La CCPA y el RGPD son las dos regulaciones de privacidad más influyentes a nivel mundial, pero adoptan enfoques fundamentalmente diferentes para proteger los datos personales. Comprender estas diferencias es esencial para las organizaciones que operan en ambas jurisdicciones.

Enfoque filosófico

El RGPD es prescriptivo: establece reglas estrictas sobre lo que las organizaciones pueden y no pueden hacer con los datos personales, requiriendo una base legal antes de que comience cualquier procesamiento. La CCPA empodera al consumidor: otorga a los individuos derechos para controlar sus datos, pero permite a las empresas considerable libertad a menos que los consumidores ejerzan activamente esos derechos.

Alcance y aplicabilidad

El RGPD se aplica a cualquier organización que procese datos de residentes de la UE/EEE, independientemente de su tamaño. La CCPA se aplica solo a empresas con fines de lucro que cumplan con umbrales específicos de ingresos o volumen de datos. El RGPD cubre todo el procesamiento de datos personales; la CCPA exime los datos de empleados y ciertas otras categorías.

Consentimiento y bases legales

Bajo el RGPD, las organizaciones necesitan una base legal específica para procesar datos personales, siendo el consentimiento solo una de seis opciones. La CCPA generalmente permite el procesamiento de datos por defecto, pero otorga a los consumidores el derecho a optar por no participar en las ventas e intercambios de datos.

Datos sensibles

Ambas regulaciones reconocen categorías de datos sensibles, pero el RGPD impone restricciones estrictas de procesamiento que requieren consentimiento explícito, mientras que la CCPA permite a los consumidores limitar el uso de datos sensibles -- un enfoque menos restrictivo.

Aplicación y sanciones

Las multas del RGPD pueden alcanzar el 4% de la facturación anual global o 20 millones de euros. La aplicación de la CCPA la llevan a cabo el Fiscal General y la Agencia de Protección de la Privacidad de California, con sanciones adicionales por infracciones no resueltas tras un período de corrección de 30 días. La CCPA también proporciona un derecho privado de acción por filtraciones de datos.

Reglas de transferencia de datos

El RGPD tiene reglas elaboradas para las transferencias internacionales de datos que han llevado a acciones de aplicación contra servicios con sede en EE. UU. La CCPA no restringe las transferencias de datos transfronterizas de la misma manera.