State of California

Propuesta 24 — Cambios a las leyes de privacidad del consumidor Initiative Statute - Majority Approval Required

TÍTULO Y RESUMEN OFICIAL
PREPARADO POR EL PROCURADOR GENERAL 

PROPUESTA 24.
ENMIENDA LAS LEYES DE PRIVACIDAD DEL CONSUMIDOR. LEY POR INICIATIVA. 

• Permite a los consumidores: (1) evitar que los negocios compartan información personal; (2) corregir información personal incorrecta; y (3) limitar el uso de la “información personal sensible” por parte de los negocios, incluyendo la información de geolocalización exacta; raza; origen étnico; religión; datos genéticos; comunicaciones privadas; orientación sexual; e información de salud especificada.
• Establece la Agencia de Protección de Privacidad de California para hacer cumplir e implementar adicionalmente las leyes de privacidad del consumidor e imponer multas.
• Cambia los criterios por los cuales los negocios deben cumplir con las leyes.
• Prohíbe que los negocios retengan información personal durante más tiempo del razonablemente necesario.
• Triplica las sanciones máximas por infracciones relacionadas con consumidores menores de 16 años.
• Autoriza sanciones civiles por robo de información de inicio de sesión del consumidor, según lo especificado.

RESUMEN DEL ANALISTA LEGISLATIVO SOBRE EL CÁLCULO DEL IMPACTO FISCAL NETO PARA EL GOBIERNO ESTATAL Y LOCAL:

• Aumento de los costos estatales de al menos $10 millones anuales para que una nueva agencia estatal supervise y haga cumplir las leyes de privacidad del consumidor.
• Disminución en los costos de las cárceles del condado, posiblemente de muchas decenas de millones de dólares anuales.
• Aumento de los costos estatales, que probablemente no excedan algunos millones de dólares anuales, por mayor carga de trabajo de las cortes y del Departamento de Justicia. Algunos o todos estos costos se pagarían mediante multas cobradas por infracciones de las leyes de privacidad del consumidor.
• Impacto desconocido en los ingresos fiscales estatales y locales debido a los efectos económicos resultantes de los nuevos requisitos sobre los negocios para proteger los datos del consumidor.

https://vig.cdn.sos.ca.gov/2020/general/es/pdf/complete-vig.pdf#page=66

ANTECEDENTES

LAS EMPRESAS RECOPILAN Y UTILIZAN DATOS DEL CONSUMIDOR

Las empresas recopilan datos sobre los consumidores de distintas fuentes. Estas incluyen: (1) fuentes públicas, (2) los propios consumidores (como cuando los consumidores crean una cuenta) u (3) otras empresas (como mediante la compra de datos). Las empresas utilizan los datos de diferentes formas, como para mejorar sus ventas o el servicio al cliente. Las empresas también pueden utilizar los datos para brindar servicios a otras empresas. Por ejemplo, algunas empresas de Internet ofrecen servicios gratuitos y recopilan datos de los consumidores que los utilizan. Estas empresas después utilizan los datos para dirigir anuncios a los consumidores de otras empresas. Por último, las empresas en ocasiones utilizan los datos para hacer predicciones sobre las opiniones y preferencias de los consumidores (como sus estilos de vida).

CIERTAS EMPRESAS DEBEN CUMPLIR LOS REQUISITOS DE PRIVACIDAD DE LOS DATOS DEL CONSUMIDOR.

Según la ley estatal, ciertas empresas que operan en California y recopilan datos personales deben cumplir con los requisitos de privacidad de los datos del consumidor. (Los datos personales incluyen información como nombres, actividad en Internet o de compras y predicciones sobre los consumidores). Estas empresas generalmente (1) obtienen más de $25 millones en ingresos anuales; (2) compran, venden o comparten los datos personales de 50,000 o más consumidores, hogares o dispositivos anualmente, u (3) obtienen el 50 por ciento o más de sus ingresos anuales de la venta de datos personales.

Específicamente, estas empresas deben:

• Informar a los consumidores de la recopilación de datos. Las empresas generalmente deben avisar a los consumidores si recopilan o venden datos personales. También deben decir a los consumidores cómo usarán los datos.
• Cumplir los derechos de privacidad de datos personales. La ley estatal proporciona a los consumidores ciertos derechos con los que las empresas deben cumplir. Por ejemplo, los consumidores pueden solicitar informes gratuitos sobre sus datos personales que la empresa recopila o vende. Los consumidores generalmente también pueden pedir a las empresas que borren sus datos personales (como nombres o calificaciones de estudiantes y resultados de pruebas). Por último, los consumidores pueden pedir a las empresas que no vendan sus datos personales. Las empresas deben informar a los consumidores sobre sus derechos de datos personales.
• No tratar de manera diferente a los consumidores que ejercen sus derechos. Por ejemplo, las empresas no pueden cobrar precios diferentes o proporcionar diferentes niveles de servicio a los consumidores que ejercen sus derechos de datos personales. Sin embargo, las empresas pueden alentar a los consumidores a que les permitan recopilar y vender datos personales, por ejemplo, ofreciéndoles pagos o descuentos de consumo.

Las empresas pueden enfrentar multas de hasta $2,500 por cada violación de estos requisitos. Las multas pueden aumentar hasta $7,500 por violaciones intencionales. Las sanciones se pueden aplicar solo si las empresas no abordan la violación dentro de los 30 días posteriores a la notificación de esta. Solo el Departamento de Justicia de California (DOJ) puede perseguir estas sanciones. Los ingresos por las sanciones generalmente se depositan en el Fondo de Privacidad del Consumidor (CPF) del estado. Los ingresos del CPF deben usarse primero para pagar los costos del tribunal estatal de primera instancia y del DOJ que estén relacionados con ciertas leyes de privacidad del consumidor. La legislatura puede asignar los fondos restantes para otros fines.

LAS EMPRESAS DEBEN CUMPLIR LOS REQUISITOS SOBRE FILTRACIÓN DE DATOS

Una filtración de datos ocurre cuando las personas acceden sin permiso a información, como los datos de los consumidores. La ley estatal requiere que las empresas tomen medidas razonables para proteger los datos de los consumidores de las filtraciones. Las empresas también deben avisar a las personas si se accedió a sus datos en una filtración de datos. Las filtraciones de ciertos datos personales pueden resultar en sanciones de $100 a $750 por consumidor por evento o daños reales, lo que sea mayor. Un consumidor afectado por una filtración de este tipo puede solicitar el cobro de estas sanciones si una empresa no resuelve la filtración dentro de un plazo de 30 días desde que se le pide que lo haga. En general, el DOJ también puede perseguir sanciones por filtraciones de datos. Algunas de estas sanciones podrían depositarse en el CPF.

EL DOJ APLICA LAS LEYES DE PRIVACIDAD DEL CONSUMIDOR Y FILTRACIÓN DE DATOS

El DOJ aplica las leyes estatales de privacidad del consumidor y filtración de datos de dos formas principales. En primer lugar, el DOJ desarrolla reglamentaciones que brindan más detalles sobre cómo las empresas y los consumidores deben obedecer las leyes. Por ejemplo, estas reglamentaciones incluyen reglas sobre cómo las empresas deben gestionar las solicitudes de no vender datos personales. En segundo lugar, el DOJ procesa los delitos (como el robo de identidad) o presenta demandas ante los tribunales estatales contra quienes infringen estas leyes.  

https://vig.cdn.sos.ca.gov/2020/general/es/pdf/complete-vig.pdf#page=66

PROPUESTA

La Propuesta 24 (1) cambia las leyes existentes de privacidad de datos del consumidor; (2) brinda nuevos derechos de privacidad del consumidor; (3) cambia las sanciones existentes y restringe el uso de los ingresos por sanciones, y (4) crea una nueva agencia estatal para supervisar y aplicar las leyes de privacidad de datos del consumidor. Si se aprueba, la mayor parte de esta propuesta entraría en vigor en enero de 2023. Algunas partes de la propuesta, como la creación de la nueva agencia estatal y los requisitos para desarrollar nuevas reglamentaciones, entrarían en vigor de inmediato.

CAMBIA LAS LEYES EXISTENTES DE PRIVACIDAD DE DATOS DEL CONSUMIDOR

Cambia qué empresas deben cumplir los requisitos de privacidad de datos. Esta propuesta cambia qué empresas deben cumplir los requisitos estatales de privacidad de datos del consumidor. Estos cambios generalmente reducirían la cantidad de empresas que deben cumplir estos requisitos. Por ejemplo, los requisitos de privacidad de datos del consumidor actualmente se aplican a las empresas que, con fines comerciales, compran, venden o comparten los datos personales de 50,000 o más consumidores, hogares o dispositivos al año. La propuesta (1) ya no toma en cuenta a los dispositivos y (2) aumenta el umbral anual a 100,000 o más consumidores u hogares. 

Cambia los requisitos existentes de privacidad de datos del consumidor. Esta propuesta cambia los requisitos de privacidad de datos del consumidor con los que deben cumplir las empresas. En algunos casos, añade nuevos requisitos. Por ejemplo, la propuesta exige que ahora las empresas informen a los consumidores el periodo durante el cual conservarán los datos personales. En otros casos, elimina los requisitos. Por ejemplo, las empresas podrían negarse a borrar las calificaciones de los estudiantes u otra información bajo condiciones específicas. 

BRINDA NUEVOS DERECHOS DE PRIVACIDAD DEL CONSUMIDOR

Esta propuesta brinda a los consumidores nuevos derechos de privacidad de datos. Estos incluyen el derecho a:

• Restringir el intercambio de datos personales. Los consumidores podrían ordenar a las empresas que no compartan sus datos personales.
• Corregir datos personales. Los consumidores podrían ordenar a las empresas que realicen esfuerzos razonables para corregir los datos personales que poseen.
• Restringir el uso de datos personales “sensibles”. La propuesta define ciertos datos personales como sensibles. Algunos ejemplos son los números de seguro social, los usuarios y las contraseñas para inicios de sesión de cuentas y los datos relacionados con la salud. Los consumidores podrían ordenar a las empresas que limiten el uso de sus datos personales sensibles a solo (1) proporcionar los servicios o bienes solicitados y (2) cumplir propósitos comerciales clave (como brindar servicio al cliente).

CAMBIA LAS SANCIONES EXISTENTES Y LIMITA EL USO DE LOS INGRESOS POR SANCIONES

Esta propuesta permite una nueva sanción de hasta $7,500 por violaciones de los derechos de privacidad del consumidor de menores de edad. La propuesta también elimina la capacidad de las empresas de evitar sanciones, al abordar las violaciones dentro de los 30 días posteriores a la notificación de la violación. Además, la propuesta hace que las filtraciones de datos de direcciones de correo electrónico junto con la información de acceso a una cuenta (como una contraseña) estén sujetas a sanciones. La propuesta también especifica que las empresas que sufren una filtración de datos porque no implementaron procedimientos de seguridad razonables ya no pueden evitar las sanciones al implementarlas dentro de los 30 días posteriores a la filtración.

Además, la propuesta limita la capacidad de la legislatura de utilizar los ingresos del CPF para fines distintos a la privacidad del consumidor. Tras pagar los costos del tribunal estatal de primera instancia y del DOJ cada año, la propuesta requiere que el estado invierta el 91 por ciento de los fondos restantes, y que los intereses o las ganancias se envíen al Fondo General del estado. El 9 por ciento restante de los fondos sería para apoyar la educación pública en temas de privacidad del consumidor y la lucha contra el fraude a partir de las filtraciones de datos.

CREA UNA NUEVA AGENCIA ESTATAL DE APLICACIÓN DE LA LEY

Esta propuesta crea una nueva agencia estatal, la Agencia de Protección de la Privacidad de California (CPPA), para supervisar y hacer cumplir las leyes estatales de privacidad del consumidor. La CPPA sería gobernada por una junta de cinco miembros y tendría una amplia gama de responsabilidades. Por ejemplo, la agencia investigaría violaciones, impondría sanciones y desarrollaría reglamentaciones. Cualquier decisión de la CPPA relacionada con una queja contra una empresa o una sanción podría ser revisada por los tribunales estatales de primera instancia. Esta propuesta proporcionaría $10 millones anuales (ajustados con el tiempo) del Fondo General del estado para apoyar las operaciones de la agencia. Algunas de las responsabilidades actuales del DOJ pasarían a formar parte de las responsabilidades de la CPPA, como el desarrollo de reglamentaciones. La propuesta requiere el desarrollo de una amplia gama de nuevas reglamentaciones. Por ejemplo, reglas para corregir los datos personales de los consumidores y determinar si las empresas deben realizar una revisión de su capacidad para proteger los datos. Sin embargo, el DOJ aún podría aplicar las leyes de privacidad de datos del consumidor al enjuiciar los delitos y presentar demandas ante los tribunales estatales de primera instancia. Si el DOJ opta por llevar a cabo tal medida o realizar una investigación, el DOJ podría ordenar a la CPPA que detenga cualquier investigación o actividad de aplicación de la ley que la agencia pueda estar llevando a cabo al mismo tiempo.  

https://vig.cdn.sos.ca.gov/2020/general/es/pdf/complete-vig.pdf#page=67

IMPACTO FISCAL

La Propuesta 24 afectaría los costos estatales y los ingresos fiscales estatales y locales. Sin embargo, la magnitud exacta de este impacto es incierta y dependería en gran medida de cómo los consumidores, las empresas y el gobierno respondan a la propuesta. Por ejemplo, no está claro cómo las empresas cambiarían sus operaciones y cuántas violaciones de esta propuesta serían investigadas y resultarían en sanciones. 

Aumento de los costos estatales para la nueva agencia. Como se mencionó anteriormente, esta propuesta crea una nueva agencia estatal para supervisar y aplicar las leyes de privacidad del consumidor. Si bien el DOJ perdería parte de la carga de trabajo, los costos estatales también aumentarían debido a la nueva o expandida carga de trabajo. Esta propuesta proporciona por lo menos $10 millones anuales (ajustados con el tiempo) del Fondo General del estado para solventar el aumento de los costos estatales para las operaciones de la CPPA. Este monto es menos del 1 por ciento del presupuesto actual del Fondo General del estado. Dependiendo de cómo la agencia lleve a cabo sus responsabilidades, es posible que los costos reales de la carga de trabajo de la CPPA sean más altos. 

Aumento de los costos del DOJ y tribunales estatales. Esta propuesta afectaría la carga de trabajo tanto del DOJ como de los tribunales estatales. La carga de trabajo del DOJ podría aumentar si decide investigar o presentar más casos contra las empresas que no cumplan las leyes estatales de privacidad de datos del consumidor. Sin embargo, esta carga de trabajo podría compensarse parcial o totalmente mediante reducciones en la carga de trabajo al trasladar las responsabilidades del DOJ a la CPPA. Además, la carga de trabajo de los tribunales estatales podría aumentar si la propuesta da como resultado que se presenten más casos ante los tribunales. Los costos del aumento de la carga de trabajo dependerían de la cantidad de investigaciones iniciadas y los tipos de casos presentados ante los tribunales estatales. En total, no es probable que el aumento de los costos estatales para el DOJ y los tribunales de primera instancia supere algunos millones de dólares anuales. Algunos o todos estos costos se pagarían con el ingreso adicional de las sanciones impuestas a las empresas que violan las leyes de privacidad del consumidor. 

Posibles impactos en los ingresos fiscales. La propuesta tendría varios impactos en las empresas y los consumidores, lo que después podría afectar los ingresos fiscales estatales y locales. Por un lado, la propuesta podría reducir los ingresos fiscales. Esto sucedería si el costo de cumplir los requisitos de la propuesta, como corregir los datos del consumidor, reduce las ganancias que obtienen las empresas. Como resultado, las empresas pagarían menos impuestos a los gobiernos estatales y locales. Por otro lado, la propuesta podría aumentar los ingresos fiscales. Por ejemplo, esta propuesta podría reducir la gravedad o la cantidad de filtraciones de datos. Si esto ocasiona que las empresas y los consumidores pierdan menos dinero, los ingresos fiscales aumentarían si los consumidores gastan más en artículos sujetos a impuestos o las empresas ganan más ingresos. Se desconoce el impacto general total en la economía y los ingresos estatales y locales. 

https://vig.cdn.sos.ca.gov/2020/general/es/pdf/complete-vig.pdf#page=69