Cumplimiento de la CCPA
La Ley de Privacidad del Consumidor de California, ahora ampliada por la CPRA, otorga a los residentes de California derechos reales sobre su información personal: el derecho a saber qué datos se recopilan, a eliminarlos, a corregirlos, a oponerse a su venta o divulgación, y a limitar el uso de la información personal sensible. La ley se aplica a muchas más empresas de las que se consideran «de California», ya que su aplicación se activa al realizar actividades comerciales con residentes de California, y no en función de la ubicación de su sede central.
La parte que las empresas se saltan
La mayoría de los problemas relacionados con la CCPA tienen su origen en la misma carencia: una política de privacidad que hace promesas sobre el tratamiento de datos que la empresa no puede cumplir en la práctica, ya que nadie ha identificado dónde se encuentra realmente la información personal. No es posible atender una solicitud de supresión en todos sus sistemas si no conoce todos los sistemas que almacenan los datos. Tampoco puede responder con precisión a una solicitud de acceso si los datos de sus clientes están dispersos entre un CRM, una plataforma de marketing, un almacén de datos y tres herramientas de proveedores, sin una única fuente de información fiable.
Cómo lo desarrollo
Comienzo con un mapeo de datos reales —no un diagrama teórico, sino un seguimiento del flujo real de la información personal a través de sus sistemas y proveedores, incluidos los prestadores de servicios y terceros con los que la comparte—. A partir de ahí, le ayudo a desarrollar la parte operativa: un proceso funcional para gestionar las solicitudes de los consumidores de acceso, supresión, rectificación y exclusión voluntaria, dentro de los plazos de respuesta establecidos por la ley, así como una revisión de los contratos con los proveedores para garantizar que sus acuerdos con los proveedores de servicios y terceros incluyan efectivamente la redacción exigida por la CCPA.
También analizo minuciosamente los mecanismos de exclusión voluntaria, ya que es en este ámbito donde se ha centrado la atención de las autoridades reguladoras: si su enlace «No vender ni compartir mi información personal» funciona realmente de principio a fin, si se respetan las señales de preferencia de exclusión voluntaria y si la información personal sensible se está utilizando de formas que requieran una exclusión voluntaria independiente. Nada de esto resulta útil como proyecto puntual; diseño el proceso de tal forma que siga funcionando a medida que cambien su lista de proveedores y sus flujos de datos.
A quién va dirigido
Las empresas que recopilan datos de consumidores de California y nunca han llevado a cabo un ejercicio real de mapeo de datos, aquellas cuya política de privacidad se ha alejado de lo que realmente hacen, y cualquier persona que haya recibido una solicitud relacionada con los derechos de los consumidores y se haya dado cuenta de que no dispone de un proceso real para responderla.
Si desea conocer con sinceridad cuál es la situación real de su programa de la CCPA, Contacte conmigo.