Nadie está listo para la nueva ley de privacidad de consumo de California
Ilustración por Alex Castro / The Verge
La Ley de Privacidad del Consumidor de California entra en vigor el 1 de enero, y no parece que nadie, incluso el propio estado de California, esté totalmente listo. Los proyectos de reglamentos para hacer cumplir la ley todavía se están ultimando a nivel estatal, y las preguntas sobre aspectos específicos de la regulación de la privacidad más amplia desde el Reglamento General de Protección de Datos (RGPD) de la Unión Europea todavía no están claras.
“Si pensabas que el RGPD era accidentado, el CCPA va a ser una verdadera montaña rusa”, le dice Reece Hirsch a The Verge. Hirsch es co-director de la práctica de privacidad y ciberseguridad de Morgan Lewis y ha estado asesorando a los clientes sobre cómo adaptarse a la nueva ley. “Este es un conjunto complejo de nuevas reglas, que siguen siendo un trabajo en curso”.
El quid del CCPA es el siguiente: si su empresa compra o vende datos de al menos 50.000 residentes de California cada año, usted tiene que revelar a esos residentes lo que está haciendo con los datos, y, pueden solicitarque que no los venda. Los consumidores también pueden solicitar a las empresas vinculadas por el CCPA que eliminen todos sus datos personales. Y como informó The Wall Street Journal, se supone que los sitios web con seguimiento de terceros agregan un botón “No vender mi información personal” que, si se hace clic, prohíbe que el sitio envíe datos sobre el cliente a terceros, incluidos los anunciantes.
A pesar de la entrega antes de su fecha límite el año pasado, la adopción oficial del RGPD fue tan suave como cabría esperar. Facebook y Google ya se enfrentan a demandas multimillonarias por presuntas violaciones del RGPD, pero pasarán años antes de que se cierren esas demandas. Hasta ese momento, las pequeñas empresas sólo tendrán una idea confusa de cómo podrían ser vulnerables a la regla, y el cumplimiento sigue siendo algo así como un rompecabezas.
Pero es probable que el CCPA sea un desafío de cumplimiento aún mayor. Es la primera legislación amplia en los Estados Unidos que da a los consumidores control sobre cómo se usa su información personal en línea, y puede indicar cómo otros estados tratarán de proteger la privacidad de sus residentes, dice Hirsch.
Está aconsejando a los clientes no solo actualizar sus políticas de privacidad, sino también crear procesos para retener copias de cualquier información personal recopilada sobre los consumidores. Hirsch también está aconsejando a las empresas que determinen quién responderá y atenderá las solicitudes de información de los consumidores y la eliminación de esa información.
El Fiscal General de California Xavier Becerra dijo a principios de este mes que aunque la aplicación generalizada del CCPA no es probable hasta julio, las empresas no deben ver los primeros seis meses del año como un período de gracia. “Vamos a tratar de ayudar a la gente a entender nuestra interpretación de la ley”, dijo Becerra la semana pasada, como lo citó el San Francisco Chronicle. “Y una vez que hayamos hecho esas cosas, nuestro trabajo es asegurarnos de que haya cumplimiento, así que haremos cumplir”.
James Steyer, CEO de la organización de defensa de la privacidad infantil Common Sense, dice que cree que la mayoría de las empresas están haciendo esfuerzos de buena fe para cumplir con el CCPA. Microsoft anunció el mes pasado que planea implementar las disposiciones de la CCPA no sólo en California, sino también para todos sus clientes.
Facebook parece estar adoptando un enfoque diferente hacia el CCPA, haciendo hincapié en que “no vendemos los datos de las personas”, según una entrada de blog de diciembre. Facebook dice que ya tiene herramientas para permitir a los usuarios acceder y eliminar su información, dondequiera que vivan. El servicio tiene una página de CCPA donde los residentes de California pueden solicitar información sobre cualquiera de sus productos: WhatsApp, Instagram, Portal, Messenger Kids y Facebook. Como resultado, Facebook se ve a sí misma en gran medida ya cumpliendo con CCPA.
Steyer se opone a la postura de Facebook, ya que, como él dice, el modelo de negocio de la compañía se basa en la recopilación y monetización de los datos de sus usuarios. California debería estar al tanto de cómo las empresas recopilan y usan los datos de sus clientes, no solo si venden esos datos, añade.
“Como lamentablemente se ha convertido en la costumbre, Facebook es el mayor atípico”, dice Steyer. “Becerra va a tener que centrarse en tener empresas como Facebook para tener cuenta”.
Facebook declinó seguir comentando.
Hirsch dice que no está del todo claro lo que California está usando como su definición de una “venta” de información al consumidor. Otro problema: ¿Cómo se va a asegurar una empresa de eliminar los datos del cliente correcto sin recopilar más información para verificarlos?
“La definición amplia de ‘venta’ es un punto débil para muchas empresas porque potencialmente incluye compartir información para publicidad en línea”, dice Hirsch. Los acuerdos de proveedores de servicios son otra área en la que las empresas tendrán que examinar de cerca sus prácticas; un acuerdo con un subcontratista o proveedor debe detallar cuidadosamente cómo se utiliza o comparte cualquier información personal, agregó Hirsch.
La mayoría de las grandes empresas tecnológicas, dice Steyer, consideran que el CCPA está en sus intereses a largo plazo porque creará más confianza entre los consumidores. Pero con su gran número de gaffes de privacidad en los últimos años, es desconcertante por qué Facebook no aprovecharía la oportunidad de mejorar su historial de privacidad.
“Este es un momento histórico, es la primera gran legislación integral de privacidad aprobada en los Estados Unidos desde que Zuckerberg estaba en el jardín de infantes”, dice Steyer. “Pero Facebook está tratando de encontrar maneras de sortear la ley”.
Contact Information:
Keywords: afds, afdsafds
