Resumen de la Ley de Privacidad de Colorado

La Ley de Privacidad de Colorado («CPA», por sus siglas en inglés) se promulgó en julio de 2021, siguiendo el camino abierto por California y Virginia, que aprobaron las dos primeras leyes integrales de privacidad de datos personales de Estados Unidos. La CPA entra en vigor el 1 de julio de 2023 y el texto completo de la CPA está disponible aquí.

¿A quién se aplica la Ley de Privacidad de Colorado?

La CPA se aplica a las empresas que dirigen productos o servicios a residentes de Colorado y que cumplen alguna de estas condiciones:

• Controlan o tratan los datos personales de al menos 100.000 consumidores de Colorado en un año natural; o
• Controlan o tratan los datos personales de al menos 25.000 consumidores de Colorado y obtienen algún ingreso de la venta de datos personales

La CPA se aplica a las entidades sin ánimo de lucro, pero no a las entidades gubernamentales, incluidos los centros educativos.

Definiciones clave de la CPA

Gran parte de la terminología de la CPA procede del RGPD, entre otras:

• «Consumidor», que se refiere a los residentes de Colorado y, a diferencia de la CCPA, la CPA excluye a los empleados y a los candidatos a un empleo.
• «Responsable del tratamiento», que se refiere a cualquier persona que, sola o junto con otras, determina los fines y medios del tratamiento de datos personales.
• «Datos personales», que se refiere a cualquier información vinculada o razonablemente vinculable a una persona identificada o identificable. Al igual que en el RGPD y a diferencia de la CCPA de California, la definición de la CPA se refiere solo a personas físicas y excluye los «hogares». Los datos personales también excluyen cualquier dato desidentificado o de acceso público (es decir, procedente de registros públicos o que el responsable crea razonablemente que el consumidor ha puesto a disposición del público en general).
• «Encargado del tratamiento», que se refiere a cualquier persona que trata datos personales por cuenta de un responsable.
• «Venta de datos personales», que se refiere al intercambio por parte de un responsable de datos personales a cambio de dinero u otra contraprestación valiosa con un tercero, excluidas las comunicaciones: (1) a un encargado; (2) a un tercero con el fin de prestar un producto o servicio solicitado por el consumidor; (3) a una filial del responsable; (4) como parte de una fusión, adquisición, quiebra u otra operación que afecte a la totalidad o parte de los activos del responsable; (5) por indicación del consumidor, incluso mediante una interacción intencionada con un tercero; publicados intencionadamente por el consumidor al público en general a través de medios de comunicación de masas.
• «Datos sensibles», que se refiere a: (1) datos que revelen el origen racial o étnico, las creencias religiosas, la salud mental o física, la vida sexual, la orientación sexual o la ciudadanía; (2) datos genéticos o biométricos utilizados para identificar de forma unívoca a una persona y (3) datos relativos a un menor de 13 años conocido.

Antes de recurrir a un encargado, el responsable debe celebrar con él un contrato que le imponga las obligaciones descritas a continuación y, lo que es importante, dichos contratos no pueden eximir ni al responsable ni al encargado de su responsabilidad por incumplimiento de la CPA.

Obligaciones impuestas a los encargados según la CPA de Colorado

En general, la CPA impone menos obligaciones a los encargados que a los responsables. Entre las más importantes, los encargados deben:

Seguir las instrucciones de sus responsables y ayudarles a cumplir sus obligaciones derivadas de la CPA.

• Adoptar las medidas técnicas y organizativas adecuadas para ayudar a los responsables a responder a las solicitudes de ejercicio de derechos de los consumidores
• Notificar a los responsables cualquier violación de la seguridad de los datos personales;
• Garantizar que cada persona que trate los datos personales esté sujeta a un deber de confidencialidad;
• Avisar a los responsables y darles la oportunidad de oponerse antes de contratar a cualquier subcontratista, e imponer a cualquier subcontratista los requisitos de la CPA aplicables a los encargados.

Obligaciones impuestas a los responsables según la CPA de Colorado

La CPA impone a los responsables una serie de deberes similares a los del RGPD y la CCPA:

• Deber de transparencia: un aviso de privacidad razonablemente accesible, claro y significativo que incluya:

  • Las categorías de datos personales recopilados o tratados por el responsable o sus encargados;
  • Los fines del tratamiento de datos; si los datos se tratan o venden con fines de publicidad dirigida, el responsable debe indicarlo de forma visible y ofrecer un mecanismo de exclusión voluntaria (opt-out);
  • Cómo pueden los consumidores ejercer sus derechos y recurrir cualquier decisión del responsable;
  • Las categorías de datos personales compartidos con terceros;
  • Las categorías de terceros con los que se comparten datos.

• Deber de especificación de la finalidad: especificar los fines expresos para los que se recopilan y tratan los datos personales (este deber parece quedar subsumido en el deber de transparencia).

• Deber de minimización de datos: la recopilación de datos debe ser adecuada, pertinente y razonablemente necesaria para los fines de tratamiento identificados. Curiosamente, la inclusión de «adecuada» sugiere que los responsables podrían tener que recopilar una cantidad mínima de datos para asegurarse de poder cumplir su finalidad, lo que choca con el propio concepto de «minimización».

• Deber de evitar usos secundarios: el tratamiento solo puede incluir fines razonablemente necesarios o compatibles con los fines especificados en el momento de la recopilación. Esto puede superarse con el consentimiento del consumidor obtenido después de la recopilación. En esencia, la CPA pasa a ser una ley de consentimiento previo (opt-in) en lugar de exclusión voluntaria (opt-out) para cualquier fin nuevo o imprevisto.

• Deber de diligencia: los responsables deben adoptar medidas razonables para proteger los datos personales durante su almacenamiento y uso, adecuadas al volumen, alcance y naturaleza de los datos personales tratados.

• Deber de evitar la discriminación ilícita: el responsable no debe tratar datos personales en violación de las leyes estatales o federales contra la discriminación. Esto significa que los responsables podrían incurrir en responsabilidad tanto en virtud de la ley antidiscriminación principal como de la CPA por la misma conducta discriminatoria.

• Deber relativo a los datos sensibles: para tratar datos sensibles, los responsables deben obtener un consentimiento previo (opt-in), que en el caso de datos de menores debe otorgar un progenitor. (Todos los datos relativos a un menor de 13 años se consideran sensibles). Cualquier consentimiento exigido por la CPA debe ser libre, específico, informado e inequívoco.

• Evaluaciones de protección de datos: los responsables deben realizar una evaluación de protección de datos antes de cualquier tratamiento que suponga un riesgo elevado de perjuicio para el consumidor. Las evaluaciones de protección de datos deben identificar y sopesar los beneficios que pueden derivarse, directa e indirectamente, del tratamiento para el responsable, el consumidor, otras partes interesadas y el público frente a los posibles riesgos para los derechos del consumidor asociados al tratamiento, teniendo en cuenta las salvaguardas que el responsable aplique para reducir el riesgo. La CPA incluye varios ejemplos de cuándo es necesaria una evaluación de protección de datos, entre ellos (1) la venta de datos personales, (2) el tratamiento de datos sensibles y (3) la segmentación o elaboración de perfiles de consumidores cuando exista un riesgo previsible de: trato injusto o engañoso o impacto dispar ilícito en los consumidores; perjuicio económico o físico; una intrusión física o de otro tipo en la soledad, el retiro o los asuntos privados, si resulta ofensiva para una persona razonable; u otro perjuicio sustancial

Derechos de privacidad del consumidor según la CPA

Además de los deberes impuestos a los responsables explicados anteriormente, los responsables también deben garantizar que los consumidores puedan ejercer sus derechos de privacidad según la CPA:

• Derecho de acceso: a confirmar si un responsable está tratando sus datos personales y a «acceder a ellos» (nota: no está claro en qué se diferencia el derecho de acceso del derecho a la portabilidad descrito más adelante).
• Derecho de rectificación: a corregir las inexactitudes de sus propios datos personales.
• Derecho de supresión: a obtener la supresión de los datos personales que le conciernen. Dado que la ley no prevé excepciones a este derecho, cabe esperar que las excepciones, p. ej., para el cumplimiento de otras leyes y la prevención del fraude, se regulen mediante reglamento.
• Derecho a la portabilidad de los datos: a obtener una copia de sus datos personales, cuando sea viable en un formato fácilmente utilizable que permita su transferencia a otra entidad. El consumidor puede ejercer este derecho un máximo de dos veces por año natural.
• Derecho de exclusión voluntaria (opt-out): a oponerse al tratamiento de sus datos personales para: (1) publicidad dirigida; (2) la venta de datos personales; o (3) la elaboración de perfiles que dé lugar a decisiones con efectos jurídicos o de importancia similar para el consumidor. A partir del 1 de julio de 2024, los responsables deben ofrecer a los consumidores un mecanismo universal de exclusión voluntaria para oponerse a la publicidad dirigida y a la venta de datos. El fiscal general dictará reglamentos al respecto. No está claro si el mecanismo universal de exclusión voluntaria obligará a las empresas a respetar las señales «Do Not Track» del navegador u otro mecanismo similar. Sin embargo, la CPA establece que un consentimiento afirmativo u opt-in prevalecerá sobre cualquier elección de fondo expresada mediante el mecanismo universal de exclusión voluntaria, por lo que podría argumentarse que dicho mecanismo quedará anulado por una casilla de aceptación de los términos del servicio de un sitio web.
• Derecho de recurso: a recurrir cualquier inacción del responsable a la hora de aplicar las opciones de privacidad del consumidor. El proceso de recurso debe ser sencillo y visible y, si se deniega un recurso, el responsable debe informar al consumidor de su derecho a contactar con el fiscal general en relación con el resultado del recurso.

Al igual que con la CCPA, según la CPA los responsables deben atender las solicitudes de ejercicio de derechos en un plazo de 45 días desde su recepción, y pueden ampliar este plazo a 90 días cuando sea razonablemente necesario, notificando la ampliación a los consumidores dentro del plazo inicial de 45 días. La ley tampoco incluye, y se espera que los reglamentos del fiscal general sí lo hagan, los requisitos para verificar las solicitudes antes de atenderlas.

Cómo ayuda CCPA Toll Free a las empresas a cumplir la CPA

CCPA Toll Free ayuda a las empresas a cumplir la CPA con herramientas de flujo de trabajo automatizadas, rentables y fáciles de implementar. Entre nuestras funciones preparadas para empresas se incluyen:

• Un gestor interactivo de solicitudes de ejercicio de derechos para ofrecer a sus consumidores
• Un Toll-Free Number aprovisionado al instante para aceptar también estas solicitudes por teléfono
• Herramientas para autenticar las solicitudes y hacer seguimiento y demostrar el cumplimiento
• Un sólido marco de seguridad con cifrado en tránsito y en reposo, autenticación de dos factores, SSO e integraciones mediante API

CCPA Toll Free ofrece una prueba gratuita sin necesidad de método de pago. Haga clic en Empezar prueba gratuita arriba para obtener más información sobre cómo podemos ayudarle a cumplir con la CPA.

Aplicación de la CPA y conclusión

La CPA puede hacerla cumplir no solo el fiscal general de Colorado, sino también cualquier fiscal de distrito. Desde la entrada en vigor de la CPA en julio de 2023 hasta el 1 de enero de 2025, antes de iniciar una acción de ejecución, el fiscal general o el fiscal de distrito debe notificar al responsable cualquier infracción de la CPA y concederle un plazo de 60 días para subsanarla.

La CPA no especifica multas y, como una infracción de la CPA se considera una práctica comercial engañosa según la Ley de Protección del Consumidor de Colorado, se deduce que una empresa puede ser multada con hasta $20.000 por cada infracción de la CPA.

Queda tiempo de sobra desde ahora hasta mediados de 2023 para prepararse para el cumplimiento de la CPA. La buena noticia es que las empresas que han adoptado programas de cumplimiento del RGPD y la CCPA estarán muy bien posicionadas para cumplir la ley de Colorado. En esencia, ofrecer todos los derechos del RGPD y la CCPA a los residentes de Colorado supondrá un cumplimiento sustancial de la CPA. Aunque este enfoque conceda a los residentes de Colorado algunos derechos adicionales, es el camino que probablemente seguirán muchas empresas.