¿Qué es la CCPA? Definición y Lineamientos de Cumplimiento para 2023
La Ley de Privacidad del Consumidor de California de 2018 (CCPA, por sus siglas en inglés) se promulgó en junio de 2018 y entró en vigor el 1 de enero de 2020 para responder a los crecientes casos de empresas que explotan la privacidad de los datos a través de políticas de manejo de datos deficientes o violaciones de datos.
La CCPA brinda a los consumidores californianos una mayor transparencia sobre cómo se maneja su información personal confidencial. California fue el primer estado en implementar leyes tan estrictas de recopilación y manejo de datos, y su marco de seguridad de datos probablemente se convertirá en un modelo para todos los demás estados.
Según la CCPA, los residentes de California tienen derecho a:
- Sepa cuándo las empresas recopilan sus datos personales
- Saber cuándo sus datos personales se venden o se comparten con un tercero
- Negar la venta de sus datos personales
- Que se atienda su solicitud de eliminación de datos personales
Como parte del movimiento de la nueva ley de privacidad de California, este movimiento histórico refleja la postura de protección de datos del consumidor descrita en el Reglamento General de Protección de Datos (GDPR) de la Unión Europea y las propuestas de Canadá en el proyecto de ley C-11. Las regulaciones de la CCPA también ofrecen a las empresas californianas orientación sobre cómo adherirse a esta ley.
En noviembre de 2020, se aprobó la Ley de Derechos de Privacidad de California (CPRA, por sus siglas en inglés) como una enmienda a la CCPA, agregando muchos derechos de privacidad adicionales del consumidor. La CCPA y la CPRA a menudo se usan indistintamente, ya que ambas discuten las mismas regulaciones de privacidad.
Se están considerando leyes de privacidad de datos similares o ya se están implementando en Nebraska, Nueva York y Washington. Este artículo examinará cómo esta ley podría afectar a las empresas y cómo su organización puede cumplir con la CCPA.
Importante: Las disposiciones de la CCPA se han modificado y ampliado en la Ley de Derechos de Privacidad de California (CPRA). Para obtener más información sobre la CPRA, lea esta publicación.
¿Quién debe cumplir con la Ley de Privacidad del Consumidor de California?
La CCPA se aplica a las empresas con fines de lucro que tienen operaciones comerciales en California y cumplen con cualquiera de los siguientes criterios:
- Ingresos brutos anuales de $25 millones o más.
- Procesar información personal de más de 50,000 residentes, hogares o dispositivos de California (incluida la compra, recepción o venta de datos).
- Atribuir la venta de datos personales de los residentes de California a al menos el 50% de sus ingresos brutos anuales.
El cumplimiento de la CCPA no se limita a las empresas ubicadas físicamente en California.
Cualquier empresa ubicada fuera de California debe cumplir con las regulaciones de la CCPA si:
- Ofrece a los californianos la oportunidad de comprar sus productos o servicios,
- Recopila cualquier información personal de los californianos (como las direcciones IP de los visitantes de la web), o
- Comparte la marca con una empresa que está vinculada a la CCPA.
La CCPA no se aplica a las empresas sin fines de lucro.
Aprenda a cumplir con los requisitos de riesgo de terceros de la CCPA >
¿Cómo define la CCPA los datos personales?
La aplicación de esta ley depende de la clasificación de datos personales de la CCPA. Según la CCPA, la información personal de un consumidor incluye cualquier dato que identifique, conecte o se relacione con una persona y/o su hogar.
Esto incluye las siguientes categorías de información personal:
- Direcciones de correo electrónico
- Números de Seguro Social
- Registros de productos comprados
- Historial de navegación web e historial de búsqueda
- Datos de geolocalización
- Datos biométricos
- Números de licencia de conducir
- Inferencias de otras fuentes que se pueden utilizar para crear un perfil sobre las preferencias y características de un individuo
¿En qué se diferencia la CCPA del RGPD?
La CCPA tiene una clasificación más amplia de datos personales en comparación con el RGPD de la Unión Europea (UE).
A diferencia del GDPR, la CCPA amplía su umbral de prácticas de privacidad también a los hogares. Cualquier sujeto de datos que identifique a una persona u hogar podría estar sujeto a las regulaciones de la CCPA.
Otra diferencia entre las dos regulaciones es que el (GDPR) se aplica a cualquier organización que establezca un inventario de datos privados para ciudadanos de la UE. Sin embargo, el cumplimiento de la CCPA solo se espera de las empresas que cumplen con cualquiera de los tres umbrales de la CCPA.
Más información sobre el RGPD >
CCPA y la actual ley de notificación de violaciones de datos de California
La CCPA no afecta a las obligaciones actuales de notificación de violaciones de datos en virtud de la Sección 1798.82 en el estado de California, lo que significa que las organizaciones no están obligadas a informar sobre las violaciones de datos en virtud de la CCPA. Sin embargo, las empresas y las agencias estatales aún deben notificar a los residentes de California cada vez que una parte no autorizada obtenga acceso a sus datos personales no cifrados en una violación de datos según la Ley de Notificación de Violación de Datos de California actual. Las empresas pueden enviar notificaciones de violación de datos a través de este portal en línea.
Las empresas que sufran una violación que afecte a más de 500 residentes de California deben enviar una copia de muestra de las notificaciones de violación al Fiscal General de California. Esta notificación debe excluir cualquier identificador de información personal.
La CPRA también estableció la Agencia de Protección de la Privacidad de California (CPPA, por sus siglas en inglés) para ayudar al Fiscal General de California a hacer cumplir las leyes de notificación.
Los residentes de California tienen derecho a acceder a todos los envíos de notificaciones de violación de datos a través de este motor de búsqueda.
¿Cómo deben responder las empresas?
Las siguientes acciones de mitigación de violaciones de datos deben implementarse en respuesta a las expectativas de una postura de seguridad resistente que aún se aplican a todas las empresas californianas:
- Revisar los marcos obligatorios de ciberseguridad - Las empresas deben revisar todas las regulaciones obligatorias de ciberseguridad en su industria, como HIPAA, PCI DSS, COBIT, NIST, ISO, etc.
- Implementar marcos de ciberseguridad: incluso sin un cumplimiento obligatorio, la implementación de marcos de ciberseguridad populares puede aumentar significativamente los niveles de resiliencia cibernética.
- Superficie de ataque segura de terceros: el 60% de las violaciones de datos provienen de terceros comprometidos. Una solución de monitoreo de la superficie de ataque de terceros sacará a la luz cualquier vulnerabilidad de terceros, lo que aumentará el riesgo de ataques a la cadena de suministro y violaciones de datos de terceros.
- Revise los planes de respuesta a incidentes: asegúrese de que todos los planes de respuesta a incidentes existentes respalden la contención rápida de las violaciones de datos y sus notificaciones.
Cómo cumplir con los requisitos de la CCPA
Cada una de las disposiciones clave de la CCPA que se detallan a continuación está respaldada por un resumen de cómo las empresas deben responder para lograr el cumplimiento.
Divulgación automática de prácticas de procesamiento de datos personales
Según la CCPA, las empresas deben:
- Notificar a los consumidores las categorías de datos personales que se recopilan en el momento de la recopilación o antes.
Las empresas también deben actualizar los siguientes detalles en las políticas de recopilación de datos en su sitio web cada 12 meses:
- Una descripción detallada de los derechos del consumidor en virtud de la CCPA. Esto debe incluir el derecho a la eliminación de datos y el derecho a excluirse de la venta de datos personales.
- Una descripción detallada de cómo enviar solicitudes de eliminación de datos.
- Un desglose honesto de todas las categorías de prácticas de intercambio y venta de datos personales en los últimos 12 meses.
Las empresas no están obligadas a cumplir con las solicitudes de divulgación de prácticas de manejo de datos personales del mismo cliente más de dos veces en 12 meses.
Realice un seguimiento del cumplimiento de la CCPA con esta plantilla gratuita >
¿Cómo deben responder las empresas?
En respuesta a esta disposición, las empresas deben:
- Publicar una descripción de los derechos de los consumidores en virtud de la CCPA y hacer que esta información sea fácilmente accesible desde la página de inicio.
- Publicar avisos de privacidad que describan las motivaciones comerciales detrás de la recopilación y venta de datos personales.
- Establecer políticas internas para responder con precisión a todas las consultas de protección de la privacidad de la CCPA.
- Implementar procesos que identifiquen con precisión las categorías de datos personales de los consumidores que se recopilan, comparten y venden.
Los consumidores tienen derecho a solicitar la eliminación completa de su información personal
En virtud de la CCPA, los consumidores tienen el derecho privado de solicitar la eliminación de todos los datos personales recopilados.
En la mayoría de las situaciones, las empresas deben cumplir inmediatamente con estas solicitudes. Sin embargo, se aplican excepciones para los siguientes escenarios:
- Cuando estos datos sean necesarios para completar una transición o para prestar un servicio solicitado por el cliente.
- Cuando estos datos son necesarios para depurar o reparar la funcionalidad esperada del producto.
- Cuando esta información sea necesaria para la detección o investigación de amenazas cibernéticas.
¿Cómo deben responder las empresas?
En respuesta a esta disposición, las empresas deben:
- Establezca procesos internos para cumplir con las solicitudes de los consumidores de eliminar rápidamente el almacenamiento de datos personales.
- Establecer canales de comunicación fiables para responder a las solicitudes de eliminación de datos.
- Cree un documento interno que describa los escenarios probables en los que se deniegan las solicitudes de eliminación.
Los consumidores tienen derecho a excluirse de la venta de información personal
La CCPA permite a los consumidores optar por no participar en la venta de sus datos personales en cualquier momento.
Antes de que se venda cualquier información personal del cliente, las empresas deben notificar con suficiente antelación a los consumidores afectados su intención de vender, junto con instrucciones sobre cómo optar por no incluir sus datos en la venta.
Cualquier proveedor de servicios externo que haya comprado datos de consumidores no puede revender esos datos a menos que se notifique claramente a los consumidores afectados y se les brinde la oportunidad de optar por no participar en la venta.
¿Cómo deben responder las empresas?
En respuesta a esta disposición, las empresas deben:
- Incluya un enlace en su página de inicio titulado "No vender mi información personal", que dirija a los usuarios a una página web que explica cómo optar por no participar en la venta de sus datos personales.
- No exigir a los consumidores que creen una cuenta para llevar a cabo su intención de optar por no participar.
- Establezca procesos para realizar un seguimiento de todas las solicitudes de exclusión.
Todos los consumidores tienen derecho a un servicio igualitario y a la no discriminación
En caso de que un consumidor, o visitante del sitio web, elija ejercer sus derechos de garantía razonables descritos en la CCPA, el solicitante no debe:
- Impedir la disponibilidad de bienes y servicios para el consumidor.
- Reducir la calidad del servicio al cliente para el consumidor.
- Cobrar al consumidor a diferentes tarifas.
- Denegar a dichos consumidores el uso de descuentos o códigos de cupones disponibles para todos los demás consumidores.
Sanciones por incumplimiento
Las organizaciones tienen hasta 45 días para responder a las solicitudes de los consumidores en virtud de la CCPA.
Si estas solicitudes no se resuelven dentro de los 30 días, se le puede cobrar a la empresa infractora una multa máxima de $7,500 por infracción.
Los consumidores afectados por el manejo no autorizado de sus datos, como se describe en la CCPA, pueden ejercer un derecho privado de acción, lo que les da derecho a $750 en daños y perjuicios por violación.
UpGuard puede ayudar a las organizaciones y empresas a cumplir con la CCPA ayudándolas a centrarse en la seguridad de los datos utilizando su software de gestión de riesgos de proveedores y monitoreo de superficie de ataque líder en la industria. Con los servicios de monitoreo continuo, las organizaciones pueden ser alertadas sobre cualquier posible violación de datos o fuga de datos con respecto a la información comercial o de los clientes. UpGuard ayuda a crear planes de corrección para que las empresas protejan los datos confidenciales.
Además, UpGuard ofrece un cuestionario de CCPA que puede ayudar a las organizaciones y a sus proveedores a cumplir con el cumplimiento de la CCPA. Todo el proceso del cuestionario está automatizado y gestionado por UpGuard para garantizar un flujo de trabajo eficiente y eficaz.