Definición de información personal según la CCPA
En la CCPA se define información personal como:
“información que define, se relaciona, describe, es razonablemente capaz de ser asociada con, o podría ser vinculada de manera razonable, directa o indirectamente, con un consumidor o unidad familiar en particular” (traducción cortesía de Cookiebot).
Según la CCPA, la PII (personally identificable information – información identificable personalmente) es una categoría amplia que incluye datos que van desde los más directos e intuitivos hasta aquellos que en primera instancia pueden no parecer información personal en absoluto.
Así, la información personal, según está definida por la CCPA engloba:
- Identificadores directos, tales como el nombre real, el alias, dirección postal, número de la seguridad social, carné de conducir, información del pasaporte y firma.
- Identificadores indirectos, tales como cookies, balizas, etiquetas de pixeles, números de teléfono, direcciones de IP, nombre de cuentas…
- Datos biométricos, como el rostro, la retina, las huellas, ADN, grabaciones de voz, datos médicos…
- Datos de geolocalización, tales como el historial de localización a través de dispositivos…
- Actividad internauta, como el historial de navegación, de búsquedas, datos de interacción en una web, aplicación o publicidad.
- Información sensible, podría ser características personales, comportamiento, convicciones políticas o religiosas, preferencias sexuales, expediente académico, trayectoria profesional, datos financieros y médicos….
En la CCPA, la información personal no tiene limitaciones de formato o medio, lo que significa que incluso fotos o sonidos pueden ser considerados como información personal, si se encuentran dentro de la definición que incluye la citada ley.
Sin embargo, la definición de información personal recogida en la CCPA no incluye información sin identificar/anónima, además de la información agregada (por ejemplo, información sobre múltiples usuarios que no contiene información identificable personalmente) – con la excepción de los datos de la unidad familiar, que repasaremos a continuación.
Prueba Cookiebot gratuitamente hoy para saber qué información personal recoge tu web.
Ejemplos de información personal según la CCPA
Utilizar datos (que en sí mismo no constituyen información personal) para realizar inferencias con el propósito de la creación de perfiles de consumidores, que consistan en el comportamiento del consumidor, convicciones, preferencias, inteligencia, habilidades y características puede ser considerado por la CCPA como información personal.
Esta amplia definición de PII dentro de la CCPA es un salto cualitativo dentro de la privacidad de datos en Estados Unidos porque se la relaciona directamente con la industria tecnológica billonaria de la publicidad conductual, basada en la recogida de datos personales, por la cual, según encuestas recientes, los norteamericanos están preocupados y desean que sea regulada (en inglés).
Esto significa que el uso de cookies, balizas web y conectores de redes sociales en tu web puede acarrear responsabilidades bajo la CCPA, si tus terceras partes recogen bien información personal directamente a través de dichos medios o datos que pueden ser utilizados para crear perfiles identificables con el propósito de llevar a cabo publicidad personalizada.
¿Qué dice la CCPA sobre las cookies? (en inglés).
En otras palabras, si los datos tienen el potencial de, en última instancia, desembocar en la identificación de un individuo, pueden ser considerados información personal por la CCPA, ya que la ley define información persona como “razonablemente capaz” de ser vinculada a un individuo o a una unidad familiar.
En otras palabras, la definición de información personal de la CCPA incluye no sólo datos identificables, sino también los datos que pueden hacer posible dicha identificación.
Esto incluye cookies, historial de navegación y estadísticas de la web como la monitorización del comportamiento del usuario en un dominio específico (durante cuánto tiempo el ratón se desplaza y sobre qué, velocidad de desplazamiento, clics, etc.), ya que esto, a través de combinación o inferencias, podrían llevar a la identificación de un individuo.
La definición de datos de una unidad familiar, según la CCPA
Según la CCPA, información personal también incluye un subgrupo de datos denominado información de la unidad familiar.
El concepto de Información de la unidad familiar ha sido discutido activamente desde la aprobación de la CCPA y criticado por su carácter ambivalente.
La definición de información personal de la CCPA, no especifica más allá lo que significa datos de la unidad familiar y como se debería proceder al respecto.
Sin embargo, las regulaciones de su aplicación propuestas por el Fiscal general de California (en inglés) define la unidad familiar como:
“una persona o grupo de personas que ocupan una misma vivienda” (traducción cortesía de Cookiebot).
El borrador de las regulaciones publicado por el Fiscal general especifica qué negocios pueden proveer información de la unidad familiar a peticiones de consumidores como datos agregados, en caso de que dichas peticiones provengan de cuentas que no estén protegidas por contraseña.
El borrador de las regulaciones de la CCPA también especifica que todos los miembros de la unidad familiar deben solicitar la información y/o eliminación de la información de la unidad familiar, antes de que un negocio se vea obligado a cumplir con dicha petición.
Si se produce esa solicitud conjunta, los negocios se ven obligados a responder, si pueden verificar individualmente a todos los miembros de esa unidad familiar.
El borrador del Fiscal general sobre la regulación dentro de la CCPA de la definición de información personal, entre otras cosas, estará listo y abierto para debate público el 6 de diciembre, después de que se haya emitido el segundo borrador.
La fecha límite para la aplicación de las regulaciones es julio de 2020.
Prueba nuestro escáner gratuito Cookiebot hoy para encontrar todas las cookies y rastreadores que recogen y procesan información personal de tus usuarios finales en tu dominio.
Cookiebot, la CCPA y la información personal
Si tu negocio tiene una web, casi seguramente, de una manera u otra, recoges lo que la CCPA define como información personal.
Sumérgete en la CCPA, datos personales y cumplimiento de la ley, aquí.
Dada la amplia definición de información personal según la CCPA, tanto las cookies propias como las de terceros pueden ser consideradas como identificadores indirectos, razonablemente capaces de identificar a un individuo a través de la recogida de información personal tal como el historial de navegación, seguimiento cruzado de webs, direcciones de IP u otros datos de conducta que rastreadores y conectores de tu web recogen de tus usuarios finales.
Una parte importante para un negocio a la hora de cumplir con la CCPA es saber la composición exacta de su web – qué cookies y rastreadores se esconden detrás de su fachada y qué terceras partes operan recogiendo información personal (por las cuáles el negocio es responsable).
Gracias a la CCPA, los datos personales ya no son una mercancía con la que los negocios pueden sacar provecho, vender y comercializar, sin pensar en el consumidor. En California, la información personal ha pasado a estar en manos de los propios usuarios finales.
Cumplimiento de la CCPA con Cookiebot
Cookiebot trabaja para proteger la privacidad y la independencia del individuo en las infraestructuras digitales, y estamos emocionados al ver las estrictas leyes de privacidad que están surgiendo alrededor del mundo – desde Europa a Estados Unidos.
Cookiebot es una solución para cumplir tanto con la CCPA como con el RGPD – dependiendo de cuál sea tu configuración y las necesidades de su negocio además de dónde estén localizados tus usuarios finales.
Cookiebot escanea tu web, descubre todas las cookies y tecnologías de seguimiento online similares en la misma e impide que ninguna de ellas recoja información personal hasta que tus usuarios finales hayan dado su consentimiento a qué rastreadores permiten activar, según requiere el RGPD europeo.
Cookiebot también soporta la exigencia de la CCPA de tener el link de No Vender Mi Información Personal en la web de un negocio.
Prueba gratis Cookiebot hoy si tu negocio y sus webs tienen visitantes de la UE o de California cuya información personal recoges a través de cookies, tecnologías de seguimiento similares y/o enlaces a redes sociales en tus dominios.
De esta manera puedes asegurarte la transparencia y la protección de tus usuarios finales, además de garantizar el cumplimiento de la CCPA.
Fuentes
¿Cómo cumplen los negocios con la CCPA?
¿Cuáles son las diferencias entre la CCPA y el RGPD europeo?
