Derechos del Consumidor bajo la TIPA: Derechos de Privacidad de Datos de Tennessee

La Tennessee Information Protection Act (TIPA), Tenn. Code Ann. 47-18-3201 y siguientes, otorga a los residentes de Tennessee cinco derechos fundamentales sobre sus datos a partir de su fecha de entrada en vigor del 1 de julio de 2025: acceder a su información personal, corregir inexactitudes, eliminarla, obtener una copia portátil, y excluirse de su venta, de la publicidad dirigida y de ciertas actividades de elaboración de perfiles. Un consumidor ejerce estos derechos presentando una solicitud al controlador bajo la sección 47-18-3203.

Un controlador debe responder dentro de 45 días, puede extender el plazo una vez por otros 45 días cuando sea razonablemente necesario, y debe ofrecer un proceso de apelación sin costo si rechaza una solicitud. A partir de 2026, el Fiscal General y Procurador de Tennessee aplica estos derechos de forma exclusiva bajo la sección 47-18-3212; no existe un derecho de acción privada, y un negocio cubierto con un programa de privacidad por escrito que se ajusta razonablemente al NIST Privacy Framework, o a otra política documentada que ofrezca protecciones comparables, tiene una defensa afirmativa bajo la sección 47-18-3213.

Alcance jurisdiccional: Esto cubre la Tennessee Information Protection Act de Tennessee (Tenn. Code Ann. 47-18-3201 y siguientes). Es información legal general, no asesoría legal.

Los cinco derechos fundamentales del consumidor bajo la sección 47-18-3203

Los derechos del consumidor de la TIPA se establecen en la sección 47-18-3203. Un consumidor puede invocarlos en cualquier momento presentando una solicitud a un controlador que especifique qué derechos desea ejercer. Un padre, madre o tutor legal puede invocar estos derechos en nombre de un menor conocido cuyos datos se estén procesando.

El derecho a confirmar y acceder, bajo la sección 47-18-3203(a)(2)(A), permite a un consumidor confirmar si un controlador está procesando su información personal y acceder a dicha información. Este es el derecho de transparencia fundamental, y por lo general precede a cualquier decisión de corregir o eliminar.

El derecho a corregir, bajo la sección 47-18-3203(a)(2)(B), permite a un consumidor corregir inexactitudes en su información personal, tomando en cuenta la naturaleza de los datos y los propósitos del procesamiento. El derecho a eliminar, bajo la sección 47-18-3203(a)(2)(C), permite a un consumidor eliminar la información personal que el controlador proporcionó u obtuvo sobre el consumidor, aunque un negocio no necesita eliminar datos que mantiene únicamente en forma agregada o desidentificada sin vínculo con un consumidor específico.

El derecho a la portabilidad, bajo la sección 47-18-3203(a)(2)(D), permite a un consumidor obtener una copia de la información personal que previamente proporcionó, en un formato portátil y, cuando sea técnicamente viable, fácilmente utilizable que le permita transmitirla a otro controlador. Para conocer las obligaciones completas del controlador detrás de estos derechos, consulte la página principal de leyes de privacidad de datos de Tennessee.

Los derechos de exclusión: venta, publicidad dirigida y elaboración de perfiles

Más allá del acceso y la corrección, la TIPA otorga a los consumidores el derecho a excluirse de tres tipos de procesamiento. Según lo confirma el texto promulgado y el Fiscal General de Tennessee, un consumidor puede excluirse de la venta de información personal, de la publicidad dirigida, y de la elaboración de perfiles en apoyo de decisiones que produzcan efectos legales o de importancia similar respecto del consumidor.

La exclusión de la venta es la más concreta. Bajo la sección 47-18-3203(a)(2)(E)(i), un controlador debe cumplir con una solicitud autenticada del consumidor para excluirse del procesamiento de su información personal con fines de venta de información personal sobre el consumidor. "Venta de información personal" bajo la sección 47-18-3201(25)(A) significa el intercambio de información personal por una consideración monetaria valiosa del controlador a un tercero, con varias excepciones, como las transferencias a un procesador que actúa en nombre del controlador y las transferencias que un consumidor dirige. La palabra monetaria es determinante: Tennessee, al igual que Virginia, Utah e Iowa, limita la definición a los intercambios por consideración monetaria, de modo que el intercambio de datos pagado con algo distinto al dinero puede quedar fuera de la exclusión de venta, aunque sí calificaría como venta en California, Colorado o Connecticut.

La publicidad dirigida y la elaboración de perfiles se definen en la sección 47-18-3201. La publicidad dirigida significa mostrar anuncios seleccionados con base en la actividad de un consumidor a lo largo del tiempo y a través de sitios o aplicaciones no afiliados, y excluye los anuncios contextuales y la publicidad de origen propio dentro de las propiedades del controlador. La elaboración de perfiles, definida en la sección 47-18-3201(21), significa una forma de procesamiento exclusivamente automatizado utilizado para evaluar, analizar o predecir aspectos personales como la situación económica, la salud, las preferencias personales, los intereses, la confiabilidad, el comportamiento, la ubicación o los movimientos. La palabra exclusivamente acota la exclusión: el procesamiento que incluye una participación humana significativa queda fuera de la definición legal. Un controlador que vende datos o realiza publicidad dirigida debe, bajo la sección 47-18-3204(d), divulgar de manera clara y visible ese procesamiento y cómo excluirse.

Cómo presentar una solicitud y cómo debe responder un controlador

Un consumidor presenta una solicitud mediante un método que designe el controlador. Bajo la sección 47-18-3204(e)(1), un controlador debe proporcionar, y describir en su aviso de privacidad, uno o más medios seguros y confiables para que un consumidor presente una solicitud, elegidos según cómo los consumidores interactúan normalmente con el controlador, la necesidad de comunicación segura y confiable, y la capacidad del controlador para autenticar al consumidor que presenta la solicitud. Un controlador no puede obligar a un consumidor a crear una cuenta nueva para presentar una solicitud, aunque puede exigir que el consumidor use una cuenta existente.

El controlador debe autenticar la solicitud. "Autenticar" bajo la sección 47-18-3201 significa verificar por medios razonables que la persona que presenta la solicitud es el consumidor con derecho a ejercer el derecho. Si el controlador no puede autenticar una solicitud mediante esfuerzos comercialmente razonables, puede negarse a actuar y puede solicitar al consumidor información adicional razonablemente necesaria para verificar su identidad, bajo la sección 47-18-3203(b)(4).

Una vez autenticada la solicitud, comienza el conteo. Bajo la sección 47-18-3203(b)(1), el controlador debe responder sin demora indebida y, en todos los casos, dentro de 45 días desde la recepción. El controlador puede extender ese plazo una vez, por 45 días adicionales, cuando sea razonablemente necesario dada la complejidad y el número de solicitudes, pero solo si informa al consumidor sobre la extensión y el motivo dentro del período original de 45 días.

Las respuestas son gratuitas hasta dos veces al año por consumidor. Bajo la sección 47-18-3203(b)(3), si las solicitudes son manifiestamente infundadas, técnicamente inviables, excesivas o repetitivas, el controlador puede cobrar una tarifa razonable o negarse a actuar, y el controlador tiene la carga de probar que la solicitud encaja en alguna de esas categorías.

El plazo de 45 días y las divulgaciones requeridas

El plazo de respuesta de 45 días se aplica ya sea que el controlador conceda o rechace la solicitud. Si un controlador se niega a tomar acción, la sección 47-18-3203(b)(2) exige que informe al consumidor, dentro de 45 días, la justificación del rechazo y las instrucciones sobre cómo apelar.

Esta estructura dual, un plazo de acción de 45 días más una vía de apelación separada, es común a las leyes de privacidad estatales del modelo de Virginia que la TIPA sigue de cerca. Lo que distingue el panorama general de aplicación en Tennessee es la defensa afirmativa, que se cubre más adelante, más que el plazo de respuesta en sí.

El proceso de apelación bajo la sección 47-18-3203(c)

La TIPA exige un canal de apelación real, no solo una decisión de una sola vez. Bajo la sección 47-18-3203(c), un controlador debe establecer un proceso para que un consumidor apele el rechazo del controlador a actuar sobre una solicitud. El proceso de apelación debe ser visible, estar disponible sin costo, y ser similar al proceso para presentar la solicitud original.

El controlador debe actuar sobre la apelación con rapidez. Dentro de 60 días desde la recepción de una apelación, el controlador debe informar al consumidor por escrito sobre la acción tomada o no tomada, incluyendo una explicación escrita de los motivos de la decisión.

Si el controlador rechaza la apelación, debe dar al consumidor una manera de escalar el asunto. El estatuto exige que el controlador proporcione un mecanismo en línea, si está disponible, u otro método mediante el cual el consumidor pueda contactar al Fiscal General y Procurador para presentar una queja. Esa vía de escalamiento importa porque la TIPA no tiene un derecho de acción privada, por lo que el Fiscal General es la ruta del consumidor hacia la aplicación de la ley.

Datos sensibles y el derecho de consentimiento expreso

Para los datos sensibles, la TIPA invierte la regla predeterminada. En lugar de permitir que un consumidor se excluya, la sección 47-18-3204(a)(6) prohíbe a un controlador procesar datos sensibles sin obtener primero el consentimiento del consumidor. Este modelo de opt-in otorga a los consumidores control sobre las categorías más personales antes de que comience cualquier procesamiento.

Los datos sensibles se definen en la sección 47-18-3201 e incluyen información personal que revela origen racial o étnico, creencias religiosas, un diagnóstico de salud mental o física, orientación sexual, o ciudadanía o estatus migratorio. También cubre datos genéticos o biométricos procesados para identificar de manera única a una persona, información personal recopilada de un menor conocido, y datos de geolocalización precisa, que el estatuto define como la ubicación de una persona dentro de un radio de 1,750 pies.

"Consentimiento" se define de manera restringida. Debe ser un acto afirmativo claro que indique un acuerdo otorgado libremente, específico, informado e inequívoco. Para un menor conocido, el controlador debe cumplir en su lugar con la ley federal Children's Online Privacy Protection Act (COPPA). La lista de verificación de cumplimiento de la TIPA cubre cómo un controlador debe construir y documentar la captura de consentimiento.

Aplicación de la ley, la defensa afirmativa y la ausencia de derecho de acción privada

La TIPA otorga al Fiscal General y Procurador autoridad exclusiva de aplicación bajo la sección 47-18-3212(a). Un consumidor no puede demandar bajo la TIPA: la sección 47-18-3212(e) establece que una infracción no puede servir de base, ni estar sujeta a, un derecho de acción privada, incluyendo una demanda colectiva. El recurso del consumidor es presentar una queja ante el Fiscal General, que es exactamente hacia donde debe dirigirse al consumidor una apelación denegada.

Antes de que el Fiscal General pueda demandar, el controlador tiene la oportunidad de corregir el problema. Bajo la sección 47-18-3212(b), el Fiscal General debe dar un aviso escrito de 60 días que identifique las disposiciones específicas presuntamente infringidas. Si el controlador subsana dentro de ese plazo y proporciona una declaración escrita de que las infracciones han sido corregidas y no se repetirán, el Fiscal General no puede iniciar una acción. Ese período de subsanación de 60 días es permanente, sin fecha de vencimiento.

La defensa afirmativa determina cómo se aplican los derechos en la práctica. Bajo la sección 47-18-3213, un controlador o procesador que crea, mantiene y cumple con un programa de privacidad por escrito que se ajusta razonablemente al NIST Privacy Framework, o a otras políticas, estándares y procedimientos documentados diseñados para proteger la privacidad del consumidor, tiene una defensa afirmativa ante un reclamo bajo la TIPA. Así que incluso cuando el manejo de un derecho de un consumidor sea cuestionable, un negocio cubierto con un programa de privacidad conforme puede invocar ese programa como defensa. Esto es exclusivo de Tennessee entre las leyes de privacidad estatales a partir de 2026, y es por eso que lo que es la TIPA y la postura de cumplimiento de un negocio están estrechamente vinculadas a cómo se desarrollan los derechos del consumidor.

Más Leyes de Tennessee

• Leyes de Grabación de Reuniones con IA de Tennessee
• Leyes de Pensión Alimenticia Conyugal de Tennessee
• Leyes de Empleo a Voluntad de Tennessee
• Leyes de Accidentes de Auto de Tennessee
• Leyes de Asientos de Auto para Niños de Tennessee
• Leyes de Custodia de Menores de Tennessee
• Leyes de Manutención de Menores de Tennessee
• Leyes de Matrimonio de Hecho de Tennessee
• Leyes de Deepfakes de Tennessee
• Leyes de Divorcio de Tennessee
• Leyes de Mordeduras de Perro de Tennessee
• Leyes de Emancipación de Tennessee
• Leyes de Eliminación de Antecedentes Penales de Tennessee
• Leyes de Choque y Fuga de Tennessee
• Leyes de Propietarios e Inquilinos de Tennessee
• Leyes del Limón de Tennessee

Guías relacionadas

• Leyes de privacidad de datos de Tennessee página principal
• ¿Qué es la TIPA?
• Lista de verificación de cumplimiento de la TIPA
• Comparación de leyes de privacidad de datos por estado
• ¿Qué es la CCPA?

Preguntas frecuentes

¿Qué derechos tienen los residentes de Tennessee bajo la TIPA?

Bajo la sección 47-18-3203, los residentes de Tennessee pueden confirmar y acceder a su información personal, corregir inexactitudes, eliminarla, obtener una copia portátil, y excluirse de la venta de información personal, la publicidad dirigida y la elaboración de perfiles en apoyo de decisiones que produzcan efectos legales o de importancia similar. Los datos sensibles también tienen un derecho de consentimiento expreso bajo la sección 47-18-3204(a)(6).

¿Cuánto tiempo tiene una empresa para responder a una solicitud bajo la TIPA?

Bajo la sección 47-18-3203(b)(1), un controlador debe responder dentro de 45 días desde la recepción de una solicitud. Puede extender ese plazo una vez por 45 días adicionales cuando sea razonablemente necesario, pero solo si informa al consumidor sobre la extensión y el motivo dentro de los primeros 45 días. Si rechaza una solicitud, debe explicar el motivo y dar instrucciones de apelación dentro del mismo plazo de 45 días.

¿Cómo presento una solicitud bajo la TIPA a una empresa?

Bajo la sección 47-18-3204(e)(1), un negocio cubierto debe ofrecer uno o más métodos de solicitud seguros y confiables, elegidos según cómo usted interactúa normalmente con el negocio, la necesidad de comunicación segura, y su capacidad para verificar su identidad, y describir ese método en su aviso de privacidad. El negocio puede exigirle que use una cuenta existente, pero no puede obligarlo a crear una nueva, y debe verificar su identidad antes de actuar.

¿Puedo excluirme de la publicidad dirigida en Tennessee?

Sí. La TIPA otorga a los consumidores el derecho a excluirse de la publicidad dirigida, de la venta de información personal, y de la elaboración de perfiles en apoyo de decisiones que produzcan efectos legales o de importancia similar. Bajo la sección 47-18-3204(d), un controlador que vende datos o realiza publicidad dirigida debe divulgar de manera clara y visible ese procesamiento y cómo excluirse.

¿Qué sucede si una empresa niega mi solicitud bajo la TIPA?

Bajo la sección 47-18-3203(c), el controlador debe ofrecer un proceso de apelación gratuito y visible. Debe responder a su apelación por escrito dentro de 60 días, explicando su decisión. Si niega la apelación, debe darle una manera de contactar al Fiscal General y Procurador de Tennessee para presentar una queja, porque la TIPA no tiene un derecho de acción privada.

¿La TIPA me permite demandar a una empresa yo mismo?

No. Bajo la sección 47-18-3212(e), la TIPA no tiene un derecho de acción privada, y una infracción no puede servir de base para una demanda privada o colectiva. Solo el Fiscal General y Procurador de Tennessee puede aplicar la TIPA, bajo la sección 47-18-3212(a). Los consumidores hacen valer sus derechos presentando quejas ante la oficina del Fiscal General.

¿El procesamiento de mis datos sensibles requiere mi consentimiento?

Sí. Bajo la sección 47-18-3204(a)(6), un controlador no puede procesar sus datos sensibles sin obtener primero su consentimiento, una regla de tipo opt-in. Los datos sensibles bajo la sección 47-18-3201 incluyen datos que revelan raza u origen étnico, religión, un diagnóstico de salud, orientación sexual o estatus migratorio, además de identificadores genéticos o biométricos, los datos de un menor conocido, y la geolocalización precisa dentro de 1,750 pies.

¿Las solicitudes bajo la TIPA son gratuitas?

Sí, hasta dos veces al año por consumidor bajo la sección 47-18-3203(b)(3). Un controlador debe responder sin costo a esas solicitudes. Si sus solicitudes son manifiestamente infundadas, excesivas o repetitivas, el controlador puede cobrar una tarifa razonable o rechazarlas, pero tiene la carga de probar que la solicitud encaja en alguna de esas categorías.