Recopilación de información de identificación personal
La reunión de PII a menudo se asocia con una violación de la privacidad y a menudo se oponen los defensores de la privacidad. Los países democráticos, como los Estados Unidos y los de la Unión Europea, tienen leyes de privacidad más desarrolladas contra la recolección de PII. Las leyes de la Unión Europea ofrecen una protección más completa y uniforme de los datos personales. En los Estados Unidos, las leyes federales de protección de datos son abordadas por sectores. Los países autoritarios a menudo carecen de información de protección personal para los ciudadanos. Por ejemplo, los ciudadanos chinos disfrutan de protección legislativa contra empresas privadas, pero no tienen protección contra la violación del gobierno.El Reglamento General de Protección de Datos estará en efecto el 25 de mayo de 2018 y ofrece una protección integral de la privacidad consistente en todos los sectores e industrias. La regulación se aplica a todas las empresas y agencias gubernamentales en los países de la Unión Europea. También regula todas las empresas y organizaciones extranjeras que ofrecen servicios en Europa. La violación y el incumplimiento del GDPR pueden dar lugar a sanciones de hasta el 4 por ciento de los ingresos anuales mundiales de la empresa. El RGPD requiere que las empresas y las agencias gubernamentales obtengan el consentimiento para el procesamiento de datos, hagan anónimos los datos recopilados, proporcionen notificaciones rápidas para la violación de datos, el manejo seguro de la transferencia de datos a través de las fronteras y el nombramiento del oficial de protección de datos.La sección 5 de la Ley de la Comisión Federal de Comercio (Ley FTC) se utiliza para hacer que las empresas protejan los datos recopilados de PII. Una empresa en los Estados Unidos no está obligada a tener una política de privacidad, pero está obligada a cumplir si la empresa divulga una política de privacidad. La compañía tampoco puede cambiar retroactivamente su política de recopilación de datos sin ofrecer una oportunidad para que los usuarios opten por no participar. La FTC impuso una multa de $ 100 millones a LifeLock por no proteger los datos de PII del cliente, como números de seguro social, números de tarjetas de crédito y números de cuentas bancarias, y violó los términos de una orden judicial federal de 2010.
Acuerdos PNR entre la Unión Europea y Estados Unidos
Como consecuencia de los ataques del 11 de septiembre de 2001, las autoridades estadounidenses impusieron a todas las aerolíneas comerciales que operaban con origen o destino en dicho país la obligatoriedad de transmitir al Departamento de Seguridad Nacional los datos de pasajeros recogidos por sus sistemas PNR, datos tales como el nombre completo, número de teléfono, dirección postal y de correo electrónico, número de pasaporte, número de tarjeta de crédito y medio de pago o solicitudes especiales relativas al regímenes particulares de alimentación y preferencias de asientos durante el vuelo. De no cumplir esta exigencia las aerolíneas se enfrentarían a cuantiosas sanciones pecuniarias e incluso podrían perder sus derechos de despegue y aterrizaje en los Estados Unidos. Esta obligación iba en contra de lo establecido en la Directiva 94/46/CE relativa a la protección de datos, en la que se exigía «un nivel de protección adecuado» para transferir datos personales a terceros países. La incompatibilidad del Derecho comunitario con las demandas de los Estados Unidos sumió a las aerolíneas comerciales europeas en una situación de incertidumbre y riesgo, por lo que la Comisión Europea inició un proceso de negociación con las autoridades estadounidenses.