Qué es la CCPA
La California Consumer Privacy Act (CCPA) se firmó en junio de 2018 y entró en vigor el 1 de enero de 2020. Fue la primera ley integral de privacidad del consumidor en Estados Unidos. Otorga a los residentes de California, a quienes la ley llama consumidores, derechos directos sobre la información personal que las empresas guardan sobre ellos. No hace falta tener oficina en California: una empresa queda sujeta a la ley si hace negocios en el estado y alcanza uno de los umbrales.
En noviembre de 2020, los votantes de California aprobaron la California Privacy Rights Act (CPRA), que modificó y amplió la CCPA. Añadió nuevos derechos, la categoría de información personal sensible, reglas más estrictas para proveedores de servicios y contratistas, y límites de minimización y conservación de datos. La CPRA también creó la California Privacy Protection Agency (CPPA), el primer regulador de EE. UU. dedicado a la privacidad. La CPPA dicta el reglamento y aplica la ley junto con el fiscal general de California.
Quién debe cumplirla
La CCPA se aplica a una empresa con fines de lucro que hace negocios en California y alcanza al menos uno de tres umbrales. También cubre a las entidades que controlan esa empresa o son controladas por ella y comparten su marca.
| Umbral | Condición |
|---|---|
| Ingresos | Ingresos brutos anuales superiores a 25 millones de dólares en el año natural anterior; la cifra se ajusta por inflación |
| Volumen de datos | Compra, vende o comparte información personal de 100 000 consumidores u hogares o más al año |
| Ingresos por datos | Obtiene el 50% o más de sus ingresos anuales de vender o compartir información personal |
Derechos del consumidor
La CCPA otorga siete derechos a los consumidores. La CPRA añadió dos: el derecho a corregir y el derecho a limitar.
| Derecho | Qué significa |
|---|---|
| A saber | Conocer qué información personal se recopila, con qué fines y si se vende o comparte; recibir los datos concretos que se guardan |
| A eliminar | Pedir que la empresa y sus proveedores de servicios eliminen la información personal, salvo excepciones legales |
| A corregir | Pedir la corrección de información personal inexacta |
| A excluirse | Detener la venta de información personal y su intercambio para publicidad conductual entre contextos; hay que respetar las señales de exclusión del navegador |
| A limitar | Restringir el uso y la divulgación de información personal sensible a los fines que permite el reglamento |
| A la portabilidad | Recibir los datos recopilados por medios automatizados en un formato utilizable y transferible |
| A la no discriminación | Sin negar el servicio ni cobrar otros precios por ejercer un derecho |
Cómo se atienden las solicitudes
Las solicitudes siguen un procedimiento fijo con plazos legales. El plazo empieza a contar el día en que la empresa recibe la solicitud.
- 1
Recibir la solicitud
El consumidor puede enviar su solicitud por al menos dos canales designados.
- 2
Verificar al solicitante
La empresa confirma la identidad del solicitante antes de revelar, eliminar o corregir datos.
- 3
Responder en 45 días
La empresa responde en un plazo de 45 días desde que recibe la solicitud.
- 4
Prorrogar una vez si hace falta
Cuando sea razonablemente necesario, el plazo puede prorrogarse una sola vez por otros 45 días. Hay que avisar al consumidor dentro de los primeros 45 días.
Obligaciones de las empresas
Una empresa sujeta a la ley debe dar un aviso en el momento de la recopilación, publicar una política de privacidad y firmar contratos escritos que limiten el uso de la información personal por parte de proveedores de servicios y contratistas. El reglamento de la CPPA introduce de forma gradual nuevas obligaciones: evaluaciones de riesgos y auditorías de ciberseguridad para el tratamiento de mayor riesgo, y avisos sobre la toma de decisiones automatizada.
La empresa que vende o comparte información personal debe, por regla general, colocar en su página de inicio un enlace claro con el texto que fija la ley:
Do Not Sell or Share My Personal Information
Código Civil de California, § 1798.135Aplicación y sanciones
La CPPA y el fiscal general de California aplican la ley. Cada consumidor afectado puede contar como una infracción distinta, así que las cifras crecen rápido en incidentes grandes. Los importes de abajo los fija la ley y se ajustan por inflación.
| Caso | Quién actúa | Importe |
|---|---|---|
| Infracción | CPPA o fiscal general | Hasta 2 500 USD por infracción |
| Infracción intencional o datos de menores de 16 años | CPPA o fiscal general | Hasta 7 500 USD por infracción |
| Brecha de datos sin cifrar por falta de seguridad razonable | El consumidor afectado, ante los tribunales | De 100 a 750 USD por consumidor e incidente, o los daños reales si son mayores |
CCPA frente a RGPD
Las organizaciones multinacionales suelen gestionar la CCPA y el Reglamento General de Protección de Datos de la UE (RGPD) como un solo programa. Sin embargo, las dos leyes parten de modelos distintos.
Lectura recomendada: ¿Cómo puedo mantener seguros mis Datos Personales?; Cómo usar Anexet Ultimate DLP para el cumplimiento del RGPD.
| Aspecto | CCPA | RGPD |
|---|---|---|
| A quién cubre | Empresas con fines de lucro que alcanzan los umbrales de California | Organizaciones de cualquier tamaño establecidas en la UE/EEE o que se dirigen a personas de allí |
| Modelo central | Exclusión voluntaria: el tratamiento se permite hasta que el consumidor se excluye de la venta o el intercambio | Base jurídica: se exige una base, como el consentimiento, antes del tratamiento |
| Roles clave | Empresa, proveedor de servicios, contratista | Responsable, encargado del tratamiento |
| Regulador | Fiscal general de California y CPPA | Autoridades nacionales de control de cada Estado miembro |
| Sanciones | Multas por infracción, hasta 7 500 USD | Hasta 20 millones de euros o el 4% de los ingresos anuales globales |