Derechos del Consumidor bajo la NJDPA: Ley de Privacidad de Nueva Jersey

La Ley de Privacidad de Datos de Nueva Jersey (NJDPA), N.J.S.A. 56:8-166.4 y siguientes, otorga a los residentes de Nueva Jersey el derecho a confirmar y acceder a los datos personales que una empresa mantiene sobre ellos, a corregir inexactitudes, a eliminar sus datos, a obtener una copia portátil, y a optar por no participar en la publicidad dirigida, la venta de datos personales y la elaboración de perfiles que produzca efectos legales o de importancia similar. Un responsable del tratamiento generalmente debe responder dentro de los 45 días posteriores a una solicitud verificada.

A partir de 2026, estos derechos están plenamente vigentes. Si un responsable del tratamiento rechaza una solicitud, debe explicar por qué y darle al consumidor una forma de apelar, y debe respetar una señal universal de exclusión voluntaria, como Global Privacy Control. La aplicación se realiza a través de la Fiscalía General de Nueva Jersey y la División de Asuntos del Consumidor bajo la Ley de Fraude al Consumidor, sin derecho de acción privado.

Alcance jurisdiccional: Esto cubre la Ley de Privacidad de Datos de Nueva Jersey (N.J.S.A. 56:8-166.4 y siguientes). Es información legal general, no asesoría legal.

Los derechos fundamentales del consumidor

La NJDPA establece sus derechos del consumidor en N.J.S.A. 56:8-166.10, un conjunto conocido basado en el marco que comparten la mayoría de las leyes estatales de privacidad. Los derechos se aplican a un "consumidor", que conforme a N.J.S.A. 56:8-166.4 significa un residente de Nueva Jersey que actúa en un contexto individual o doméstico, no alguien que actúa en un rol comercial o laboral.

Un consumidor puede confirmar si un responsable del tratamiento está procesando sus datos personales y acceder a esos datos. Un consumidor puede corregir inexactitudes, teniendo en cuenta la naturaleza de los datos y el propósito del procesamiento. Un consumidor puede eliminar los datos personales que el responsable del tratamiento mantiene sobre él. Un consumidor también puede obtener una copia de sus datos personales en un formato portátil y, en la medida en que sea técnicamente factible, fácilmente utilizable, que permita transmitir los datos a otro responsable del tratamiento.

Junto con estos derechos de tipo acceso, la NJDPA otorga a los consumidores tres derechos de exclusión voluntaria. Un consumidor puede optar por no participar en el procesamiento de datos personales para publicidad dirigida, la venta de datos personales y la elaboración de perfiles en apoyo de decisiones que produzcan efectos legales o de importancia similar respecto del consumidor.

El plazo de respuesta de 45 días

Las reglas de tiempo se encuentran en N.J.S.A. 56:8-166.7. Un responsable del tratamiento que reciba una solicitud verificada del consumidor debe responder sin demora indebida y, en todo caso, dentro de los 45 días posteriores a la recepción de la solicitud.

El responsable del tratamiento puede extender ese período una vez por 45 días adicionales cuando sea razonablemente necesario, considerando la complejidad y el número de las solicitudes del consumidor. Para usar la extensión, el responsable del tratamiento debe informar al consumidor sobre la extensión, y el motivo de esta, dentro del plazo inicial de 45 días.

El costo está limitado, pero el derecho a la gratuidad tiene un límite. N.J.S.A. 56:8-166.7(d) establece que la información proporcionada en respuesta a una solicitud del consumidor debe entregarse de forma gratuita una vez por consumidor durante cualquier período de doce meses, de modo que es la primera solicitud dentro de ese período de 12 meses la que la ley garantiza sin costo. Por separado, cuando las solicitudes de un consumidor sean manifiestamente infundadas, excesivas o repetitivas, el responsable del tratamiento puede cobrar una tarifa razonable para cubrir los costos administrativos de atenderla o negarse a actuar, y asume la carga de demostrar que la solicitud cumple con ese estándar.

Verificación del consumidor y de la solicitud

Para los derechos de tipo acceso, un responsable del tratamiento debe poder autenticar que la solicitud proviene del consumidor al que concierne. Si un responsable del tratamiento no puede autenticar dicha solicitud mediante esfuerzos comercialmente razonables, N.J.S.A. 56:8-166.7(e) establece que no está obligado a cumplirla, y debe notificar al consumidor que no puede autenticar la solicitud hasta que este proporcione la información adicional razonablemente necesaria para hacerlo.

Los tres derechos de exclusión voluntaria funcionan de manera distinta. La misma subsección establece que un responsable del tratamiento no está obligado a autenticar una solicitud de exclusión voluntaria, y que solo puede denegar dicha solicitud cuando tenga una creencia de buena fe, razonable y documentada de que la solicitud es fraudulenta. La imposibilidad de autenticar no es, por lo tanto, un motivo para ignorar una exclusión voluntaria, y un responsable del tratamiento que deniegue una solicitud por considerarla fraudulenta debe informar a la persona que la presentó que cree que es fraudulenta, por qué lo cree, y que no la cumplirá.

Este paso de verificación protege a los consumidores de que otra persona acceda, cambie o elimine sus datos. También significa que un consumidor puede necesitar proporcionar suficiente información para confirmar su identidad antes de que un responsable del tratamiento libere o elimine los datos.

Para las solicitudes presentadas a través de un agente autorizado, incluida una señal de exclusión voluntaria basada en el navegador para los derechos de exclusión voluntaria, el responsable del tratamiento puede usar tecnología para determinar si el consumidor es residente de Nueva Jersey y si el agente está autorizado para actuar en nombre del consumidor.

Apelaciones cuando un responsable del tratamiento se niega

Si un responsable del tratamiento se niega a actuar sobre una solicitud, el consumidor no llega a un callejón sin salida. Conforme a N.J.S.A. 56:8-166.6 y 56:8-166.7, un responsable del tratamiento que se niega debe informar al consumidor, sin demora indebida y dentro del plazo de 45 días, sobre la justificación de la negativa y cómo apelar.

El responsable del tratamiento debe establecer un proceso visible y fácilmente accesible para que un consumidor apele la negativa. Dentro de 45 días después de recibir una apelación (N.J.S.A. 56:8-166.7(f)), el responsable del tratamiento debe informar al consumidor por escrito sobre cualquier acción tomada o no tomada en respuesta, con una explicación por escrito de los motivos.

Si se deniega la apelación, el responsable del tratamiento también debe proporcionar al consumidor un mecanismo en línea, si está disponible, u otro método para comunicarse con la División de Asuntos del Consumidor del Departamento de Derecho y Seguridad Pública para presentar una queja. Esto le da a los consumidores una vía hacia el regulador cuando una empresa no resuelve la solicitud.

Exclusiones voluntarias y el mecanismo universal de exclusión voluntaria

Los tres derechos de exclusión voluntaria, que abarcan la publicidad dirigida, la venta de datos personales y cierta elaboración de perfiles, son fundamentales para el funcionamiento práctico de la NJDPA. Un responsable del tratamiento debe darle a los consumidores una forma clara y visible de ejercer cada uno de estos derechos, típicamente a través de enlaces o configuraciones en su aviso de privacidad.

La NJDPA también exige que los responsables del tratamiento reconozcan un mecanismo universal de exclusión voluntaria. Se trata de una configuración del navegador o dispositivo, como Global Privacy Control, que indica la elección de un consumidor de optar por no participar en la publicidad dirigida y la venta de datos personales, sin necesidad de completar un formulario en cada sitio web. La obligación de respetar dicha señal entró en vigor a más tardar seis meses después de la fecha de vigencia del 15 de enero de 2025, es decir, aproximadamente el 15 de julio de 2025.

Cuando un consumidor envía una señal universal de exclusión voluntaria, el responsable del tratamiento debe tratarla como una solicitud válida de exclusión voluntaria para ese navegador o dispositivo. El mecanismo no puede perjudicar injustamente a otro responsable del tratamiento, no puede ser una configuración predeterminada que entre en conflicto con la elección expresa del consumidor, y debe ser amigable para el consumidor y fácil de usar.

Datos sensibles y el requisito de consentimiento para información financiera

Algunos datos conllevan un estándar más alto. Conforme a N.J.S.A. 56:8-166.12(a)(4), un responsable del tratamiento no puede procesar datos sensibles de un consumidor sin obtener primero el consentimiento de este, y la categoría de datos sensibles definida en N.J.S.A. 56:8-166.4 es inusualmente amplia.

Los datos sensibles en Nueva Jersey incluyen la información financiera, definida como el número de cuenta de un consumidor, sus credenciales de acceso a la cuenta, su cuenta financiera, o su número de tarjeta de crédito o débito combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permitiera el acceso a la cuenta. También incluye el estatus de persona transgénero o no binaria, junto con los datos que revelen el origen racial o étnico, las creencias religiosas, la condición, tratamiento o diagnóstico de salud, la vida sexual o la orientación sexual, el estatus de ciudadanía o migratorio, los datos genéticos o biométricos, los datos personales de un menor identificado como tal y los datos precisos de geolocalización.

Debido a que la información financiera se trata como sensible, una empresa que procesa ese tipo de datos de credenciales de pago con propósitos que no sean de pago generalmente necesita primero el consentimiento afirmativo del consumidor. El consentimiento bajo la Ley debe ser un acto afirmativo claro, otorgado libremente, específico, informado e inequívoco, y no puede obtenerse mediante patrones de diseño engañosos. Los consumidores también conservan el derecho de revocar el consentimiento.

Protecciones para adolescentes de 13 a 16 años

La NJDPA agrega una capa adicional de protección para los adolescentes. Cuando un responsable del tratamiento sabe que un consumidor tiene al menos 13 años y es menor de 17 años, debe obtener consentimiento antes de procesar los datos personales de ese consumidor para publicidad dirigida, la venta de datos personales o la elaboración de perfiles.

Para los adolescentes en ese rango de 13 a 16 años, el enfoque habitual de exclusión voluntaria no es suficiente. El responsable del tratamiento necesita consentimiento afirmativo antes de poder usar sus datos para esas tres actividades de alto impacto. Esto abarca un grupo de edad que la Ley Federal de Protección de la Privacidad en Línea de los Niños, que cubre a los menores de 13 años, no aborda.

Los datos personales recopilados de un menor de 13 años identificado como tal son en sí mismos datos sensibles conforme a N.J.S.A. 56:8-166.4, por lo que ya requieren consentimiento. En conjunto, estas reglas otorgan a los menores de Nueva Jersey una protección más amplia que los derechos del consumidor que se aplican a los adultos.

Derechos y plazos de un vistazo

La siguiente tabla resume los derechos del consumidor y las reglas clave de tiempo. Los plazos son mínimos legales; un responsable del tratamiento siempre puede responder más rápido.

Para conocer cómo una empresa pone en práctica estos derechos, consulte la lista de verificación de cumplimiento de la NJDPA.

Guías relacionadas

• Leyes de privacidad de datos de Nueva Jersey página principal
• ¿Qué es la NJDPA?
• Lista de verificación de cumplimiento de la NJDPA
• Comparación de leyes estatales de privacidad de datos
• ¿Qué es la CCPA?