El término frente a la ley
La CCPA (California Consumer Privacy Act) es una ley. Está en vigor desde el 1 de enero de 2020, fue modificada por la California Privacy Rights Act (CPRA) y la aplican el fiscal general de California y la California Privacy Protection Agency. El «cumplimiento de la CCPA» no es la ley, sino la respuesta a ella: el trabajo continuo para mantenerse dentro de sus requisitos.
La ley define obligaciones. El cumplimiento define el trabajo. Los reguladores evalúan a una empresa por sus propios registros: la política de privacidad, los registros de solicitudes y los contratos con proveedores.
La ley: norma que define las empresas afectadas, los derechos de los consumidores y las sanciones, con independencia de dónde tenga su sede la empresa. Cumplimiento: el programa del lado de la empresa: inventario, gestión de solicitudes, divulgación, gestión de proveedores y formación.
A quién afecta
La CCPA va mucho más allá de California. Cualquier empresa con ánimo de lucro que recopile información personal de consumidores de California queda afectada si cumple al menos uno de tres umbrales.
El resultado es un marco de mercado global. Una empresa sin oficina en Estados Unidos puede quedar sujeta si su sitio web atiende a consumidores de California a la escala exigida. Las exenciones para datos de empleados y entre empresas han caducado, así que los registros de RR. HH. y los contactos profesionales también están cubiertos.
| Umbral | Condición |
|---|---|
| Ingresos brutos anuales | Superiores a 25 millones de dólares |
| Información personal | Compra, vende o comparte datos de 100 000 consumidores u hogares al año |
| Ingresos por datos | Un 50 por ciento o más de ingresos anuales por vender o compartir datos |
Primer paso: inventario y mapa de flujos
Nada más funciona sin este paso. Una empresa no puede atender una solicitud de supresión hasta saber qué información personal tiene. El inventario registra cada categoría, su origen, finalidad, sistemas, plazo de conservación y destinatarios externos.
El mapa de flujos amplía el inventario al movimiento: cómo circulan los datos entre sistemas, encargados y canales como el correo electrónico, la nube o los soportes extraíbles. Aquí aparecen los huecos. Los datos pueden salir del sistema de registro oficial por un canal que el inventario nunca describió.
Buscar en los datos capturados
La consola permite buscar en los datos capturados del correo, la mensajería, la web y otros canales, lo que ayuda a comprobar qué se movió realmente.
Procedimientos de solicitudes del consumidor
La CCPA concede a los consumidores derechos exigibles. El cumplimiento exige un procedimiento documentado para cada uno.
Las solicitudes deben responderse en 45 días, prorrogables una vez por otros 45, y deben abarcar como mínimo los 12 meses anteriores. La verificación debe ser proporcionada: lo bastante sólida para evitar fraudes, sin recopilar más datos. Las empresas deben aceptar agentes autorizados y no pueden penalizar en precio ni en servicio a los consumidores que ejercen sus derechos.
| Derecho | Qué cubre |
|---|---|
| Derecho a saber | Divulgación de la información personal recopilada, con orígenes, finalidades y destinatarios |
| Derecho a eliminar | Supresión de la información personal, extendida a proveedores de servicios, con excepciones legales |
| Derecho a corregir | Corrección de información personal inexacta, añadido por la CPRA |
| Derecho a oponerse | A la venta y compartición para publicidad conductual, respetando las señales del navegador |
| Derecho a limitar | Uso de información personal sensible solo para los fines que permite la ley |
| Derecho a la portabilidad | Recepción de la información personal en un formato de uso fácil |
Política de privacidad, formación y proveedores
La política de privacidad es la cara pública del programa. Debe enumerar las categorías de información personal recopiladas, sus orígenes, finalidades y plazos de conservación, los terceros con los que se comparten los datos y cómo ejercer cada derecho. Una empresa que venda o comparta información personal también debe incluir en su sitio el enlace «Do Not Sell or Share My Personal Information».
Internamente, el cumplimiento descansa en personas y contratos. El personal necesita formación para reconocer y canalizar las solicitudes de los consumidores, porque una respuesta tardía ya es una infracción. Los proveedores que actúan como proveedores de servicios o contratistas deben estar sujetos a las cláusulas que exige la CCPA y que limitan el uso de la información personal.
Aplicación de la ley
Los reguladores pueden imponer las multas que se indican, contadas por consumidor. Los consumidores también disponen de acción privada por ciertas brechas de datos causadas por una seguridad insuficiente.
| Infracción | Sanción o indemnización |
|---|---|
| Cada infracción | Multa de 2.500 dólares |
| Infracción intencionada o que afecte a menores | Multa de 7.500 dólares |
| Brecha causada por seguridad insuficiente | Indemnización legal de 100 a 750 dólares |
Así se ve en Anexet
Estas imágenes muestran cómo una capa de DLP en los equipos reconoce la información personal por su contenido, con listas de palabras clave y huellas digitales.
1 / 4
Ciclo continuo
Por eso el cumplimiento es continuo, no un proyecto. Los inventarios envejecen, los proveedores cambian y cada solicitud es una prueba real. Los programas maduros gestionan la CCPA como un ciclo: inventariar datos, mapear flujos, responder, divulgar y verificar a los proveedores.
Lectura recomendada: Cómo usar Anexet Ultimate DLP para el cumplimiento del RGPD.
Ninguna herramienta hace que una empresa cumpla. Anexet ayuda en dos pasos: ver por dónde circula la información personal y llevar un registro de quién la manejó.
Anexet TeamCómo lo resuelve Anexet
Ninguna herramienta convierte a una empresa en conforme con la CCPA. No hay certificación que comprar, y Anexet no posee ni otorga ninguna. Una capa de monitorización de endpoints y de prevención de pérdida de datos contribuye a dos pasos del proceso anterior: ver por dónde fluye realmente la información personal y mantener un registro atribuible de quién la gestionó.
La arquitectura on-premise también importa. Los registros que genera la observación de flujos de datos, como el contenido capturado, los registros de auditoría y el historial de riesgo, permanecen en la infraestructura de la propia organización. Esto encaja con la confidencialidad que exige el trabajo de privacidad.
Visibilidad de los flujos de datos
Los agentes de los endpoints observan el correo, la web, el almacenamiento en la nube, la mensajería, los dispositivos extraíbles, la impresión y el portapapeles. Por esos canales sale la información personal de los sistemas de registro. Así, el mapa de flujos muestra movimiento observado y no solo sistemas documentados.
Detección basada en el contenido
Los diccionarios de seguridad, las bases de hashes, las bibliotecas de huellas digitales y las etiquetas de sensibilidad identifican la información personal dentro de las transferencias según su contenido. Así salen a la luz las copias que el inventario pasó por alto.
Pista de auditoría atribuible
Cada evento registrado incluye usuario, marca de tiempo, canal y clasificación. Con esos registros se puede reconstruir cómo se trataron los datos de una persona cuando lo pide una solicitud o una investigación.
Anexet DLP
Saber más