Pulse #5: CCPA y GDPR

Las leyes de privacidad de datos buscan poner un poco de orden en este lío.

Ah, la privacidad de datos, una de esas cosas que sabemos que nos tienen que preocupar aunque no sabemos bien qué hacer al respecto.

Mientras que los usuarios de a pie se horrorizan y las empresas tecnológicas se alzan de hombros, algunos proyectos legislativos intentan ordenar la tierra de nadie que es internet de una manera acorde a los tiempos.

Sí, la General Data Protection Regulation de la Unión Europea entró en vigencia hace un año, pero cualquiera se distrae por un mes o 12 y no se lo vamos a echar en cara. Repasemos rapidito qué es y por qué el año pasado nos llegaron un millón de actualizaciones de políticas de privacidad.

Qué: La ley busca darle a los individuos control sobre su información personal y unificar la normativa de la región.

Cómo: Los usuarios tienen derecho, entre otras cosas, a:

-Saber qué datos suyos se recolectan, por qué motivo legal, por cuánto tiempo se almacenan y si se transfieren a un tercero.

-Retirar su consentimiento a que se procesen sus datos.

-Ver sus datos y cómo se están utilizando, obtener una copia de esa información, o pedir que se borre.

-Enterarse de los incumplimientos de GDPR y si hay una filtración de información.

Se establecen multas de hasta 20 millones de euros para las organizaciones que violen estas normas, o un 4% de la facturación anual global.

Cuándo: Se aprobó en abril de 2016 y entró en vigencia en mayo de 2018. El antecedente era la Data Protection Directive de 1995.

Dónde: Afecta a todos los controladores, procesadores y sujetos de datos radicados en la Unión Europea. Es decir que las empresas extranjeras que trabajen con información de residentes europeos deben atenerse a esta regulación, pero también las empresas europeas que manejen información de otros países.

Quiénes: Los actores son tres: controladores de datos (organizaciones que recolectan información de individuos), procesadores de datos (que la tratan, como por ejemplo los proveedores de servicios en la nube) y sujetos de datos.

Por otro lado, el año pasado se aprobó la California Consumer Privacy Act. Es un hito significativo, ya que este estado tiene la quinta economía más grande del mundo y aloja a algunos de los actores centrales de la industria tecnológica global.

Qué: Esta ley otorga a los residentes de California el derecho a:

-Saber qué datos personales suyos se está registrando.

-Acceder a ellos.

-Saber si esos datos se venden o comparten y con quién.

-Rehusarse a que se vendan sus datos.

-Recibir el mismo servicio y al mismo precio aún si ejercitan su derecho a la privacidad.

Cuándo: La ley estatal entra en vigencia el 1° de enero de 2020.

Dónde: Aplica a las empresas que hagan negocios en California y superen determinados límites de ingresos, cantidad de usuarios o proporción de ingresos provenientes de la información de los consumidores, pero sólo en la medida en que manejen datos de californianos.

Quién: Los actores de la ley son cuatro: consumidores, negocios, proveedores de servicios y “terceras partes”.

Cómo: Establece multas para las empresas que no cumplan con estas normas y también permite a los consumidores unirse en demandas colectivas, bajo determinadas condiciones.

Algunas diferencias clave

• La CCPA parte de una definición más amplia de los datos personales, que incluye la geolocalización, los datos biométricos y la historia de navegación. También hace referencia a la información de los hogares, y no sólo de los individuos.
• La GDPR tiene un tope máximo de multa para las organizaciones infractoras, ya sea que se produzca una filtración o que no cumplan con la normativa para prevenirlo. La CCPA sólo castiga una vez que hubo un problema, pero no pone un techo a los montos. También prevé la posibilidad de una demanda.
• La CCPA es, por el momento, una reglamentación menos precisa, pero se espera que en el año y medio que falta para su implementación se vuelva más detallada.
• En California las personas tiene derecho a que se borren datos sólo si una empresa los obtuvo “directamente” desde ellos, un concepto que queda abierto a la interpretación.

¿Y por casa cómo andamos?

¿Todo esto afecta a América Latina? La respuesta corta es más o menos.

En cuanto a su impacto directo, en el caso de la GDPR las empresas de la Unión Europea sí están obligadas a otorgarles los mismos derechos a personas del resto del mundo.

En el caso de la CCPA, la legislación se refiere explícitamente a los datos de los californianos. Si bien muchas empresas tecnológicas globales tienen sede en California, la ley no los compromete a tratar de la misma manera la información de todos y todas.

Resta esperar que tener que cumplir con esos requerimientos para un grupo reducido de usuarios las lleve a ofrecerle los mismos términos a todos sus usuarios, pero todo dependerá de qué tan complicado y desventajoso les resulte.

Más allá de eso, estas leyes funcionan como un antecedente y una base para otras normativas similares de todo el mundo, y durante el último año varios países revisaron sus políticas en la materia.

A continuación, un brevísimo panorama de la situación en Latinoamérica:

Argentina: Posee una ley del año 2000. El año pasado el Poder Ejecutivo propuso un nuevo proyecto actualizado, que fue criticado por su laxitud.

Bolivia: Está en tratamiento un proyecto de ley de fines del año pasado. Hay un Reglamento para el Desarrollo de Tecnologías de Información y Comunicación de 2013, y normas electorales y de telecomunicaciones, además de protecciones constitucionales.

Brasil: En julio de 2018 se aprobó la Ley General de Protección de Datos de Brasil, basada en GDPR. Establece derechos, obligaciones y buenas prácticas.

Chile: Existe una ley desde 1999 que regula el tratamiento de los datos personales, y actualmente hay un proyecto de enmienda. La reforma constitucional chilena también incluirá el derecho a la protección de datos personales.

Colombia: Hay un proyecto para actualizar la ley existente, de 2013, y una lista de países que cumplen con sus estándares para transferencias transfronterizas de datos.

México: Una ley rige desde 2010 y da a los titulares de los datos derechos de acceso, rectificación, cancelación y oposición al tratamiento. También hay protecciones constitucionales.

Panamá: Acaba de promulgar una ley que entrará en vigencia dentro de dos años.

Paraguay: La constitución prevé el derecho a la privacidad, y hay una ley de 2001 con enmiendas de 2002 y 2015. No hay una autoridad específica para la protección de datos.

Perú: En 2011 se promulgó una ley, que también se actualizó en 2017. Se están efectuando reformas para adecuarse a la Convención de Budapest.

Uruguay: Cuenta con una ley de 2008/2009. Hay una propuesta de reforma que se espera sea aprobada en los próximos meses.

Pulse es la serie de Flame Ads que tiene como objetivo empoderar a todos los integrantes del ecosistema de la publicidad mobile y el in-game advertising para que se sientan cómodos en este gran mundo de posibilidades. Si quieres recibir el contenido cada dos semanas en tu bandeja de correo, no olvides suscribirte.