Ley de protección de la privacidad del conductor

La Ley de Protección de la Privacidad del Conductor de 1994 (también conocida como "DPPA"), Título XXX de la Ley de Control de Delitos Violentos y Aplicación de la Ley , es una ley federal de los Estados Unidos que rige la privacidad y la divulgación de la información personal recopilada por los Departamentos de Vehículos Motorizados estatales .

La ley se aprobó en 1994. Fue presentada por el representante demócrata Jim Moran de Virginia en 1992, tras un aumento en el uso de bases de datos públicas de licencias de conducir por parte de algunos opositores al aborto para localizar y acosar a proveedores de servicios de aborto y pacientes. Entre estos casos, destacó el de la doctora Susan Wicklund , quien enfrentó protestas y acoso, incluyendo piquetes frente a su casa durante un mes. ^{[ 1 ]} La ley está actualmente codificada en el Capítulo 123 del Título 18 del Código de los Estados Unidos . ^{[ 2 ]}

La ley prohíbe la divulgación de información personal (según se define en 18  U.S.C. § 2725 ) sin el consentimiento expreso de la persona a quien se refiere dicha información, con la excepción de ciertas circunstancias establecidas en 18 U.S.C. § 2721. Estas normas se aplican a los Departamentos de Vehículos Motorizados, así como a otros "receptores autorizados de información personal", e imponen requisitos de mantenimiento de registros a dichos "receptores autorizados".     

Los usos permitidos son: ^{[ 3 ]}

1. Para que cualquier organismo gubernamental pueda desempeñar sus funciones
2. Para uso en relación con "asuntos de seguridad y robo de vehículos de motor o conductores", incluyendo
   1. divulgación "en relación con asuntos de seguridad y robo de vehículos o conductores, emisiones de vehículos, modificaciones, retiros o avisos de productos de vehículos, monitoreo del desempeño de vehículos y concesionarios por parte de los fabricantes de vehículos".
   2. Eliminación de registros de no propietarios de los registros de propietarios originales de los fabricantes de vehículos de motor para cumplir con los propósitos de la Ley de Divulgación de Información Automotriz , la Ley de Información y Ahorro de Costos de Vehículos de Motor , la Ley Nacional de Seguridad del Tráfico y de Vehículos de Motor de 1966 , la Ley contra el Robo de Automóviles de 1992 y la Ley de Aire Limpio.
3. Para uso en el curso normal de los negocios por parte de una empresa legítima o sus agentes, empleados o contratistas, pero solo para:
   1. verificar la exactitud de la información personal
   2. información correcta
4. Para su uso en relación con cualquier asunto que se presente ante un tribunal o en un procedimiento de arbitraje.
5. Para la elaboración de informes estadísticos y otras investigaciones, siempre que no se publique información personal.
6. Para uso exclusivo de compañías de seguros.
7. Para notificar a los propietarios de vehículos remolcados.
8. Para uso exclusivo de agencias de investigación privada con licencia, para un uso permitido por la DPPA.
9. Para uso de los empleadores para verificar la información de los conductores comerciales según lo exige el Título 49 del Código de los Estados Unidos , subtítulo VI, capítulo 313.
10. Para uso exclusivo de empresas privadas de transporte de peaje.
11. Para responder a las solicitudes de los departamentos de vehículos motorizados.
12. Para la distribución masiva de encuestas, material de marketing o solicitudes ( solo con consentimiento explícito ).
13. Cuando se proporciona el consentimiento por escrito del individuo.
14. Para otros usos específicamente autorizados por las leyes estatales.

La ley también tipifica como delito la obtención de información de los conductores con fines ilícitos o la realización de declaraciones falsas para obtener dicha información. ^{[ 4 ]} La ley establece multas penales por incumplimiento, ^{[ 5 ]} y crea una acción civil para los conductores contra quienes obtengan ilegalmente su información. ^{[ 6 ]}

Después de que Rebecca Schaeffer fuera asesinada en 1989 por Robert John Bardo, quien encontró su dirección gracias al uso de los registros del DMV por parte de una agencia de detectives privados, se puso en tela de juicio la facilidad con la que se podía acceder a información personal del DMV. ^{[ 7 ]}

El proyecto de ley se presentó simultáneamente durante el 103.º Congreso de los Estados Unidos en la Cámara de Representantes (como HR 3365 ^{[ 8 ]} ) y en el Senado (como S. 1589 ^{[ 9 ]} ) el 26 de octubre de 1993. El texto del proyecto de ley se incorporó a la HR 3355, la Ley de Control de Delitos Violentos y Aplicación de la Ley de 1994, que finalmente fue firmada por el presidente Bill Clinton como parte de la Ley Pública 103-322 el 13 de septiembre de 1994. ^{[ 10 ]}

La constitucionalidad del estatuto fue confirmada por la Corte Suprema de los Estados Unidos frente a una impugnación de la Décima Enmienda en Reno v. Condon . ^{[ 11 ]}

Con la aparición de la tecnología y los dispositivos informáticos de nueva generación a principios de la década de 2000, se produjo la recopilación, el procesamiento, la agregación, la correlación y la divulgación de los datos de los usuarios. Los sitios web, la publicidad de terceros y las empresas de seguimiento comenzaron a utilizar mecanismos que vulneraban la privacidad del usuario. Si bien los datos "en línea" que identificaban la tecnología informática del usuario eran útiles, su beneficio era limitado. Las entidades publicitarias disponían de una fracción de segundo mientras los usuarios estaban en línea para promocionar sus productos; además, para "rastrear" a los consumidores mediante la obtención de datos de sus dispositivos informáticos, se añadieron cookies HTML a estos. ^{[ 12 ]} Dado que la mayoría de los ordenadores y usuarios eliminaban las cookies al apagar sus dispositivos, este mecanismo de seguimiento no proporcionaba un seguimiento a largo plazo. Lo que se necesitaba era un medio para asociar las actividades de datos "en línea" con los datos "fuera de línea", haciendo referencia a la información personal contenida en los registros públicos (actualmente, el objetivo es asociar los datos "en línea" con los datos "fuera de línea" y la biometría, el nuevo "Santo Grial" de los datos publicitarios). La fuente de datos fuera de línea más precisa y económica eran los registros de vehículos motorizados que mantenían los Departamentos de Vehículos Motorizados (DMV).

Dado el rápido avance de la tecnología informática, las leyes federales y estatales no habían sido proactivas, lo que representaba un riesgo para la sociedad debido a la tecnología sin control. Por consiguiente, los litigios por infracciones eran prácticamente inexistentes. Se necesitaba un nuevo método para litigar casos federales de privacidad con el fin de proteger a los cientos de millones de personas afectadas por el seguimiento no autorizado de sus actividades en línea y fuera de línea (registros públicos). Esta era una tarea formidable, ya que ningún bufete de abogados había litigado casos de privacidad relacionados con la tecnología informática inherente al intercambio de datos de usuarios entre entidades afiliadas de terceros; por lo tanto, no existía precedente ni modelo a seguir. Casos anteriores, como el caso de las cookies de doble clic en 2001, se basaron en la Ley de Interceptación Electrónica de Comunicaciones (ECPA). Si bien era una alegación plausible, era débil, ya que el usuario del sitio web había otorgado dicho permiso en los términos de servicio del sitio web.

En el caso Kehoe contra Fidelity Federal Bank and Trust, James Kehoe demandó a Fidelity Bank por la compra de cientos de miles de registros de vehículos motorizados del estado de Florida, en violación de la Ley Federal de Protección de la Privacidad del Conductor (DPPA). Fidelity Bank había adquirido 565,600 nombres y direcciones del departamento de vehículos motorizados de Florida entre junio de 2000 y 2003. Esta información se vendió por una miseria; literalmente, Fidelity la obtuvo por tan solo $5,656. Fidelity utilizó la información para dirigirse a residentes de los condados de Palm Beach, Martin y Broward con ofertas de préstamos para automóviles. El Tribunal de Distrito de los Estados Unidos para el Distrito Sur de Florida dictaminó en junio de 2004 que James Kehoe debía demostrar daños reales antes de obtener cualquier compensación monetaria bajo la DPPA. El Tribunal se basó en el reciente fallo del caso Doe contra Chao y en las reglas de interpretación estatutaria para dictaminar que los daños liquidados de la DPPA no se acumulan a favor del demandante a menos que pueda demostrar daños reales. Kehoe apeló ante el Tribunal de Apelaciones del Undécimo Circuito, que dictaminó: «...La ley en cuestión es la Ley de Protección de la Privacidad del Conductor, 18 USC § 2721 y siguientes («DPPA»). Tras considerar el texto literal de la ley, concluimos que un demandante no necesita probar daños reales para recuperar daños liquidados por una violación de la DPPA. Dado que el tribunal de distrito llegó a una conclusión contraria, revocamos y devolvemos el caso». Kehoe v. Fidelity Federal Bank & Trust, 421 F. 3d 1209 (11th Cir. 2005), cert. denegado.

Mientras el caso Kehoe estaba en apelación ante el 11.º circuito y luego ante la Corte Suprema, el bufete de abogados Joseph Malley PC inició una extensa solicitud de acceso a la información a todos los departamentos de vehículos motorizados estatales, solicitando cualquier documento sobre personas y empresas que obtenían la base de datos del DMV de forma masiva, haciendo referencia a la obtención de todos los registros del DMV y sus actualizaciones periódicas. La investigación y el seguimiento con todos los departamentos de vehículos motorizados estatales duraron más de un año. El bufete logró identificar 36 departamentos de vehículos motorizados estatales que vendían registros de vehículos motorizados de forma masiva. Posteriormente, se requirió un análisis de todas las personas y entidades que obtenían los datos para determinar si parecían tener un uso permitido por la Ley de Protección de Datos Personales (DPPA, por sus siglas en inglés). Se requirieron extensas conversaciones de seguimiento con todos los funcionarios del DMV para obtener información adicional. Apostando por el resultado del fallo de la Corte Suprema, la extensa investigación resultó no haber sido en vano. Una vez que la Corte Suprema de los Estados Unidos denegó el recurso en el caso Kehoe, permitiendo que se mantuviera el fallo del Undécimo Circuito que establecía que no se requerían daños reales y que una persona podía optar por aceptar daños reales o legales, se sentó el precedente. El bufete Malley estaba preparado para presentar y comenzó a presentar una gran cantidad de litigios federales sobre privacidad. Las demandas colectivas federales relacionadas con violaciones de la Ley de Protección de la Privacidad del Conductor ("DPPA"), 18 USC § 2721 y siguientes, presentadas por el bufete de abogados Joseph H. Malley PC en Texas, Florida, Missouri y Arkansas, que involucran a entre 400 y 500 empresas, incluyen las siguientes: 

1. Sharon Taylor y otros contra Acxiom Corporation y otros, 2:07-cv-0001, (ED Tex. 2007)
2. Sharon Taylor y otros contra ACS State & Local Solutions, Inc. y otros, 2:07-cv-0013, (ED Tex. 2007) 
3. Sharon Taylor y otros contra Texas Farm Bureau Mutual Insurance Company y otros, 2:07-cv-0014, (ED Tex. 2007)
4. Sharon Taylor y otros contra Safeway Inc. y otros, 2:07-cv-0017, (ED Tex. 2007)
5. Sharon Taylor y otros contra Biometric Access Company y otros, 2:07-cv-0018, (ED Tex. 2007)
6. Sharon Taylor y otros contra Freeman Publishers Inc., 2:07-cv-0410, y otros, (ED Tex. 2007)
7. Richard Fresco contra RL Polk., No. 09-13344 (11th Cir. 2010), (Fresco II"- Intervención)
8. Cook contra ACS State & Local Solutions, Inc. 663 F.3d 989 (10.º Cir. 2011)
9. Haney contra Recall Center, n.° 10-cv-04003 (WD Ark. 9 de mayo de 2012) ( demanda colectiva certificada )
10. Doe et al. contra Compact Information Systems Inc. et al., 3:13cv05013MBH, (ND Tex. 2013)
11. Cross v. Blank, Adv. No.: 9:15ap00926FMD, (MD Fla. 2015)
12. Arthur Lopez contra Cross-Sell y otros, 3:16-cv-02009-K, (ND Tex. 2016)
13. Laning y otros contra National Recall & Data Services Inc. y otros, 3:16-cv-02358-B (ND Tex. 2016)
14. López contra Herring, Acción Civil No. 3:16-CV-02663-B, (ND Tex. 2017).       

• Información sobre la DPPA en el Centro de Información sobre Privacidad Electrónica .
• ¿Ha infringido el DMV la Ley de Protección de la Privacidad del Conductor y su seguridad?
• Demanda colectiva alega que los registros del DMV se vendieron ilegalmente.