Lista de Verificación de Cumplimiento de la NJDPA: Privacidad de Nueva Jersey

Cumplir con la Ley de Privacidad de Datos de Nueva Jersey (NJDPA), N.J.S.A. 56:8-166.4 y siguientes, comienza por confirmar si la ley se aplica, luego publicar un aviso de privacidad conforme, establecer flujos de trabajo de derechos del consumidor y apelaciones, obtener consentimiento previo (opt-in) para datos sensibles, incluida la información financiera, reconocer una señal universal de exclusión voluntaria, documentar evaluaciones de protección de datos y vincular a los encargados del tratamiento mediante contratos por escrito. El Director de la División de Asuntos del Consumidor también está redactando reglas activamente, por lo que la capa regulatoria debe rastrearse junto con el estatuto.

A partir de 2026, el momento importa. La ley entró en vigor el 15 de enero de 2025, la obligación de exclusión voluntaria universal comenzó alrededor del 15 de julio de 2025, y el derecho obligatorio de 30 días para corregir, que se aplicó únicamente hasta el primer día del mes 18 después de la fecha de vigencia, terminó el 1 de julio de 2026, por lo que la Fiscalía General ahora puede proceder directamente a la aplicación sin ofrecer primero la oportunidad de corregir. Las sanciones se rigen por la Ley de Fraude al Consumidor, con hasta $10,000 por la primera infracción y $20,000 por cada infracción subsiguiente.

Alcance jurisdiccional: Esto cubre la Ley de Privacidad de Datos de Nueva Jersey (N.J.S.A. 56:8-166.4 y siguientes). Es información legal general, no asesoría legal.

Paso 1: Confirme la aplicabilidad, incluido el desencadenante del descuento

El primer paso es el análisis de umbral conforme a N.J.S.A. 56:8-166.5. La NJDPA se aplica a un responsable del tratamiento que realiza negocios en Nueva Jersey, o que produce productos o servicios dirigidos a residentes de Nueva Jersey, y que durante un año calendario cumple con uno de dos umbrales de datos.

El desencadenante alto es controlar o procesar los datos personales de al menos 100,000 consumidores, excluyendo los datos procesados únicamente para completar una transacción de pago. El desencadenante bajo es al menos 25,000 consumidores, combinado con la obtención de ingresos, o de un descuento en el precio de bienes o servicios, a partir de la venta de datos personales.

Preste mucha atención al desencadenante bajo. No existe un piso de porcentaje de ingresos, por lo que una empresa con 25,000 consumidores queda cubierta si obtiene cualquier ingreso, por mínimo que sea, de la venta de datos, o incluso si simplemente recibe un descuento a cambio de datos. Un acuerdo de datos por descuento con un proveedor puede activar la cobertura. Cuente únicamente a los residentes de Nueva Jersey que actúan en un contexto individual o doméstico; conforme a N.J.S.A. 56:8-166.4, los empleados y los contactos comerciales entre empresas generalmente no cuentan.

Incluso una empresa que supere estos umbrales puede seguir estando fuera de la NJDPA. N.J.S.A. 56:8-166.13 exime la información de salud protegida manejada por una entidad cubierta por HIPAA o un asociado comercial, las instituciones financieras y sus afiliadas sujetas a la Ley federal Gramm-Leach-Bliley, las instituciones de seguros reguladas por Nueva Jersey, las organizaciones de apoyo a seguros, las asociaciones nacionales de valores registradas según la Sección 15A de la Ley de Bolsa de Valores (ambas agregadas por la enmienda A5017 firmada el 20 de enero de 2026), las agencias estatales y subdivisiones políticas, los datos de agencias de reporte de crédito al consumidor regidos por la Ley Federal de Reporte Justo de Crédito, los datos de la Comisión de Vehículos Motorizados de Nueva Jersey cubiertos por la Ley federal de Protección de la Privacidad del Conductor, y ciertos datos de investigación con sujetos humanos. Confirme si alguna de estas excepciones aplica antes de construir un programa de cumplimiento.

Paso 2: Publique un aviso de privacidad conforme

Un responsable del tratamiento cubierto debe proporcionar a los consumidores un aviso de privacidad razonablemente accesible, claro y significativo conforme a N.J.S.A. 56:8-166.6. El aviso es el registro público de cómo la empresa maneja los datos personales, y es lo primero que leerá un regulador.

El aviso debe describir las categorías de datos personales procesados, los propósitos del procesamiento, las categorías de datos compartidos con terceros y las categorías de esos terceros, y cómo los consumidores pueden ejercer sus derechos. También debe explicar cómo un consumidor puede apelar la decisión de un responsable del tratamiento sobre una solicitud, y cómo el responsable del tratamiento notifica a los consumidores sobre cambios sustanciales al aviso.

Si la empresa vende datos personales o los procesa para publicidad dirigida, el aviso debe divulgar esto claramente y explicar cómo optar por no participar, incluso a través de un mecanismo universal de exclusión voluntaria. Las reglas propuestas por la División de Asuntos del Consumidor agregan detalles sobre claridad, accesibilidad y la prevención de patrones de diseño engañosos, por lo que el aviso debe construirse conforme al estándar más alto entre el estatuto y las reglas propuestas.

Paso 3: Establezca flujos de trabajo de derechos del consumidor y apelaciones

Los responsables del tratamiento cubiertos necesitan un proceso funcional para recibir y atender las solicitudes de los consumidores de confirmar y acceder, corregir, eliminar y trasladar los datos personales, y para respetar los derechos de exclusión voluntaria. El plazo de respuesta conforme a N.J.S.A. 56:8-166.7 es de 45 días, con una extensión de 45 días adicionales cuando sea razonablemente necesario, por lo que el flujo de trabajo de recepción y verificación debe completarse dentro de ese plazo.

Incorpore un paso de autenticación. Un responsable del tratamiento no está obligado a cumplir con una solicitud que no pueda autenticar mediante esfuerzos comercialmente razonables, y puede solicitar información adicional para verificar al consumidor. Mantenga las solicitudes sin costo, excepto cuando sean manifiestamente infundadas, excesivas o repetitivas, y esté preparado para asumir la carga de probar ese estándar si se cobra una tarifa o se rechaza una solicitud.

El proceso de apelación es obligatorio, no opcional. Conforme a N.J.S.A. 56:8-166.6 y 56:8-166.7, una negativa debe ir acompañada de una justificación por escrito y un mecanismo de apelación visible, y una apelación denegada debe remitir al consumidor a la División de Asuntos del Consumidor. La guía de derechos del consumidor bajo la NJDPA explica cada derecho en detalle.

Paso 4: Consentimiento previo para datos sensibles, incluida la información financiera

Los datos sensibles requieren consentimiento previo (opt-in) antes de su procesamiento, y la definición de Nueva Jersey en N.J.S.A. 56:8-166.4 es amplia. Compare cuidadosamente su inventario de datos con esta definición, porque dos categorías toman por sorpresa a muchas empresas.

Primero, la información financiera es sensible en Nueva Jersey. Esto abarca el número de cuenta de un consumidor, sus credenciales de acceso a la cuenta, su cuenta financiera, o su número de tarjeta de crédito o débito combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permitiera el acceso a la cuenta. Muchas empresas que manejan credenciales de pago con propósitos más allá de completar una transacción necesitarán consentimiento. Segundo, el estatus de persona transgénero o no binaria es un dato sensible.

La lista completa también incluye el origen racial o étnico, las creencias religiosas, la condición, tratamiento o diagnóstico de salud, la vida sexual o la orientación sexual, el estatus de ciudadanía o migratorio, los datos genéticos o biométricos, los datos de un menor identificado como tal y la geolocalización precisa. El consentimiento debe ser un acto afirmativo otorgado libremente, específico, informado e inequívoco, no puede obtenerse mediante patrones de diseño engañosos y debe ser revocable. Cuando no pueda obtener el consentimiento, deje de procesar esos datos sensibles.

Paso 5: Reconozca un mecanismo universal de exclusión voluntaria

La NJDPA exige que los responsables del tratamiento respeten un mecanismo universal de exclusión voluntaria, como Global Privacy Control, que permite a los consumidores optar por no participar en la publicidad dirigida y la venta de datos personales a través de una configuración del navegador o del dispositivo. Esta obligación entró en vigor a más tardar seis meses después de la fecha de vigencia del 15 de enero de 2025, es decir, aproximadamente el 15 de julio de 2025, por lo que ya está vigente a partir de 2026.

Implemente la detección de la señal de modo que, cuando el navegador o dispositivo de un consumidor envíe una preferencia de exclusión voluntaria, la empresa la trate como una exclusión voluntaria válida para ese navegador o dispositivo. No condicione el reconocimiento a que el consumidor también complete un formulario separado, y no permita que una configuración predeterminada anule la elección expresa del consumidor.

Pruebe la implementación. Una brecha de cumplimiento común es un aviso de privacidad que promete respetar las señales universales mientras la infraestructura de tecnología publicitaria del sitio web sigue cargando silenciosamente etiquetas de segmentación. La exclusión voluntaria debe surtir efecto realmente en las etapas posteriores.

Paso 6: Evaluaciones de protección de datos y contratos con encargados del tratamiento

Conforme a N.J.S.A. 56:8-166.16, un responsable del tratamiento debe realizar y documentar una evaluación de protección de datos para el procesamiento que presente un riesgo elevado de daño a los consumidores. Esto incluye el procesamiento para publicidad dirigida, la venta de datos personales, cierta elaboración de perfiles y el procesamiento de datos sensibles. La evaluación sopesa los beneficios del procesamiento frente a los riesgos para los consumidores, mitigados por las salvaguardas.

Conserve estas evaluaciones en archivo. La Fiscalía General puede exigir que un responsable del tratamiento divulgue una evaluación relevante en relación con una investigación, por lo que la documentación debe conservarse y mantenerse actualizada a medida que cambien las actividades de procesamiento.

Los responsables del tratamiento también deben vincular a cada encargado del tratamiento mediante un contrato por escrito. El contrato debe establecer las instrucciones de procesamiento, la naturaleza y el propósito del procesamiento, el tipo de datos y la duración, los deberes de confidencialidad, la eliminación o devolución de los datos, y el deber del encargado del tratamiento de asistir al responsable del tratamiento y de poner a disposición la información necesaria para demostrar el cumplimiento. Revise los acuerdos existentes con proveedores y agregue términos conformes a la NJDPA donde falten.

Paso 7: Rastree el proceso de reglamentación y el vencimiento del período de corrección

Dos elementos de tiempo merecen un lugar en todo calendario de cumplimiento de la NJDPA. Primero, la División de Asuntos del Consumidor está redactando reglas activamente. Se instruye al Director a adoptar reglamentos para implementar la Ley, y las reglas propuestas se publicaron el 2 de junio de 2025, con un período de comentarios que se extendió hasta el 1 de agosto de 2025. Esas reglas pueden agregar obligaciones más allá del estatuto, así que esté atento a la versión adoptada y ajuste en consecuencia.

Segundo, el derecho a corregir ya terminó. La NJDPA otorgaba a un responsable del tratamiento 30 días para corregir una presunta infracción después de recibir el aviso de la División de Asuntos del Consumidor, pero ese aviso obligatorio de corrección se aplicó únicamente hasta el primer día del mes 18 después de la fecha de vigencia, que fue el 1 de julio de 2026. Desde esa fecha, la Fiscalía General puede iniciar acciones de cumplimiento directamente, sin ofrecer primero la oportunidad de corregir el problema, y emitir un aviso de corrección en absoluto queda ahora enteramente a discreción de la División.

La aplicación se rige por la Ley de Fraude al Consumidor de Nueva Jersey, con sanciones civiles de hasta $10,000 por la primera infracción y $20,000 por cada infracción subsiguiente, además de los otros remedios disponibles bajo esa Ley. No existe un derecho de acción privado, por lo que la Fiscalía General y la División de Asuntos del Consumidor son quienes hacen cumplir la ley.

Lista de verificación de cumplimiento de un vistazo

Para conocer la ley subyacente y cómo se compara con otros estados, consulte el resumen de ¿Qué es la NJDPA?

Guías relacionadas

• Leyes de privacidad de datos de Nueva Jersey página principal
• ¿Qué es la NJDPA?
• Derechos del consumidor bajo la NJDPA
• Comparación de leyes estatales de privacidad de datos
• ¿Qué es la CCPA?