Sé que si una aplicación web necesita ser compatible con PCI-DSS o HIPAA, la información de identificación personal del usuario (por ejemplo, la contraseña del usuario, etc.) debe mantenerse confidencial.
¿En qué otras situaciones se requeriría la aplicación / sistema web para proteger la información de identificación personal del usuario?
La respuesta depende en gran medida de la jurisdicción, pero aquí está el resumen general de las respuestas en los EE. UU .:
Si promete proteger la confidencialidad de la información del usuario (por ejemplo, en una política de privacidad), debe hacerlo. No cumplir con sus promesas puede verse como prácticas comerciales desleales o engañosas, y la FTC tiene jurisdicción para procesar a las compañías que lo hacen.
Si ha firmado un contrato que promete confidencialidad, debe hacer lo que prometió hacer en su contrato.
En los EE. UU., si administra datos para suscriptores de alquiler de videos, es posible que deba proteger la confidencialidad. Los EE. UU. Tienen leyes especiales que regulan la privacidad de los alquileres de videos, luego del incidente de Bork.
Si administra los datos de los estudiantes o es una agencia gubernamental, es posible que deba proteger la confidencialidad de los datos del usuario.
En muchos otros casos, es probable que no exista un requisito legal para proteger la confidencialidad de los datos del usuario. Sin embargo, es probable que siga siendo lo correcto.
En Europa, es probable que las respuestas sean muy diferentes, ya que Europa tiene leyes de protección de datos sólidas que no tienen ningún análogo en la ley de EE. UU.
En general, se le puede exigir legalmente que cumpla con:
Esto es potencialmente una gran cantidad de leyes / regulaciones / contratos; Peor aún, algunos de ellos son vagos, algunos de ellos están desactualizados y algunos de ellos pueden contradecir a otros. Usted querrá consultar a un abogado relevante.
En cierto sentido, se requiere que todos protejan la información personal en la medida en que se pueda demandar a cualquiera por no hacerlo. Tal vez sin éxito, pero una buena cantidad de CYA está en orden cada vez que tratas con las masas litigiosas.
Además, las obligaciones contractuales (especialmente los contratos del gobierno) pueden aplicar restricciones similares, al igual que su propia política de privacidad, que, por supuesto, se puede usar en su contra.
Finalmente, dependiendo de su industria, puede estar bajo otra obligación. Hay mucha regulación en torno a la banca, por ejemplo. ¿Y recuerda la ley que hace que sea ilegal divulgar el historial de alquiler de videos de alguien? Todo lo que necesita es un senador avergonzado y el entorno legal puede cambiar de las formas más inesperadas.
Lea otras preguntas en las etiquetas web-application password-management password-policy confidentiality compliance