Cumplimiento CCPA al compartir archivos: guía de privacidad de California
Navega el cumplimiento CCPA en servicios de compartición: derechos del consumidor, opt-out de venta de datos, avisos de privacidad y requisitos californianos.
La Ley de Privacidad del Consumidor de California (Cal. Civ. Code § 1798.100 et seq.), modificada por la Ley de Derechos de Privacidad de California (CPRA, en vigor desde el 1 de enero de 2023), se aplica a empresas que manejan información personal de residentes de California y cumplen uno de estos tres umbrales: ingresos anuales superiores a 25 millones de dólares, más de 100.000 consumidores u hogares, o más del 50% de ingresos provenientes de la venta o compartición de información personal. Para servicios de compartición de archivos, el cumplimiento CCPA implica publicar un aviso de privacidad conforme al § 1798.130, atender solicitudes de consumidores para saber, eliminar, corregir y excluirse de la venta o compartición en 45 días, implementar señales Global Privacy Control (GPC) y firmar contratos de proveedor de servicios bajo § 1798.140(ag) con cada proveedor que procese datos.
Quién es empresa, proveedor de servicios o tercero
La CCPA usa tres roles. Una "empresa" determina los fines y medios (equivalente al responsable del tratamiento del RGPD) y soporta la carga del cumplimiento. Un "proveedor de servicios" trata datos en nombre de una empresa bajo un contrato escrito (equivalente al encargado). Un "tercero" es cualquier otro que recibe datos, típicamente para sus propios fines. Las plataformas de transferencia de archivos suelen ser proveedores de servicios: manejan información personal en nombre del cliente. El contrato de proveedor de servicios bajo § 1798.140(ag) debe prohibir la retención, el uso o la divulgación para cualquier fin distinto al propósito comercial específico, prohibir la venta o compartición, y exigir al proveedor que notifique cualquier uso que ya no cumpla los requisitos.
Derechos del consumidor bajo la CPRA
La CPRA introdujo cinco derechos fundamentales: (1) derecho a saber qué información personal se recopila, usa, divulga o vende; (2) derecho a eliminar con excepciones para completar transacciones, seguridad y obligaciones legales; (3) derecho a corregir información personal inexacta; (4) derecho a excluirse de la venta o compartición; (5) derecho a limitar el uso de información personal sensible. Los derechos (1)-(3) deben atenderse en 45 días desde la solicitud, prorrogables otros 45 días con notificación previa. Para servicios de compartición de archivos, implementa: un enlace "No vender ni compartir mi información personal", un formulario de solicitud de derechos, procedimientos de verificación de identidad y registros de solicitudes atendidas conservados 24 meses.
Qué cuenta como información personal sensible
La CPRA § 1798.140(ae) define la información personal sensible: número de seguridad social, carné de conducir, DNI, número de pasaporte; credenciales de inicio de sesión con datos de seguridad; geolocalización precisa (radio de 1.850 pies); origen racial o étnico; creencias religiosas o filosóficas; afiliación sindical; contenido de correos, mensajes de texto y correos electrónicos no dirigidos a la empresa; datos genéticos; identificadores biométricos para identificación única; información de salud; vida sexual u orientación sexual. Para servicios de transferencia de archivos, el contenido de los archivos incluye frecuentemente información personal sensible: historiales médicos, hojas de cálculo de pagos, copias de documentos de identidad. Los consumidores pueden dirigir a las empresas a limitar el uso de información personal sensible a fines comerciales específicos bajo § 1798.121.
Contratos de proveedor de servicios bajo § 1798.140(ag)
Cada proveedor que acceda a datos de residentes de California necesita un contrato de proveedor de servicios. Términos obligatorios: (1) prohibir la venta o compartición, (2) prohibir la retención para cualquier fin distinto al propósito comercial específico, (3) prohibir el uso fuera del contexto empresarial, (4) exigir el cumplimiento de las obligaciones CCPA, (5) otorgar a la empresa derechos de auditoría, (6) exigir al proveedor que notifique los subprocesadores, (7) exigir asistencia con las solicitudes de derechos del consumidor. Los proveedores de transferencia que publican un acuerdo de proveedor de servicios alineado con la CCPA, como HexaTransfer, Box o Dropbox Business, convierten el cumplimiento en un ejercicio de firma. Los proveedores sin uno necesitan una enmienda personalizada.
Requisitos del aviso de privacidad bajo § 1798.130
El aviso en el momento de la recopilación debe identificar las categorías de información personal recopilada y los fines, e incluir un enlace "No vender ni compartir" si procede. La política de privacidad completa debe listar todas las categorías recopiladas en los últimos 12 meses, fuentes, fines comerciales o empresariales, categorías vendidas o compartidas (o declaración de que no se produce venta ni compartición), categorías divulgadas para fines empresariales y períodos de retención. Actualiza la política al menos cada 12 meses. Para productos de compartición de archivos, el aviso debe cubrir: datos de cuenta, contenido cargado, metadatos (IPs, marcas de tiempo), lista de subprocesadores y calendario de retención.
Global Privacy Control y señales de exclusión
Las regulaciones CCPA § 7025 exigen que las empresas que venden o comparten información personal procesen la señal Global Privacy Control (GPC) como una solicitud válida de exclusión. El GPC es un ajuste del navegador (Firefox, Brave, DuckDuckGo; Chrome y Safari pendientes) que emite una cabecera Sec-GPC: 1. Tratar la señal como una solicitud válida del consumidor es obligatorio. Para plataformas de compartición de archivos que no venden ni comparten, el soporte de GPC es recomendable pero no estrictamente obligatorio. Si la plataforma usa analítica que califica como compartición (la mayoría de píxeles de publicidad conductual entre contextos), el GPC debe ser atendido, lo que a menudo implica deshabilitar esos píxeles para usuarios con GPC activado.
La Agencia CPRA y la realidad de la aplicación
La California Privacy Protection Agency (CPPA), creada por la CPRA, comenzó su labor de supervisión en julio de 2023. Multas: 2.500 dólares por infracción, 7.500 dólares por infracción intencional o que involucre a menores. Las infracciones se acumulan por consumidor afectado: una brecha que afecte a 10.000 residentes de California puede alcanzar teóricamente 75 millones de dólares. La CPPA ha sido activa: primera gran acción contra Sephora (agosto de 2022, 1,2 millones de dólares), segunda contra DoorDash (febrero de 2024, 375.000 dólares), tercera y cuarta contra empresas de software en 2024 por fallos en contratos de proveedor de servicios. El patrón: las infracciones procedimentales (avisos ausentes, contratos ausentes) son las primeras en ser sancionadas; las sustantivas (daño real) se agravan.
Shine the Light Act y superposición con AB 1950
La antigua Shine the Light Act de California (Cal. Civ. Code § 1798.83, en vigor desde 2005) es anterior a la CCPA y otorga a los consumidores el derecho a solicitar la divulgación de información personal compartida con terceros para marketing directo. Sigue en vigor junto a la CCPA, responde a ambas. AB 1950 (Cal. Civ. Code § 1798.81.5) exige seguridad razonable para la información personal de residentes de California: cifrado, controles de acceso, gestión de proveedores. Seguridad técnica para transferencia de archivos bajo AB 1950: cifrado AES-256, MFA para el acceso administrativo, evaluación de riesgos anual. Las infracciones activan un derecho de acción privada bajo § 1798.150 si una brecha resulta de no implementar seguridad razonable.
El derecho de acción privada
§ 1798.150 otorga a los consumidores un derecho de acción privada por brechas de información personal no cifrada ni redactada. Daños estatutarios: entre 100 y 750 dólares por consumidor por incidente, o daños reales. Una brecha de una hoja de cálculo con información de contacto y números de seguridad social de 100.000 consumidores de California podría desencadenar una demanda colectiva con una exposición de entre 10 y 75 millones de dólares. El puerto seguro estatutario: el cifrado. Si los datos filtrados estaban cifrados y las claves no se vieron comprometidas, el derecho de acción privada no se activa. Por eso los proveedores de compartición de archivos que sirven a clientes de California usan AES-256 con estricta separación de claves.
Lista de verificación de cumplimiento práctico
Para una plataforma de compartición de archivos que atiende usuarios de California: (1) publica una política de privacidad conforme con la CCPA y actualízala anualmente; (2) añade un enlace "No vender ni compartir" aunque no vendas, documenta por qué es irrelevante; (3) crea un formulario de solicitud de derechos con SLA de 45 días; (4) implementa verificación de identidad (confirmación por correo más un factor adicional); (5) firma contratos de proveedor de servicios con cada subprocesador; (6) atiende las señales GPC en la capa de analítica; (7) conserva registros de solicitudes durante 24 meses; (8) registra el acceso a información personal para auditoría; (9) cifra todo con AES-256; (10) prueba el flujo de derechos trimestralmente.
Las complicaciones de la legislación multiestatal
California no está sola. Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Texas (TDPSA), Oregón (OCPA) y más de diez estados más han promulgado leyes de privacidad con requisitos superpuestos pero no idénticos. Construir el cumplimiento alrededor de la CCPA como denominador común más estricto suele cubrir el resto, pero atento a particularidades estatales: Virginia exige DPIAs para ciertos tratamientos; Colorado exige mecanismos universales de exclusión; Texas amplía la aplicabilidad basándose en la captación de residentes de California. Usa herramientas de cumplimiento (OneTrust, DataGrail, Ethyca) para gestionar la matriz a escala.
California marca el suelo; cada estado de EE.UU. va añadiendo capas encima. Diseña con flexibilidad. Pruébalo en hexatransfer.com — gratis, sin cuenta, hasta 10 GB.
Envía archivos grandes de forma segura con cifrado de extremo a extremo
Transfiere archivos de hasta 10 GB gratis con cifrado de extremo a extremo. Sin necesidad de cuenta. Tus archivos se cifran en tu navegador antes de subirlos: nadie más puede leerlos.
Enviar un archivo