Una guía práctica de Sus derechos de privacidad según CCPA

Ampliada por la CPRA, la ley californiana concede derechos de privacidad del consumidor CCPA muy concretos sobre la información personal que guardan las empresas cubiertas.

La Ley de Privacidad del Consumidor de California, ampliada por la Ley de Derechos de Privacidad de California, otorga a los residentes de California derechos prácticos sobre la información personal en poder de las empresas cubiertas. No es idéntica a la GDPR, pero se ha convertido en una de las leyes de privacidad más importantes para los sitios web, aplicaciones y equipos de marketing de EE. UU.

Esta guía está dirigida a consumidores y equipos que necesitan comprender qué tienen derecho a solicitar los usuarios.

¿A quién protege el CCPA?

El CCPA protege a los residentes de California. Una empresa puede estar cubierta incluso si no está ubicada físicamente en California, siempre que haga negocios en California y cumpla con los umbrales de la ley.

La Agencia de Protección de la Privacidad de California explica en sus Preguntas frecuentes que la información personal es amplia. Puede incluir identificadores, actividad de navegación, información comercial, geolocalización precisa, datos biométricos, inferencias e información personal sensible como identificadores gubernamentales, información de salud, origen racial o étnico, creencias religiosas, afiliación sindical y el contenido de ciertas comunicaciones.

Tus Principales Derechos CCPA

Derecho a saber

Puede preguntarle a una empresa cubierta qué categorías de información personal recopiló, de dónde provino, por qué se recopiló, qué categorías de terceros la recibieron y si se vendió o compartió.

También puede solicitar información personal específica, aunque las empresas pueden retener ciertos valores confidenciales por razones de seguridad.

Derecho a eliminar

Puede pedirle a una empresa que elimine la información personal que recopiló sobre usted. Este derecho tiene excepciones. Una empresa tiene permitido conservar la información necesaria para completar una transacción, detectar incidentes de seguridad, cumplir con obligaciones legales, ejercer la libertad de expresión o utilizar la información internamente de manera compatible con el contexto original.

Derecho a corregir

Puede pedirle a una empresa que corrija información personal inexacta. Esto es especialmente importante para los datos del perfil, los datos de la cuenta, los registros de facturación y las decisiones de elegibilidad.

Derecho a optar por no vender o compartir

El CCPA cubre más que las ventas literales de dinero por datos. Compartir información personal para publicidad conductual multicontexto puede generar derechos de exclusión voluntaria. Los sitios web que venden o comparten información personal necesitan un mecanismo claro de "No vender ni compartir mi información personal".

California también exige que las empresas respeten las señales válidas de preferencia de exclusión voluntaria en muchos contextos. El Global Privacy Control es la señal de navegador más conocida. La CPPA ha publicado materiales sobre las próximas actualizaciones regulatorias CCPA que continúan enfatizando las señales de preferencia de exclusión voluntaria y la elección del consumidor.

Derecho a limitar la información personal sensible

Puede limitar ciertos usos y divulgaciones de información personal confidencial. Por ejemplo, la geolocalización precisa, la información de salud y los identificadores gubernamentales no deben usarse para elaborar perfiles no relacionados si el consumidor ha limitado ese uso.

Derecho a la no discriminación

Una empresa no puede tomar represalias contra usted por ejercer los derechos CCPA. No puede negar bienes o servicios, cobrar un precio diferente ni proporcionar un nivel de servicio diferente porque usted realizó una solicitud de privacidad, a menos que se aplique un programa de incentivo financiero permitido y se divulgue adecuadamente.

Cómo ejercer sus derechos

Busque un enlace a la política de privacidad en el pie de página del sitio web. Una empresa cubierta debe explicar los métodos de solicitud, los pasos de verificación, los métodos de exclusión voluntaria y las categorías de datos recopilados.

Para solicitudes de acceso, eliminación o corrección, es posible que deba verificar su identidad. Las empresas no deberían exigir más información de la necesaria para la verificación. Para las solicitudes de exclusión voluntaria, generalmente no deberían obligarlo a crear una cuenta.

Una petición práctica puede ser breve:

Soy residente de California y ejerzo mis derechos CCPA. Proporcione las categorías y piezas específicas de información personal que recopiló sobre mí, las categorías de fuentes, propósitos, categorías de terceros y si mi información personal fue vendida o compartida. Elimine también la información personal que no esté sujeta a una excepción.

Guarde una copia de la solicitud y la fecha. Si utilizas un navegador que admita Global Privacy Control, habilítelo como señal adicional.

Lo que las empresas deberían aprender del CCPA

Para los equipos de análisis y marketing, el CCPA crea un trabajo operativo real:

• Sepa si tu proveedor de analítica recibe información personal.
• Decide si las integraciones publicitarias cuentan como venta o uso compartido.
• Respetar las señales de preferencia de exclusión voluntaria.
• No envíe información personal sensible a eventos de analítica.
• Mantener un mapa de datos que conecte cookies, píxeles, formularios, registros CRM y plataformas publicitarias.
• Hacer posible la eliminación y corrección entre proveedores, no solo en su base de datos principal.

La analítica que priorizan la privacidad reducen la carga porque la medición agregada y sin cookies evita muchos flujos de datos de alto riesgo. Si tu herramienta de analítica no identifica a los visitantes, no configura cookies de seguimiento y no comparte datos para publicidad, las operaciones CCPA se vuelven más simples.

CCPA frente a GDPR

El GDPR parte de un modelo de base legal: las organizaciones necesitan una base legal válida antes de procesar datos personales. El CCPA está más orientado al control del consumidor: las empresas pueden procesar muchas categorías de información, pero deben proporcionar avisos, derechos de acceso, derechos de eliminación y opciones de exclusión voluntaria para la venta, el intercambio y el uso de datos confidenciales.

La diferencia práctica es la carga. GDPR impone más responsabilidad a las organizaciones antes de que comience el tratamiento. CCPA brinda a los consumidores herramientas sólidas, pero a menudo los consumidores tienen que notar el problema, encontrar el control y actuar. Por eso es importante la privacidad desde el diseño. Una empresa que recopila menos datos crea menos dolores de cabeza en materia de derechos de los consumidores y menos problemas de confianza.

Cuando una empresa no responde

Si una empresa ignora una solicitud, da una respuesta incompleta o dificulta innecesariamente la exclusión voluntaria, conserve capturas de pantalla y copias de la solicitud. Los residentes de California pueden presentar quejas ante la Agencia de Protección de la Privacidad de California o el Fiscal General de California. Para los usuarios habituales, el primer paso más eficaz es una solicitud clara por escrito, seguida de un recordatorio que indique el derecho que se está ejerciendo.

Para las empresas, la lección es hacer operativas las solicitudes de privacidad antes de que se conviertan en quejas. Un enlace de pie de página no es suficiente si el servidor no puede encontrar, eliminar, corregir o suprimir los datos relevantes.

CCPA Lista de verificación de acciones

Los consumidores deben saber el derecho que están ejerciendo: acceso, eliminación, corrección, exclusión voluntaria de la venta, exclusión voluntaria de compartir publicidad conductual en contextos cruzados, limitación de información personal sensible o no discriminación. Mantén la solicitud breve, guarde la fecha y conserve las capturas de pantalla si la empresa dificulta el proceso.

Las empresas deberían traducir esos derechos en controles operativos. Mapee cookies, píxeles, formularios, registros CRM, proveedores de enriquecimiento y plataformas publicitarias; distinguir la venta de compartir; respetar las señales Global Privacy Control válidas cuando sea necesario; y evite enviar datos de analítica a proveedores de publicidad cuando la medición agregada sea suficiente.

Preguntas frecuentes

¿Qué información personal cubre el CCPA?

La información personal según el CCPA es amplia. Incluye identificadores, actividad de navegación, información comercial, geolocalización precisa, datos biométricos e inferencias hechas sobre ti. La información personal sensible recibe protección adicional e incluye identificadores gubernamentales, información de salud, origen racial o étnico, creencias religiosas, afiliación sindical y el contenido de ciertas comunicaciones.

¿El CCPA se aplica a empresas fuera de California?

Una empresa puede estar cubierta por el CCPA aunque no tenga ubicación física en California. Lo que importa es si hace negocios en el estado y cumple los umbrales que marca la ley. Muchas empresas de fuera del estado quedan sujetas a la ley precisamente porque atienden a clientes californianos.

¿Qué ocurre cuando pido a una empresa que elimine mis datos?

La empresa debe eliminar la información personal que recopiló de ti, aunque el derecho tiene excepciones. Puede conservar datos necesarios para completar una transacción, detectar incidentes de seguridad, cumplir obligaciones legales, ejercer la libertad de expresión o usarlos internamente de forma compatible con el propósito original. Por eso una solicitud de eliminación rara vez borra todos los registros que tiene una empresa.

¿Puede una empresa tratarme peor por ejercer mis derechos de privacidad?

Una empresa no puede tomar represalias contra ti por ejercer derechos del CCPA en circunstancias normales. No puede negarte bienes o servicios, cobrarte un precio distinto ni ofrecerte un nivel de servicio inferior porque hiciste una solicitud de privacidad. La única excepción es un programa de incentivos financieros permitido y divulgado correctamente.

¿Qué es Global Privacy Control?

Global Privacy Control es una señal del navegador que avisa automáticamente a los sitios web que quieres optar por no vender ni compartir tu información personal. Es la señal de preferencia de exclusión más conocida, y California exige a las empresas respetar señales válidas como esta en muchos contextos. Los materiales de la CPPA sobre las próximas actualizaciones regulatorias siguen dando prioridad a las señales de exclusión y a la elección del consumidor.

¿Necesito crear una cuenta para optar por no vender mis datos?

Para las solicitudes de exclusión, las empresas generalmente no deberían pedirte que crees una cuenta. Ese requisito es más común en solicitudes de acceso, eliminación o corrección, donde la verificación de identidad sí tiene sentido.

¿Qué puedo hacer si una empresa ignora mi solicitud de privacidad?

Guarda capturas de pantalla y copias de tu solicitud original. Puedes presentar una queja ante la California Privacy Protection Agency o la Fiscalía General de California. En la mayoría de los casos cotidianos, basta con una solicitud escrita clara que nombre el derecho concreto, antes de pasar a una queja formal.

¿En qué se diferencia el CCPA del GDPR?

El GDPR parte de un modelo de base legal. Las organizaciones necesitan un motivo legal válido antes de procesar datos personales. El CCPA funciona al revés. Las empresas pueden procesar muchas categorías de información, pero deben ofrecer avisos, derechos de acceso, derechos de eliminación y opciones de exclusión para la venta, el intercambio y el uso de datos sensibles.

¿Qué debería incluir una solicitud CCPA?

Una solicitud breve que indique tu residencia en California y el derecho que ejerces es suficiente. Pide las categorías y los datos personales específicos recopilados sobre ti, las fuentes, los propósitos, las categorías de terceros y si tu información se vendió o compartió. Puedes añadir que la empresa elimine lo que no esté cubierto por una excepción.

¿Puedo limitar cómo una empresa usa mi información personal sensible?

Sí. El CCPA te permite limitar ciertos usos y divulgaciones de información personal sensible, como la geolocalización precisa, la información de salud y los identificadores gubernamentales. Si ejerces ese límite, la empresa no debería usar esos datos para perfiles no relacionados.