A tener en consideración:

Datos regulados

1. Información de salud protegida: Esta información está regulada por la Ley de Responsabilidad y Portabilidad de Seguros Médicos (HIPAA). Se trata de información de salud susceptible de identificación personal que se relaciona con los siguientes aspectos:
   1. Afección o salud física o mental de una persona, sin importar si es pasada, presente o futura
   2. Administración de la atención médica a la persona por parte de un proveedor cubierto (por ejemplo, hospital o médico)
   3. Pagos pasados, presentes o futuros por la prestación de atención médica a la persona
2. Información de la industria de tarjetas de crédito o de pago (PCI): Se trata de información relacionada con tarjetas de crédito, débito y otras formas de pago. Los datos de la PCI se rigen por las Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS), un estándar global de seguridad de la información diseñado para evitar fraudes mediante un mayor control de los datos de las tarjetas de crédito.
3. Información de identificación personal (PII): Esta es una categoría de información sensible asociada a una persona. Entre los ejemplos, se incluyen direcciones, números de seguridad social o números de ID personal similares.
4. Cumplimiento de la Ley Federal de Administración de Seguridad de la Información (FISMA): La FISMA exige a las agencias federales y a quienes prestan servicios en su nombre que elaboren, documenten y apliquen programas específicos de seguridad de TI, y que almacenen datos en suelo estadounidense. Por ejemplo, organizaciones como la NASA, los Institutos Nacionales de la Salud, el Departamento de Asuntos de Veteranos (y cualquier contratista que procese o almacene datos para ellas) deben cumplir con la FISMA.
5. Cumplimiento de las reglamentaciones de la administración de exportaciones (EAR): Es un conjunto de reglamentaciones gubernamentales de EE.UU. administradas por la Oficina de Industria y Seguridad (BIS) de la Secretaría de Comercio de EE.UU. Esta reglamentación rige la exportación y la reexportación de bienes, software y tecnología comerciales y de uso doble. Los bienes de uso doble son artículos que tienen aplicaciones tanto civiles como militares. Estos bienes están muy regulados porque se pueden clasificar para uso civil y, luego, transformarse con fines militares.

ISO/IEC 29100:2024

Enlace a su lectura
Marco de referencia esencial para la protección de la información de identificación personal (PII) en los sistemas de tecnología de la información.

• Terminología común sobre privacidad
• Definición de actores y roles en el tratamiento de datos personales
• Principios clave como consentimiento, minimización de datos, y seguridad de la información
• Requisitos para salvaguardar la PII en sistemas TIC.

GDPR

General Data Protection Regulation

De origen Europeo, busca la protección de datos personales de ciudadanos europeos. Importante tener en consideración porque la Ley de Protección de datos personales en Chile la usa de base.
Sus puntos más importantes:

• Consentimiento explícito del usuario para uso de datos
• Derecho al olvido y portabilidad de datos
• Multas de 20 millones de euros o 4% del volumen de negocio global
• Aplicable a cualquier organización que maneje datos de europeos, independiente de su ubicación

Ley de Protección de Datos Personales de Chile

La nueva ley de protección de datos en Chile, busca actualizar sus leyes de protección y acercarse al estándar europeo.

La ley busca:

• Regular el tratamiento de datos personales
• Mejorar la protección de los derechos de los titulares de los datos
• Actualizar la ley 19.628 sobre protección de la vida privada

Se establecen los siguientes derechos para los titulares de los datos:

• Acceder a sus propios datos
• Rectificar o modificar datos incorrectos
• Suprimir datos sin fundamento legal
• Oponerse al tratamiento o uso de sus datos
• Solicitar copia de sus datos
• Bloquear o suspender el tratamiento de sus datos

Establece multas y sanciones:

• Hasta 5.000 UTM por infracciones leves
• Hasta 10.00 UTM por infracciones graves, o el 2% de sus ingresos anuales
• Hasta 20.000 UTM por infracciones gravísimas, o el 4% de sus ingresos anuales

PCI-DSS

Payment Card Industry Data Security Standard
Proviene de la industria de tarjetas de pago y busca la protección de los datos de transacciones con tarjetas de crédito/débito

• Estándar global
• Requisitos de cifrado, control de acceso y monitoreo de redes
• Aplica a todas las organizaciones que procesan pagos con tarjetas
• Sanciones que incluyen multas y prohibición de procesar pagos

HIPAA

Si bien es estado unidense, es útil mencionarla como un estándar sobre la protección de información médica.

• Regula el manejo de información de salud protegida (PHI)
• Establece estándares de privacidad y seguridad para registros médicos
• Sanciones por violaciones que pueden alcanzar el millón y medio de USD por infracción
• Aplicable a todos los proveedores de salud, aseguradoras y socios comerciales.