidor o presente una disputa directamente con las tres agencias de crédito principales.

Más Leyes de Georgia

• Leyes de Grabación en Reuniones con IA de Georgia
• Leyes de Pensión Alimenticia Conyugal de Georgia
• Leyes de Empleo a Voluntad de Georgia
• Leyes de Accidentes Automovilísticos de Georgia
• Leyes de Asientos de Auto para Niños de Georgia
• Leyes de Custodia de Menores de Georgia
• Leyes de Manutención Infantil de Georgia
• Leyes de Matrimonio de Hecho de Georgia
• Leyes sobre Deepfakes de Georgia
• Leyes de Divorcio de Georgia
• Leyes sobre Mordeduras de Perro de Georgia
• Leyes de Emancipación de Georgia
• Leyes de Eliminación de Antecedentes Penales de Georgia
• Leyes sobre Choque y Fuga de Georgia
• Leyes de Propietarios e Inquilinos de Georgia
• Leyes de Vehículos Defectuosos (Lemon Law) de Georgia

Preguntas frecuentes

¿Georgia cuenta con una ley integral de privacidad de datos del consumidor?

No. Georgia no cuenta con una ley integral de privacidad de datos del consumidor. El Senado aprobó el Proyecto de Ley del Senado 111, la Ley de Protección de la Privacidad del Consumidor de Georgia, a principios de 2026, pero un comité de la Cámara reemplazó todo el proyecto con una medida no relacionada sobre créditos fiscales para hospitales rurales antes de su aprobación final. El gobernador Kemp firmó ese sustituto, no el proyecto de privacidad, como ley con el nombre de Ley 462 el 11 de mayo de 2026. De haberse convertido en ley la versión aprobada por el Senado, habría otorgado a los residentes de Georgia derechos a acceder, corregir, eliminar y optar por no participar en la publicidad dirigida y la venta de datos, aplicándose a las empresas con más de $25 millones en ingresos que procesan datos personales de al menos 175,000 residentes de Georgia, o de al menos 25,000 residentes si más del 50% de los ingresos provienen de la venta de datos. Nada de eso entró en vigor.

¿Qué debe hacer una empresa si mis datos personales sufren una violación en Georgia?

Depende de quién tenga sus datos, porque la ley de Georgia es más reducida que la de la mayoría de los estados. Bajo la Sección 10-1-912(a) del O.C.G.A., el deber de notificarle recae sobre los corredores de información y los recolectores de datos gubernamentales según los define la Sección 10-1-911 del O.C.G.A., no sobre cualquier empresa que tenga su información. Cuando el deber se aplica, la notificación debe hacerse en el tiempo más expedito posible y sin demora injustificada, y puede ser escrita, telefónica o electrónica. Si la violación afecta a más de 10,000 residentes de Georgia, la entidad también debe notificar a las tres agencias nacionales de informes de crédito al consumidor. Una empresa que mantiene los datos en nombre de un corredor o recolector debe notificar a esa entidad dentro de las 24 horas, y es esa entidad la que luego le notifica a usted.

¿Puedo demandar a una empresa por una violación de datos en Georgia?

El estatuto de notificación de violaciones de datos de Georgia no otorga un derecho de acción privado. Georgia tampoco cuenta con un estatuto integral de privacidad que pudiera respaldar un derecho de acción privado, ya que el texto de privacidad del SB 111 nunca se convirtió en ley. Sin embargo, podría tener reclamaciones bajo la Ley de Protección de Sistemas Informáticos (Sección 16-9-93 del O.C.G.A.) si alguien accedió a sus datos sin autorización, con un plazo de prescripción de cuatro años. También podrían estar disponibles reclamaciones de derecho consuetudinario por negligencia o invasión de la privacidad, dependiendo de las circunstancias.

¿Georgia tiene un Mecanismo Universal de Exclusión como Colorado o California?

No. Georgia no cuenta con una ley integral de privacidad, por lo que no existe un requisito de reconocimiento del Mecanismo Universal de Exclusión ni del Control de Privacidad Global, ni un derecho general bajo la ley de Georgia para optar por no participar en la publicidad dirigida o la venta de datos. Algunas empresas nacionales honran las solicitudes de exclusión voluntariamente bajo las leyes de otros estados a través de los mecanismos descritos en sus avisos de privacidad, pero el estatuto de Georgia no lo exige.

¿Cuáles son las sanciones por violar las leyes de privacidad de Georgia?

Georgia no cuenta con un estatuto integral de privacidad promulgado, por lo que no existe una sanción tipo SB 111 en vigor. Las secciones de notificación de violaciones de datos, Secciones 10-1-910 a 10-1-912 del O.C.G.A., no contienen ninguna disposición de sanción ni ningún mecanismo de cumplimiento en absoluto. La Ley de Protección de Sistemas Informáticos impone sanciones penales por el acceso no autorizado a datos: hasta 15 años de prisión y una multa de $50,000 por delitos graves. El SB 540 permitirá que el Fiscal General busque hasta $10,000 por infracción cometida a sabiendas de la ley de chatbots de compañía de IA una vez que entre en vigor el 1 de julio de 2027. La versión del SB 111 aprobada por el Senado habría autorizado sanciones civiles de hasta $7,500 por infracción después de un período de subsanación de 60 días, pero esa disposición fue eliminada antes de que el proyecto se convirtiera en ley.

¿La Ley TAKE IT DOWN se aplica a los residentes de Georgia?

Sí. La Ley TAKE IT DOWN es una ley federal firmada el 19 de mayo de 2025 que se aplica a nivel nacional. A partir del 19 de mayo de 2026, las plataformas cubiertas deben mantener un proceso para retirar imágenes íntimas no consensuadas dentro de las 48 horas posteriores a la recepción de un aviso. Esto incluye los deepfakes generados por IA. Los residentes de Georgia pueden reportar el incumplimiento de una plataforma a la FTC en TakeItDown.ftc.gov.

¿Cuál es el estado de la ley de verificación de edad en redes sociales de Georgia?

La Ley de Protección de los Niños de Georgia en las Redes Sociales (SB 351, 2024) exige el consentimiento de los padres antes de que los menores de 16 años puedan abrir cuentas en redes sociales. Un tribunal federal de distrito bloqueó la ley con una orden judicial preliminar el 26 de junio de 2025, al determinar que probablemente violaba la Primera Enmienda. El Fiscal General de Georgia, Chris Carr, apeló ante el Tribunal de Apelaciones del Undécimo Circuito. Los argumentos orales se llevaron a cabo el 10 de marzo de 2026. El caso sigue pendiente, y la ley no está en vigor mientras se mantenga la orden judicial.

¿Cómo protege Georgia la privacidad de los datos estudiantiles en las escuelas?

Georgia promulgó la Ley de Privacidad, Accesibilidad y Transparencia de Datos Estudiantiles (Secciones 20-2-661 a 20-2-667 del O.C.G.A.) en 2016. Exige que el Departamento de Educación designe un funcionario principal de privacidad, restringe la recopilación de datos políticos y religiosos de los estudiantes, protege los registros de delincuencia juvenil y médicos, impone requisitos a los operadores de tecnología educativa, y otorga a los padres el derecho a inspeccionar los registros de sus hijos. Estas protecciones complementan la ley federal FERPA.