Cumplimiento del CCPA
La Ley de Protección de los Consumidores de California o el CCPA fue aprobada en junio de 2018 por el Gobernador Brown. Entró en vigor el 1 de enero de 2020. Es una de las leyes más recientes que protegen los derechos de las personas en Internet. La implementación de esta ley no significa que todos los actos y leyes previos queden inactivos. Aún necesitas cumplir con todas las leyes del estado y recordar que el CCPA complementa todas las demás leyes.
De acuerdo con esta ley, las empresas deben proporcionar información sobre cómo, qué y por qué se procesan y recopilan los datos de los consumidores. Además, esta ley te permite recibir información sobre la venta de tus datos y te da la posibilidad de excluirte de ella. Esta ley exige que las empresas hagan que todos los procesos con los datos de los consumidores sean más transparentes y claros para ellos.
¿A Quién Aplica el CCPA?
El CCPA se aplica a las empresas bajo la condición de que:
- Ingresos brutos anuales superiores a $25 millones, o
- Reciban o divulguen la información personal de 50,000 o más residentes, hogares o dispositivos de California cada año, o
- Obtengan el 50 por ciento o más de sus ingresos anuales de la venta de información personal de residentes de California.
Estas empresas pueden recopilar y procesar tu información personal mediante cookies, pero también deben protegerla. Para el CCPA no importa cuán pequeña o grande sea tu negocio. Si tu negocio cumple con uno de estos tres criterios, tu empresa está sujeta a la ley y debe cumplirla. Cabe señalar que algunas empresas de salud y financieras no están obligadas a cumplir con el CCPA, ya que están sujetas a otras leyes federales de seguridad, por ejemplo, HIPAA (Ley de Portabilidad y Responsabilidad del Seguro de Salud) y otras.
¿Qué es Datos Personales en el CCPA?
La definición de datos personales en el CCPA consta de muchos componentes. Incluye “información que identifica, se relaciona, describe, es capaz de asociarse o podría razonablemente vincularse, directa o indirectamente, a un consumidor o hogar en particular”. Esta definición contiene muchos más identificadores de datos personales que la explicación tradicional. En el texto de la ley, puedes encontrar una lista de ejemplos de datos personales. Aquí tienes algunos de ellos:
- Información biométrica;
- Datos de geolocalización;
- Historial de navegación y búsqueda;
- Dirección IP, etc.
Cabe mencionar que la información disponible públicamente no se considera información personal según las definiciones dadas en el CCPA y el GDPR.
Además, de acuerdo con esta ley, debes actualizar tu política de privacidad. Debes asegurarte de que tu política de privacidad incluya:
- Qué tipo de información recopilas y procesas;
- Por qué y cómo recopilas y procesas la información;
- Cómo los usuarios pueden solicitar el acceso, cambio, traslado o eliminación de su información;
- El método de verificación del usuario que realiza la solicitud.
Esta lista no es completa, puedes añadir más puntos según la ley para cumplirla.
El Consentimiento Previo
Además, debes recordar el consentimiento previo. Esta ley no requiere consentimiento previo para el procesamiento y recopilación de información. Pero para los menores de 13 a 16 años, deberías obtener el consentimiento previo antes de vender sus datos. En el caso de menores menores de 13, debes contar con el consentimiento de sus padres o tutores.
Además, en tu sitio debe haber un enlace que permita a los usuarios optar por no vender sus datos. Debes configurar este enlace para que cumpla con el CCPA. No se te permite exigir a los usuarios que creen una cuenta para optar por no participar, ya que este proceso debe ser lo más sencillo posible. En otros casos, eres libre de vender información sobre tus usuarios.
El incumplimiento podría resultar en multas enormes de hasta $2500 por violación no intencional y $7500 por violación intencional. Es difícil imaginar cuánto podrías pagar incluso por una violación no intencional. Además, los consumidores solo necesitan demostrar que la empresa ha violado la ley sin ninguna evidencia de pérdida financiera.
Cómo Cumplir con el CCPA
Para cumplir con el CCPA, las empresas deben “implementar y mantener procedimientos y prácticas de seguridad razonables” para proteger los datos de los consumidores. Una de las cosas más peligrosas en la protección de datos es una brecha de seguridad. Es crucial saber quién tiene acceso a los datos y qué pueden hacer con ellos. Los estándares de seguridad del CCPA obligan a las organizaciones a proporcionar acceso a toda la información personal almacenada en las bases de datos corporativas al consumidor, bajo solicitud.
DataSunrise tiene una solución que podría facilitarte la vida. Gracias a nuestro producto y, especialmente, a la función de Cumplimiento, tu información sensible estará siempre protegida. Esta función busca constantemente nuevos datos personales añadidos. Por ello, las bases de datos y los datos están protegidos. Además, contamos con una función DSAR.
El DSAR de DataSunrise ofrece potentes mecanismos de búsqueda e informes. La funcionalidad DSAR te permite buscar a través de tus bases de datos y obtener los datos personales de interés, en cumplimiento con los estándares de seguridad del CCPA. Estos datos pueden descargarse de la base de datos y mostrarse como un informe, lo cual es muy útil para la evaluación del cumplimiento.
