El cumplimiento de la CCPA se está quedando atrás ya que la aplicación comienza seriamente

La aplicación de la Ley de Privacidad del Consumidor de California (CCPA) comenzó el miércoles 1 de julio, aunque el reglamento final propuesto no se publicó hasta el 1 de junio y aún no ha sido revisado por la Oficina de Derecho Administrativo de California (OAL). La fecha del 1 de julio provocó que las empresas, muchas de las cuales esperaban ser indulgentes durante la pandemia, se prepararan.

COVID-19 parece estar cambiando el panorama del cumplimiento de la protección de datos en otras partes del mundo, ha visto retrasos tanto en el LGDP brasileño como en el PDPB indio que afectarán la entrada en vigor de la ley. Sin embargo, el Procurador General de California (CAG) no se ha rendido al horario de la CCPA. El Fiscal General dijo: “El CCPA ha estado en vigencia desde el 1 de enero de 2020. Nos comprometemos a hacer cumplir la ley desde el 1 de julio. Alentamos a las empresas a prestar especial atención a la seguridad de los datos en esta emergencia. “

Dado que CCPA es una de las regulaciones de protección de datos más exigentes que algunas compañías han enfrentado, el cumplimiento es, desde luego, muy rezagado. Según diferentes estimaciones, el porcentaje de organizaciones que estarían listas para el CCPA en enero de 2020 fue entre 12% y 34% en 2019. Una encuesta reciente realizada por ArcTrust encontró que para junio de 2020, solo el 14% de las empresas habían cumplido completamente con las regulaciones de CCPA, mientras que otro 15% tenía un plan pero no había comenzado a implementarlo. Esto deja a otro 71% de las empresas cuyos planes para cumplir con el CCPA no se tienen en cuenta. Si bien estos números son grandes, puede que no sean demasiado sorprendentes, dado que solo el 28% de las empresas cumplieron con el GDPR un año después de su entrada en vigor, y las empresas subestimaron en gran medida los requisitos de cumplimiento.

¿Qué deben esperar las empresas? ¿siguiente?

Aunque la capacidad de CAG para tomar medidas de cumplimiento ya está vigente, las compañías pueden ser consideradas responsables por violaciones de la ley que ocurrieron a principios de año. Además, los consumidores han podido emprender acciones legales contra empresas que no cumplen con las normas desde principios de año. Se han presentado al menos 19 demandas desde el 1 de enero de 2020. Estas demandas ilustran las circunstancias bajo las cuales puede llevarse a cabo la aplicación. Los posibles puntos ciegos de cumplimiento que las compañías pueden enfrentar. Las empresas también tienen la perspectiva de una nueva legislación de protección de datos de California en forma de la Ley de Derechos de Privacidad de California 2020 (CalPRA o CPRA), coloquialmente denominada CCPA 2.0. La iniciativa ha recogido más de 900,000 firmas y se espera que sea elegido en noviembre de 2020, con el 88% de los californianos apoyando su adopción. Si bien no se espera que esta ley entre en vigor antes del 1 de enero de 2023, las organizaciones que están rezagadas en el cumplimiento de la CCPA también tienen dificultades para cumplir con sus obligaciones de CPRA.

¿Qué deben hacer las empresas comprometidas con el cumplimiento de CCPA?

Las empresas que recién comienzan a implementar sus programas de cumplimiento deben hacer todo lo posible para adaptarse a las regulaciones finales enviadas a la OAL. Si bien esto no es una panacea, aquí hay algunas consideraciones a considerar:

La operacionalización a gran escala del CCPA requiere un compromiso serio con la seguridad. La CCPA ha aclarado oficialmente que la era de la seguridad ha terminado. Si bien la legislación es bastante agnóstica sobre los tipos de marcos de seguridad y controles que las organizaciones deben proporcionar para garantizar el cumplimiento de la CCPA, es evidente que cumplir con los requisitos funcionales de la CCPA requerirá el desarrollo de programas integrales para toda la empresa para la recopilación de datos y La seguridad de los datos requiere. Por ejemplo, la capacidad de proporcionar avisos de divulgación precisos al recopilar o bajo políticas de protección de datos, así como la capacidad de procesar solicitudes de los consumidores y reducir el riesgo de lesiones, requieren implícitamente que las empresas comprendan las categorías de datos que incluyen. Las organizaciones también necesitan saber cómo se utilizan estos datos, dónde se almacenan y quién tiene acceso a ellos. Esto a menudo requiere la creación de procesos de seguridad consistentes utilizando herramientas como la administración de acceso privilegiado, firewalls configurados de forma segura y controles de seguridad de aplicaciones como la prevención de pérdida de datos. Si bien las estrictas prácticas de seguridad por sí solas no son suficientes para poner en práctica el cumplimiento de CCPA, las empresas que ya cumplen con una o más regulaciones de protección de datos o que tienen programas sofisticados de seguridad de la información probablemente encuentren el cumplimiento más fácilmente.

La conformidad continua requiere una clara responsabilidad de su programa de cumplimiento. Si bien la TI y la seguridad son la base de la capacidad de una empresa para cumplir con el CCPA, la TI o la seguridad pueden no ser el caso de que toda la iniciativa de cumplimiento de su organización debería estar en su lugar. La estructura de su organización y el propósito comercial de la recopilación de datos del consumidor deben informar quiénes serán las partes interesadas relevantes. Una clara demarcación de quién es responsable de qué aspectos del programa de cumplimiento de su empresa es crucial para garantizar que su programa tenga sentido y se amplíe bien a medida que evoluciona el panorama de protección de datos.

Haga que su programa de cumplimiento sea a prueba de futuro. ] Si bien es probable que nadie en su empresa tenga una bola de cristal, no necesita exactamente una para darse cuenta de que la protección de datos es el futuro y que invertir en la protección de datos del consumidor hoy es una decisión acertada. A pesar de las leyes de protección de datos atascadas en el país y en el extranjero, el GDPR, el CCPA y posiblemente el CPRA continuarán sirviendo como baluartes que buscará la legislación futura. Esto significa que si su empresa se limita a cumplir solo con los requisitos de CCPA, es probable que se ponga al día si de repente descubre que el panorama de protección de datos está madurando. Si desea escalar sus programas de seguridad y cumplimiento para garantizar los mismos derechos y garantías para toda su base de clientes, manténgase actualizado.

Michael Osakwe es escritor de tecnología y gerente de marketing de contenidos en Nightfall AI.