La Ley de Privacidad del Consumidor de California de 2018 (CCPA, por sus siglas en inglés) tiene impactos mucho más allá de los límites de California. El estado de EE.UU. tiene una economía de 4 billones de dólares; si California fuera un país, sería la cuarta economía más grande del planeta.
Todo ese comercio le da a California un alcance muy amplio en otras economías de todo el mundo, lo que significa que las empresas de todo el mundo deben comprender cómo CCPA se aplica a sus actividades.
¿A quién se aplica la CCPA?
La CCPA se aplica a cualquier empresa que realice transacciones con californianos con el propósito de obtener ganancias financieras, por ejemplo, proporcionar bienes y servicios. No se requiere una presencia física en el estado.
Si está operando como un negocio con fines de lucro y recopila datos de residentes de California, es probable que necesite saber cómo cumplir con la CCPA. La ley ha estado en vigor desde el 1 de enero de 2020 y tiene muchas similitudes con GDPR, aunque también hay diferencias importantes.
¿Cuáles son los derechos establecidos en virtud de la CCPA?
CCPA les da a los residentes de California control sobre cómo se manejan sus datos personales en línea. Se basa en cinco derechos clave:
- El derecho a saber : se debe informar a las personas cuando se recopilan y procesan sus datos
- El derecho a eliminar : las personas pueden solicitar que se eliminen los datos personales
- El derecho a optar por no participar: las personas deben poder denegar el permiso para que las empresas vendan sus datos personales
- El derecho a corregir : las personas deben poder obtener copias de los datos que se tienen sobre ellas y corregir la información inexacta.
- El derecho a limitar el uso : las personas deben poder especificar que la información personal solo se puede usar para fines limitados.
Las personas que ejercen derechos en virtud de la CCPA no deben ser objeto de discriminación alguna como resultado.
¿Cuáles son las sanciones por infringir la CCPA?
La CCPA es aplicada por el Fiscal General de California. A las empresas se les envía una carta notificando una posible infracción, después de lo cual tienen 30 días para remediar el problema y cumplir. Después de esto, se pueden aplicar multas de $ 2,500 por incumplimiento ($ 7,500 por infracciones intencionales).
Los particulares no pueden demandar a una empresa por infracciones de la CCPA, aunque tienen otros derechos de acción en caso de una violación de datos y podrían recibir daños civiles de $ 750 por cada violación de datos bajo CCPA. Las violaciones de datos a gran escala pueden dar lugar a demandas colectivas.
¿La CCPA se aplica a otros estados?
Estados Unidos no tiene una ley federal de privacidad de datos que se aplique a todos los estados. Como ley californiana, la CCPA solo se aplica a los residentes de California, aunque continúa aplicándose cuando viajan fuera del estado.
¿La CCPA se aplica a las organizaciones sin fines de lucro?
La regla básica es que la CCPA solo se aplica a las empresas con fines de lucro. Estas son entidades legales (por ejemplo, empresa unipersonal, LLC o corporación) operadas con fines de lucro y beneficio financiero de accionistas y propietarios.
Sin embargo, en algunas situaciones, las organizaciones sin fines de lucro pueden no estar exentas de la CCPA. Esto incluye cuando una organización sin fines de lucro está controlada por una entidad con fines de lucro y comparte una marca común con la empresa matriz. Una organización sin fines de lucro también puede estar dentro de la ley si recibe información personal a través de una «venta» según se define en la CCPA.
¿A quién no se aplica la CCPA?
Las reglas se aplican a las empresas fuera de California que cumplen con uno o más de estos criterios:
- Ingresos brutos anuales de más de $25 millones
- Procesa (compra, vende, recibe o comparte) información personal de 50,000 o más residentes de California con fines comerciales
- Más del 50% de los ingresos anuales se derivan de la venta de información personal
¿Cómo cumplo?
Hay algunos puntos clave que debe comprender para ayudar a garantizar que cumpla con la CCPA:
Definición de información personal de la CCPA
La legislación define la información personal como «información que identifica, se relaciona, describe, es razonablemente capaz de asociarse con, o podría razonablemente vincularse, directa o indirectamente, con un consumidor u hogar en particular».
La información personal se puede clasificar de diferentes maneras:
Identificadores directos: nombre, dirección postal, número de seguro social
Identificadores únicos: cookies, direcciones IP, nombres de usuario
Datos biométricos: huellas dactilares, grabaciones faciales y de vídeo
Datos de geolocalización – información de ubicación e historial
Actividad en Internet: historial de navegación y búsqueda
Información sensible: datos de salud, características personales, preferencias sexuales, fe religiosa, datos de empleo.
Datos que se pueden usar para inferir identidad: información que podría usarse para identificar a un individuo u hogar
Controles de sitio web
Debe informar a los usuarios antes del punto de recopilación de datos sobre lo que recopila y para qué fines
Debe tener un enlace «no vender mi información personal» que permita a los usuarios optar por no vender datos a terceros
Se requieren opt-ins para los usuarios del sitio menores de 16 años (y el consentimiento de los padres para los usuarios menores de 13 años)
Los derechos del consumidor deben establecerse en la política de privacidad de su sitio web
La política de privacidad debe actualizarse anualmente para garantizar que las categorías de información personal recopilada permanezcan actualizadas.
Debe estar preparado para cumplir con las solicitudes de los consumidores para la divulgación de la información personal que ha recopilado sobre ellos en los últimos 12 meses, sin cargo.
Debe asegurarse de no discriminar a un consumidor en función de que ejerza el derecho a solicitar la divulgación, optar por las ventas, corregir o eliminar información.
Asegúrese de que sus políticas de cookies cumplan con la CCPA
Las cookies recopilan información sobre los usuarios del sitio web, incluida la información que podría cumplir con la definición de información personal de la CCPA. Incluso si la información no es identificativa en sí misma, podría volverse personal cuando se considera en combinación con otros datos.
Los banners de cookies se utilizan a menudo para proporcionar a los usuarios la información requerida y confirmar el consentimiento para la recopilación de datos. Mirar algunos ejemplos de banners de cookies de CCPA puede darle una idea de cómo podría funcionar un banner en su sitio.
Recuerde, CCPA no es la única legislación que se aplica a la protección de datos para los residentes de California, la Ley de Derechos de Privacidad de California (CPRA) también es relevante. Obtenga más información sobre las diferencias entre la CCPA y la CPRA.
Elaborar los requisitos legales de las diferentes regulaciones puede ser un dolor de cabeza. Deje que CookieHub tome la tensión por usted: podemos ayudarlo a garantizar que sus cookies cumplan con la CCPA y otras normas de protección de datos, lo que le brinda tranquilidad.