¿Qué Es la TIPA? Ley de Protección de la Información de Tennessee

La Tennessee Information Protection Act (TIPA), codificada en Tenn. Code Ann. 47-18-3201 y siguientes, es la ley integral de privacidad de datos del consumidor de Tennessee. Fue promulgada como House Bill 1181 (Public Chapter 408), firmada por el gobernador Bill Lee el 24 de mayo de 2023, y entró en vigor el 1 de julio de 2025, otorgando a los residentes de Tennessee derechos para acceder, corregir, eliminar y transferir su información personal, y para excluirse de su venta, de la publicidad dirigida y de ciertas actividades de elaboración de perfiles.

A partir de 2026, el Fiscal General y Procurador de Tennessee tiene autoridad exclusiva de aplicación y puede buscar sanciones civiles de hasta $7,500 por infracción, más daños triplicados por infracciones intencionales o con conocimiento de causa. La característica distintiva de la TIPA no se encuentra en ninguna otra parte del país: un controlador o procesador que mantiene voluntariamente un programa de privacidad por escrito que se ajusta razonablemente al NIST Privacy Framework, o a otras políticas documentadas diseñadas para salvaguardar la privacidad del consumidor, obtiene una defensa afirmativa ante un reclamo bajo la TIPA.

Alcance jurisdiccional: Esto cubre la Tennessee Information Protection Act de Tennessee (Tenn. Code Ann. 47-18-3201 y siguientes). Es información legal general, no asesoría legal.

Qué es la TIPA: estatuto, promulgación y fecha de entrada en vigor

La Tennessee Information Protection Act es la primera ley integral de privacidad de datos del consumidor de Tennessee. Está codificada en las secciones 47-18-3201 a 47-18-3213 del Código Anotado de Tennessee, dentro del capítulo más amplio de protección al consumidor del estado. La Asamblea General la aprobó como House Bill 1181 durante la sesión de 2023, y fue promulgada como Public Chapter 408.

El gobernador Bill Lee firmó la TIPA como ley el 24 de mayo de 2023. La legislatura dio a las empresas un plazo amplio: la ley no entró en vigor hasta el 1 de julio de 2025. A partir de 2026, esa fecha ya pasó, por lo que todo negocio cubierto está ahora plenamente sujeto a la TIPA.

La ley, tal como se introdujo, pasó por enmiendas significativas antes de su aprobación. La versión promulgada elevó los umbrales de aplicabilidad, redujo la sanción civil máxima de $15,000 a $7,500, y mantuvo la defensa afirmativa del NIST Privacy Framework que se convirtió en su característica definitoria. El texto codificado en la sección 47-18-3201 y siguientes refleja esas decisiones finales, y esa es la versión vigente hoy.

Para conocer en detalle las obligaciones de controladores y procesadores, las reglas del aviso de privacidad y los requisitos de evaluación de protección de datos, consulte la página principal de leyes de privacidad de datos de Tennessee.

A quién cubre la TIPA: uno de los umbrales más altos del país

La prueba de aplicabilidad de la TIPA se encuentra en la sección 47-18-3202, y es mucho más restringida que la mayoría de las leyes de privacidad estatales. La ley se aplica a personas que realizan negocios en Tennessee produciendo productos o servicios dirigidos a residentes de Tennessee, y solo si esa persona además supera un umbral de ingresos y un factor de activación de volumen de datos.

Lea esa cláusula de alcance con atención, porque Tennessee la redactó como una sola prueba conjuntiva. Muchas leyes de privacidad estatales alcanzan a una empresa ya sea por realizar negocios en el estado o por producir productos o servicios dirigidos a sus residentes. Bajo la sección 47-18-3202 esos dos elementos están unidos en lugar de ofrecerse como alternativas, lo que reduce la población cubierta incluso antes de aplicar los umbrales de ingresos y volumen.

El umbral de ingresos viene primero. Un negocio está cubierto solo si supera los $25,000,000 en ingresos. Una empresa por debajo de esa cifra queda fuera de la TIPA sin importar cuántos datos de consumidores procese. Ese único umbral excluye a la mayoría de las pequeñas y medianas empresas del alcance de la ley.

Un negocio que supera el umbral de ingresos está cubierto solo si también cumple con uno de dos factores de activación de datos. El primero es controlar o procesar la información personal de al menos 175,000 consumidores durante un año calendario. El segundo es controlar o procesar los datos de al menos 25,000 consumidores mientras obtiene más del 50 por ciento de los ingresos brutos de la venta de información personal.

Esas cifras importan porque se ubican en el extremo alto a nivel nacional. La mayoría de las leyes de privacidad estatales usan un factor de activación de 100,000 consumidores o no tienen un piso de ingresos en absoluto. Tennessee combinó un umbral de ingresos de $25 millones con un factor de activación de 175,000 consumidores, por lo que el umbral combinado está entre los más elevados de cualquier estatuto de privacidad estatal a partir de 2026. Un "consumidor" bajo la sección 47-18-3201 es un residente de Tennessee que actúa en un contexto personal, no en un contexto comercial o laboral.

Las exenciones de la TIPA: amplias exclusiones a nivel de entidad

La TIPA exime a categorías enteras de organizaciones a nivel de entidad bajo la sección 47-18-3210, una estructura que saca a muchas empresas del alcance de la ley sin importar cuántos datos manejen. Varias de estas exenciones son amplias.

Los organismos gubernamentales estatales y locales están exentos. También lo están las instituciones financieras, sus afiliadas, y los datos sujetos al Título V de la ley federal Gramm-Leach-Bliley. Las compañías de seguros con licencia bajo el Título 56 de Tennessee y los productores de seguros también quedan excluidos.

Las exenciones relacionadas con el cuidado de la salud son extensas. Las entidades cubiertas y los asociados comerciales regidos por HIPAA están exentos, al igual que la información de salud protegida y varias otras categorías de datos de salud e investigación. Las organizaciones sin fines de lucro están exentas, al igual que las instituciones de educación superior. Estas exclusiones a nivel de entidad significan que una organización puede quedar completamente fuera de la TIPA según lo que es, no solo según los datos específicos que maneja.

El efecto práctico es que la población cubierta por la TIPA es más pequeña que la de leyes similares de dos maneras a la vez: los altos umbrales de ingresos y volumen filtran a las empresas más pequeñas, y las amplias exenciones a nivel de entidad eliminan sectores completos. Una empresa debería mapear su situación frente a la sección 47-18-3210 en lugar de asumir que está cubierta, porque las exenciones están enmarcadas en torno a regímenes federales específicos y roles con licencia.

La regla de opt-in para datos sensibles

Los datos sensibles llevan una regla más estricta que la información personal ordinaria. Bajo la sección 47-18-3204(a)(6), un controlador no puede procesar datos sensibles relativos a un consumidor sin obtener primero el consentimiento del consumidor. Este es un modelo de opt-in: la regla predeterminada es no procesar hasta que el consumidor acepte de manera afirmativa.

Los datos sensibles se definen en la sección 47-18-3201. Incluyen información personal que revela origen racial o étnico, creencias religiosas, un diagnóstico de salud mental o física, orientación sexual, o ciudadanía o estatus migratorio. También incluye datos genéticos o biométricos procesados para identificar de manera única a una persona, información personal recopilada de un menor conocido, y datos de geolocalización precisa.

"Consentimiento" bajo la TIPA no es una casilla escondida. El estatuto lo define como un acto afirmativo claro que indique el acuerdo de un consumidor otorgado libremente, específico, informado e inequívoco. Para un menor conocido, el controlador debe seguir en su lugar la ley federal Children's Online Privacy Protection Act (COPPA). Debido a que la barrera de consentimiento se antepone a toda una categoría de datos, obtener correctamente la definición de datos sensibles es una prioridad operativa para las empresas cubiertas.

La defensa afirmativa del NIST Privacy Framework: la característica distintiva de la TIPA

La disposición más distintiva de la TIPA, y la que la diferencia de cualquier otra ley de privacidad estatal, es la defensa afirmativa de la sección 47-18-3213. La sección se titula «Defensa afirmativa - Programa de privacidad voluntario», y esa palabra, voluntario, determina cómo debe leerse toda la sección. Nada en el 47-18-3213 exige a un negocio construir un programa de privacidad. Ofrece un refugio seguro a las empresas que eligen construir uno.

Bajo la sección 47-18-3213(a), un controlador o procesador «tiene una defensa afirmativa ante una causa de acción por infracción de esta parte si el controlador o procesador crea, mantiene y cumple con una política de privacidad por escrito» que satisface dos condiciones.

La primera condición se refiere al estándar que sigue la política. Bajo la sección 47-18-3213(a)(1)(A), la política debe ajustarse razonablemente al marco de privacidad del NIST titulado «A Tool for Improving Privacy through Enterprise Risk Management Versión 1.0» (Una Herramienta para Mejorar la Privacidad mediante la Gestión de Riesgos Empresariales, Versión 1.0), o a «otras políticas, estándares y procedimientos documentados diseñados para salvaguardar la privacidad del consumidor». El NIST es el punto de referencia que nombra el estatuto, pero no es la única vía: el texto acepta expresamente una alternativa documentada comparable. Bajo la sección 47-18-3213(a)(1)(B), la política debe actualizarse para ajustarse razonablemente a una revisión posterior del marco del NIST o de un marco comparable dentro de los dos (2) años posteriores a la fecha de publicación indicada en esa revisión.

La segunda condición, en la sección 47-18-3213(a)(2), es que la política otorgue a la persona los derechos sustantivos que exige la TIPA. Esas dos condiciones son la prueba completa. Un negocio que no adopta ningún programa de privacidad no está infringiendo el 47-18-3213; simplemente no tiene una defensa que invocar bajo esa sección.

Adoptar un programa de privacidad es opcional, pero la seguridad razonable de los datos no lo es. Aparte del refugio seguro, la sección 47-18-3204(a)(3) exige que un controlador cubierto establezca, implemente y mantenga prácticas razonables de seguridad de datos administrativas, técnicas y físicas, apropiadas al volumen y la naturaleza de la información personal en cuestión. Esa es una obligación genuina, y no debe confundirse con el programa de privacidad voluntario que habilita la defensa afirmativa.

La defensa se ajusta a la escala del negocio. Bajo la sección 47-18-3213(b), la escala y el alcance apropiados de un programa dependen del tamaño y la complejidad del negocio, la naturaleza y el alcance de sus actividades, la sensibilidad de la información personal que procesa, el costo y la disponibilidad de herramientas de privacidad, y el cumplimiento de una ley estatal o federal comparable. A un pequeño negocio cubierto no se le exige el mismo programa que a un gran corredor de datos.

Existe una vía adicional fuera por completo del marco del NIST. Bajo la sección 47-18-3213(c), un controlador puede estar certificado bajo el sistema de Reglas de Privacidad Transfronteriza (Cross Border Privacy Rules) de la Cooperación Económica Asia-Pacífico, y un procesador bajo su sistema de Reconocimiento de Privacidad para Procesadores (Privacy Recognition for Processors). Esas certificaciones pueden considerarse además de los factores de la subsección (b).

Ninguna otra ley de privacidad estatal a partir de 2026 vincula un marco de privacidad documentado a una defensa afirmativa de esta manera. Tennessee es el primer estado y, hasta ahora, el único en incorporar formalmente el NIST Privacy Framework a su estructura de aplicación por su nombre. La guía de lista de verificación de cumplimiento de la TIPA recorre cómo construir un programa conforme.

TIPA frente a CCPA: las diferencias clave

La TIPA de Tennessee y la CCPA de California suelen compararse por empresas que operan a nivel nacional. La página de comparación de leyes de privacidad de datos por estado cubre el panorama más amplio de varios estados, pero varias diferencias entre la TIPA y la CCPA de California destacan.

La diferencia más importante es la estructura de cobertura. Los umbrales de California son disyuntivos, por lo que cumplir con cualquiera de ellos hace que una empresa quede cubierta; una empresa puede estar cubierta solo por ingresos o solo por volumen de datos. Los de Tennessee son conjuntivos: un negocio debe superar el umbral de ingresos de $25 millones y un factor de activación de datos. Ese diseño conjuntivo, más la cifra más alta de 175,000 consumidores, hace que la red de la TIPA sea mucho más pequeña que la de la CCPA.

La segunda diferencia importante es la defensa afirmativa, que California no ofrece. Un negocio cubierto por la TIPA que construye voluntariamente un programa conforme, ya sea bajo el NIST Privacy Framework o un estándar documentado comparable, obtiene una defensa que no tiene equivalente en la CCPA ni en ninguna otra ley estatal a partir de 2026.

Más Leyes de Tennessee

• Leyes de Grabación de Reuniones con IA de Tennessee
• Leyes de Pensión Alimenticia Conyugal de Tennessee
• Leyes de Empleo a Voluntad de Tennessee
• Leyes de Accidentes de Auto de Tennessee
• Leyes de Asientos de Auto para Niños de Tennessee
• Leyes de Custodia de Menores de Tennessee
• Leyes de Manutención de Menores de Tennessee
• Leyes de Matrimonio de Hecho de Tennessee
• Leyes de Deepfakes de Tennessee
• Leyes de Divorcio de Tennessee
• Leyes de Mordeduras de Perro de Tennessee
• Leyes de Emancipación de Tennessee
• Leyes de Eliminación de Antecedentes Penales de Tennessee
• Leyes de Choque y Fuga de Tennessee
• Leyes de Propietarios e Inquilinos de Tennessee
• Leyes del Limón de Tennessee

Guías relacionadas

• Leyes de privacidad de datos de Tennessee página principal
• Derechos del consumidor bajo la TIPA
• Lista de verificación de cumplimiento de la TIPA
• Comparación de leyes de privacidad de datos por estado
• ¿Qué es la CCPA?

Preguntas frecuentes

¿Qué es la TIPA?

La TIPA, o Tennessee Information Protection Act, es la ley integral de privacidad de datos del consumidor de Tennessee, codificada en Tenn. Code Ann. 47-18-3201 a 47-18-3213. Fue promulgada como House Bill 1181 (Public Chapter 408), firmada por el gobernador Bill Lee el 24 de mayo de 2023, y entró en vigor el 1 de julio de 2025. Otorga a los residentes de Tennessee derechos sobre su información personal y exige a las empresas cubiertas ser transparentes sobre cómo la recopilan, usan y divulgan.

¿Cuándo entró en vigor la TIPA?

La TIPA entró en vigor el 1 de julio de 2025, más de dos años después de ser firmada el 24 de mayo de 2023. El amplio plazo dio a las empresas cubiertas tiempo para construir programas de privacidad antes de que comenzaran sus obligaciones. A partir de 2026, la fecha de entrada en vigor ya pasó y todo negocio cubierto está plenamente sujeto a la ley.

¿Quién debe cumplir con la TIPA?

Bajo la sección 47-18-3202, la TIPA se aplica únicamente a un negocio que realiza negocios en Tennessee produciendo productos o servicios dirigidos a residentes de Tennessee y que supera los $25,000,000 en ingresos Y además controla o procesa los datos de 175,000 o más consumidores, o de 25,000 o más consumidores mientras obtiene más del 50 por ciento de los ingresos brutos de la venta de información personal. Tennessee unió los elementos de realizar negocios y de dirigirse a residentes en lugar de ofrecerlos como alternativas, y deben cumplirse tanto el umbral de ingresos como un factor de activación de datos, por lo que la barrera de cobertura está entre las más altas del país.

¿Qué es la defensa afirmativa del NIST Privacy Framework?

La sección 47-18-3213 se titula Defensa afirmativa - Programa de privacidad voluntario, y adoptar dicho programa es opcional, no obligatorio. Un controlador o procesador que crea, mantiene y cumple con una política de privacidad por escrito tiene una defensa afirmativa ante un reclamo bajo la TIPA si esa política se ajusta razonablemente al NIST Privacy Framework (Una Herramienta para Mejorar la Privacidad mediante la Gestión de Riesgos Empresariales, Versión 1.0) o a otras políticas, estándares y procedimientos documentados diseñados para salvaguardar la privacidad del consumidor, y otorga a los consumidores los derechos sustantivos que exige la TIPA. La escala del programa depende del tamaño y la sensibilidad del negocio. Ninguna otra ley de privacidad estatal ofrece esta defensa a partir de 2026.

¿La TIPA exige consentimiento para los datos sensibles?

Sí. Bajo la sección 47-18-3204(a)(6), un controlador no puede procesar datos sensibles sin obtener primero el consentimiento del consumidor, un modelo de opt-in. Los datos sensibles bajo la sección 47-18-3201 incluyen datos que revelan origen racial o étnico, creencias religiosas, un diagnóstico de salud, orientación sexual o estatus migratorio, además de datos genéticos o biométricos usados para identificar a una persona, los datos de un menor conocido, y la geolocalización precisa.

¿Qué derechos tienen los consumidores de Tennessee bajo la TIPA?

Bajo la sección 47-18-3203, los consumidores de Tennessee pueden confirmar si un controlador está procesando sus datos y acceder a ellos, corregir inexactitudes, eliminar sus datos, obtener una copia portátil, y excluirse de la venta de información personal, la publicidad dirigida y la elaboración de perfiles en apoyo de decisiones que produzcan efectos legales o de importancia similar. Los controladores deben responder dentro de 45 días y ofrecer un proceso de apelación.

¿En qué se diferencia la TIPA de la CCPA?

Los umbrales de la TIPA son conjuntivos (un negocio debe superar $25M en ingresos Y cumplir con un factor de activación de datos), mientras que los de la CCPA son disyuntivos (basta con cumplir cualquiera de los factores), por lo que la TIPA cubre a muchas menos empresas. La TIPA ofrece una defensa afirmativa de programa de privacidad voluntario, disponible bajo el NIST Privacy Framework o un estándar documentado comparable, que California no ofrece. La TIPA exige consentimiento expreso para los datos sensibles, mientras que California usa un derecho de exclusión para limitar su uso. Y la TIPA no tiene derecho de acción privada, mientras que California permite uno limitado para ciertas violaciones de datos.

¿Quién aplica la TIPA?

El Fiscal General y Procurador de Tennessee tiene autoridad exclusiva de aplicación bajo la sección 47-18-3212. No existe un derecho de acción privada. Antes de demandar, el Fiscal General debe dar un aviso escrito de 60 días y una oportunidad de subsanación, y ese período de subsanación es permanente, sin fecha de vencimiento. Las sanciones civiles alcanzan hasta $7,500 por infracción, y un tribunal puede otorgar daños triplicados por infracciones intencionales o con conocimiento de causa.