CCPA: derechos del consumidor en California

Hola, vivo en Los Ángeles y hace poco descubrí que una empresa de datos personales tiene mi información (nombre, dirección, historial de compras, hasta mi puntuación crediticia estimada) y la vende a terceros. Nunca les di permiso para esto.

He escuchado sobre la CCPA (Ley de Privacidad del Consumidor de California) pero no entiendo bien qué derechos tengo como consumidora hispanohablante. ¿Puedo obligarlos a borrar mi información? ¿Puedo demandarlos?

Ana María, la CCPA (ahora actualizada como CPRA) te da varios derechos importantes como residente de California:

• Derecho a saber: Puedes pedirles que te digan qué datos personales tienen sobre ti
• Derecho a borrar: Puedes exigir que eliminen tus datos personales
• Derecho a opt-out: Puedes pedir que dejen de vender tu información
• Derecho a no discriminación: No pueden tratarte diferente por ejercer tus derechos
• Derecho a corregir: Puedes pedir que corrijan datos incorrectos (nuevo con CPRA)

Todas las empresas que califican deben tener un enlace de “Do Not Sell My Personal Information” en su sitio web.

Ana María, lo que describe David es correcto. Voy a agregar los detalles prácticos:

¿Puedes obligarlos a borrar tu información? Sí, con excepciones. La empresa tiene 45 días para responder a tu solicitud. Pueden extender otros 45 días si te avisan.

¿Puedes demandarlos? Bajo la CCPA, solo puedes demandar directamente si hubo una violación de datos (data breach) que expuso tu información. Para otros incumplimientos, primero debes reportar al California Attorney General.

Pasos que te recomiendo:

1. Envía una solicitud formal de eliminación de datos por escrito
2. Simultáneamente, ejerce tu derecho de opt-out para que dejen de vender tus datos
3. Guarda copia de toda la comunicación
4. Si no responden en 45 días, presenta queja ante el California Privacy Protection Agency (CPPA)

La CCPA aplica a empresas que: (a) tienen ingresos brutos anuales de más de $25 millones, (b) compran/venden datos de 100,000+ consumidores, o (c) obtienen 50%+ de ingresos de la venta de datos.

Gracias @LicGarciaPrivacidad. La empresa se llama DataBrokerXYZ (no quiero poner el nombre real). Sí tienen más de $25 millones en ingresos según lo que investingué.

Dos preguntas más:

1. ¿La solicitud la puedo hacer en español o tiene que ser en inglés?
2. ¿Necesito un abogado para esto o puedo hacerlo yo sola?

Buenas preguntas:

1. Idioma: La CCPA no exige que la solicitud sea en inglés, pero te recomiendo enviarla en inglés para evitar que la empresa use el idioma como excusa para retrasar. Si necesitas ayuda con la redacción, hay plantillas gratuitas en el sitio del California Attorney General.

2. Abogado: No necesitas abogado para ejercer tus derechos bajo la CCPA. Es un proceso que puedes hacer tú misma. Solo necesitarías abogado si la empresa se niega a cumplir y quieres tomar acción legal.

La solicitud básica debe incluir:

• Tu nombre completo y dirección
• Que eres residente de California
• Referencia específica a la CCPA/CPRA
• Qué derechos estás ejerciendo (eliminar datos, opt-out de venta)
• Fecha límite de respuesta (45 días)

Ana María, también te recomiendo usar herramientas gratuitas que automatizan el proceso de opt-out con data brokers. Hay servicios como DeleteMe o Privacy Duck que envían solicitudes de eliminación a cientos de data brokers por ti.

Además, en California puedes registrarte en el California Do Not Sell Registry que se creó bajo la CPRA. Es como una lista de “no llamar” pero para la venta de datos personales.

Para los que somos de México o Latinoamérica y vivimos en California, es importante saber que la CCPA protege a todos los residentes de California, sin importar ciudadanía o estatus migratorio. Si vives en California, tienes estos derechos.

También vale mencionar que México tiene su propia ley de protección de datos (Ley Federal de Protección de Datos Personales en Posesión de los Particulares - LFPDPPP). Pero si la empresa opera en EE.UU., la CCPA es más útil para ti.

Actualización: Envié la solicitud de eliminación y opt-out por correo electrónico y también por correo certificado (como respaldo). La empresa respondío en 8 días confirmando que:

1. Van a eliminar mis datos personales de su base de datos
2. Dejaron de vender mi información a terceros
3. Notificaron a sus socios comerciales que deben eliminar mis datos también

Fue más fácil de lo que pensé. Gracias a todos por la guía, especialmente al Lic. García. Ahora voy a usar DeleteMe para limpiar mis datos de otros brokers.