Cómo Startups puede garantizar el cumplimiento de la CCPA en 2022

Para cualquier startups con sede en California o que venda productos/servicios a los que están en California, es vital que entienda y cumpla la CCPA - la Ley de Privacidad del Consumidor de California. 

Se trata de una ley de privacidad de datos de ámbito estatal que ofrece una regulación en cuanto a la forma en que las empresas de todo el mundo pueden manejar la información personal de los residentes en California.

Al ser la primera ley de este tipo en Estados Unidos, ninguna empresa puede permitirse el lujo de ignorar esta legislación. Dicho esto, a continuación vamos a revelar todo lo que necesita saber sobre el cumplimiento de la CCPA y cómo aplicarla. 

Fuente de la imagen

¿Qué es el cumplimiento de la CCPA?

Sólo hay un lugar para empezar, y es explicando qué es el cumplimiento de la CCPA. La Ley de Privacidad del Consumidor de California ofrece a los clientes un mayor control sobre la información personal que las empresas recogen sobre ellos. 

La histórica legislación otorga a los consumidores de California los siguientes derechos de privacidad:

• El derecho a la no discriminación por ejercer sus derechos en términos de CCPA
• El derecho a excluir la venta de sus datos personales
• El derecho a eliminar la información personal que se ha recogido de ellos, con algunas excepciones
• El derecho a saber qué datos personales recoge una empresa sobre ellos y cómo se utilizan y comparten 
  

Es posible que a veces vea la abreviatura "CCPA" y "CPRA" utilizadas indistintamente. Esto se debe a que una reciente actualización ha hecho que la CPRA sustituya a la CCPA. La guía de Osano sobre la CPRA es un buen lugar para encontrar más información al respecto.

La Ley de Privacidad del Consumidor de California de 2018 fue reemplazada por la Ley de Derechos de Privacidad de California de 2020. Hay algunos requisitos que se mantuvieron igual, mientras que otros se modificaron. 

Cuando hablamos del cumplimiento de la CCPA, también nos referimos al cumplimiento de la normativa más reciente de la CPRA. No se puede simplemente elegir.

Fuente de la imagen

¿Qué cubre la CCPA?

Dado que la CCPA proporciona a los usuarios un mayor control sobre sus datos, gran parte de la normativa se refiere a las muchas formas en que las empresas recogen y distribuyen la información privada que se recopila a través de su sitio web y otros métodos digitales.

Los usuarios se pondrán en contacto con la empresa y pedirán información sobre el uso y el almacenamiento de sus datos, y las empresas tendrán que cumplir con ciertas peticiones. Esto incluye las solicitudes de los usuarios para lo siguiente:

• Todos los datos que han recogido y almacenado
• Una lista de los terceros que tienen acceso a los datos de la persona
• La razón de la empresa para recoger los datos de los usuarios y venderlos
• Cada categoría de fuente por la que se recogen los datos, por ejemplo, médica, de contacto, financiera, etc.
  

Aparte de esto, las empresas deben actuar si el usuario solicita lo siguiente:

• Sus datos para ser portados
• Estar a salvo de la discriminación por solicitar el control de sus datos
• Detener la venta de sus datos
• Pedir que se eliminen sus datos

¿Necesita cumplir con la CCPA?

Antes de revelar algunas de las diferentes maneras en que puede garantizar el cumplimiento de la CCPA, echemos un vistazo a quién debe cumplir con la CCPA para que pueda determinar si esto es relevante para su negocio.

Cualquier empresa que recopile datos de residentes californianos (aunque sólo sea uno), debe asegurarse de que cumple la normativa.

Los profesionales creen que esta normativa va a impulsar leyes similares también en otros estados de Estados Unidos, garantizando a los usuarios un mayor control sobre sus datos. Por lo tanto, esto es sólo el principio en lo que respecta a la privacidad de los usuarios. 

Si no trabaja con datos de California en este momento, debería seguir los detalles relacionados con la CCPA para poder comprender plenamente la normativa y lo que probablemente se espera de usted en un futuro próximo.

Otras indicaciones de que hay que seguir la normativa de la CCPA son las siguientes:

• Tiene unos ingresos brutos anuales de un mínimo de 25 millones de dólares
• Recoge datos por motivos comerciales de un mínimo de 50.000 clientes
• Un mínimo del 50% de sus ingresos anuales procede de la venta de productos o servicios 

‍

Fuente de la imagen

Consejos para que su empresa cumpla con la CCPA

Cuando se trata de ciberseguridad, el cumplimiento de la CCPA puede ser complicado y enrevesado. Sin embargo, hay algunos pasos que puedes seguir para asegurarte de que tu nueva empresa no incurre en la ley cuando se trata de la seguridad de los datos.

1. Reúna un equipo o asigne a una persona que pueda gestionar la privacidad de los datos - El primer paso es asegurarse de que cuenta con un equipo de desarrollo web o una persona que pueda gestionar todas las normas de cumplimiento de su empresa, incluida la CCPA. Este equipo debe asegurarse de que se aplican los métodos de ciberseguridad adecuados en torno a la protección de datos. Es posible que piense que le costará mucho dinero tener un equipo o una función dedicada a la seguridad y el cumplimiento. Sin embargo, el coste de no hacerlo sería mucho, mucho mayor.
2. Haga un inventario de sus datos para descubrir lo que hay que recopilar y proteger - Una vez que tenga un equipo en marcha, debe entender cómo se recopilan los datos y también cómo fluyen de un sistema a otro. Elabore una hoja de ruta como ésta para poder entender qué datos está recopilando y qué controles de ciberseguridad son necesarios. Si no sabes qué datos tienes, no vas a poder protegerlos. 
3. Realizar una evaluación de riesgos- A continuación, es importante realizar una evaluación de riesgos. Durante la misma, su empresa podrá averiguar qué datos tiene y qué sistemas se utilizan para almacenarlos. A continuación, podrá generar diferentes estrategias, que incluyen una infraestructura desconocida. Cada empresa es diferente. Sin embargo, si comprende los riesgos relacionados con sus datos, podrá asegurarse de que cuenta con las mejores disposiciones para garantizar que los problemas no se manifiesten en el futuro. 
4. Desarrollar herramientas para la protección de datos e implementarlas eficazmente - Puede utilizar código personalizado para crear sus propias herramientas o puede utilizar implementaciones de terceros. Depende del tamaño y la experiencia de su empresa, así como de sus recursos. Desde los controles de acceso hasta la ciberseguridad avanzada, hay muchas capas de protección que deberías utilizar para garantizar la protección de los datos, como estas mejores VPN sin registros.
5. Definir la gobernanza y las políticas sobre los datos - A continuación, es necesario contar con políticas de protección de datos. Estas políticas deben supervisar el seguimiento y la mitigación de los datos de los consumidores, incluida la gestión del riesgo de la cadena de suministro y el acceso de los proveedores. 
6. Mantenga un registro de auditoría de todos los procedimientos y políticas que utiliza para la privacidad de los datos - Por último, pero no menos importante, no ignore la importancia de las políticas y los registros de auditoría. Asegúrese de revisar sus políticas con regularidad, ya que el panorama de los datos cambia constantemente. Identifique cualquier error que haya cometido o las lecciones que deba aprender para poder realizar mejoras en el futuro. 

¿Existen sanciones para las empresas que no se adhieren a la CCPA?

Sí, las hay. No se librará simplemente de un tirón de orejas si no cumple con la normativa de la CCPA vigente. Después de realizar una auditoría, puede recibir un aviso de que sus sistemas no son conformes. En ese caso, tendrá 30 días para solucionar el problema. Si no lo hace, podría tener que pagar una multa de 7.500 dólares por cada problema. 

Además, por cada violación de datos, los usuarios podrán solicitar 750 dólares por daños y perjuicios. Sin embargo, esto es sólo el principio. Tendrá que gastar una suma considerable de dinero en llegar al fondo del asunto y rectificarlo. 

Por si fuera poco, su reputación puede acabar por los suelos. Los clientes dejarán de confiar en su empresa. La confianza tarda años en construirse, pero sólo es cuestión de segundos que se arruine. Esto es algo que ninguna empresa de nueva creación puede permitirse, por lo que hemos visto a muchas cerrar sus puertas de forma permanente tras una violación de datos.

¿Sabía que el 60% de las pequeñas empresas cierran definitivamente en un plazo de seis meses tras ser víctimas de un ciberataque o una violación de datos?

No recortes en el cumplimiento de la CCPA

Esperamos que esta guía le haya ayudado a comprender mejor el cumplimiento de la CCPA para que pueda asegurarse de que su empresa se adhiere a las normas vigentes. 

La privacidad de los usuarios y la seguridad de los datos no son áreas en las que ninguna empresa pueda permitirse recortar gastos. Si se descubre que su empresa no cumple las normas, las multas bastarían para paralizar una pequeña empresa y obligarla a cerrar sus puertas. 

Dicho esto, siga los consejos y sugerencias que hemos proporcionado anteriormente para asegurarse de que su empresa cumple con la CCPA de forma eficaz.