Derechos del Consumidor bajo la NHDPA: Privacidad de Datos de Nuevo Hampshire

La Ley de Privacidad de Datos de Nuevo Hampshire (NHDPA), codificada en RSA Capítulo 507-H, otorga a los residentes de Nuevo Hampshire el derecho a acceder, corregir, eliminar y portar sus datos personales, y a optar por excluirse de la publicidad dirigida, la venta de datos personales y el perfilamiento que produce efectos legales o de importancia similar. Un controlador debe responder a una solicitud verificada dentro de 45 días según RSA 507-H:4.

A partir de 2026, estos derechos son aplicados exclusivamente por el Fiscal General de Nuevo Hampshire, y un consumidor al que se le niega una solicitud puede apelar y, si sigue insatisfecho, contactar al Fiscal General. Los controladores han tenido que respetar una señal de preferencia de exclusión universal desde que la ley entró en vigor el 1 de enero de 2025.

Alcance jurisdiccional: Esto cubre la Ley de Privacidad de Datos de Nuevo Hampshire (RSA Capítulo 507-H). Es información legal general, no asesoría legal.

El conjunto completo de derechos del consumidor bajo la NHDPA

La NHDPA otorga a los residentes de Nuevo Hampshire un conjunto completo de derechos sobre datos, establecidos en RSA 507-H:4. Estos derechos pertenecen a los "consumidores," a quienes RSA 507-H:1, VIII define simplemente como toda persona física que sea residente de Nuevo Hampshire. Esa definición es más amplia que el término equivalente en varias otras leyes estatales de privacidad: excluye únicamente a quien actúa en un contexto comercial o laboral, o a quien actúa como empleado, propietario, director, funcionario o contratista de una empresa, sociedad, empresa individual, organización sin fines de lucro o agencia gubernamental cuyas comunicaciones o transacciones con el controlador ocurran exclusivamente dentro de ese rol.

Un consumidor puede confirmar si un controlador está procesando sus datos personales y acceder a esos datos. Un consumidor también puede exigir que un controlador corrija inexactitudes en los datos personales, teniendo en cuenta la naturaleza de los datos y los propósitos del procesamiento. El derecho a eliminar alcanza a los "datos personales proporcionados por, u obtenidos sobre, el consumidor," por lo que cubre tanto los datos que el consumidor proporcionó como los datos que el controlador recopiló de otras fuentes.

La portabilidad de datos es un derecho independiente de la confirmación y el acceso. RSA 507-H:4, I(a) cubre confirmar si un controlador está procesando los datos personales del consumidor y acceder a esos datos, mientras que RSA 507-H:4, I(d) otorga por separado al consumidor el derecho a obtener una copia de esos datos personales en un formato portátil y, en la medida técnicamente posible, fácilmente utilizable que le permita transmitir los datos a otro controlador sin obstáculos, cuando el procesamiento se realice por medios automatizados. La descripción general de la NHDPA de Nuevo Hampshire explica cómo encajan la aplicabilidad y la definición de consumidor.

Derechos de exclusión: publicidad dirigida, venta y perfilamiento

RSA 507-H:4 otorga a los consumidores el derecho a excluirse de tres categorías de procesamiento. La primera es la publicidad dirigida, es decir, la publicidad seleccionada con base en datos personales obtenidos de las actividades del consumidor en sitios web o aplicaciones no afiliados a lo largo del tiempo. La segunda es la venta de datos personales, que la NHDPA define ampliamente para incluir el intercambio de datos personales por dinero u otra contraprestación valiosa.

La tercera es el perfilamiento en apoyo de decisiones exclusivamente automatizadas que producen efectos legales o efectos de importancia similar. Esta exclusión importa más cuando los sistemas automatizados impulsan decisiones trascendentales, como el acceso a crédito, empleo, vivienda, seguros, educación u oportunidades comparables. Un consumidor que no desea que el perfilamiento automatizado moldee esas decisiones puede optar por excluirse.

Debido a que la definición de venta alcanza los intercambios por "otra contraprestación valiosa," no solo dinero en efectivo, muchos acuerdos comunes de intercambio de datos con socios de publicidad y análisis pueden calificar como ventas. Eso hace que la exclusión de venta sea uno de los derechos más consecuentes en la práctica, y es el derecho más directamente vinculado a la señal de exclusión universal que se analiza a continuación.

El plazo de respuesta de 45 días y cómo funcionan las solicitudes

Según RSA 507-H:4, un controlador debe responder a una solicitud del consumidor sin demora indebida y en cualquier caso a más tardar 45 días después de recibir la solicitud. El controlador puede extender ese período una vez por 45 días adicionales cuando sea razonablemente necesario, teniendo en cuenta la complejidad y el número de solicitudes del consumidor, siempre que informe al consumidor de la extensión y el motivo dentro del período inicial de 45 días. El tiempo máximo total de respuesta es, por lo tanto, de 90 días.

Un controlador debe proporcionar la información de forma gratuita, al menos una vez por consumidor durante cualquier período de 12 meses. Si las solicitudes son manifiestamente infundadas, excesivas o repetitivas, el controlador puede cobrar una tarifa razonable para cubrir los costos administrativos o negarse a actuar, pero tiene la carga de demostrar que la solicitud cumple con ese estándar.

Antes de actuar, un controlador puede necesitar verificar la identidad del consumidor utilizando medios comercialmente razonables. Si el controlador no puede autenticar la solicitud, no está obligado a cumplir, pero debe notificar al consumidor y puede solicitar información adicional razonablemente necesaria para autenticar al consumidor y la solicitud.

La señal de preferencia de exclusión universal

Una característica definitoria de la NHDPA es la señal de preferencia de exclusión universal. Según RSA 507-H:6, V, un controlador debe permitir que los consumidores se excluyan de la publicidad dirigida y de la venta de datos personales a través de una señal de preferencia de exclusión enviada, con el consentimiento del consumidor, por una plataforma, tecnología o mecanismo al controlador. Esta obligación aplicó a partir de la fecha de entrada en vigor de la ley, el 1 de enero de 2025, en lugar de un plazo posterior separado como en algunos estados.

El estatuto establece estándares para la señal. Debe ser amigable para el consumidor y fácil de usar por el consumidor promedio, debe representar claramente la intención del consumidor y debe ser lo más consistente posible con cualquier mecanismo similar requerido por otra ley estatal o federal. En la práctica, esto significa reconocer herramientas a nivel de navegador como el Control de Privacidad Global.

La señal existe para que un consumidor no tenga que presentar solicitudes de exclusión individuales ante cada empresa. Un consumidor puede establecer una preferencia, y los controladores cubiertos deben respetarla. Cuando la señal de un consumidor conocido entra en conflicto con una configuración de privacidad separada que el consumidor seleccionó previamente con un controlador, el controlador puede, en algunas circunstancias, pedirle al consumidor que confirme la preferencia, pero la postura predeterminada es tratar la señal como una exclusión válida.

Apelaciones y contacto con el Fiscal General

La NHDPA incorpora un proceso de apelación. Según RSA 507-H:4, un controlador debe establecer un proceso para que un consumidor apele la negativa del controlador a actuar sobre una solicitud. El proceso de apelación debe estar visiblemente disponible y ser similar al proceso para presentar la solicitud original.

Dentro de los 60 días posteriores a la recepción de una apelación, el controlador debe informar al consumidor por escrito de cualquier acción tomada o no tomada en respuesta, junto con una explicación por escrito de los motivos de la decisión. Este es el plazo de apelación, distinto del plazo de 45 días que se aplica a la solicitud original.

Si se niega la apelación, el controlador debe proporcionar al consumidor un mecanismo en línea, si está disponible, u otro método a través del cual el consumidor pueda contactar al Fiscal General para presentar una queja. Este es el camino del consumidor hacia la aplicación estatal. Debido a que no existe un derecho de acción privado según RSA 507-H:11, un consumidor no puede demandar a la empresa directamente; la queja ante el Fiscal General es la vía para la escalación.

Derechos, plazos y cómo ejercerlos

La siguiente tabla resume los derechos principales de la NHDPA y los plazos que los rigen a partir de 2026.

Un consumidor ejerce estos derechos presentando una solicitud al controlador a través del método que el controlador designe, a menudo un formulario web, un número gratuito o una dirección de correo electrónico descrita en el aviso de privacidad. Para las exclusiones de venta y publicidad dirigida, el consumidor también puede usar una señal de exclusión universal en lugar de contactar a cada empresa. La lista de verificación de cumplimiento de la NHDPA de Nuevo Hampshire describe la mecánica del lado empresarial que hace funcionar estos derechos.

Guías relacionadas

• Leyes de privacidad de datos de Nuevo Hampshire página principal
• ¿Qué es la NHDPA?
• Lista de verificación de cumplimiento de la NHDPA
• Comparación de leyes estatales de privacidad de datos
• ¿Qué es la CCPA?

Preguntas frecuentes

¿Qué derechos tienen los residentes de Nuevo Hampshire bajo la NHDPA?

Según RSA 507-H:4, los residentes de Nuevo Hampshire tienen derecho a confirmar y acceder a sus datos personales, corregir inexactitudes, eliminar sus datos, obtener una copia portátil, y optar por excluirse de la publicidad dirigida, la venta de datos personales y el perfilamiento que produce efectos legales o de importancia similar. RSA 507-H:1, VIII define a un consumidor como toda persona física que sea residente de Nuevo Hampshire, excluyendo a quien actúe en un contexto comercial o laboral o únicamente en un rol determinado para una organización.

¿Cuánto tiempo tiene una empresa para responder a una solicitud de la NHDPA?

Según RSA 507-H:4, un controlador debe responder sin demora indebida y a más tardar 45 días después de recibir una solicitud. El controlador puede extender ese período una vez por 45 días adicionales cuando sea razonablemente necesario, para un total de hasta 90 días, siempre que notifique al consumidor de la extensión y el motivo dentro de los primeros 45 días.

¿Puedo optar por excluirme de las ventas de datos en Nuevo Hampshire con una sola señal?

Sí. Según RSA 507-H:6, V, los controladores han tenido que reconocer una señal de preferencia de exclusión universal, como el Control de Privacidad Global, desde que la ley entró en vigor el 1 de enero de 2025. La señal permite que un consumidor establezca una preferencia para excluirse de la publicidad dirigida y la venta de datos personales sin presentar una solicitud separada ante cada empresa.

¿Qué puedo hacer si una empresa niega mi solicitud bajo la NHDPA?

Puede apelar. Según RSA 507-H:4, un controlador debe ofrecer un proceso de apelación visible y debe informarle por escrito de la acción tomada dentro de 60 días, con una explicación. Si se niega la apelación, el controlador debe darle una forma de contactar al Fiscal General de Nuevo Hampshire para presentar una queja. No existe un derecho de acción privado, por lo que la queja ante el Fiscal General es la vía de escalación.

¿La NHDPA exige consentimiento antes de procesar datos sensibles?

Sí. Según RSA 507-H:6, un controlador no puede procesar datos sensibles sin obtener primero el consentimiento de exclusión voluntaria previa del consumidor. Los datos sensibles se definen en RSA 507-H:1 e incluyen salud, origen racial o étnico, creencias religiosas, vida sexual, orientación sexual, estatus de inmigración, identificadores genéticos o biométricos, datos de un niño conocido y geolocalización precisa. El consentimiento debe ser un acto afirmativo claro.

¿Hay una tarifa por hacer una solicitud bajo la NHDPA?

Generalmente no. Según RSA 507-H:4, un controlador debe proporcionar información de forma gratuita al menos una vez por consumidor durante cualquier período de 12 meses. Un controlador puede cobrar una tarifa razonable o negarse a actuar solo si una solicitud es manifiestamente infundada, excesiva o repetitiva, y tiene la carga de demostrar que la solicitud cumple con ese estándar.

¿Los derechos de la NHDPA cubren a los empleados?

Generalmente no. RSA 507-H:1, VIII define a un consumidor como toda persona física que sea residente de Nuevo Hampshire, pero excluye a quien actúe en un contexto comercial o laboral, o que actúe como empleado, propietario, director, funcionario o contratista de una organización cuyas comunicaciones o transacciones con el controlador ocurran exclusivamente dentro de ese rol. Por lo tanto, los datos de empleados y de contactos comerciales generalmente quedan fuera de los derechos del consumidor establecidos en RSA 507-H:4.

¿Puedo demandar a una empresa por una infracción de la NHDPA?

No. Según RSA 507-H:11, la NHDPA no crea un derecho de acción privado. La aplicación es exclusiva del Fiscal General de Nuevo Hampshire, quien trata las infracciones como actos ilegales según la Ley de Protección al Consumidor, RSA 358-A. Un consumidor que crea que una empresa violó la ley puede presentar una queja ante el Fiscal General, pero no puede presentar una demanda privada bajo el estatuto.