No lo olvide, octubre trae consigo nuevas obligaciones del DOJ en materia de programas de seguridad de datos
Como se informó anteriormente, el 6 de octubre de 2025 marca la fecha límite para la aplicación del Programa de Seguridad de Datos (DSP) del Departamento de Justicia (DOJ). A partir de esa fecha, las empresas que manejen datos personales masivos estadounidenses o datos relacionados con la administración pública deberán cumplir los requisitos de diligencia debida, auditoría, mantenimiento de registros e información. Las siguientes medidas de cumplimiento se esperarán de cualquier empresa que participe en transacciones de datos cubiertos:
Diligencia debida y requisitos de auditoría
Diligencia debida para las transacciones restringidas[1]
Antes del 6 de octubre de 2025, las empresas deberán, como mínimo, implantar un programa de cumplimiento de datos que incluya lo siguiente:
- Procedimientos basados en el riesgo para verificar los flujos de datos de cualquier transacción restringida que incluyan los tipos y volúmenes de datos personales estadounidenses masivos o relacionados con el gobierno, la identidad de las partes que realizan la transacción y el uso final de los datos y el método de transferencia;
- Procedimientos basados en el riesgo para verificar la identidad de los proveedores;
- Una política escrita que describa el programa de cumplimiento de datos de la empresa, certificada anualmente por un responsable del cumplimiento; y
- Una política escrita que describe la aplicación de los requisitos de seguridad necesarios que certifica anualmente un responsable del cumplimiento.
Auditorías de operaciones restringidas[2]
Las personas estadounidenses que realicen transacciones restringidas también deben llevar a cabo anualmente una auditoría realizada por un auditor independiente. La auditoría debe consistir en un examen completo de las transacciones restringidas del año anterior y del programa de cumplimiento de datos de la persona estadounidense. El auditor debe preparar y presentar un informe escrito en un plazo de 60 días a partir de la finalización de la auditoría.
Requisitos de información y registro
Las personas estadounidenses que participen en cualquier transacción restringida deberán llevar un registro completo de dichas transacciones y mantener los registros disponibles para su examen durante al menos 10 años después de la fecha de dicha transacción. También se exigirá la presentación de informes a petición del Departamento de Justicia en un formato utilizable.
Informes anuales[3]
A partir del 6 de octubre de 2025, cualquier persona estadounidense que participe en una transacción restringida relacionada con servicios de computación en nube, y que tenga el 25 por ciento o más de las participaciones accionariales de la persona estadounidense en manos de un país de interés o persona cubierta, tendrá que presentar un informe anual al DOJ. Los informes anuales contendrán la siguiente información
- El nombre y la dirección de la persona estadounidense que participa en la transacción de datos cubierta, y el nombre, el número de teléfono y la dirección de correo electrónico de un contacto del que pueda obtenerse información adicional;
- Una descripción de la transacción de datos cubierta;
- Una copia de la documentación creada en referencia a la transacción; y
- Cualquier otra información que pueda requerir el DOJ.
Informes sobre transacciones prohibidas rechazadas[4]
Toda persona estadounidense que haya recibido y rechazado afirmativamente una oferta para realizar una operación prohibida relacionada con el corretaje de datos deberá presentar un informe en un plazo de 14 días a partir del rechazo de la operación. Los informes contendrán información similar a la exigida en los informes anuales para las transacciones restringidas cubiertas.
[2] Véase § 202.1002.
[3] Véase § 202.1103.
[4] Véase § 202.1104.
