La transparencia se considera uno de los aspectos más fundamentales de la Ley de Privacidad del Consumidor de California (CCPA). La nueva normativa, que entrará en vigor en enero de 2020, introduce nuevos derechos vitales para los consumidores, así como estrictas obligaciones para que las empresas revelen sus operaciones de recopilación de datos.
Una vez que la CCPA se convierta en ley, habrá un mayor escrutinio de avisos de privacidad - con especial atención a los detalles de las prácticas de recogida y tratamiento de datos de una empresa.
La nueva ley de California está considerada como la más completa de Estados Unidos en materia de privacidad. Establece un estándar más alto en la regulación de la privacidad de los consumidores, impulsada por la creciente preocupación de los residentes de California por la recopilación y el uso de información personal por parte de la industria tecnológica.
Derechos de los residentes en California
Según la CPA, los residentes de California tienen los siguientes derechos:
-
Derecho a conocer, en el momento de la recogida o antes de ella, la finalidad de la misma y las categorías de datos personales recogidos
-
Derecho a solicitar determinada información adicional, incluidos los datos personales recogidos
-
Derecho a solicitar la supresión de sus datos personales en determinados casos y con varias excepciones
-
Derecho a saber si su información personal se vende o se divulga y a quién.
-
Derecho a decir no a la venta de información personal
-
Derecho a la igualdad de servicio y precio, incluso si ejercen su derecho a la intimidad
Las organizaciones afectadas están legalmente obligadas a notificar a los consumidores sus derechos, y no pueden discriminar a un consumidor por ejercer sus derechos.
La CCPA otorga a los consumidores los derechos antes mencionados con respecto a la información personal que las empresas recogen y/o venden sobre ellos. La información personal se define en términos generales como sigue;
información que identifique, se refiera, describa, pueda asociarse o pueda vincularse razonablemente, de forma directa o indirecta, con un consumidor u hogar concreto.
De acuerdo con la definición anterior, la información personal incluye (pero no se limita a) lo siguiente:
-
Identificadores como el nombre real, el alias, la dirección postal, el identificador personal único, la dirección de protocolo de Internet del identificador en línea, la dirección de correo electrónico, el nombre de la cuenta, el número de la seguridad social, el número del permiso de conducir, el número del pasaporte u otros identificadores similares
-
Características de las clasificaciones protegidas según la legislación californiana o federal
-
Información comercial, incluidos los registros de bienes personales, productos o servicios comprados, obtenidos o considerados, u otros historiales o tendencias de compra o consumo
-
Información biométrica
-
Información sobre la actividad en Internet o en otras redes electrónicas, incluidos, entre otros, el historial de navegación, el historial de búsqueda y la información relativa a la interacción de un consumidor con un sitio web, una aplicación o un anuncio en Internet
-
Datos de geolocalización
-
Información sonora, electrónica, visual, térmica, olfativa o similar
-
Información profesional o relacionada con el empleo
-
Información sobre la educación
-
Inferencias extraídas de cualquier información identificada en esta subdivisión para crear un perfil sobre un consumidor que refleje sus preferencias, características, tendencias psicológicas, preferencias, predisposiciones, comportamiento, actitudes, inteligencia, habilidades y aptitudes
La lista anterior representa las categorías de información personal designadas por la CCPA.
Requisitos de la CCPA para los avisos de privacidad
La CCPA exige a las empresas afectadas que cumplan con las normas de transparencia, mediante la divulgación o notificación en tres escenarios:
-
en el punto de divulgación o antes;
-
en respuesta a una "solicitud verificable del consumidor"; y,
-
concretamente, en el sitio web de una empresa.
Muchas empresas ya tienen un aviso de privacidad que puede cumplir parcialmente con la ley. Sin embargo, la mayoría de las empresas tendrán que adaptar los procedimientos y políticas existentes, representados en su aviso de privacidad para garantizar el cumplimiento.
Como se ha mencionado anteriormente, la CCPA exige la notificación de la recogida y el tratamiento de datos en dos situaciones. Estas son; "en el punto de recogida o antes", y "al recibir una solicitud verificable del consumidor".
La divulgación "en el punto de recogida o antes" requiere que se haga en su aviso de privacidad.
(La divulgación al responder a una "solicitud verificable del consumidor" queda fuera del ámbito de este artículo).
Su aviso de privacidad debe incluir:
-
Las categorías de información personal que se recogen.
A la hora de revelar los tipos de datos personales que se recogen, éstos deben ajustarse a las categorías de información personal designadas por la CCPA. -
La finalidad de la utilización de dichos datos.
-
El derecho del consumidor a solicitar la supresión de sus datos personales.
Es importante que también revele en su política de privacidad lo siguiente:
-
Si su empresa ha vendido información personal sobre los consumidores:
Una lista de las categorías de información personal sobre los consumidores que ha vendido en los 12 meses anteriores y que describen mejor la información personal vendida. -
Si su empresa no ha vendido información personal sobre los consumidores:
Revele este hecho. -
Si su empresa ha revelado información personal sobre los consumidores:
Una lista de las categorías de información personal que ha revelado sobre los consumidores para un propósito comercial en los 12 meses anteriores y que describen con mayor precisión la información personal revelada. -
Si su empresa no ha revelado información personal sobre los consumidores.
La CCPA representa un proyecto de ley de privacidad histórico en los Estados Unidos y tendrá un amplio impacto en las empresas que realizan negocios en el estado de California. La necesidad de estar totalmente preparados a tiempo para enero de 2020 y ser capaces de responder a los nuevos derechos otorgados a los consumidores es vital.
No cabe duda de que los profesionales de la privacidad seguirán lidiando con los requisitos impuestos por la CCPA en el transcurso de los próximos 6 a 12 meses. Los procesos internos tendrán que ser rediseñados para responder a las solicitudes de los consumidores, y se requerirán muchas actualizaciones del contenido de los sitios web. Algunos de los requisitos de la CCPA serán onerosos para las empresas. Sin embargo, otros aspectos, como los nuevos requisitos de divulgación, pueden no estar demasiado alejados de las prácticas actuales.
