La CCPA se sitúa a medio camino entre la legislación sobre consumidores y la legislación sobre privacidad. Esto crea cierta confusión sobre a qué información personal se aplica la ley. ¿Se aplica a todas las empresas? ¿Se aplica a los datos de los empleados y a las transacciones entre empresas? ¿Y a las organizaciones sin ánimo de lucro?
- ¿Se aplica la CCPA a todas las empresas?
- ¿La CCPA sólo se aplica a las empresas de California?
- ¿Se aplica la CCPA a los no residentes?
- ¿Se aplica la CCPA a los empleados y a las transacciones entre empresas?
- ¿Se aplica la CCPA a las organizaciones sin ánimo de lucro?
- Conclusiones
Averigüémoslo.
¿Se aplica la CCPA a todas las empresas?
No. La CCPA sólo se aplica a las empresas grandes o con gran volumen de datos.
Más exactamente, la CCPA se aplica a las empresas si operan en California y:
- tienen unos ingresos brutos anuales superiores a 25 millones de dólares
- compran, venden o comparten la información personal de 100.000 o más residentes, hogares o dispositivos de California
- obtienen la mitad o más de sus ingresos de la venta de información personal de residentes en California.
Esta norma es algo compleja, así que vamos a desglosarla.
El requisito de hacer negocios en California es obligatorio. Si no opera en California, la CCPA no le es aplicable.
Por otra parte, los criterios 1, 2 y 3 son alternativos. Por ejemplo: si una empresa opera en California y la mitad de sus ingresos proceden de la venta de información personal de residentes en California, la CCPA se aplica independientemente del tamaño de la empresa y de sus ingresos anuales.
¿La CCPA sólo se aplica a las empresas de California?
No. La CCPA se aplica a las empresas que operan en California, siempre que se cumpla alguno de los demás criterios. Así pues, una multinacional con un volumen de negocios de miles de millones debe cumplir la CCPA si hace negocios en California, independientemente de que esté establecida en California, Delaware o Francia.
Esto es lo que los abogados denominan el alcance extraterritorial de la ley de privacidad. El alcance extraterritorial es muy común en la ley de privacidad, y por una buena razón. Internet no tiene fronteras físicas, por lo que los datos personales a menudo fluyen entre jurisdicciones. Si se limitara el alcance de las leyes de privacidad, la mayoría de sus protecciones quedarían sin efecto.
Basta pensar en cuántas grandes tecnológicas estadounidenses facilitan a diario sus datos personales. Si Google y Apple pudieran ignorar por completo el RGPD, ¿qué sentido tendría imponer todo tipo de normas y requisitos a las organizaciones europeas?
¿Se aplica la CCPA a los no residentes?
No, la CCPA no se aplica a los datos personales de los no residentes. Sólo los residentes en California tienen derechos en virtud de la CCPA. Esto es una lástima porque los gigantes de Silicon Valley procesan enormes cantidades de información personal de no residentes de todo el mundo.
Esto contrasta fuertemente con el GDPR, porque las personas tienen derechos en virtud del GDPR independientemente de dónde sean y vivan. Si una empresa italiana procesa datos personales de residentes en California, esos residentes tienen exactamente los mismos derechos en virtud del RGPD que los ciudadanos italianos u holandeses.
¿Se aplica la CCPA a los empleados y a las transacciones entre empresas?
Sí, la CCPA se aplica tanto a la información de los empleados como a la información personal que refleja transacciones entre empresas (B2B).
Estas categorías de información personal no entraban originalmente en el ámbito de aplicación de la CCPA porque la ley incluía exenciones temporales. Estas exenciones expiraron en 2022 y no se renovaron. En consecuencia, estos datos personales están sujetos a la LPC desde 2023.
¿Se aplica la CCPA a las organizaciones sin ánimo de lucro?
Como norma general, la CCPA no se aplica a las organizaciones sin ánimo de lucro.
Sin embargo, puede haber excepciones para las organizaciones sin ánimo de lucro que estén estrictamente relacionadas con una empresa. La CCPA establece requisitos precisos para ello:
- una empresa posee el 50% o más de los valores con derecho a voto de una entidad, o controla al menos el 50% del poder de voto;
- la entidad y la empresa comparten una marca común;
- la empresa comparte información personal del consumidor con la otra entidad.
De hecho, estos criterios forman parte de la definición de empresa según la CCPA. Así pues, cuando una entidad cumple estos criterios, se considera que es una empresa con arreglo a la CCPA y está sujeta a las mismas obligaciones que una empresa con arreglo a la ley, tanto si opera con ánimo de lucro como si no.
En general, estos criterios son bastante estrictos. En la práctica, la mayoría de las organizaciones sin ánimo de lucro pueden estar seguras de que la CCPA no se aplica a ellas, aunque esto no es excusa para ser perezoso y hacer caso omiso de la privacidad.
Conclusiones
Esperamos que esto le haya ayudado a entender un poco mejor la CCPA. Nos gusta explicar la ley de privacidad porque nos preocupamos por la privacidad. Por eso hemos creado Simple Analytics para proporcionar a las organizaciones toda la información que necesitan, ¡sin recopilar datos personales ni rastrear a los visitantes! Si esto le parece bien, ¡pruébenos!