California aprueba su ley de privacidad

El 28 de junio de 2018 el gobernador de California, Jerry Brown, firmó la California Consumer Privacy Act, la ley de privacidad del consumidor del estado, que se aplicará a partir del 1 de enero de 2020. La norma se aprobó en pocos días, para evitar que una iniciativa popular sobre la misma materia fuera sometida a votación en las elecciones de noviembre.

Llega apenas un mes después de que empezara a aplicarse el reglamento general de protección de datos europeo, y se la considera la norma de privacidad más ambiciosa de Estados Unidos, que no cuenta con una ley federal general en la materia. Para las empresas con clientes californianos, aunque no estén establecidas allí, supone un nuevo marco que hay que conocer.

Qué derechos reconoce

La ley otorga a los consumidores, que son los residentes de California, varios derechos: saber qué datos personales ha recogido una empresa sobre ellos, saber si se venden o se comunican y a quién, acceder a esos datos, pedir su eliminación y negarse a la venta de su información. También prohíbe discriminar a quien ejerza estos derechos.

El enfoque difiere del europeo. El reglamento de la Unión exige una base jurídica para tratar datos, como el consentimiento o el interés legítimo, mientras que el modelo californiano parte de la libertad de recoger y usar datos, pero da al consumidor el derecho a limitar su venta. Aun así, ambos comparten principios como la transparencia y el control por parte de la persona. Una consecuencia de este enfoque es que el consumidor debe poder pedir que no se vendan sus datos mediante un mecanismo sencillo, y la empresa debe informar de forma clara, por ejemplo con un enlace visible en su página web.

A quién afecta

Se aplica a las empresas con ánimo de lucro que recogen datos personales de consumidores, hacen negocios en California y cumplen determinados umbrales de facturación o de volumen de datos tratados, o que obtienen una parte importante de sus ingresos de la venta de información personal. No importa dónde esté su sede: lo relevante es la actividad en el estado. En Estados Unidos no existe una ley federal general de protección de datos, por lo que cada estado puede regular por su cuenta, y la ley de California podría servir de modelo, o de contraste, para otras iniciativas.

Los incumplimientos pueden ser sancionados por las autoridades del estado, con multas por cada infracción, más elevadas si son intencionadas. En caso de violaciones de seguridad de datos, la ley prevé además que los consumidores puedan reclamar indemnizaciones, lo que aumenta el riesgo de litigios colectivos. Además, la ley incluye un régimen especial para los datos de menores, que exige un consentimiento reforzado antes de poder venderlos.

Qué conviene revisar

Las empresas europeas con clientes en California deberían valorar si superan los umbrales y, de ser así, preparar un inventario de los datos personales que tratan, de dónde proceden y con quién los comparten. Los procesos ya establecidos para cumplir el reglamento europeo pueden ser un buen punto de partida.

Hay tiempo hasta 2020, pero la norma puede cambiar durante el proceso legislativo y su aplicación se concretará mediante reglamentos. Conviene seguir su evolución y consultar a un asesor con conocimiento del derecho estadounidense. Esta información es de carácter general y no constituye asesoramiento jurídico. Como el calendario hasta 2020 permite hacer cambios, es probable que el texto se modifique antes de aplicarse; mientras tanto, un inventario de datos sigue siendo útil, porque sirve para cumplir cualquier norma de privacidad.

La privacidad ya no es un asunto de una sola jurisdicción: lo es de cada cliente.

Este artículo es información general. No es asesoramiento jurídico, fiscal ni de inversión, y no tiene en cuenta las circunstancias particulares de nadie.