¿Qué es la CCPA?
En EE. UU., no existe una ley federal uniforme sobre privacidad de datos. Históricamente, las leyes federales sobre privacidad de datos han sido específicas para cada sector; algunos ejemplos comunes incluyen sectores como la salud, las finanzas y la educación, con la HIPAA (Ley de Portabilidad y Responsabilidad del Seguro Médico), la GLBA (Ley Gramm-Leach-Bliley) y la FERPA (Ley de Derechos Educativos y Privacidad Familiar), respectivamente.
A nivel estatal, existen varias leyes estatales de privacidad del consumidor que datan de 2018, como la Ley de Privacidad de la Información Biométrica (BIPA) de Illinois y la Ley de Protección de la Información de Florida. California promulgó la Ley de Privacidad del Consumidor de California (CCPA) el 28 de junio de 2019, que entró en vigor el 1 de enero de 2020. La CCPA es la primera ley estatal integral de privacidad de datos del país.
La CCPA otorga varios derechos nuevos a los consumidores de California con respecto a su información personal, incluidos:
- Solicitar información sobre la información personal recopilada, como las fuentes y los propósitos de la información personal recopilada y los terceros con quienes se comparte la información personal;
- Solicitar la eliminación de información personal y;
- Exclusión voluntaria de la “venta” de su información personal.
¿Qué información está protegida?
El objetivo de la ley es proteger los derechos de los consumidores de California a su información personal. Por lo tanto, define la "Información Personal" como la información recopilada y utilizada de los usuarios relacionada con su identidad o información personal. Es decir, cualquier información que identifique o pueda vincularse razonablemente con un consumidor en particular (es decir, un residente de California) o un hogar. Esto incluye:
- Nombre del consumidor (nombre y apellido);
- Datos biométricos;
- Actividad en Internet;
- Geolocalización (GPS);
- Dirección de correo electrónico;
- Número de seguro social;
- Historia del Consumo Comercial;
- Información del hogar.
La información disponible públicamente a través de los registros gubernamentales es No incluido en la definición del estatuto.
¿Quién debe cumplir la ley?
La CCPA se aplica a cualquier empresa que opere en California y que cumpla una de estas tres condiciones:
- Tener $25,000,000 o más en ingresos anuales;
- Procesar la información personal de más de 50,000 “consumidores, hogares o dispositivos”; o
- Obtiene más del 50% de sus ingresos anuales de la venta de información personal de los consumidores.
También se aplica a empresas de otros estados que: tienen fines de lucro; operan en California; y recopilan datos de los consumidores. Según los criterios establecidos por la ley, se estima que aproximadamente 500,000 empresas deberán cumplir con la CCPA para 2020.
¿Cuáles son los derechos otorgados a los consumidores?
Como se mencionó anteriormente, algunos de los derechos otorgados a los consumidores son los siguientes:
- Derecho a saber y acceder: los tipos de información que se han recopilado;
- Derecho a solicitar la eliminación de cualquier información que la persona no desea que la empresa tenga;
- Derecho a optar por no vender información: por parte de una empresa que vende información de usuarios a otras empresas;
- Derecho a la notificación de incentivos financieros: cuando una empresa ofrece incentivos para la recopilación de datos personales del usuario;
- Derecho a presentar demandas privadas o colectivas: se aplican los daños legales
- Derecho a tener el botón “No vender mi información”
¿Cómo pueden cumplir las organizaciones?
Los impactos operativos para el cumplimiento de la CCPA se dividen en cuatro (4) categorías:
- Avisos de Privacidad;
- Mapeo de datos;
- Contratos;
- Solicitudes de datos del consumidor.
En lo que respecta a los Avisos de Privacidad, las organizaciones deben actualizarlos para que sean visibles para los consumidores (también definidos como "activos y servicios orientados al consumidor"). Un ejemplo común de esto son los enlaces claros y visibles para optar por no participar en la recopilación de datos.
El mapeo de datos, similar al requisito del RGPD de la UE, exige que las organizaciones identifiquen qué sistemas procesan la información del consumidor y evalúen los usos que se les dan, como la venta de información personal. Un método común de mapeo de datos consiste en elaborar flujos de datos que muestren el ciclo de vida de la información, incluyendo la recopilación, el procesamiento, el almacenamiento, la transmisión y la eliminación.
En lo que respecta a los contratos, las organizaciones deben identificar qué categorías de información personal se transfieren a terceros y actualizar sus contratos con proveedores y acuerdos marco de servicios. Entre las disposiciones comunes que deben revisarse se incluyen los procedimientos de notificación de infracciones.
Para las solicitudes de los consumidores (que son solicitudes de los consumidores con respecto al uso y la recopilación de sus datos), las organizaciones deben implementar soluciones que rastreen y respondan a las solicitudes de derechos de los consumidores dentro de los 45 días posteriores a su recepción. Una buena solución es proporcionar un número gratuito o sitios web para contactar con la organización.
¿Cuáles son los riesgos del incumplimiento?
Las infracciones de la CCPA pueden ser acumulativas y representar riesgos costosos para las empresas dentro del ámbito de aplicación de la ley. Algunos de los riesgos asociados con el incumplimiento son:
- Pérdida de relaciones comerciales;
- Acciones o demandas privadas;
- Medidas de cumplimiento y multas por parte del Fiscal General de California.
La pérdida de relaciones comerciales se refiere a las relaciones con otras organizaciones que están sujetas al cumplimiento de la CCPA. Estas organizaciones podrían no poder hacer negocios con otras partes que incumplen o simplemente ignoran los requisitos de la CCPA.
Las acciones privadas se refieren a los consumidores a quienes se les otorgan derechos de acción privados bajo la CCPA, y pueden interponer causas de acción por hasta $750 en daños legales por cada infracción, o daños reales, incluyendo medidas cautelares o declaratorias, o cualquier otra reparación que el tribunal considere adecuada. Además, si un consumidor ha optado por no participar en una venta de datos, pero una empresa vende sus datos consciente y deliberadamente sin su consentimiento, se podría otorgar una indemnización por daños legales de entre $1,000 y $3,000 o daños reales, lo que sea mayor.
Las Acciones de Cumplimiento se refieren a la autoridad otorgada al Fiscal General del Estado y/o a los Municipios para hacer cumplir la ley. En tales casos, pueden presentar una demanda civil contra cualquier empresa, compañía o parte que incumpla con las directrices de la CCPA después de 30 días de haber sido notificadas. Las empresas tendrían entonces 30 días para subsanar el presunto incumplimiento dentro de los 30 días siguientes a la notificación del estado; de lo contrario, estarán sujetas a multas de hasta $7,500 por infracción.
