Dónde debe aparecer el enlace Do Not Sell or Share My Personal Information

¿Qué es el enlace Do Not Sell or Share My Personal Information?

La sección 1798.135 del Código Civil de California obliga a toda empresa que venda o comparta información personal a publicar un enlace titulado "Do Not Sell or Share My Personal Information" en sus páginas de inicio de internet, y ese enlace es la vía por la que un consumidor de California envía una solicitud de exclusión. El derecho que hay detrás está en la sección 1798.120, que permite a un consumidor indicar "en cualquier momento" a una empresa que no venda ni comparta su información personal. Copia el título carácter por carácter; la ley escribe las palabras en lugar de describirlas.

¿Qué debe decir exactamente el texto del enlace?

La redacción la fija la ley, y la sección 1798.135, subdivisión (a)(1), nombra el enlace "Do Not Sell or Share My Personal Information". La subdivisión (a)(2) añade un segundo enlace, "Limit the Use of My Sensitive Personal Information". La subdivisión (a)(3) permite a una empresa sustituir ambos por un único enlace combinado, y la sección 7015(b) del reglamento de la Agencia de Protección de la Privacidad de California establece que una empresa que elija esa vía "titulará el enlace 'Your Privacy Choices' o 'Your California Privacy Choices'", con el icono de exclusión de la CPPA al lado.

La fórmula antigua, "Do Not Sell My Personal Information", es anterior a las reformas de la CPRA y cita una versión de la sección 1798.135 que ya no está vigente.

¿En qué parte del sitio tiene que estar el enlace?

La sección 7013(c) del reglamento de la CPPA sitúa el enlace con precisión: "será un enlace visible" que estará "ubicado en el encabezado o en el pie de la página o páginas de inicio de internet de la empresa". La sección 7003(c) define visible como aparecer "de manera similar a otros enlaces publicados de forma similar", con un tamaño y un color de fuente que coincidan al menos de forma aproximada con los enlaces contiguos. Para las aplicaciones móviles, la sección 7003(d) traslada el enlace a la política de privacidad, accesible desde la plataforma o la página de descarga de la app.

La sección 7013(a)(1) fija qué ocurre al hacer clic: el enlace excluye al consumidor o lleva a una página web donde el consumidor "puede informarse y tomar esa decisión". Una política de privacidad sin mecanismo de exclusión no hace ninguna de las dos cosas.

¿Qué significa "compartir" en este enlace?

Compartir se define en la sección 1798.140 del Código Civil como transferir "la información personal de un consumidor por parte de la empresa a un tercero para publicidad conductual entre contextos", y esa misma sección define la publicidad conductual entre contextos como "la segmentación de publicidad hacia un consumidor a partir de la información personal del consumidor obtenida de su actividad en distintos negocios, sitios web con marcas distintas, aplicaciones o servicios, distintos de" aquel con el que el consumidor interactúa de forma intencionada. En esa definición no aparece el dinero por ninguna parte. La venta, definida en la misma sección, es la que depende de que exista "una contraprestación monetaria o de otro valor".

Esta distinción es donde falla la mayoría de las explicaciones del enlace. Un sitio que coloca un píxel publicitario y no recibe nada a cambio no está vendiendo, y aun así está compartiendo, lo que activa el enlace por sí solo. La CPRA añadió "compartir" y reescribió el título del enlace en torno a ese verbo, un cambio que se rastrea en la evolución de la CCPA a la CPRA. Audita cada etiqueta contra la definición de rastreo entre sitios.

¿Quién tiene que mostrar el enlace?

Una empresa que vende o comparte información personal tiene que mostrarlo, y la sección 7013(g) del reglamento de la CPPA exime a una empresa solo cuando "no vende ni comparte información personal" y "lo declara en su política de privacidad". Ambas condiciones deben cumplirse. La sección 7013(h) prohíbe además a una empresa vender o compartir información personal que recopiló mientras faltaba el aviso del derecho de exclusión, salvo que el consumidor lo consienta de forma afirmativa.

Que una entidad cuente como empresa lo determina la sección 1798.140(d)(1), que enumera tres condiciones: ingresos brutos anuales superiores a veinticinco millones de dólares, una cifra que la ley indica que se ajusta conforme a la sección 1798.185(a)(5); comprar, vender o compartir la información personal de 100,000 consumidores o hogares o más al año; u obtener el 50 por ciento o más de los ingresos anuales de la venta o cesión de información personal. Consulta el texto legal vigente antes de fiarte de la primera cifra, porque el mecanismo de ajuste la mueve. El desglose de ámbito y umbrales cubre cómo interactúan esas condiciones, y la explicación de los derechos del consumidor cubre qué debe una empresa cubierta más allá de este enlace.

¿Qué relación tiene el enlace con el Global Privacy Control?

La sección 7025(b) del reglamento de la CPPA establece que "una empresa que venda o comparta información personal procesará cualquier señal de preferencia de exclusión" que cumpla sus requisitos "como una solicitud válida de exclusión de la venta o cesión", y el Global Privacy Control es la señal de navegador construida para cumplirlos. La fiscalía general de California afirma que el GPC "debe ser respetado por las empresas cubiertas como una solicitud válida del consumidor para detener la venta o cesión de información personal".

La sección 7025(e) cierra el resquicio al que la gente recurre: "Incluso si la empresa publica los enlaces mencionados, la empresa debe seguir procesando las señales de preferencia de exclusión". Publicar el enlace no compra ninguna exención frente a la señal.

La sección 7026(f)(1) marca entonces el reloj: dejar de vender y compartir "tan pronto como sea factible, y a más tardar 15 días hábiles desde la fecha en que la empresa recibe la solicitud".

¿Puede una empresa prescindir del enlace por completo?

La sección 1798.135(b)(1) permite a una empresa saltarse el enlace cuando respeta las señales de preferencia de exclusión sin fricción, y la sección 7025(f) del reglamento de la CPPA define qué es sin fricción. La empresa no cobra nada por usar la señal, no cambia la experiencia del producto para el consumidor y no muestra "una notificación, ventana emergente, texto, gráfico, animación, sonido, vídeo ni contenido intersticial alguno en respuesta a la señal de preferencia de exclusión".

La sección 7025(g) añade que la señal tiene que dar pleno efecto a la solicitud. Una empresa que comparte en línea y además vende información personal fuera de línea no puede acogerse a la excepción, porque una señal de navegador solo llega hasta el navegador. La política de privacidad sigue teniendo que describir el derecho de exclusión, declarar que la empresa procesa las señales sin fricción, explicar cómo activar una y enumerar cualquier otro método de solicitud.

¿Qué implica esto para una configuración de analítica?

Una configuración de analítica activa el enlace cuando pasa datos de visitantes a un tercero para segmentación publicitaria, y lo deja inactivo cuando los datos se quedan en primera parte. La analítica que prioriza la privacidad de Flowsery no usa cookies, se aloja en la UE y cumple el GDPR por diseño. Mapea cada etiqueta contra la definición de la sección 1798.140, usando la guía de cumplimiento de la CCPA en analítica web como lista de comprobación, y luego decide si el enlace corresponde en el pie.

Preguntas frecuentes

¿Sigue siendo aceptable "Do Not Sell My Personal Information" como título del enlace?

La sección 1798.135(a)(1) del Código Civil nombra el enlace "Do Not Sell or Share My Personal Information", así que el título más corto refleja el texto anterior a la CPRA. Un sitio con la redacción antigua le dice a sus visitantes de California que los excluye de las ventas mientras calla sobre la cesión. Ajústate a la ley.

¿El enlace tiene que estar en todas las páginas de un sitio?

La sección 7013(c) del reglamento de la CPPA sitúa el enlace "en el encabezado o en el pie de la página o páginas de inicio de internet de la empresa", en plural porque una empresa puede tener más de una página de inicio. Un pie global lo cumple y, como efecto secundario, coloca el enlace en todas las páginas.

¿Puede una empresa esconder el enlace detrás de un banner de cookies?

La sección 7003(c) exige que el enlace aparezca "de manera similar a otros enlaces publicados de forma similar", con un tamaño y un color de fuente comparables. Un enlace que solo existe dentro de un banner descartable no está en el encabezado ni en el pie, que es donde lo coloca la sección 7013(c).

¿Respetar el Global Privacy Control elimina la necesidad del enlace?

Una empresa prescinde del enlace solo bajo las condiciones sin fricción de las secciones 7025(f) y 7025(g) del reglamento de la CPPA: sin cobro, sin cambios en la experiencia del producto, sin respuesta intersticial a la señal, cuatro declaraciones en la política de privacidad y una señal que dé pleno efecto a la solicitud. Fuera de ese caso, la sección 7025(e) exige tanto el enlace como el procesamiento de la señal.

¿Cuál es la diferencia entre el enlace de exclusión y el de información sensible?

La sección 1798.135(a)(1) del Código Civil cubre la venta y la cesión de información personal, mientras que la subdivisión (a)(2) cubre un derecho distinto a limitar el uso de información personal sensible. Los dos derechos provienen de secciones legales diferentes y se aplican de forma independiente. La subdivisión (a)(3) permite un enlace combinado titulado "Your Privacy Choices" o "Your California Privacy Choices".

¿Con qué rapidez debe actuar una empresa ante una solicitud hecha desde el enlace?

La sección 7026(f)(1) del reglamento de la CPPA exige que la empresa deje de vender y compartir "tan pronto como sea factible, y a más tardar 15 días hábiles desde la fecha en que la empresa recibe la solicitud". También tiene que avisar a cualquier tercero que recibiera los datos en ese intervalo y ordenarle que respete la exclusión. La sección 7026(k) prohíbe pedir al consumidor que vuelva a aceptar durante 12 meses.

¿Dónde aparece el enlace de exclusión en una aplicación móvil en lugar de la página de inicio?

La sección 7003(d) de las regulaciones de la CPPA traslada el enlace fuera de la app y lo coloca en la política de privacidad. La página de la plataforma o de descarga de la app tiene que enlazar a esa política de privacidad, para que el consumidor vea el aviso de exclusión antes de instalar nada.

¿Qué tamaño debe tener una empresa para que aplique esta obligación del enlace?

La sección 1798.140(d)(1) fija tres umbrales, y basta con cumplir uno: ingresos brutos anuales superiores a veinticinco millones de dólares, comprar, vender o compartir la información personal de 100,000 o más consumidores u hogares al año, o derivar el 50 por ciento o más de los ingresos anuales de la venta o el intercambio de información personal. La cifra de ingresos se ajusta según la sección 1798.185(a)(5), así que conviene revisar el texto vigente antes de basarse en ella.

¿Un píxel publicitario que no paga nada al sitio cuenta como compartir información personal?

Cuenta igual, porque la sección 1798.140 define compartir como transferir información personal para publicidad conductual entre contextos, sin mencionar ningún pago en esa definición. Vender es la definición que exige una contraprestación monetaria u otra de valor, y compartir queda separado de eso. Un píxel que entrega datos gratis a un socio publicitario igual activa el enlace.

¿Qué le debe una empresa a terceros después de procesar una solicitud de exclusión hecha desde el enlace?

La sección 7026(f)(1) obliga a la empresa a notificar a cualquier tercero que haya recibido los datos del consumidor durante el periodo previo a que la exclusión surtiera efecto, y a indicarle que también respete la solicitud. La propia empresa tiene que dejar de vender y compartir en un plazo de 15 días hábiles. La sección 7026(k) prohíbe después pedirle a ese consumidor que vuelva a aceptar durante 12 meses.