El Reglamento General de Protección de Datos (RGPD) de la Unión Europea y la Ley de Privacidad del Consumidor de California (CCPA) son dos de las normativas de privacidad de datos más conocidas y de mayor alcance. Han inspirado otros marcos legales para la protección de los datos y la privacidad de los usuarios y, aunque cumplir con una te acerca en parte al cumplimiento de la otra, difieren en su implementación técnica, su alcance y su aplicación.
Para los equipos de informática interna y los proveedores de servicios gestionados (MSP), lograr y mantener el cumplimiento de estos marcos legales puede suponer un obstáculo considerable. Comparar la CCPA vs RGPD ayuda a entenderlas (así como otras leyes internacionales que protegen los derechos de los usuarios sobre sus datos) y a implementar los procesos y tecnologías necesarios para cumplir sus requisitos.
¿Qué son el RGPD y la CCPA y por qué importan?
El RGPD (en vigor desde 2018) y la CCPA (en vigor desde 2020) otorgan a los usuarios ciertos derechos sobre sus datos privados y establecen cómo las organizaciones, incluidos los equipos técnicos que gestionan su infraestructura de TI, deben proteger esos datos y ofrecer los mecanismos para que los usuarios ejerzan dichos derechos.
Estos derechos incluyen, en términos generales, la posibilidad de que los usuarios soliciten la corrección o la eliminación de sus datos, así como impedir que se transfieran a terceros sin su consentimiento. No hacerlo puede dar lugar a sanciones legales importantes en ambas normativas, por lo que el cumplimiento es fundamental para cualquier empresa que opere en la UE o en California, dos de los mayores mercados de servicios digitales.
¿En qué se diferencia el cumplimiento del RGPD del de la CCPA?
El RGPD y la CCPA son dos marcos legales distintos que se aplican a jurisdicciones diferentes y que imponen requisitos diferentes. Aunque persiguen objetivos similares, sus exigencias de cumplimiento, su alcance, sus definiciones y los derechos que otorgan no coinciden.
Es esencial que cualquier organización que planifique su cumplimiento normativo (incluidos la CCPA y el RGPD) consulte directamente las fuentes legales oficiales de esas leyes (consulta aquí el RGPD y aquí la CCPA) y recurra a expertos legales de su sector. Basarse en interpretaciones de terceros puede llevar a un incumplimiento involuntario.
CCPA vs RGPD: alcance y ámbito de aplicación
La siguiente tabla resume el alcance y el ámbito de aplicación de la CCPA y el RGPD. Ten en cuenta que es una buena práctica que las organizaciones que no alcanzan los umbrales para quedar sujetas a estas leyes de privacidad las cumplan igualmente: así podrán colaborar como socios con empresas que sí están obligadas y ya cumplirán la normativa cuando llegue el momento de crecer.
| Aspecto | CCPA (California) | RGPD (Unión Europea) |
|---|---|---|
| ¿Quién debe cumplirla? | Organizaciones que tratan información personal de residentes en California | Organizaciones que tratan información personal de residentes de cualquier país de la Unión Europea (UE) |
| ¿Qué tipo de empresas deben cumplirla? | Empresas con ánimo de lucro que alcanzan los umbrales | Todas las organizaciones que tratan datos personales |
| Umbrales | Más de 25 millones de dólares de facturación o tratamiento de datos personales de más de 100.000 residentes en un año | Se aplica por actividad, no por umbrales |
| ¿Quién la hace cumplir? | California Privacy Protection Agency (CPPA) | Autoridades nacionales de protección de datos (APD) |
Ten en cuenta que debes cumplir la CCPA y el RGPD sea cual sea la ubicación de tu empresa: lo que cuenta es dónde reside el usuario al que pertenecen los datos, no dónde opera tu negocio.
¿Qué datos personales debo proteger según la CCPA y el RGPD?
Cada marco legal define los «datos personales» de forma distinta. Como esto afecta a qué se considera dato personal, también afecta a cómo debes tratar, almacenar y proteger esa información en función de dónde se encuentren tus usuarios.
| Criterio | CCPA | RGPD |
|---|---|---|
| Información personal | Información que identifica a un consumidor u hogar concreto | Cualquier dato que permita identificar a una persona |
| Datos especiales o sensibles (que requieren protección adicional) | Ampliados mediante la CPRA para incluir datos como la educación, la ubicación y el empleo) | Las categorías especiales incluyen datos de salud, políticos, biométricos y religiosos |
Identificar la información de identificación personal (PII) dentro de los datos que almacenas requiere herramientas de descubrimiento de datos que funcionen tanto con datos estructurados como no estructurados, de modo que, cuando un usuario solicite la supresión o corrección de su información, se puedan localizar y actualizar todas las instancias.
Derechos del consumidor y del interesado según la CCPA y el RGPD
La CCPA protege los derechos del «consumidor», es decir, los residentes en California que facilitaron datos a empresas sujetas a la norma. El RGPD protege los derechos de los «interesados», lo que incluye a cualquier residente de un país de la UE, con independencia de su nacionalidad.
Los consumidores y los interesados tienen derechos distintos en sus respectivos marcos. En particular, la CCPA funciona con un modelo de exclusión (opt-out) para la mayoría de los tratamientos y de la cesión de datos (salvo para consumidores menores de 16 años), mientras que el RGPD obliga siempre a la organización a solicitar el consentimiento explícito del usuario para actividades concretas.
| Derecho del consumidor/interesado | CCPA | RGPD |
|---|---|---|
| Acceso para consultar sus datos personales | Sí | Sí |
| Posibilidad de corregir sus datos | Sí (añadido mediante la CPRA) | Sí |
| Posibilidad de eliminar sus datos (derecho al olvido) | Limitada | Amplia, con excepciones concretas, por ejemplo, para datos de salud o información de interés público |
| Portabilidad de los datos (trasladarlos a otro responsable) | Sí | Sí |
| Exclusión de la venta o cesión de datos | Exclusión (opt-out) | No es necesaria, ya que se exige consentimiento para la inclusión |
| Consentimiento previo al tratamiento | Generalmente implícito | Debe ser explícito y específico |
CCPA vs RGPD: base legal para el tratamiento
Con la CCPA no se exige una base legal para tratar datos personales (aunque existen restricciones), pero la empresa debe informar de cómo se usarán y dar al consumidor la posibilidad de excluirse. El RGPD solo permite el tratamiento si se ampara en una de las seis bases definidas.
Esto tiene consecuencias en la forma de gestionar los datos sensibles, especialmente en el caso de los interesados amparados por el RGPD, ya que hay que registrar y conservar la base legal o el consentimiento de cada usuario para sus datos.
Aplicación y sanciones
La CCPA contempla una multa máxima de 2.500 dólares por cada infracción no intencionada o de 7.500 dólares por cada infracción intencionada. Las multas del RGPD van desde un máximo de 10 millones de euros o el 2 % de la facturación anual hasta 20 millones de euros o el 4 % de la facturación anual, según la gravedad de la infracción. Por eso, las empresas afectadas por la CCPA o el RGPD necesitan documentar todas sus políticas de protección de datos y registrar todas las actividades para poder demostrar que cumplen la normativa.
Requisitos técnicos y controles
Proteger los datos sensibles exige varias tecnologías clave que requieren tanto la CCPA como el RGPD, entre ellas:
- Controles de acceso a los datos: permisos basados en roles, autenticación multifactor (MFA), principio del mínimo privilegio (PoLP)
- Cifrado: obligatorio para los datos protegidos en tránsito y en reposo
- Registro de auditoría: obligatorio para las actividades de acceso y tratamiento de datos
- Seguimiento de la respuesta a solicitudes de los interesados (DSR) o solicitudes de acceso (SAR): 45 días (CCPA), 30 días (RGPD)
- Minimización de datos: obligatoria según el RGPD, recomendada para la CCPA
Existen varias herramientas que puedes usar al construir tu infraestructura de TI para facilitar el cumplimiento: Azure AD y Okta sirven para la gestión de identidades y accesos con el fin de proteger los datos, Microsoft Purview y Symantec DLP se pueden implantar para la prevención de pérdida de datos, OneTrust y TrustArc son soluciones populares de gestión del consentimiento, y DataGrail y Microsoft Compliance Center permiten automatizar la gestión de las DSR.
El RGPD y la CCPA: un reto permanente para administradores de TI y MSP
Tu responsabilidad sobre los datos protegidos de tus usuarios no termina cuando dejan de estar bajo tu control: sigues respondiendo por ellos si los compartes con organizaciones que no los tratan de forma responsable. Para ello se necesitan acuerdos de tratamiento de datos (DPA) que especifiquen exactamente cómo se van a utilizar los datos de los usuarios. También debes informar a tus usuarios de cualquier cesión de información a terceros conforme a esos DPA, y mantener una lista actualizada de todas las partes con las que compartes datos.
Las leyes de privacidad también evolucionan: las normas existentes se actualizan y aparecen marcos nuevos en países o estados que antes no protegían legalmente los datos de los usuarios. Esto significa que debes evaluar continuamente quiénes son tus usuarios, qué leyes les afectan y si surgen nuevos requisitos de cumplimiento para almacenar o tratar sus datos.
La elección de herramientas es clave para alcanzar el cumplimiento total: los datos no solo deben poder revisarse o eliminarse fácilmente a petición de los usuarios, sino que todos los datos deben actualizarse en consecuencia, incluidos los que están en las copias de seguridad. El shadow IT también supone un reto, porque es difícil proteger los datos cuando el personal los sube a servicios de terceros sin tu supervisión.
NinjaOne ofrece una plataforma completa para gestionar la TI, con copia de seguridad para proteger los datos, herramientas de monitorización para detectar usos indebidos de la información y posibles brechas de seguridad, e integración con soluciones de seguridad de endpoints. NinjaOne unifica la supervisión de toda tu infraestructura y tus operaciones de TI en una sola interfaz y aporta herramientas de automatización que te ayudan a mantener el cumplimiento.
Habla hoy mismo con un miembro del equipo de NinjaOne para descubrir cómo podemos ayudarte a lograr el cumplimiento total en materia de privacidad de datos.
