EE.UU. debate CISA, PROOF y privacidad de salud

Las disposiciones clave de la Cybersecurity Information Sharing Act de 2015, que permiten el intercambio de información de amenazas entre agencias federales y empresas privadas en Estados Unidos, están programadas para expirar el 11 de diciembre de 2026 si el Congreso no actúa. En paralelo, el Congreso debate la renovación de esas reglas, un proyecto sobre vigilancia federal de datos y una reforma de privacidad para información de salud que todavía no tienen un cierre legislativo definido.

¿Qué pasa con CISA de 2015?

Las disposiciones centrales de CISA, según Legis1.com, caducan el 11 de diciembre de 2026 salvo que el Congreso las renueve, las modifique o permita su expiración. Security Magazine informó además que la House aprobó una extensión temporal hasta esa fecha, por lo que el régimen sigue vigente solo de manera transitoria.

Legis1.com señala que en el Capitolio se discuten varias opciones, entre ellas renovar las reglas de intercambio de información sobre ciberamenazas, introducir reformas de privacidad y responsabilidad, o dejar que la ley caduque. La misma cobertura advierte que, si expiran las disposiciones, también desaparecerían protecciones explícitas de responsabilidad y disclosure que hoy incentivan a compañías e infraestructura crítica a compartir indicadores con el gobierno.

¿Qué se está moviendo en privacidad de datos?

ConsentPixel describe que el intento más avanzado de una ley federal integral de privacidad de datos, el ADPPA, fue aprobado en comisión en 2022, no llegó al pleno y expiró en enero de 2025 sin ser reintroducido hasta septiembre de 2026. Ese panorama deja a Estados Unidos, según la misma fuente, sin una ley federal integral equivalente al GDPR.

La cobertura de ConsentPixel agrega que no existe en ese momento un proyecto federal amplio con perspectivas claras de aprobación en el corto plazo, por lo que las empresas deben planificar sobre la base de un mosaico de leyes estatales de privacidad al menos hasta 2028. Para multinacionales con operaciones en América Latina, eso implica seguir de cerca no solo el nivel federal, sino también las obligaciones estatales que pueden cruzarse con sus flujos de datos.

¿Qué trae el S.3097 sobre datos de salud?

El proyecto S.3097, llamado Health Information Privacy Reform Act, fue introducido en el Senado para modernizar la privacidad de información de salud con un enfoque centrado en el tipo de datos. HealthPoint dice que la propuesta busca imponer obligaciones de seguridad y privacidad a cualquier entidad que trate datos de salud, e incorporar derechos como el olvido y el consentimiento escrito para marketing basado en información sanitaria.

JD Supra añade que el proyecto avanzó en comité con una votación de 22 a 0 y que ordena a HHS, en consulta con la FTC, emitir estándares de privacidad, seguridad y notificación de brechas para información de salud aplicable que no queda cubierta por HIPAA, incluidos datos de wearables, apps de salud y otras tecnologías de consumo. La misma cobertura indica que también prevé minimización, acceso, rectificación, eliminación, portabilidad y restricciones para transferir esa información a entidades gubernamentales sin proceso legal compulsorio.

¿Qué aportan PROOF Act y el PRIVACY Act?

El PROOF Act, identificado como H.R.10326, busca mejorar la detección y persecución de fraudes en programas federales administrados por agencias estatales, habilitando al Attorney General a solicitar información específica y exigiendo medidas de seguridad y privacidad como cifrado, acceso restringido y destrucción obligatoria de datos al concluir las investigaciones.

La página de la Cámara sobre H.Res.1530 indica que la resolución fija el procedimiento para considerar ese proyecto en el pleno, y una cobertura de The Capitol Wire agrega que obliga a las agencias estatales a compartir datos específicos cuando se les requiera para investigaciones de fraude. En paralelo, el Idaho State Journal informó que Russ Fulcher co patrocinó en septiembre de 2026 el PRIVACY Act de 2026, que pone límites al uso por agencias federales de datos generados por lectores automáticos de matrículas y cámaras que capturan ocupantes de vehículos.

El texto oficial de H.R.9716 establece que la información de vigilancia cubierta no puede conservarse por más de 30 días, salvo autorización judicial por buena causa por hasta 90 días adicionales o cuando ya sea prueba en una causa penal en curso. También prevé que, si esos datos se obtienen o retienen violando la regla de orden judicial o los plazos de retención, no podrán admitirse como prueba en procedimientos federales.