25 marzo 2024 de Michael Evans
Para cualquier persona en el sector inmobiliario, tome nota: la CPRA está aquí y está cambiando nuestro juego a lo grande. Esta nueva legislación, una evolución de la CCPA, le devuelve más poder y le permite controlar sus datos personales como nunca antes.
Bien, pero en serio: ¿cómo afecta todo esto al funcionamiento de un negocio inmobiliario exitoso? ¿Alguna vez te has preguntado cómo mantener todo en orden mientras te alejas de la zona de penalización?
No te preocupes. Estoy aquí para desglosar lo esencial y mostrarle cómo hacer que su empresa cumpla con la CPRA. ¡Vamos a sumergirnos!
Tabla de contenido:
- ¿Qué es la Ley de Derechos de Privacidad de California (CPRA)?
- Requisitos de cumplimiento de CPRA para empresas
- Derechos ampliados del consumidor según la CPRA
- Aplicación de la CPRA y sanciones por incumplimiento
- Pasos para lograr el cumplimiento de CPRA
- Impacto de CPRA en los datos de los empleados y B2B
- Conclusión
¿Qué es la Ley de Derechos de Privacidad de California (CPRA)?
La Ley de Derechos de Privacidad de California (CPRA) cambia las reglas del juego cuando se trata de proteger su información personal.
Esta nueva ley de privacidad brinda a los residentes de California más control sobre cómo las empresas recopilan, usan y comparten sus datos.
Pero aquí está la cosa:
La CPRA no es sólo una copia al carbón de la Ley de Privacidad del Consumidor de California (CCPA).
Lleva la privacidad del consumidor a un nivel completamente nuevo.
Diferencias clave entre CCPA y CPRA
Entonces, ¿qué diferencia a la CPRA de su predecesora?
Para empezar, la CPRA introduce nuevos derechos, como la capacidad de corregir información personal inexacta y limitar el uso de datos confidenciales.
También amplió las exenciones para datos de empleados y B2B hasta el 1 de enero de 2023.
Además, la CPRA establece la Agencia de Protección de la Privacidad de California para hacer cumplir la ley e imponer sanciones a las empresas que no la cumplan.
¿Cuándo entra en vigor la CPRA?
Marquen sus calendarios, amigos.
La CPRA fue aprobada por los votantes de California el 3 de noviembre de 2020, pero la mayoría de sus disposiciones solo entraron en vigor a partir del 1 de enero de 2023.
También hay un período retrospectivo de 12 meses que comienza el 1 de enero de 2022.
¿Quién debe cumplir con la CPRA?
No todas las empresas tienen que preocuparse por la CPRA.
Se aplica a entidades con fines de lucro que hacen negocios en California y cumplen cualquiera de los siguientes criterios:
- Tener unos ingresos brutos anuales de más de 25 millones de dólares.
- Comprar, vender o compartir la información personal de 100.000 o más residentes u hogares de California
- Obtener el 50 % o más de sus ingresos anuales vendiendo o compartiendo información personal de los residentes de California.
Si su empresa pertenece a una de estas categorías, es hora de tomarse en serio el cumplimiento de la CPRA .
Requisitos de cumplimiento de CPRA para empresas
Muy bien, hablemos de lo que las empresas deben hacer para mantenerse en el lado correcto de la CPRA.
No se trata sólo de incluir una política de privacidad genérica en su sitio web y dar por terminada la tarea.
La CPRA tiene algunos requisitos bastante específicos cuando se trata de manejar información personal.
Definición de información personal según CPRA
Lo primero es lo primero: ¿qué se considera exactamente información personal según la CPRA?
La ley arroja una amplia red que cubre cualquier información que identifique, se relacione o pueda vincularse razonablemente con un consumidor u hogar en particular.
Esto incluye cosas obvias como nombres y direcciones de correo electrónico, pero también cosas como direcciones IP, datos biométricos e incluso inferencias extraídas de otra información personal.
Categorías de información personal confidencial
La CPRA va un paso más allá al introducir una nueva categoría de "información personal confidencial".
Esto incluye:
- Números de seguridad social
- Números de licencia de conducir
- Números de pasaporte
- Información de la cuenta financiera
- Datos precisos de geolocalización
- Origen racial o étnico
- Creencias religiosas o filosóficas
- Membresía de la unión
- Contenido del correo, correo electrónico y mensajes de texto.
- Datos genéticos
Las empresas deben tener mucho cuidado al recopilar y utilizar este tipo de información.
Limitaciones de uso y recopilación de datos
Según la CPRA, las empresas no pueden simplemente recopilar información personal de cualquier manera.
Deben notificar a los consumidores sobre las categorías de información personal que recopilan y los fines para los que se utilizará.
Y si una empresa quiere recopilar categorías adicionales de información personal o utilizarla para nuevos fines, debe actualizar sus avisos de privacidad.
La CPRA también exige que las empresas limiten la recopilación, el uso, la retención y el intercambio de información personal a lo que sea razonablemente necesario y proporcionado para lograr los fines para los que se recopiló.
Implementación de medidas de seguridad razonables
Recopilar información personal es una gran responsabilidad y la CPRA espera que las empresas se la tomen en serio.
Eso significa implementar medidas de seguridad razonables para proteger la información personal del acceso no autorizado, la destrucción, el uso, la modificación o la divulgación.
Lo que se considera "razonable" dependerá de la naturaleza del negocio y de la sensibilidad de la información involucrada.
Pero, como mínimo, las empresas deberían cifrar la información personal, limitar el acceso a quienes la necesitan y monitorear periódicamente los incidentes de seguridad.
La Ley de Derechos de Privacidad de California (CPRA) amplía las reglas de privacidad y otorga a los californianos más poder sobre sus datos. Introduce nuevos derechos y una agencia dedicada a hacerlos cumplir. A partir del 1 de enero de 2023, si su empresa es lo suficientemente grande o se ocupa en gran medida de información personal, deberá intensificar su juego de privacidad.
Derechos ampliados del consumidor según la CPRA
La CPRA amplía los derechos que ya se otorgaron a los consumidores en virtud de la CCPA. Esto significa que los residentes de California ahora tienen aún más control sobre su información personal.
Echemos un vistazo más de cerca a algunos de los derechos clave que se han ampliado o agregado:
Derecho a eliminar información personal
Según la CPRA, los consumidores pueden solicitar que las empresas eliminen su información personal. Este derecho ya estaba presente en la CCPA, pero la CPRA va un paso más allá.
Ahora, las empresas deben notificar a sus proveedores de servicios y contratistas que también eliminen la información personal del consumidor de sus registros. Esto garantiza que los datos se eliminen de todas las fuentes, no solo de la empresa que los recopiló.
Derecho a corregir datos inexactos
La CPRA introduce un nuevo derecho para los consumidores: el derecho a solicitar que las empresas corrijan cualquier información personal inexacta sobre ellos. Esta es una adición importante, ya que permite a las personas asegurarse de que los datos que se utilizan para tomar decisiones sobre ellos sean precisos.
Cuando un consumidor realiza una solicitud verificable para corregir su información, la empresa debe realizar esfuerzos comercialmente razonables para corregir los datos inexactos. También deben instruir a sus proveedores de servicios y contratistas para que realicen las correcciones necesarias.
Derecho a saber sobre la recopilación y el intercambio de datos
Los consumidores tienen derecho a solicitar que las empresas revelen qué información personal han recopilado sobre ellos, así como las categorías de fuentes de las cuales se recopiló la información. También pueden pedir a las empresas que revelen datos personales específicos que hayan sido recopilados.
Además, los consumidores pueden solicitar información sobre cómo se comparten sus datos. Esto incluye las categorías de terceros con quienes la empresa comparte información personal, así como las categorías de información personal que se comparten.
Derecho a optar por no compartir datos
La CPRA amplía el derecho de la CCPA a optar por no participar en la venta de información personal para incluir el intercambio de información personal. Esto significa que los consumidores pueden ordenar a las empresas que no compartan sus datos con terceros con fines de publicidad comportamental.
Las empresas deben proporcionar un enlace claro y visible en su sitio web titulado "No vender ni compartir mi información personal" para permitir a los consumidores ejercer este derecho. También deben respetar las señales globales de control de privacidad que indican la elección del consumidor de optar por no participar.
Estos derechos ampliados brindan a los californianos un control sin precedentes sobre su información personal. Al ejercer estos derechos, las personas pueden limitar la recopilación y el intercambio de sus datos y garantizar que la información que se utiliza sea precisa.
Aplicación de la CPRA y sanciones por incumplimiento
La CPRA no sólo amplía los derechos de los consumidores, sino que también establece una nueva agencia de aplicación de la ley y aumenta las sanciones para las empresas que no cumplan con la ley.
Esto es lo que necesita saber sobre la aplicación y las sanciones de la CPRA:
Papel de la Agencia de Protección de la Privacidad de California
La CPRA crea una nueva agencia estatal, la Agencia de Protección de la Privacidad de California (CPPA), que será responsable de hacer cumplir la ley. Esto aleja la autoridad de aplicación de la ley de la oficina del Fiscal General de California.
La CPPA tendrá la facultad de investigar posibles infracciones, interponer acciones administrativas de cumplimiento e imponer multas. También será responsable de brindar orientación a empresas y consumidores sobre sus derechos y obligaciones en virtud de la CPRA.
Sanciones por infracciones de la CPRA
La CPRA aumenta significativamente las sanciones para las empresas que violen la ley. Por cada infracción, las empresas pueden enfrentar multas de hasta $2,500 por infracción o hasta $7,500 por infracción intencional o infracciones que involucren la información personal de menores.
Estas sanciones pueden acumularse rápidamente, especialmente para las empresas que tienen una gran cantidad de clientes en California. Además de estas multas, las empresas también pueden estar sujetas a interdictos y otras órdenes judiciales para obligar al cumplimiento de la ley.
Derecho de acción privado por violaciones de datos
La CPRA amplía el derecho de acción privada que se estableció bajo la CCPA. Los consumidores de California ahora pueden entablar una acción civil contra una empresa si su información personal no cifrada y no redactada está sujeta a acceso no autorizado y exfiltración, robo o divulgación como resultado de la falta de implementación y mantenimiento de procedimientos de seguridad razonables por parte de la empresa.
Los consumidores pueden reclamar daños y perjuicios entre $100 y $750 por incidente o daños reales, lo que sea mayor. Antes de presentar una acción, los consumidores deben proporcionar a la empresa un aviso por escrito con 30 días de antelación identificando las disposiciones específicas que supuestamente fueron violadas.
Este derecho de acción privado crea un riesgo de litigio significativo para las empresas que experimentan violaciones de datos. Es más importante que nunca que las empresas implementen sólidas medidas de seguridad de datos para proteger la información personal.
Los mecanismos de aplicación y sanciones de la CPRA crean fuertes incentivos para que las empresas cumplan con la ley. Al establecer una agencia de cumplimiento dedicada y aumentar las posibles multas, la CPRA tiene como objetivo responsabilizar a las empresas de proteger los derechos de privacidad de los consumidores.
La Ley de Derechos de Privacidad de California (CPRA) aumenta el control de los californianos sobre la información personal, agregando derechos para corregir datos y optar por no compartirlos. También establece sanciones más severas por incumplimiento y crea una nueva agencia de privacidad para hacer cumplir estas reglas. Los profesionales del sector inmobiliario deben actuar ahora para cumplir con las normas.
Pasos para lograr el cumplimiento de CPRA
Para asegurarse de que su empresa cumpla plenamente con las normas, hay algunos pasos clave que deberá seguir.
Pero no te preocupes, te guiaremos a través de cada uno.
Realización de inventario y mapeo de datos
Lo primero es lo primero: necesita saber exactamente qué información personal está recopilando, utilizando y compartiendo. Aquí es donde entran en juego el inventario de datos y el mapeo.
Según el Informe de privacidad en el lugar de trabajo, el cumplimiento exitoso depende de comprender qué información se recopila (incluida la información confidencial), de quién se recopila, cómo se recopila, por qué se recopila, todos los propósitos para los que se utiliza, dónde se almacena y cuánto tiempo se conserva. y cualquier tercero con el que se comparta.
Si ya hiciste esto para la CCPA, genial. Pero es posible que deba actualizar su mapeo para detectar cualquier cambio en los procesos comerciales.
Actualización de políticas y avisos de privacidad
A continuación: sus políticas y avisos de privacidad. Según la CCPA, usted debe proporcionar a los consumidores (incluidos empleados y contratistas) un aviso que revele las categorías de información personal que recopila y cómo la utiliza.
Pero con CPRA, debe agregar algunas divulgaciones más a sus avisos a partir de enero de 2023. Específicamente, debe divulgar:
- Las categorías de información personal confidencial que recopila
- El período de tiempo que pretende conservar cada categoría de información personal
- Si la información personal se vende o comparte
Asegúrese de actualizar sus políticas y avisos para reflejar estos cambios y brindar orientación clara a los consumidores.
Gestión de relaciones con proveedores
¿Comparte información personal con algún proveedor de servicios o contratista? Si es así, deberá asegurarse de que esas relaciones cumplan con CPRA.
Esto significa celebrar contratos que prohíben a sus proveedores de servicios vender o compartir información personal, utilizarla para cualquier fin distinto del comercial especificado en el contrato o combinarla con información de otras fuentes.
Revise los contratos de sus proveedores y realice las actualizaciones necesarias para garantizar el cumplimiento.
Implementación de procesos de solicitud de interesados
Según la CPRA, los consumidores tienen derechos ampliados para acceder, eliminar y corregir su información personal, así como el derecho a optar por no vender o compartir su información.
Para cumplir, deberá implementar procesos para manejar estas solicitudes. Esto incluye tener un método claro para que los consumidores envíen solicitudes, verificar la identidad del solicitante y responder dentro de los plazos requeridos (generalmente 45 días).
Asegúrese de que su personal esté capacitado sobre estos nuevos procedimientos y de que esté documentando todas las solicitudes de los consumidores y sus respuestas.
Impacto de CPRA en los datos de los empleados y B2B
Una de las grandes preguntas en torno a la CPRA es cómo afectará a los datos de los empleados y de las empresas (B2B). Analicémoslo.
Derechos de privacidad de datos de los empleados
Según la CCPA, hubo algunas exenciones temporales para los datos de los empleados. Pero expiraron el 1 de enero de 2023, cuando la CPRA entró en vigor.
Esto significa que los empleados, solicitantes y contratistas tienen los mismos derechos que los consumidores según la CPRA. Esto incluye el derecho a saber, el derecho a eliminar, el derecho a optar por no participar y los nuevos derechos a restringir la divulgación y corregir la información personal.
Según el Informe de privacidad en el lugar de trabajo, los empleadores no podrán discriminar ni tomar represalias contra los empleados de California que ejerzan estos derechos.
Entonces, si aún no lo ha hecho, comience a prepararse para extender los derechos CPRA a sus empleados y actualice sus políticas y procedimientos en consecuencia.
Exenciones y limitaciones de datos B2B
¿Qué pasa con los datos B2B? Las exenciones de la CCPA para datos B2B también expiraron el 1 de enero de 2023.
Después de esa fecha, la CPRA se aplicará a la información personal recopilada en el contexto de transacciones B2B, con algunas limitaciones. Por ejemplo, las empresas no estarán obligadas a aceptar solicitudes de eliminación de información personal si es necesario para completar la transacción o proporcionar el producto o servicio solicitado.
Sin embargo, los contactos B2B seguirán teniendo derecho a optar por no vender o compartir su información personal. Así que asegúrese de que sus prácticas de datos B2B estén en línea con los requisitos de la CPRA.
¿La conclusión clave? Comience a revisar las prácticas de datos de sus empleados y B2B ahora para garantizar el cumplimiento de la CPRA. Con la preparación adecuada, protegerá los derechos de privacidad de todos sus consumidores, empleados y contactos comerciales de California.
Avance en el cumplimiento de la CPRA trazando la información personal que maneja, actualizando los avisos de privacidad, asegurándose de que los contratos con los proveedores sean estrictos, configurando procesos de solicitud de derechos de los consumidores y preparándose para cambios en las reglas de datos de los empleados y B2B. Esto mantendrá su negocio inmobiliario encaminado.
Conclusión
Claro, la Ley de Derechos de Privacidad de California parece dura al principio. Sin embargo, con un poco de esfuerzo y medidas proactivas, encontrará que su empresa inmobiliaria cumple todos los requisitos para cumplir y ganarse la confianza del cliente.
Recuerde, se trata de transparencia, seguridad y respeto a los derechos de privacidad del consumidor. Al realizar inventarios de datos, actualizar sus políticas e implementar medidas de seguridad sólidas, estará bien encaminado hacia el cumplimiento de la CPRA.
Tome el cambio con ambas manos como una oportunidad para mejorar la forma en que administra su negocio y fortalecer aún más los vínculos con sus clientes. El futuro del sector inmobiliario se centra en la privacidad y, con el enfoque correcto, estará preparado para prosperar en este nuevo panorama.