La Ley de Privacidad del Consumidor de California (CCPA, por sus siglas en inglés) otorga a los consumidores derechos que pueden solicitar que se cumplan en cualquier momento, lo que a veces se denomina solicitud de acceso del interesado o DSAR(por sus siglas en inglés).
Las empresas sujetas a la CCPA deben establecer un proceso formal para recibir estas solicitudes, de modo que puedan recopilar todos los datos y responder de manera oportuna y conforme a la normativa.
En esta guía, le enseño cómo navegar por los requisitos DSAR de la CCPA y le proporciono pasos sencillos que su empresa puede seguir para establecer un proceso interno eficaz.
¿Exige la CCPA los DSAR?
La Ley de Privacidad del Consumidor de California otorga derechos a los consumidores, y se les permite presentar solicitudes a las empresas para que cumplan esos derechos.
En el texto de la ley, esto se llama técnicamente una solicitud verificable del consumidor, pero funcionalmente, es el mismo proceso que un rgpd DSAR.
La CCPA utiliza un lenguaje diferente al de rgpd, pero establece derechos similares para los consumidores.
El término"DSAR " tiene su origen en el Reglamento General de Protección de Datos (rgpd), un reglamento de la UE. Se refiere a cuando un interesado(también conocido como consumidor) presenta una solicitud para ejercer sus derechos de privacidad.
¿Qué derechos otorga la CCPA a los consumidores?
La CCPA otorga a los consumidores de California los siguientes derechos:
- Saber qué datos personales se recogen sobre ellos
- Solicitud de acceso a sus datos
- Solicitud de rectificación/modificación de sus datos
- Solicitar la supresión de sus datos
- Optar por no compartir o vender sus datos
- Exclusión de la publicidad selectiva
- No discriminación por ejercer el derecho a la intimidad
Su empresa debe estar preparada para recibir y responder a una DSAR por los derechos que la CCPA concede a los consumidores, que pueden presentar de cualquier forma, incluida:
- Formularios en línea
- Opciones de exclusión del navegador
- Correo electrónico
Su empresa es responsable de verificar la identidad del consumidor y responder rápidamente a la solicitud.
Cómo navegar por el CCPA y los DSAR: Paso a paso
A continuación se indican seis pasos que las empresas pueden seguir para simplificar la navegación por los requisitos DSAR de la CCPA.
Paso 1: Requisitos de verificación de identidad
En virtud de la CCPA, su empresa debe verificar la identidad de los consumidores que presentan solicitudes, por lo que es mejor establecer un proceso DSAR formal que su equipo pueda seguir para conseguirlo adecuadamente.
De este modo se asegura de no revelar accidentalmente información personal a la persona equivocada, lo que supondría una violación directa de la ley.
Puede verificar la identidad de los consumidores en virtud de la CCPA comparando la información de su DSAR con los datos que ya ha recopilado sobre ellos.
En caso necesario, podrá solicitar datos adicionales, pero deberá eliminarlos inmediatamente después.
Paso 2: Información que debe incluirse en la respuesta
A continuación, establezca un proceso formal para localizar todos los datos personales que recopila su empresa. De este modo, su equipo podrá localizar toda la información que debe incluirse en la respuesta.
Además, ten en cuenta la seguridad de los datos para evitar filtraciones o accesos no autorizados.
Por ejemplo, este proceso podría incluir:
- Realizar una auditoría de datos para localizar todos los datos personales que recopila su empresa.
- Limitar quién tiene acceso a esta información en su equipo y durante cuánto tiempo.
- Formar a los miembros de su equipo encargados de responder a los DSAR.
Paso 3: Calendario de respuesta
Asegúrese de que su equipo puede responder a las solicitudes de datos dentro de los plazos establecidos por la ley.
El CCPA dispone de un plazo de 45 días para responder a los DSAR, que puede ampliarse 45 días más si la solicitud es compleja.
Sin embargo, las solicitudes de exclusión deben atenderse en un plazo de 15 días a partir de la recepción de la solicitud, y no hay opción de prorrogarlo.
Paso 4: Negarse a responder
Señale cuándo su empresa debe negarse a responder a un DSAR, lo que sólo está permitido si:
- No se puede verificar la identidad del solicitante
- La petición carece de fundamento
- La petición es excesiva
Establecer un proceso es importante porque, en virtud de la CCPA, su empresa es responsable de demostrar si una DSAR es infundada o excesiva.
Debe hacerlo a satisfacción del Fiscal General de California, o de lo contrario podría recibir una multa de hasta 7.500 dólares por infringir la ley.
Las empresas también deben responder al consumidor, explicándole por qué se denegó su solicitud inicial e informándole de su derecho a recurrir su decisión.
Paso 5: Proceso de recurso para los consumidores
También debe proporcionar a sus consumidores de California un proceso de apelación basado en su decisión sobre su DSAR.
La CCPA otorga a los consumidores el derecho a recurrir su decisión en un plazo razonable, que usted debe comunicar.
Presentar un recurso debe ser tan fácil para el consumidor como presentar el DSAR original.
Paso 6: Lleve un registro de sus respuestas
Asegúrese de que mantiene un registro seguro y conforme a la ley de todas las solicitudes que su empresa recibe y a las que responde.
Disponer de esta información puede ayudar a su empresa en caso de investigación o auditoría.
Utilización de Termly para los requisitos DSAR del CCPA
TermlyLa plataformagestión del consentimiento (CMP) incluye un formulario DSAR gratuito que puede añadir a su sitio web para cumplir algunos de los requisitos DSAR de la CCPA.
En el formulario DSAR se plantean a los consumidores preguntas esenciales que ayudan a agilizar diversos aspectos del proceso de respuesta, entre ellos los siguientes:
- Qué ley de privacidad se aplica al usuario
- Qué derecho o derechos solicitan que se cumplan
- Su nombre y el correo electrónico principal que utilizan para ponerse en contacto con su sitio web
También incluye toda la información pertinente sobre el procedimiento de recurso exigido por la CCPA, lo que facilita enormemente su cumplimiento.
Requisitos de enlace CCPA
La CCPA también exige a las entidades cubiertas con sitios web que añadan los siguientes enlaces al pie de página de su sitio:
- "No vendan ni compartan mis datos personales"
- "Limitar el Uso de mi Información Personal Sensible"
Estos enlaces deben llevar directamente a una página que permita a los usuarios californianos ejercer fácilmente su derecho a excluirse de la venta e intercambio de datos y limitar el uso de sus datos sensibles.
También puede utilizar un único enlace que lleve a una página que permita a los usuarios actuar sobre ambos derechos.
Su sitio debe seguir estos requisitos de enlace aunque publique un formulario DSAR por separado.
Resumen
Establecer un proceso de respuesta DSAR es ideal para que las empresas agilicen la respuesta a las solicitudes verificables de los consumidores en virtud de la CCPA.
Pero recuerde comprobar otras vías, porque los consumidores pueden enviar solicitudes a través de varios canales, como el correo electrónico o las plataformas de redes sociales.
Algunos DSAR en virtud de la CCPA deben resolverse en un plazo de 45 días, pero las solicitudes de exclusión voluntaria deben atenderse en un plazo de 15 días.
Añadir recursos como un formulario DSAR a su sitio web hace que el proceso sea más eficaz para su empresa y para los consumidores de California.
Escrito por Natasha Piirainen
Natasha Piirainen es una escritora especializada en privacidad con una licenciatura en Inglés y Filosofía por el Wheaton College y más de 10 años de experiencia profesional en el desarrollo de contenidos basados en la investigación.
Leer todas las publicaciones de Natasha Piirainen
Revisado por Anokhy Desai CIPP/US, CIPT, CIPM
Anokhy es abogada especializada en privacidad, con un máster de la Universidad Carnegie Mellon y un doctorado en Derecho de la Universidad de Pittsburgh. Como antigua Fellow Westin Fellow la IAPP, ha publicado varios artículos, libros blancos e infografías, y ha dirigido, coordinado y moderado seminarios web y mesas redondas sobre privacidad y tecnología de la privacidad en Estados Unidos.
Leer todas las publicaciones revisadas por Anokhy Desai CIPP/US, CIPT, CIPM
