New Jersey
Lista de Verificación de Cumplimiento de la NJDPA: Privacidad de Nueva Jersey
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 15 de agosto de 2026. · 9 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Cumplir con la Ley de Privacidad de Datos de Nueva Jersey (NJDPA), N.J.S.A. 56:8-166.4 y siguientes, comienza por confirmar si la ley se aplica, luego publicar un aviso de privacidad conforme, establecer flujos de trabajo de derechos del consumidor y apelaciones, obtener consentimiento previo (opt-in) para datos sensibles, incluida la información financiera, reconocer una señal universal de exclusión voluntaria, documentar evaluaciones de protección de datos y vincular a los encargados del tratamiento mediante contratos por escrito. El Director de la División de Asuntos del Consumidor también está redactando reglas activamente, por lo que la capa regulatoria debe rastrearse junto con el estatuto.
A partir de 2026, el momento importa. La ley entró en vigor el 15 de enero de 2025, la obligación de exclusión voluntaria universal comenzó alrededor del 15 de julio de 2025, y el derecho obligatorio de 30 días para corregir, que se aplicó únicamente hasta el primer día del mes 18 después de la fecha de vigencia, terminó el 1 de julio de 2026, por lo que la Fiscalía General ahora puede proceder directamente a la aplicación sin ofrecer primero la oportunidad de corregir. Las sanciones se rigen por la Ley de Fraude al Consumidor, con hasta $10,000 por la primera infracción y $20,000 por cada infracción subsiguiente.
Alcance jurisdiccional: Esto cubre la Ley de Privacidad de Datos de Nueva Jersey (N.J.S.A. 56:8-166.4 y siguientes). Es información legal general, no asesoría legal.
Paso 1: Confirme la aplicabilidad, incluido el desencadenante del descuento
El primer paso es el análisis de umbral conforme a N.J.S.A. 56:8-166.5. La NJDPA se aplica a un responsable del tratamiento que realiza negocios en Nueva Jersey, o que produce productos o servicios dirigidos a residentes de Nueva Jersey, y que durante un año calendario cumple con uno de dos umbrales de datos.
El desencadenante alto es controlar o procesar los datos personales de al menos 100,000 consumidores, excluyendo los datos procesados únicamente para completar una transacción de pago. El desencadenante bajo es al menos 25,000 consumidores, combinado con la obtención de ingresos, o de un descuento en el precio de bienes o servicios, a partir de la venta de datos personales.
Preste mucha atención al desencadenante bajo. No existe un piso de porcentaje de ingresos, por lo que una empresa con 25,000 consumidores queda cubierta si obtiene cualquier ingreso, por mínimo que sea, de la venta de datos, o incluso si simplemente recibe un descuento a cambio de datos. Un acuerdo de datos por descuento con un proveedor puede activar la cobertura. Cuente únicamente a los residentes de Nueva Jersey que actúan en un contexto individual o doméstico; conforme a N.J.S.A. 56:8-166.4, los empleados y los contactos comerciales entre empresas generalmente no cuentan.
Incluso una empresa que supere estos umbrales puede seguir estando fuera de la NJDPA. N.J.S.A. 56:8-166.13 exime la información de salud protegida manejada por una entidad cubierta por HIPAA o un asociado comercial, las instituciones financieras y sus afiliadas sujetas a la Ley federal Gramm-Leach-Bliley, las instituciones de seguros reguladas por Nueva Jersey, las organizaciones de apoyo a seguros, las asociaciones nacionales de valores registradas según la Sección 15A de la Ley de Bolsa de Valores (ambas agregadas por la enmienda A5017 firmada el 20 de enero de 2026), las agencias estatales y subdivisiones políticas, los datos de agencias de reporte de crédito al consumidor regidos por la Ley Federal de Reporte Justo de Crédito, los datos de la Comisión de Vehículos Motorizados de Nueva Jersey cubiertos por la Ley federal de Protección de la Privacidad del Conductor, y ciertos datos de investigación con sujetos humanos. Confirme si alguna de estas excepciones aplica antes de construir un programa de cumplimiento.
Paso 2: Publique un aviso de privacidad conforme
Un responsable del tratamiento cubierto debe proporcionar a los consumidores un aviso de privacidad razonablemente accesible, claro y significativo conforme a N.J.S.A. 56:8-166.6. El aviso es el registro público de cómo la empresa maneja los datos personales, y es lo primero que leerá un regulador.
El aviso debe describir las categorías de datos personales procesados, los propósitos del procesamiento, las categorías de datos compartidos con terceros y las categorías de esos terceros, y cómo los consumidores pueden ejercer sus derechos. También debe explicar cómo un consumidor puede apelar la decisión de un responsable del tratamiento sobre una solicitud, y cómo el responsable del tratamiento notifica a los consumidores sobre cambios sustanciales al aviso.
Si la empresa vende datos personales o los procesa para publicidad dirigida, el aviso debe divulgar esto claramente y explicar cómo optar por no participar, incluso a través de un mecanismo universal de exclusión voluntaria. Las reglas propuestas por la División de Asuntos del Consumidor agregan detalles sobre claridad, accesibilidad y la prevención de patrones de diseño engañosos, por lo que el aviso debe construirse conforme al estándar más alto entre el estatuto y las reglas propuestas.
Paso 3: Establezca flujos de trabajo de derechos del consumidor y apelaciones
Los responsables del tratamiento cubiertos necesitan un proceso funcional para recibir y atender las solicitudes de los consumidores de confirmar y acceder, corregir, eliminar y trasladar los datos personales, y para respetar los derechos de exclusión voluntaria. El plazo de respuesta conforme a N.J.S.A. 56:8-166.7 es de 45 días, con una extensión de 45 días adicionales cuando sea razonablemente necesario, por lo que el flujo de trabajo de recepción y verificación debe completarse dentro de ese plazo.
Incorpore un paso de autenticación. Un responsable del tratamiento no está obligado a cumplir con una solicitud que no pueda autenticar mediante esfuerzos comercialmente razonables, y puede solicitar información adicional para verificar al consumidor. Mantenga las solicitudes sin costo, excepto cuando sean manifiestamente infundadas, excesivas o repetitivas, y esté preparado para asumir la carga de probar ese estándar si se cobra una tarifa o se rechaza una solicitud.
El proceso de apelación es obligatorio, no opcional. Conforme a N.J.S.A. 56:8-166.6 y 56:8-166.7, una negativa debe ir acompañada de una justificación por escrito y un mecanismo de apelación visible, y una apelación denegada debe remitir al consumidor a la División de Asuntos del Consumidor. La guía de derechos del consumidor bajo la NJDPA explica cada derecho en detalle.
Paso 4: Consentimiento previo para datos sensibles, incluida la información financiera
Los datos sensibles requieren consentimiento previo (opt-in) antes de su procesamiento conforme a N.J.S.A. 56:8-166.12(a)(4), y la definición de Nueva Jersey de datos sensibles en N.J.S.A. 56:8-166.4 es amplia. Compare cuidadosamente su inventario de datos con esta definición, porque dos categorías toman por sorpresa a muchas empresas.
Primero, la información financiera es sensible en Nueva Jersey. Esto abarca el número de cuenta de un consumidor, sus credenciales de acceso a la cuenta, su cuenta financiera, o su número de tarjeta de crédito o débito combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permitiera el acceso a la cuenta. Muchas empresas que manejan credenciales de pago con propósitos más allá de completar una transacción necesitarán consentimiento. Segundo, el estatus de persona transgénero o no binaria es un dato sensible.
La lista completa también incluye el origen racial o étnico, las creencias religiosas, la condición, tratamiento o diagnóstico de salud, la vida sexual o la orientación sexual, el estatus de ciudadanía o migratorio, los datos genéticos o biométricos, los datos de un menor identificado como tal y la geolocalización precisa. El consentimiento debe ser un acto afirmativo otorgado libremente, específico, informado e inequívoco, no puede obtenerse mediante patrones de diseño engañosos y debe ser revocable. Cuando no pueda obtener el consentimiento, deje de procesar esos datos sensibles.
Paso 5: Reconozca un mecanismo universal de exclusión voluntaria
Conforme a N.J.S.A. 56:8-166.11(b)(1), la NJDPA exige que los responsables del tratamiento respeten un mecanismo universal de exclusión voluntaria, como Global Privacy Control, que permite a los consumidores optar por no participar en la publicidad dirigida y la venta de datos personales a través de una configuración del navegador o del dispositivo. Esta obligación entró en vigor a más tardar seis meses después de la fecha de vigencia del 15 de enero de 2025, es decir, aproximadamente el 15 de julio de 2025, por lo que ya está vigente a partir de 2026.
Implemente la detección de la señal de modo que, cuando el navegador o dispositivo de un consumidor envíe una preferencia de exclusión voluntaria, la empresa la trate como una exclusión voluntaria válida para ese navegador o dispositivo. No condicione el reconocimiento a que el consumidor también complete un formulario separado, y no permita que una configuración predeterminada anule la elección expresa del consumidor.
Pruebe la implementación. Una brecha de cumplimiento común es un aviso de privacidad que promete respetar las señales universales mientras la infraestructura de tecnología publicitaria del sitio web sigue cargando silenciosamente etiquetas de segmentación. La exclusión voluntaria debe surtir efecto realmente en las etapas posteriores.
Paso 6: Evaluaciones de protección de datos y contratos con encargados del tratamiento
Conforme a N.J.S.A. 56:8-166.12(a)(9), un responsable del tratamiento debe realizar y documentar una evaluación de protección de datos para el procesamiento que presente un riesgo elevado de daño a los consumidores. N.J.S.A. 56:8-166.12(c) define el riesgo elevado para incluir el procesamiento para publicidad dirigida, la venta de datos personales, cierta elaboración de perfiles y el procesamiento de datos sensibles. Conforme a N.J.S.A. 56:8-166.12(b), la evaluación sopesa los beneficios del procesamiento frente a los riesgos para los consumidores, mitigados por las salvaguardas.
Conserve estas evaluaciones en archivo. N.J.S.A. 56:8-166.12(b) exige que un responsable del tratamiento ponga a disposición de la División de Asuntos del Consumidor una evaluación de protección de datos cuando esta lo solicite, por lo que la documentación debe conservarse y mantenerse actualizada a medida que cambien las actividades de procesamiento.
Conforme a N.J.S.A. 56:8-166.16(e), los responsables del tratamiento también deben vincular a cada encargado del tratamiento mediante un contrato por escrito. El contrato debe establecer las instrucciones de procesamiento, la naturaleza y el propósito del procesamiento, el tipo de datos y la duración, los deberes de confidencialidad, la eliminación o devolución de los datos, y el deber del encargado del tratamiento de asistir al responsable del tratamiento y de poner a disposición la información necesaria para demostrar el cumplimiento. Revise los acuerdos existentes con proveedores y agregue términos conformes a la NJDPA donde falten.
Paso 7: Rastree el proceso de reglamentación y el vencimiento del período de corrección
Dos elementos de tiempo merecen un lugar en todo calendario de cumplimiento de la NJDPA. Primero, la División de Asuntos del Consumidor está redactando reglas activamente. N.J.S.A. 56:8-166.18 instruye al Director a adoptar reglamentos necesarios para implementar la Ley, y las reglas propuestas se publicaron el 2 de junio de 2025, con un período de comentarios que se extendió hasta el 1 de agosto de 2025. Esas reglas pueden agregar obligaciones más allá del estatuto, así que esté atento a la versión adoptada y ajuste en consecuencia.
Segundo, el derecho a corregir ya terminó. Conforme a N.J.S.A. 56:8-166.17(b), la NJDPA otorgaba a un responsable del tratamiento 30 días para corregir una presunta infracción después de recibir el aviso de la División de Asuntos del Consumidor, pero ese aviso obligatorio de corrección se aplicó únicamente hasta el primer día del mes 18 después de la fecha de vigencia, que fue el 1 de julio de 2026. Desde esa fecha, la Fiscalía General puede iniciar acciones de cumplimiento directamente, sin ofrecer primero la oportunidad de corregir el problema, y emitir un aviso de corrección en absoluto queda ahora enteramente a discreción de la División.
Conforme a N.J.S.A. 56:8-166.17(a), la infracción de un responsable del tratamiento constituye una práctica ilegal bajo la Ley de Fraude al Consumidor de Nueva Jersey, con sanciones civiles de hasta $10,000 por la primera infracción y $20,000 por cada infracción subsiguiente, además de los otros remedios disponibles bajo esa Ley. Conforme a N.J.S.A. 56:8-166.19, la Oficina de la Fiscalía General tiene la autoridad única y exclusiva para hacer cumplir la Ley y no existe un derecho de acción privado, mientras que la División de Asuntos del Consumidor actúa bajo esa autoridad.
Lista de verificación de cumplimiento de un vistazo
| Paso | Acción | Autoridad |
|---|---|---|
| 1 | Confirme la aplicabilidad, incluido el desencadenante de venta de datos o descuento en 25,000 consumidores | N.J.S.A. 56:8-166.5 |
| 2 | Publique un aviso de privacidad claro con información sobre derechos y apelaciones | N.J.S.A. 56:8-166.6 |
| 3 | Establezca flujos de trabajo de solicitud, verificación y apelación dentro de 45 días | N.J.S.A. 56:8-166.7 |
| 4 | Obtenga consentimiento previo para datos sensibles, incluida la información financiera | N.J.S.A. 56:8-166.12(a)(4) (obligación); 56:8-166.4 (definición) |
| 5 | Reconozca un mecanismo universal de exclusión voluntaria (aproximadamente para el 15 de julio de 2025) | N.J.S.A. 56:8-166.11(b)(1) |
| 6 | Documente las evaluaciones y firme contratos conformes con los encargados del tratamiento | N.J.S.A. 56:8-166.12 (evaluaciones); 56:8-166.16 (contratos con encargados del tratamiento) |
| 7 | Rastree el proceso de reglamentación; el período obligatorio de corrección terminó el 1 de julio de 2026 | N.J.S.A. 56:8-166.18 (reglas); 56:8-166.17(b) (vencimiento de corrección) |
Para conocer la ley subyacente y cómo se compara con otros estados, consulte el resumen de ¿Qué es la NJDPA?
Guías relacionadas
- Leyes de privacidad de datos de Nueva Jersey página principal
- ¿Qué es la NJDPA?
- Derechos del consumidor bajo la NJDPA
- Comparación de leyes estatales de privacidad de datos
- ¿Qué es la CCPA?
Preguntas frecuentes
¿Cómo sé si la NJDPA se aplica a mi empresa?
Conforme a N.J.S.A. 56:8-166.5, la NJDPA se aplica si usted realiza negocios en Nueva Jersey o se dirige a residentes de Nueva Jersey y, durante un año calendario, controla o procesa los datos personales de al menos 100,000 consumidores, o de al menos 25,000 consumidores mientras obtiene algún ingreso, o un descuento, de la venta de datos personales. Cuente únicamente a los residentes de Nueva Jersey en un contexto individual o doméstico; el desencadenante bajo no tiene un piso de porcentaje de ingresos.
¿El desencadenante de venta de datos de la NJDPA tiene un piso de porcentaje de ingresos?
No. El desencadenante de 25,000 consumidores de Nueva Jersey conforme a N.J.S.A. 56:8-166.5 se aplica si el responsable del tratamiento obtiene algún ingreso, por mínimo que sea, o incluso recibe un descuento en bienes o servicios, a partir de la venta de datos personales. A diferencia de los estados que exigen una proporción fija de ingresos provenientes de la venta de datos, Nueva Jersey no tiene un piso de porcentaje, por lo que una pequeña venta de datos o un acuerdo de datos por descuento puede hacer que una empresa quede cubierta.
¿Necesito consentimiento para procesar información financiera bajo la NJDPA?
A menudo, sí. Conforme a N.J.S.A. 56:8-166.4, la información financiera es un dato sensible, lo que significa el número de cuenta de un consumidor, sus credenciales de acceso a la cuenta, su cuenta financiera, o su número de tarjeta de crédito o débito combinado con un código de seguridad, código de acceso o contraseña requerida. El procesamiento de datos sensibles requiere consentimiento previo (opt-in) conforme a N.J.S.A. 56:8-166.12(a)(4), por lo que el manejo de credenciales de pago con propósitos más allá de completar una transacción generalmente requiere el consentimiento afirmativo del consumidor.
¿Cuándo comenzó el requisito de exclusión voluntaria universal?
Conforme a N.J.S.A. 56:8-166.11(b)(1), la NJDPA exige que los responsables del tratamiento reconozcan un mecanismo universal de exclusión voluntaria, como Global Privacy Control, a más tardar seis meses después de la fecha de vigencia del 15 de enero de 2025, es decir, aproximadamente el 15 de julio de 2025. A partir de 2026, las empresas deben detectar y respetar estas señales del navegador o dispositivo para excluir a los consumidores de la publicidad dirigida y la venta de datos personales.
¿Cuándo terminó el período de corrección de la NJDPA?
Conforme a N.J.S.A. 56:8-166.17(b), la NJDPA otorgaba a un responsable del tratamiento 30 días para corregir una presunta infracción después de recibir el aviso de la División de Asuntos del Consumidor, pero ese aviso obligatorio de corrección se aplicó únicamente hasta el primer día del mes 18 después de la fecha de vigencia, que fue el 1 de julio de 2026. Esa fecha ya pasó, por lo que la Fiscalía General ahora puede iniciar acciones de cumplimiento sin ofrecer primero la oportunidad de corregir.
¿Cuáles son las sanciones por infringir la NJDPA?
Conforme a N.J.S.A. 56:8-166.17(a), una infracción constituye una práctica ilegal bajo la Ley de Fraude al Consumidor de Nueva Jersey, con sanciones civiles de hasta $10,000 por la primera infracción y $20,000 por cada infracción subsiguiente, además de los otros remedios que esa Ley proporciona. Conforme a N.J.S.A. 56:8-166.19, la Oficina de la Fiscalía General tiene la autoridad única y exclusiva para hacer cumplir la ley, y no existe un derecho de acción privado.
¿Necesito realizar evaluaciones de protección de datos?
Sí, para el procesamiento de mayor riesgo. Conforme a N.J.S.A. 56:8-166.12(a)(9), un responsable del tratamiento debe realizar y documentar una evaluación de protección de datos para el procesamiento que presente un riesgo elevado de daño, lo cual N.J.S.A. 56:8-166.12(c) define para incluir la publicidad dirigida, la venta de datos personales, cierta elaboración de perfiles y el procesamiento de datos sensibles. Conserve las evaluaciones en archivo, porque N.J.S.A. 56:8-166.12(b) exige que el responsable del tratamiento las ponga a disposición de la División de Asuntos del Consumidor cuando esta lo solicite.
¿Nueva Jersey está redactando regulaciones de privacidad?
Sí. N.J.S.A. 56:8-166.18 instruye al Director de la División de Asuntos del Consumidor a adoptar reglas para implementar la Ley, y la División publicó regulaciones de privacidad propuestas el 2 de junio de 2025, con comentarios que vencían el 1 de agosto de 2025. Las reglas propuestas abordan el detalle del aviso de privacidad, los patrones de diseño engañosos y el consentimiento, por lo que las empresas deben rastrear el proceso de reglamentación y cumplir con las reglas adoptadas además del estatuto.
Actualizaciones
Se corrigieron las citas estatutarias de los pasos de cumplimiento: las evaluaciones de protección de datos se rigen por N.J.S.A. 56:8-166.12, la obligación de exclusión voluntaria universal es N.J.S.A. 56:8-166.11(b)(1), el consentimiento para datos sensibles es N.J.S.A. 56:8-166.12(a)(4), y el período de corrección y la reglamentación son N.J.S.A. 56:8-166.17(b) y 56:8-166.18, en lugar de 56:8-166.19.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en las disposiciones legales a continuación, conservadas en nuestro propio registro jurídico y obtenidas de la fuente oficial. Toque una sección para leer el texto vigente.
New Jersey Statutes (Unannotated)
§ 56:8-166.12Controller, personal data, responsibilities, security.Vigentecitada en 4 de nuestros artículos
9. a. A controller shall: (1) limit the collection of personal data to what is adequate, relevant, and reasonably necessary in relation to the purposes for which such data is processed, as disclosed to the consumer; (2) except as otherwise provided in P.L.2023, c.266 (C.56:8-166.4 et seq.), not process personal data for purposes that are neither reasonably necessary to, nor compatible with, the purposes for which such personal data is processed, as disclosed to the consumer, unless the controller obtains the consumer's consent; (3) take reasonable measures to establish, implement, and maintain administrative, technical, and physical data security practices to protect the confidentiality, integrity, and accessibility of personal data and to secure personal data during both storage and use from unauthorized acquisition.
Texto oficial (extracto) · verificado el 2026-08-01 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us
§ 56:8-166.5Applicability; consumers, personal data, control, processing.Vigentecitada en 4 de nuestros artículos
2. Notwithstanding any State law, rule, regulation, or order to the contrary, the provisions of P.L.2023, c.266 (C.56:8-166.4 et seq.) shall only apply to controllers that conduct business in the State or produce products or services that are targeted to residents of the State, and that during a calendar year either: a. control or process the personal data of at least 100,000 consumers, excluding personal data processed solely for the purpose of completing a payment transaction; or b. control or process the personal data of at least 25,000 consumers and the controller derives revenue, or receives a discount on the price of any goods or services, from the sale of personal data.
Texto oficial (extracto) · verificado el 2026-08-01 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us
§ 56:8-166.6Controller, consumer, privacy notice, personal data; disclosure, sale.Vigentecitada en 3 de nuestros artículos
3. a. A controller shall provide to a consumer a reasonably accessible, clear, and meaningful privacy notice that shall include, but may not be limited to: (1) the categories of the personal data that the controller processes; (2) the purpose for processing personal data; (3) the categories of all third parties to which the controller may disclose a consumer's personal data; (4) the categories of personal data that the controller shares with third parties, if any; (5) how consumers may exercise their consumer rights, including the controller's contact information and how a consumer may appeal a controller's decision with regard to the consumer's request; (6) the process by which the controller notifies consumers of material changes to the notification required to be made available pursuant to this subsection, along with the effective date of the notice; and (7) an active electronic mail address or other online mechanism that the consumer may use to contact the controller.
Texto oficial (extracto) · verificado el 2026-08-01 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us
§ 56:8-166.11Consumer, authorized agent, opting out, processing, sale, personal data.Vigente
8. a. A consumer may designate another person to serve as the consumer's authorized agent and act on the consumer's behalf to opt out of the processing and sale of the consumer's personal data. A consumer may designate an authorized agent using technology, including a link to an Internet website, an Internet browser setting or extension, or a global setting on an electronic device, that allows the consumer to indicate the consumer's intent to opt out of the collection and processing for the purpose of any sale of data or for the purpose of targeted advertising or, when such technology exists, for profiling in furtherance of decisions that produce legal or similarly significant effects concerning a consumer. A controller shall comply with an opt-out request received from an authorized agent under this subsection if the controller is able to verify, with commercially reasonable effort, the identity of the consumer and the authorized agent's authority to act on the consumer's behalf. b.
Texto oficial (extracto) · verificado el 2026-08-01 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us
§ 56:8-166.7Personal data; controller, verified request, consumer, response period.Vigentecitada en 5 de nuestros artículos
4. a. A controller that receives a verified request from a consumer shall provide a response to the consumer within 45 days of the controller's receipt of the request. The controller may extend the response period by 45 additional days where reasonably necessary, considering the complexity and number of the consumer's requests, provided that the controller informs the consumer of any such extension within the initial 45-day response period and the reason for the extension and shall provide the information for all disclosures of personal data that occurred in the prior 12 months. b. This section shall not apply to personal data collected prior to the effective date of P.L.2023, c.266 (C.56:8-166.4 et seq.) unless the controller continues to process such information thereafter. c. If a controller declines to take action regarding the consumer's request, the controller shall inform the consumer without undue delay, but not later than 45 days after receipt of the request, of the justification for declining to take action and instructions for how to appeal the decision.
Texto oficial (extracto) · verificado el 2026-08-01 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us
También citada en: Cómo solicitar sus datos personales: derechos por estado
§ 56:8-166.16Controllers, processors, respective obligations.Vigente
13. a. Controllers and processors shall meet their respective obligations established under P.L.2023, c.266 (C.56:8-166.4 et seq.). b. Processors shall adhere to the instructions of the controller and assist the controller to meet its obligations under this act. Taking into account the nature of processing and the information available to the processor, the processor shall assist the controller by: (1) taking appropriate technical and organizational measures, insofar as possible, for the fulfillment of the controller's obligation to respond to consumer requests to exercise their rights under this act; (2) helping to meet the controller's obligations in relation to the security of processing the personal data and in relation to notification of a breach of the security of the system; and (3) providing information to the controller necessary to enable the controller to conduct and document any data protection assessments required by section 9 of P.L.2023, c.266 (C.56:8-166.12). The controller and processor are each responsible for only the measures allocated to them.
Texto oficial (extracto) · verificado el 2026-08-01 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us
§ 56:8-166.13Applicability, personal data, exceptions, institutions, certain.Vigente
10. Nothing in P.L.2023, c.266 (C.56:8-166.4 et seq.) shall apply to: a. protected health information collected by a covered entity or business associate subject to the privacy, security, and breach notification rules issued by the United States Department of Health and Human Services, Parts 160 and 164 of Title 45 of the Code of Federal Regulations, established pursuant to the "Health Insurance Portability and Accountability Act of 1996," Pub.L.104-191, and the "Health Information Technology for Economic and Clinical Health Act,"42 U.S.C. s.17921 et seq.; b. a financial institution, data, or an affiliate of a financial institution that is subject to Title V of the federal "Gramm-Leach-Bliley Act," 15 U.S.C. s.6801 et seq., and the rules and implementing regulations promulgated thereunder; c. the secondary market institutions identified in 15 U.S.C. s.6809(3)(D) and 12 C.F.R. s.1016.3(l)(3)(iii); d. an insurance institution subject to P.L.1985, c.179 (C.17:23A-1 et seq.); e. the sale of a consumer's personal data by the New Jersey Motor Vehicle Commission that is permitted by the federal "Drivers' Privacy Protection Act of 1994," 18 U.S.C.
Texto oficial (extracto) · verificado el 2026-08-01 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us
§ 56:8-166.17Violations.Vigentecitada en 2 de nuestros artículos
14. a. It shall be an unlawful practice and violation of P.L.1960, c.39 (C.56:8-1 et seq.) for a controller to violate the provisions of P.L.2023, c.266 (C.56:8-166.4 et seq.). b. Until the first day of the 18th month next following the effective date of P.L.2023, c.266 (C.56:8-166.4 et seq.), prior to bringing an enforcement action before an administrative law judge or a court of competent jurisdiction in this State, the Division of Consumer Affairs in the Department of Law and Public Safety shall issue a notice to the controller if a cure is deemed possible. If the operator controller fails to cure the alleged violation of P.L.2023, c.266 (C.56:8-166.4 et seq.) within 30 days after receiving notice of alleged noncompliance from the division, such enforcement action may be brought.
Texto oficial (extracto) · verificado el 2026-08-01 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us
§ 56:8-166.19Authority, enforcement.Vigentecitada en 3 de nuestros artículos
16. The Office of the Attorney General shall have sole and exclusive authority to enforce a violation of P.L.2023, c.266 (C.56:8-166.4 et seq.). Nothing in P.L.2023, c.266 (C.56:8-166.4 et seq.) shall be construed as providing the basis for, or subject to, a private right of action for violations of P.L.2023, c.266 (C.56:8-166.4 et seq.).
Texto oficial (extracto) · verificado el 2026-08-01 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us
§ 56:8-166.4Definitions.Vigentecitada en 6 de nuestros artículos
1. As used in P.L.2023, c.266 (C.56:8-166.4 et seq.): "Affiliate" means a legal entity that controls, is controlled by, or is under common control with another legal entity. For the purposes of this definition, "control" means: the ownership of or the power to vote, more than 50 percent of the outstanding shares of any class of voting security of a company; the control in any manner over the election of a majority of the directors or individuals exercising similar functions; or the power to exercise a controlling influence over the management or policies of a company. "Biometric data" means data generated by automatic or technological processing, measurements, or analysis of an individual's biological, physical, or behavioral characteristics, including, but not limited to, fingerprint, voiceprint, eye retinas, irises, facial mapping, facial geometry, facial templates, or other unique biological, physical, or behavioral patterns or characteristics that are used or intended to be used, singularly or in combination with each other or with other personal data, to identify a specific individual.
Texto oficial (extracto) · verificado el 2026-08-01 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us
§ 56:8-166.18Rules, regulations.Vigente
15. The Director of the Division of Consumer Affairs in the Department of Law and Public Safety shall promulgate rules and regulations, pursuant to the "Administrative Procedure Act," P.L.1968, c.410 (C.52:14B-1 et seq.), necessary to effectuate the purposes of P.L.2023, c.266 (C.56:8-166.4 et seq.).
Texto oficial (extracto) · verificado el 2026-08-01 · Lea el texto completo en nuestra biblioteca legal · Verifique en lis.njleg.state.nj.us
Fuentes y referencias
- N.J.S.A. 56:8-166.4: Definiciones (Datos Sensibles, Información Financiera)(pub.njleg.state.nj.us).gov
- N.J.S.A. 56:8-166.5: Aplicabilidad y Umbrales(pub.njleg.state.nj.us).gov
- N.J.S.A. 56:8-166.6: Aviso de Privacidad y Derechos del Consumidor(pub.njleg.state.nj.us).gov
- N.J.S.A. 56:8-166.7: Solicitud Verificada y Respuesta de 45 Días(pub.njleg.state.nj.us).gov
- N.J.S.A. 56:8-166.16: Evaluaciones de Protección de Datos y Obligaciones del Encargado del Tratamiento(pub.njleg.state.nj.us).gov
- N.J.S.A. 56:8-166.19: Autoridad y Aplicación(pub.njleg.state.nj.us).gov
- División de Asuntos del Consumidor de Nueva Jersey(njconsumeraffairs.gov).gov
- NJCCIC: Nueva Jersey Promulga una Ley Integral de Privacidad de Datos(cyber.nj.gov).gov
- Legislatura de Nueva Jersey: Página del Proyecto de Ley S332 (Sesión 2022-2023)(njleg.state.nj.us).gov
- Oficina del Fiscal General de Nueva Jersey: Anuncio de las Reglas Propuestas de la NJDPA (2 de junio de 2025; comentarios vencían el 1 de agosto de 2025)(njoag.gov)