La CCPA es la ley de privacidad de Estados Unidos. Si tu negocio opera en cualquier parte de EE. UU., probablemente tengas visitantes de California. Si recoges sus datos mediante formularios, la CCPA se aplica. Pero la CCPA no es la única ley de privacidad. Más de una docena de estados de EE. UU. tienen ya normativas de privacidad similares, y vienen más.
La CCPA y otras leyes de privacidad estatales son el equivalente estadounidense del RGPD europeo. Entender qué leyes de privacidad se aplican a tus formularios y qué exige cada una es esencial para cumplir la normativa en las distintas regiones de EE. UU.
Qué vas a aprender: qué es la CCPA y en qué se diferencia del RGPD, qué otros estados de EE. UU. tienen leyes de privacidad, qué exigen estas leyes a los formularios, cómo saber qué leyes se aplican a tu negocio y cómo crear formularios que cumplan varias normativas a la vez.
¿Qué es la CCPA?
La CCPA (California Consumer Privacy Act, Ley de Privacidad del Consumidor de California) es una ley de privacidad que se aplica a las empresas con ánimo de lucro que recogen información personal de residentes de California. Entró en vigor el 1 de enero de 2020 y desde entonces se ha reforzado con normativas adicionales.
La CCPA se aplica a tus formularios si:
- Tu negocio recoge datos de personas en California
- Tienes unos ingresos anuales superiores a 25 millones de dólares, o
- Recoges datos de 100 000 o más residentes (o unidades familiares), o
- Vendes datos de consumidores como práctica comercial
Incluso las pequeñas empresas suelen cumplir estos umbrales sin darse cuenta. Si tienes un formulario de contacto y has recogido información de unos cientos de residentes de California, es probable que estés cubierto.
Requisitos clave de la CCPA para los formularios
Información en un aviso de privacidad
Debes ofrecer un aviso de privacidad que informe a los visitantes de California sobre:
- Qué categorías de información personal recoges (nombre, correo, historial de compras, etc.)
- Por qué la recoges (para responder consultas, prestar servicios, hacer marketing)
- De dónde proceden los datos (directamente del consumidor en un formulario, de terceros, de estadísticas)
- Cuánto tiempo los conservas
- Con quién los compartes (proveedores de servicios, otras empresas, etc.)
El aviso de privacidad debe ser fácil de encontrar. Un enlace en el pie de página o una página de política enterrada no bastan. Colócalo donde los visitantes lo vean antes de rellenar tu formulario.
El derecho a saber
Los residentes de California pueden solicitar saber qué información personal has recogido sobre ellos. Debes poder facilitarla en un plazo de 45 días. Esto significa que necesitas sistemas para registrar qué datos tienes de cada persona y un proceso para responder a estas solicitudes.
El derecho a eliminar
Los residentes de California pueden pedirte que elimines su información personal. Debes cumplir salvo que tengas un motivo legal para conservarla (como registros fiscales o prevención del fraude). Esto se aplica a todos los envíos de formularios y datos de clientes que tengas de ellos.
El derecho a negarse a la venta
Si vendes datos personales a otras empresas (aunque no lo consideres "vender"), los residentes de California pueden negarse. Según la CCPA, "vender" incluye compartir datos con terceros a cambio de dinero, servicios u otros beneficios de valor. Debes ofrecer en tu web un enlace "Do Not Sell My Personal Information" (No vender mi información personal).
El derecho a rectificar
Los consumidores pueden solicitar que corrijas la información personal inexacta que tengas sobre ellos. No estás obligado a cambiar todo lo que pidan, pero debes tener un proceso para revisar y responder a estas solicitudes.
Sin discriminación
No puedes discriminar a nadie por ejercer sus derechos según la CCPA. Si alguien pide que se eliminen sus datos, no puedes negarte a atenderlo ni cobrarle más por tus servicios.
CCPA y RGPD: diferencias clave
La CCPA y el RGPD protegen datos personales, pero tienen diferencias importantes:
| Aspecto | RGPD | CCPA | |-|-|-| | Se aplica a | Datos de residentes de la UE, de cualquier empresa | Datos de residentes de California, de empresas más grandes | | Consentimiento | Se exige consentimiento explícito previo (salvo para datos esenciales) | Modelo de exclusión voluntaria (los datos se recogen salvo que pidas lo contrario) | | Derecho al olvido | Sí | Sí, pero con más excepciones | | Multas | Hasta 20 millones de euros o el 4 % de los ingresos | Hasta 2500 por infracción, hasta 7500 por infracción intencionada | | Venta de datos | No permitida sin consentimiento | Permitida salvo que el consumidor se niegue |La diferencia clave es que el RGPD exige pedir permiso antes de recoger datos. La CCPA exige informar a las personas de que pueden negarse.
Otras leyes de privacidad estatales de EE. UU.
Más de una docena de estados más han aprobado leyes de privacidad similares a la CCPA. Estas son las principales:
Virginia (VCDPA)
La Virginia Consumer Data Protection Act se aplica a las empresas con ánimo de lucro que tratan datos personales de residentes de Virginia. Exige derechos del consumidor de acceso, eliminación, rectificación y exclusión de la venta de datos.
Colorado (CPA)
La Colorado Privacy Act abarca a las empresas que tratan datos de residentes de Colorado. Es parecida a la CCPA, pero con algunas diferencias de alcance y de aplicación.
Connecticut (CTDPA)
La Connecticut Data Privacy Act, en vigor desde julio de 2024. Derechos del consumidor similares a los de la CCPA y la VCDPA.
Utah (UCPA)
La Utah Consumer Privacy Act es notablemente menos estricta que las demás, pero aun así exige derechos de exclusión voluntaria para el consumidor.
Montana, Delaware, Iowa y otros
Otros estados han aprobado o están estudiando leyes de privacidad. La mayoría sigue el modelo de la CCPA de derechos de exclusión voluntaria del consumidor, con alguna variación en los requisitos.
Cómo saber qué leyes se aplican a tus formularios
Para averiguar con qué leyes de privacidad debes cumplir:
- Identifica de dónde vienen tus visitantes. Usa las estadísticas para ver qué estados y regiones están representados.
- Consulta la ley de cada región. Para los estados de EE. UU., revisa la web de la fiscalía general del estado. Para otros países, investiga sus leyes de privacidad.
- Comprueba los umbrales. ¿Tu empresa alcanza los umbrales de tamaño? ¿Tienes suficientes clientes en esa región?
- Consulta con un asesor legal si tienes dudas. La ley de privacidad es compleja y varía según la región. Si tu negocio recoge grandes cantidades de datos, habla con un abogado.
Cómo crear formularios que cumplan varias leyes de privacidad
Si tus visitantes vienen de distintos estados y países, tienes que seguir las normas más estrictas que se apliquen.
Aplica las reglas del RGPD para todos
Si tienes algún visitante de la UE, sigue las reglas del RGPD. El RGPD es una de las leyes de privacidad más estrictas, así que cumplirlo suele significar que cumples también otras leyes.
Usa consentimiento explícito para los datos sensibles
En lugar de intentar seguir reglas distintas para visitantes distintos, usa consentimiento explícito (el estándar del RGPD) para todo. Es más limpio y más protector. Haz que las opciones de consentimiento sean claras, concretas y separadas para los distintos usos de los datos.
Incluye el aviso de privacidad en el formulario
Incluye en la página del formulario un resumen claro y legible de tus prácticas con los datos. Enlaza a tu política de privacidad completa. Así cumples a la vez los requisitos de información de varias leyes.
Facilita la exclusión voluntaria
Ofrece una forma de darse de baja de los correos de marketing o de pedir la eliminación de los datos. Inclúyela en cada correo de marketing que envíes (es obligatorio por ley) y en tu web (es una buena práctica).
Lleva buenos registros
Documenta qué datos recoges, por qué los recoges, cuánto tiempo los conservas y quién tiene acceso a ellos. Esto te ayuda a responder rápido a las solicitudes de datos y demuestra que cumples si te lo pide un regulador.
Multas y sanciones de las leyes de privacidad
La CCPA y las leyes de privacidad estatales conllevan sanciones económicas:
- CCPA (California): hasta 2500 dólares por infracción y 7500 dólares por infracción intencionada. Lo aplica la fiscalía general del estado y, en ciertos casos, los consumidores también pueden demandar.
- Virginia, Colorado, Connecticut, etc.: las multas van de 2500 a 10 000 dólares por infracción, y algunas leyes permiten además que los consumidores demanden.
Aunque estas multas son menores que las del RGPD, se acumulan rápido cuando hay varias infracciones o cuando una filtración de datos afecta a miles de personas.
Qué hace WEMASY para cumplir las leyes de privacidad
Los formularios de WEMASY incluyen herramientas para ayudarte a cumplir las leyes de privacidad estatales y federales. Puedes añadir avisos de privacidad a tus formularios, registrar qué versión de tus términos de consentimiento aceptó cada visitante y dar a tu equipo procesos para gestionar las solicitudes de acceso y eliminación de datos. WEMASY también registra qué datos se guardan y cuándo se enviaron, para ayudarte a mantener los registros que necesitas en las auditorías de cumplimiento.
Consulta qué funciones de cumplimiento de privacidad incluye tu plan en la página de precios.