Cumplimiento de la CCPA con Cookiebot
Cookiebot es una herramienta que escanea automáticamente tu web, encuentra todas las cookies y tecnologías de seguimiento similares, y esto permite el cumplimiento tanto de la CCPA como del europeo RGPD.
Las cookies (especialmente aquellas integradas a través de conectores de terceras partes) pueden cosechar información personal, tal como nombres, dirección física, direcciones de IP, datos de geolocalización, pero también datos personales sensibles, como las convicciones religiosas, opiniones políticas y/u orientación sexual.
La CCPA requiere que los negocios permitan a los residentes de California optar por no participar en tener sus datos vendidos a terceras partes, además de la divulgación de qué datos han sido ya recogidos y la eliminación de los mismos, si los consumidores así lo solicitan.
Cookiebot permite el cumplimiento de la CCPA con una configuración específica que detecta si el usuario es de California, cuando se muestra el link obligatorio No Vender Mi Información Personal en la declaración de cookies de la web, como se presenta a continuación.
Así es como la solución para la CCPA de Cookiebot aparece para los usuarios finales:
Cookiebot también soporta múltiples soluciones de cumplimiento en la misma web, así tu web mostrará banners diferentes dependiendo de la procedencia de sus visitantes.
De esta manera, a visitantes de la UE se les presentará un banner de cookies que cumpla con el RGPD, mientras que los usuarios de California encontrarán una declaración de cookies de acuerdo con la CCPA, con información de qué datos han sido recogidos y un modo sencillo para optar por no vender su información personal a terceras partes.
COMPRUEBA AQUÍ MÁS DETALLES SOBRE EL CUMPLIMIENTO DE LA CCPA
Prueba aquí Cookiebot de manera gratuita. Si tienes menos de 50 subpáginas, puedes utilizar Cookiebot gratis de manera indefinida.
Lista de requisitos de la CCPA
Si te estás preguntando qué es lo que hay que hacer para cumplir con la Acta de la privacidad del consumidor de California (CCPA), aquí tienes una lista de requisitos para tu negocio y tu web.
Esta lista no es exhaustiva, pero recoge los puntos centrales de los requerimientos de la CCPA.
- Función del link No Vender Mi Información Personal en las webs, que puede ser utilizado por los usuarios para optar por no participar en la venta de datos de terceras partes.
- Proveer de un aviso antes o en el momento de recogida, informando al consumidor de las categorías de información personal que la empresa recoge y con qué propósito.
- Responder a una petición de optar por no participar en 15 días, dejando de vender los datos de eses consumidor y notificando a todas las partes a quién se le ha vendido la información en los 90 días anteriores.
- Obtener el consentimiento de optar por participar de menores de edad entre 13 y 16 años antes de vender su información personal y el consentimiento de optar por participar de los padres o tutores legales de consumidores menores de 13 años.
- Proveer a los consumidores, de manera gratuita, los registros de su información personal en los últimos 12 meses (incluyendo fuentes, propósitos comerciales y categorías de las terceras partes con las que ha sido compartidas) si un consumidor pide su divulgación o eliminación.
- Responder dentro de los 10 primeros días de recibir la petición de divulgación o eliminación con información de como dicha petición ha sido procesada. Se deben dar respuestas sustanciales al consumidor después de los 45 primeros días de recibir una petición verificada.
- Incluye dos pasos para la petición de eliminación, en los que el consumidor puede someter la petición y consecuentemente acordar borrar la información personal.
- Sólo ofrecer incentivos económicos (por ejemplo, precios diferentes, tasas y calidad) por mercancías y servicios si las diferencias están razonablemente relacionadas por el valor provisto a los negocios por los datos del consumidor.
- Abstenerse de discriminaciones, basadas en la elección del consumidor de ejercitar su derecho de optar por no participar, divulgación o eliminación
Los negocios deben además actualizar su política de privacidad para incluir:
- Una descripción de los derechos (optar por no participar, divulgación y eliminación) y cómo ejercitarlos.
- Una lista de categorías de información personal que el negocio recoge, vende y divulga, junto con la actualización de la misma cada 12 meses.
- Un número de teléfono gratuito o, en el caso de que el negocio opere solamente online, un link en la web a través del cual el consumidor pueda ejercer esos derechos.
Cumple con la CCPA de manera gratuita con Cookiebot hoy.
CCPA – el derecho de optar por no participar
La CCPA otorga al consumidor el derecho de exigir a los negocios de no vender su información personal a terceras partes (CCPA; 1798.120.). Si se recibe esta petición, el negocio tiene prohibido la venta de la información personal del usuario.
Sumérgete en los derechos de la CCPA (en inglés).
Definición de “información personal” según la CCPA
La información personal se define en la CCPA como “información que identifica, relaciona, describe o es razonablemente capaz de ser asociada con, o puede razonablemente ser vinculada, directa o indirectamente, con un consumidor en particular o unidad familiar” (traducción cortesía de Cookiebot).
Información personal en la CCPA incluye:
- Identificadores tales como cookie, balizas, etiquetas de pixeles, números de teléfono, direcciones de IP, nombres de cuenta…
- Datos biométricos, como el rostro, la retina, huellas digitales, ADN, registros de voz, datos de salud…
- Datos de geolocalización como el historial de localización a través de los dispositivos.
- Actividad internauta, como el historial de navegación
- Además de datos relacionados con las características personales, comportamiento, convicciones religiosas o políticas, preferencias sexuales, etc.
Echa un vistazo aquí a ejemplos que constituyen información personal según la CCPA (en inglés).
“Optar por no participar” simplemente significa que el consumidor puede elegir directamente que un negocio deje de vender su información personal a terceras partes.
Cumplimiento del derecho de optar por no participar
Un negocio debe proveer un enlace claro en su web con el título “No Vender Mi Información Personal” (CCPA; 1798.135.a.1).
Este enlace no requiere que el consumidor cree una cuenta para prohibir al negocio vender sus datos.
Si el consumidor es menor de 13 años, los negocios tienen prohibido vender su información personal al no ser que cuenten con la autorización expresa, bien de sus padres o de sus tutores legales.
Si el consumidor está entre 13 y 15 años de edad, los negocios no podrán vender su información personal al no ser que ellos mismos hayan optado por participar en primera instancia.
La CCPA prohíbe la discriminación de aquellos consumidores basada en la elección de ejercitar sus derechos.
Esto significa que, si un consumidor elige optar por no participar en la venta de sus datos a terceras partes, o si exigen que sus datos sean eliminados, un negocio no puede cargar precios diferentes por servicios, proveer distintos niveles de calidad o negar ciertos servicios a los consumidores (CCPA; 1798.125.a).
Sin embargo, la CCPA sí autoriza a los negocios ofrecer incentivos financieros, por ejemplo, diferentes precios y calidad del servicio, por la recogida, venta o eliminación de información personal, si las diferencias son razonablemente relacionadas con el valor provisto por los datos del consumidor (CCPA; 1798.125.a.1.b).
Prueba Cookiebot gratis para prevenir la recogida y venta de los datos de tus usuarios.
CCCPA – el derecho a la petición de información
La CCPA garantiza al consumidor “el derecho a pedir que un negocio que recoge información personal de un consumidor informe a ese consumidor sobre las categorías y fragmentos específicos de información personal recogidas por ese negocio” (CCPA; 1798.100.a) – traducción cortesía de Cookiebot -.
Un consumidor tiene el derecho al acceso sobre ellas por un negocio en los últimos 12 meses.
La CCPA especifica que los consumidores tienen derecho a solicitar información sobre (CCPA; 1798.110/115):
- Las categorías y fragmentos específicos de información personal que han sido recogidos.
- Las categorías de las fuentes desde las cuales se han recogido.
- El propósito de la recogida y venta de información personal.
- Las categorías de terceras partes con quiénes el negocio comparte información personal.
Cumplir con el “derecho a la petición de información”
La petición de información tiene que ser verificable, antes de que los negocios tengan que proveer la información. (CCPA; 1798.100.c).
Si es verificable, un negocio debe, de inmediato, tomar los pasos necesarios para mostrar y entregar, de manera gratuita, la información personal al consumidor (CCCPA; 1798.100.d).
El negocio debe tener disponible dos o más métodos para entregar las peticiones (CCPA; 1798.130.a.1) y divulgar, de manera gratuita, la información requerida dentro de los primeros 45 días de recibir la petición verificable (CCPA; 1798.130.a.2).
Para cumplir con la CCPA, un negocio también necesita actualizar su política de privacidad para que incluya:
- Una descripción de los derechos (petición de información, eliminación) y cómo ejercitar esos derechos.
- La lista de categorías de información personal que recoge, vende y divulga el negocio. Esta lista debe ser actualizada cada 12 meses.
- Mantener un teléfono gratuito y/o una web para ejercitar este derecho.
Prueba Cookiebot gratis hoy para proteger a tus usuarios de la venta de datos a terceras partes.
Definición de “negocio” de la CCPA
En la CCPA, negocio es un término general que incluye tanto las compañías, corporaciones, asociaciones, colaboraciones o cualquier otra entidad legal que está organizada u operada con ánimo de lucro o beneficio financiero de sus accionistas o sus propietarios.
Sin embargo, para ser considerado un negocio por la CCPA, una empresa tiene que cumplir uno de los tres supuestos siguientes (CCPA; 1798.140.c):
- Tener unos ingresos brutos anuales que superen los 25 M. $.
- Obtenga el 50% o más de sus ingresos anuales de la venta de información personal de los consumidores.
- Compra, recibe, vende o comparte información personal de 50.000 o más residentes en California, hogares o dispositivos al año.
Esto se traduce en que si tienes un negocio pequeño que ingresa menos de 25 M. $ al año, o si menos de la mitad de las ventas de tu negocio depende de la venta de información personal a terceras partes, o si tu negocio no vende información personal de más de 50.000 californianos, la CCPA no se aplica a tu caso.
Sin embargo, si tu negocio comparte una marca común con una empresa que cumple con alguno de los tres supuestos mencionados anteriores, tu negocio estará obligado al cumplimiento de la CCPA.
Marca común significa que un negocio comparte un nombre, marca de servicios o logotipo con otro negocio.
CCPA – derecho a la petición de eliminación
La CCPA asegura al consumidor “el derecho a exigir que un negocio borre cualquiera información personal del consumidor que el negocio ha recogido del consumidor” (CCPA; 1798.105.a) – traducción cortesía de Cookiebot -.
Especifica que “un negocio que recoge información personal tiene que divulgar los derechos del consumidor de solicitar la eliminación de la información personal del consumidor” (CCPA; 1798.105.b) – traducción cortesía de Cookiebot -.
Definición de la CCPA de “recogida”, “venta” y “eliminación”
La CCPA define recogida como cualquier acción que esté relacionada con el acceso a información personal, ya sea activa o pasivamente.
Dicho de otro modo, la recogida de información tanto intencional como pasiva, tal como la dirección de IP u otros identificadores online, cuenta como recogida.
La venta se define como el intercambio, divulgación o venta de información personal a terceras partes a cambio de dinero u otro valor.
El concepto de eliminación está bastante claro. Significa la supresión permanente de información personal como ha sido solicitado por el consumidor.
Un negocio tiene que dejar claro a los consumidores que tienen el derecho de solicitar la eliminación de sus datos. Debe describir este derecho y cómo ejercitarlo.
CCPA – datos de una unidad familiar
Una de las principales áreas de ambigüedad en el Acta del Consumidor de California tiene que ver con la definición de datos, específicamente las dos categorías de “datos individuales” y “datos de una unidad familiar”.
La unidad familiar no está en sí definida en la CCPA.
Sin embargo, el borrador de las regulaciones del Fiscal General de California emitido en octubre de 2019 lo define como: “una persona o grupo de personas ocupando una sola residencia” (§; 999.301, h) – traducción cortesía de Cookiebot -.
El borrador de las regulaciones también clarifica que todos los consumidores de la unidad familiar tienen que solicitar la información antes de que un negocio tenga que cumplir con ese derecho.
Si la petición se hace por parte de consumidores que no tiene cuentas protegidas con contraseña, el negocio debe proveer la información agregada de la unidad familiar.
CCCPA vs. RGPD, comparación entre California y Europa
Así que, ¿en qué posición queda el Acta del consumidor de California en comparación de su equivalente europeo el Reglamento general de protección de datos que entró en vigor en mayo de 2018?
Pinche aquí para una comparación en profundidad entre la CCPA vs. RGPD (en inglés).
Recordatorio: ¿qué es el RGPD?
El Reglamento general de protección de datos (RGPD) es una ley europea que tiene jurisdicción global, desde el punto de vista de que protege la información personal y los datos del usuario de todos los ciudadanos europeos, sin importar de dónde sea la web o el negocio que esté gestionando los datos del usuario de la UE.
Comprueba gratuitamente si tu web cumple con el RGPD.
El quid de la cuestión del RGPD es que las webs y los negocios deben obtener el consentimiento claro e inequívoco de los usuarios previamente a cualquier procesamiento de datos personales, después de especificar todos los tipos de cookies y otras tecnologías de seguimiento presente y operativa de sus páginas. También requiere que se documente de manera segura y confidencial cada consentimiento de los usuarios.
El ámbito del RGPD es amplio y trata con todo tipo de datos (no sólo información personal), establece cómo empresas y organizaciones tienen que asegurar la transparencia y documentar el consentimiento del usuario.
Consentimiento vs. petición: las principales diferencias entre el CCPA y el RGPD
La distinción más clara y con mayores consecuencias entre las leyes europea y Californiana es el punto del consentimiento.
El RGPD garantiza el derecho al consentimiento, lo que significa que sus datos no pueden ser usados hasta que el usuario dé su consentimiento para que esto se produzca.
Este consentimiento puede ser otorgado de distintas maneras, pero el punto crucial es, que bajo el RGPD, la figura del consentimiento previo se exige por ley.
Dicho esto, la CCPA no afirma nada al respecto.
Un negocio no necesita el consentimiento previo para manejar información personal, así como una web no necesita obtener el consentimiento del usuario para vender sus datos a terceras partes.
Lo que hace la CCPA es garantizar el derecho del consumidor a solicitar – bien sea la divulgación o la eliminación de su información personal. Exigir que un negocio pare de vender sus datos. Pero este hecho ocurre después de que ya se haya efectuado tanto la recogida como la venta de dicha información.
Dónde el RGPD crea una puerta que el usuario puede cerrar, la CCPA idea una ventana que el consumidor puede abrir para saber qué información personal suya puede haber sido obtenida por un negocio.
El RGPD tiene un carácter preventivo, mientras que la CCPA es un medio de lograr la transparencia y la eliminación (de los datos recogidos durante los últimos 12 meses).
La historia detrás de la CCPA
En 1972, los votantes de California enmendaron la Constitución de California para incluir el derecho a la privacidad como uno de los “derechos inalienables” de las personas.
Cuatro décadas más tarde, la CCPA (California Consumer Privacy Act, proyecto de la asamblea núm. 375) entró en vigor el uno de enero de 2020.
El Acta de la privacidad del consumidor de California empezó desde abajo, una iniciativa común por activistas privados improbables – encabezados por un promotor inmobiliario millonario, un antiguo analista de la CIA, ejecutivo de la industria y un periodista ganador de un Pulitzer, que había trabajado sobre las filtraciones de Snowden para el Washington Post.
Californianos por la privacidad del consumidor (Californians for consumer privacy) está liderada por el promotor inmobiliario de San Francisco Alastair Mactaggart, que realizó un borrador para la propuesta de voto sobre la protección de la privacidad del consumidor para llenar el vacío legal.
“Dime lo que sabes de mí. Deja de venderlo. Mantenlo seguro”, así resume Alastair Mactaggart su propuesta (traducción cortesía de Cookiebot).
Con las revelaciones del escándalo de Facebook/Cambridge Analytica, la iniciativa de voto de California recibió su espaldarazo definitivo.
Una iniciativa de voto es un procedimiento para que el público californiano legisle de abajo a arriba, realizando un borrador para una propuesta de ley asegurándose las suficientes firmas (el ocho por ciento del total de la gente que votó en las últimas elecciones gubernamentales) para que forme parte de las elecciones generales de noviembre en ese estado en concreto. Los ciudadanos entonces tienen que decidir si aprueban o no dicha iniciativa a la vez que eligen el presidente y los representantes en el congreso.
En el caso de la CCPA, Mactaggart gastó 3 M. $ de su propio bolsillo para conseguir más de 600.000 firmas a favor de la propuesta (que era inicialmente una versión más dura y estricta de lo que eventualmente se convertiría en la CCPA), y, por lo tanto, aseguró para dicha iniciativa un sitio en las elecciones generales que tuvieron lugar en noviembre de 2018.
Situación comprometida: cómo la industria tecnológica cambió la CCPA
Con la amenaza de la aprobación de una estricta ley de privacidad con la mayoría de los votos de los ciudadanos en las elecciones generales de noviembre de 2018, la industria tecnológica empezó a presionar fuertemente contra la versión de la CCPA que se llevó a las urnas.
Una de las grandes peleas entre los autores de la versión original y la industria tecnológica, Facebook concretamente, fue el denominado derecho privado de acción (private right to action).
Era originariamente un derecho que autorizaba a los consumidores demandar a los negocios y empresas por la violación de cualquier ley, no sólo por la infracción en relación con los datos personales. La industria tecnológica se pronunció totalmente en contra por el temor a un aluvión de denuncias a las que hacer frente.
“Nosotros defendemos más divulgación como principio, pero los riesgos son mucho más altos con el derecho privado de acción”, declaró Will Castleberry, vicepresidente de Facebook para la política estatal y local (traducción cortesía de Cookiebot).
Google, Facebook, Verizon, Comcast y AT&T contribuyeron cada uno con 200.000 dólares a un comité que se oponía a la citada medida propuesta en el proyecto inicial.
También se estimó que gastarían unos 100 M. $ para hacer campaña contra la propuesta realizada en las elecciones generales de 2018.
Así que, la iniciativa quedó reducida a incluir exclusivamente el derecho a acción solamente en caso de incumplimiento de la ley en lo concerniente a la información personal (acceso sin autorización, robo, etc.).
Mactaggart, redactó el borrador de la CCPA, coescrita y patrocinada por dos legisladores demócratas, llevada a la Legislatura estatal, aprobada unánimemente y convertida en ley por el Gobernador de California el jueves, 28 de junio de 2018, todo en menos de una semana.
Su coautor, el senador Ed Chau la denominó “la luz del RGPD” (“GDPR light”).
Batallas pasadas y futuras
Batalla para reducir o ampliar la aplicación de la CCPA
La industria tecnológica, está llevando a cabo un esfuerzo de presión para limitar el ámbito de aplicación de la CCPA.
Como se estipula en la CCPA, la responsabilidad de la aplicación de la CCPA recae sobre el Fiscal general de California. Las reglas específicas de dicha aplicación se definirán por escrito por el mismo Fiscal general, a más tardar en Julio de 2020.
Esto significa que las demandas potenciales y las multas por la violación de la CCPA deberán ser llevadas a cabo por el Fiscal general y aplicadas a negocios como Google, Facebook y los otros gigantes tecnológicos que tienen sur cuarteles generales en Silicon Valley, en las afueras de San Francisco.
“Hay algo de injusto en otorgar nuevos derechos a los consumidores de California, pero negarles la posibilidad de protegerse ellos mismo en caso de que esos derechos sean violados”, el Fiscal general Becerra declaró al LA Times el 19 de abril de 2019, en respuesta a los esfuerzos para ampliar y permitir la aplicación de la CCPA por parte de los consumidores (traducción cortesía de Cookiebot).
Hasta julio de 2020, a más tardar, no se verá cómo será realmente la aplicación de la CCPA, pero el borrador de regulaciones propuesto por el Fiscal general publicado en octubre de 2019 arroja algo de luz en la dirección de dicha aplicación.
El borrador de las regulaciones está disponible en audiencia pública en California desde principios de diciembre de 2019, después de lo cual se espera que se publique un segundo borrador de las regulaciones
Batalla por una ley federal estadounidense de protección de datos
Otro elemento incierto en la aplicación de la CCPA es la posibilidad de que una ley federal sea aprobada y aplicada en la totalidad del territorio estadounidense. Esto podría, potencialmente, invalidar las regulaciones a nivel estatal, tal como la CCPA, y crear un nuevo escenario con una autoridad legal superior.
Esto también podría conllevar una versión nacional más laxa de las leyes a nivel estatal, como la CCPA.
Por supuesto, esto repercutiría en el interés de Silicon Valley, que está presionando en contra de la CCPA.
El temor de los activistas pro-privacidad y los grupos de consumidores, además de los autores y patrocinadores de la CCPA, es que una ley federal pueda ser vista como una victoria, por el hecho de que asegure una ley uniforme en todos los Estados Unidos, pero, en realidad, sea una pérdida para los consumidores, porque estas leyes federales uniformes establezcan un nivel de privacidad menos estricto que el de la CCPA.
Las esperanzas de los activistas son también, paradójicamente, que una ley federal pueda ser aún mejor que la californiana.
Su esperanza es que California sea el estándar mínimo sobre el que construir una ley federal de privacidad, en lugar de ser una realidad socavada de la misma.
Así como camina California; va la nación, como dice un vejo dicho americano.
O como dijo Alastair Mactaggart, cuando estaba visitando Washington para reunirse con los senadores clave y los oficiales de la administración de Trump para tratar el asunto, “California lidera, los otros siguen” (traducción cortesía de Cookiebot).
Protege la privacidad de tus usuarios finales con Cookiebot hoy gratis.
Los datos son el nuevo petróleo… si el petróleo estuviera vivo
Se compara a menudo a la industria tecnológica con la industria del petróleo de hace un siglo, sin regulación, monopolista y demasiado poderosa.
Los datos son el nuevo petróleo, el combustible del siglo XXI, dicen.
Esta es una comparación adecuada por muchas cosas, ya que tanto la fiebre del oro como el boom del petróleo empezaron en el sur de California. Pero pasa por alto una distinción capital que hay que tener en cuenta:
Mientras el petróleo es un recurso inanimado que da energía a las máquinas, los datos mapean el comportamiento humano que otorgan poder de la probabilidad a las infraestructuras digitales para predecir y hacer predecible la experiencia de ser una persona.
Esta recogida y monetización de nuestras vidas internas y externas ha convertido a Silicon Valley una fuerza paralela a los estados nacionales, tanto en poder como en riqueza.
Donde la industria no regulada del petróleo hizo a pocos hombres muy ricos y como consecuencia de esto también muy poderosos, la industria tecnológica desregulada está haciendo a pocos muy ricos y muy informados, y como consecuencia, inmensamente más poderosos que los magnates del petróleo del último siglo.
Este conocimiento es el patrón de conducta de las sociedades y la vida privada de billones de personas.
La recogida y monetización de este denominado conocimiento se ha vinculado a la era del capitalismo de vigilancia en el que, de acuerdo con el profesor de Harvard Business School Shoshana Zuboff, “los imperativos económicos imponen a las compañías tecnológicas líderes entrar en colisión con la democracia” (traducción cortesía de Cookiebot).
Bueno, la democracia está presentando batalla.
La CCPA se aplica específicamente al estado dorado, no es una ley federal – pero California es también la quinta economía más grande y el consenso es que la CCPA probablemente marcará el estándar de los derechos de privacidad a nivel nacional y las empresas cumplirán con la CCPA en todo Estados Unidos.
La CCPA es sin duda un hito histórico para la privacidad digital en Estados Unidos.
Google y Facebook todavía son gratis. Con la CCPA, los ciudadanos Californianos no pueden ser usados gratuitamente por Google.
Fuentes
Texto oficial de la ley CCPA (en inglés)
Texto oficial del RGPD europeo
El borrador de las regulaciones propuesto por el Fiscal general de California (en inglés)
Carta valiente instando a una privacidad más fuerte en la nueva proposición de ley de CPERA (en inglés)
Una ley federal podría hacerlo mejor que la CCPA de California (en inglés)
La ley de California podría ser el modelo para la privacidad de datos del Congreso o podría desaparecer (en inglés)
Después de evitar el congreso durantes años, las compañías tecnológicas están pidiendo ayuda (en inglés)
