EE. UU. no tiene una ley federal de privacidad integral, pero varias leyes estatales exigen ya una analítica que cumpla la privacidad. La CCPA de California (y su sucesora, la CPRA) sentó el precedente. Hoy existen leyes parecidas en Virginia, Colorado, Connecticut, Utah, Montana y Delaware. Si tu web es de EE. UU. y suponemos que tienes visitantes de varios estados, probablemente debas cumplir varias de estas leyes a la vez.
Cómo funciona la CCPA/CPRA
La CCPA (California Consumer Privacy Act) se aplica a las empresas con ánimo de lucro que recogen datos de residentes de California. Exige avisar de la recogida de datos, informar de qué datos se recogen y por qué, y reconocer a los usuarios los derechos de acceso, borrado y rechazo de la venta de datos. La CPRA (California Privacy Rights Act), que modificó la CCPA, añade requisitos de consentimiento más estrictos y el derecho de los consumidores a corregir datos inexactos.
Qué activa la CCPA
La CCPA se aplica si tu empresa cumple cualquiera de estas condiciones: más de $25M de ingresos anuales, compra, vende o comparte datos de más de 100k personas u hogares, o saca el 50% o más de sus ingresos de vender datos de consumidores. Muchas empresas medianas la activan sin darse cuenta.
La CCPA se aplica a la "información personal": datos que identifican, se relacionan o podrían vincularse con una persona concreta. Es más amplio que el GDPR. Incluye inferencias sobre preferencias, ubicación, comportamiento comercial y más. En analítica, casi todo el seguimiento cuenta.
Los derechos de la CCPA que debes respetar
Derecho a saber: los usuarios pueden pedir qué información personal has recogido y cómo la has usado. Debes responder en 45 días (ampliables a 90). La comunicación debe ser completa.
Derecho a borrar: los usuarios pueden pedir que borres su información personal. Debes cumplir en 45 días. Sin embargo, puedes conservar datos por fines de negocio legítimos (por ejemplo, detección de fraude) o por cumplimiento legal.
Derecho a rechazar la venta: los usuarios pueden pedir que dejes de vender sus datos. Debes atenderlo en 15 días hábiles. Ojo: en la CCPA, "venta" incluye compartir a cambio de cualquier cosa de valor, no solo dinero.
Derecho a corregir: con la CPRA, los usuarios pueden pedir que corrijas datos inexactos. Es algo nuevo y directo: si el dato está mal, corrígelo.
Aceptación previa frente a rechazo posterior
La CCPA usa el rechazo posterior (opt-out) para la venta de datos: se pueden vender los datos de los usuarios salvo que lo rechacen. La CPRA y las leyes estatales más nuevas usan la aceptación previa (opt-in) para los datos sensibles: necesitas permiso explícito antes de recoger información sensible (ubicación exacta, números de la seguridad social, datos financieros, etc.). En analítica, da por hecho que necesitas consentimiento previo bajo las leyes más nuevas.
Otras leyes de privacidad estatales
Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Montana (MTDPA) y Delaware (DPDPA) aprobaron leyes de privacidad integrales. Siguen el modelo de la CCPA/CPRA: dan a los usuarios derechos a saber, borrar y rechazar. Los detalles varían según el estado, pero el patrón general es coherente.
¿Debes cumplirlas todas?
Depende de tu público. Si atiendes sobre todo a California, céntrate en la CCPA/CPRA. Si atiendes a varios estados, la mayoría de las empresas usa un estándar de privacidad al nivel del GDPR (que supera la mayoría de los requisitos de las leyes estatales de EE. UU.) y lo aplica a todos los visitantes. Es más sencillo que cumplir estado por estado.
La realidad de varios estados
La mayoría de las webs tiene visitantes de varios estados. Algunas atienden a los 50. En lugar de mantener prácticas de analítica distintas por estado, la mayoría de las empresas adopta el estándar más estricto al que está sujeta y lo aplica a todos. Esto reduce la complejidad y asegura que nunca incumples.
Cumplir la CCPA/CPRA en la práctica
Cumplir requiere: una política de privacidad que explique qué datos recoges y por qué; mecanismos claros para rechazar la venta de datos (si procede); poder responder a las solicitudes de acceso a datos en 45 días; sistemas para borrar los datos de usuarios cuando lo pidan; y un marketing honesto sobre tus prácticas con los datos (sin mentir sobre lo que recoges o cómo lo usas).
Sanciones y aplicación de la CCPA
El fiscal general de California puede multar hasta con $2,500 por infracción (o $7,500 por infracción intencionada). Los consumidores pueden presentar acciones privadas por brechas de datos (daños legales de $100-$750 por persona e incidente). Las demandas colectivas son habituales. El impacto práctico: una infracción de la CCPA puede costar fácilmente entre $1 y $10M si afecta a muchos usuarios.
GDPR frente a CCPA frente a las leyes estatales
El GDPR es más estricto con el consentimiento. La CCPA es más amplia en lo que cuenta como dato personal. Las leyes estatales siguen el modelo de la CCPA con variaciones. Si cumples el GDPR (basado en el consentimiento y con la transparencia primero), cumples en su mayor parte la CCPA y las leyes estatales. Lo contrario no siempre es cierto: cumplir la CCPA puede no bastar para el GDPR.
¿Me afecta realmente la CCPA? ¿Cómo sé si alcanzo el umbral de $25M?
La CCPA te afecta si cumples CUALQUIERA de tres condiciones: más de $25M de ingresos anuales, comprar, vender o compartir datos de más de 100k personas, o sacar el 50% o más de tus ingresos de la venta de datos. El umbral de $25M es sencillo (los ingresos del año pasado). El de más de 100k es más delicado: si tu proveedor de analítica trata datos de más de 100k visitantes, esto podría activarlo (compartes datos). El de 50% o más se aplica si la venta de datos es tu negocio principal (poco frecuente). Para la mayoría de las empresas medianas, el obstáculo es el umbral de $25M. Revisa: ¿tus ingresos del último año superaron los $25M? Si es así, se aplica la CCPA.
¿Qué cuenta como dato personal bajo la CCPA y bajo el GDPR? ¿Por qué es más amplia la CCPA?
GDPR: identifica a la persona de forma directa (nombre, email) o indirecta (dirección IP). CCPA: más amplia, incluye todo lo que cubre el GDPR MÁS inferencias y predicciones. Ejemplo: cinco visitas a páginas de una tienda online. GDPR = dato personal (ID de sesión). CCPA = dato personal MÁS preferencia inferida (la inferencia de que te gusta comprar). La CCPA incluye datos de comportamiento y predictivos que el GDPR podría no incluir. En analítica: una visita de página es dato personal en ambos casos. Una inferencia de comportamiento ("interesado en artículos de lujo") es sin duda dato personal para la CCPA y quizá no para el GDPR. La amplitud de la CCPA hace que más datos activen el cumplimiento, lo que la hace más difícil que el GDPR para algunas empresas.
Cuando un usuario pide el borrado, ¿qué fines legítimos me permiten conservar datos?
El borrado de la CCPA tiene excepciones. Puedes conservar datos para: (1) Detección de fraude y seguridad. (2) Cumplimiento legal (impuestos, contratos, litigios). (3) Mejorar productos (solo si están anonimizados o agregados). (4) Analítica interna (solo si está anonimizada). (5) Cumplir las expectativas del usuario (si prometiste conservarlos). En analítica: vulnerar la seguridad = conservar. Retención legal = conservar. "Podría servir más adelante" = borrar. Prueba: ¿podrías explicárselo a un regulador y que se sostenga? Si es así, conserva. Si es especulativo, borra.
¿Por qué el plazo para rechazar la venta es de 15 días y el de acceso es de 45?
La complejidad es distinta. Rechazar la venta de datos es sencillo: añadir al usuario a la lista de no vender (un cambio de configuración, unos días de trabajo). 15 días hábiles (3 semanas) es razonable. Las solicitudes de acceso son más difíciles: recuperar todos los datos de todos los sistemas, compilarlos, darles un formato legible y entregarlos. Esto exige consultar varias bases de datos, señalar los datos sensibles y crear un documento legible. 45 días (9 semanas) es realista para este trabajo. La ley reconoce la diferencia de complejidad. En analítica: el rechazo tarda 2-3 días (añadir a la lista de supresión). La solicitud de acceso tarda más de 30 días (sacar datos de analítica, CRM, soporte, etc.).
El derecho de acción privada es de $100-$750 por persona. ¿Cómo se calcula?
Daños legales: una cantidad fija por persona e incidente, que no depende del daño real. Ejemplo: una brecha afecta a 10,000 personas. 10,000 × $100 mínimo = $1M en daños legales. Si se reclaman $750 por persona = $7.5M. El demandado llega a un acuerdo en un punto intermedio. "Por incidente" significa que una brecha = un incidente (no 10,000). Varias brechas acumulan daños. Realidad: una brecha de 10,000 personas cuesta con facilidad entre $1 y $10M en daños legales más honorarios de abogados. Los demandados llegan a acuerdos en demandas colectivas por el 50-70% de los daños legales reclamados. Por eso la prevención es crítica: los daños legales son automáticos una vez probada la brecha.
Para cumplir en varios estados, ¿debo aplicar reglas específicas por estado o usar el estándar del GDPR?
Usa el estándar del GDPR para todos. El GDPR es más estricto que todas las leyes estatales de EE. UU. Si cumples el GDPR, superas de forma automática la mayoría de los requisitos estatales. Las reglas por estado son complejas de operar (banners, conservación y rechazos distintos por estado). El estándar del GDPR es más simple: un único conjunto de reglas cubre todos los estados. Excepción: si solo atiendes a uno o dos estados, optimiza para ellos. Pero con 5 estados o más, o con los 50, el estándar del GDPR es más fácil. Estrategia: construye al nivel del GDPR, añade una interfaz específica de California (enlace para rechazar) y configura la analítica como si el GDPR se aplicara a todos los estados. Cumplirás de más en la mayoría de los estados, lo cual es más seguro que cumplir de menos.