Esta ley explica lo que las empresas en California deben hacer cuando recopilan información personal de los consumidores. Deben informar a los consumidores qué información están recopilando, por qué la recopilan y cuánto tiempo planean conservarla. Si recopilan información sensible, como números de seguro social, deben proporcionar detalles similares. Las empresas también deben celebrar acuerdos con cualquier tercero con el que compartan datos, asegurándose de que esas partes sigan las mismas reglas de privacidad. Además, las empresas deben tener buenas prácticas de seguridad para proteger esta información. La ley no exige que las empresas revelen secretos comerciales.

Esta ley otorga a las personas el derecho de solicitar a las empresas que eliminen su información personal que estas hayan recopilado. Las empresas deben informar a las personas sobre este derecho y están obligadas a eliminar la información una vez solicitada, así como a retirarla de los registros de terceros con quienes la hayan compartido. Sin embargo, existen excepciones en las que la empresa no tiene que eliminar la información, como al completar una transacción, garantizar la seguridad o cumplir con otras leyes. Las empresas pueden mantener un registro de las solicitudes de eliminación para asegurarse de que cumplen con las normas. Los proveedores de servicios o contratistas también deben cooperar en la eliminación de información.

Esta ley otorga a los consumidores el derecho de solicitar a las empresas que corrijan cualquier información personal inexacta que tengan sobre ellos. Las empresas deben informar a los consumidores sobre este derecho y, cuando se les solicite, hacer esfuerzos razonables para corregir cualquier dato incorrecto según las directrices establecidas.

Esta ley establece que si una empresa recopila su información personal, usted tiene derecho a conocer ciertos detalles al respecto. Usted tiene derecho a solicitar que la empresa le informe qué tipos de información personal posee, de dónde la obtuvo, por qué la recopila o comparte, y con quién la comparte. También puede pedir copias de la información personal específica que tienen sobre usted. Las empresas deben proporcionar esta información una vez que usted realice una solicitud verificable. En esencia, usted tiene derecho a ser informado sobre cómo se manejan sus datos personales.

Esta ley de California le otorga el derecho de solicitar información a las empresas sobre cómo manejan su información personal. Puede preguntar qué tipos de datos personales recopilan sobre usted, con quién los han vendido o compartido, y a quién se los divulgaron con fines comerciales. Las empresas deben proporcionarle esta información si usted realiza una solicitud verificable. Además, los terceros no pueden vender ni compartir su información sin antes notificarle y darle la opción de negarse.

La ley de California otorga a los consumidores el derecho de indicar a una empresa que no venda ni comparta su información personal con otras compañías. Esto se conoce como el derecho a excluirse. Las empresas deben notificar a los consumidores si venden o comparten información personal e informarles sobre sus derechos de exclusión. Si un consumidor es menor de 16 años, las empresas no pueden vender ni compartir su información personal a menos que exista un permiso específico del consumidor o de su tutor. Si se les indica que no compartan información, las empresas deben cumplir, a menos que el consumidor dé su consentimiento posteriormente. Si una empresa sabe o ignora el hecho de que un consumidor es menor de edad, debe seguir estas reglas estrictamente.

Esta ley otorga a los consumidores el derecho de limitar cómo las empresas usan y comparten su información personal sensible. Si un consumidor le indica a una empresa que restrinja este uso, la empresa debe cumplir, a menos que se cumplan ciertas condiciones o el consumidor dé su consentimiento posteriormente. Las empresas deben informar a los consumidores cuando sus datos sensibles se utilizan para otros fines y deben respetar sus decisiones de privacidad. Los proveedores de servicios que trabajan con estas empresas también deben seguir estas reglas y solo pueden usar la información para los fines acordados. Si los datos no se utilizan para inferir características personales, no están cubiertos por estas reglas, sino por leyes de privacidad más amplias.

Esta ley garantiza que las empresas no pueden tratar injustamente a los consumidores si deciden ejercer sus derechos de privacidad, como negarse a que se vendan sus datos personales. Las empresas no pueden negar servicios, cobrar precios diferentes o ofrecer productos de distinta calidad solo porque un cliente haya ejercido estos derechos. Sin embargo, las empresas sí pueden ofrecer precios o servicios distintos si estos están relacionados con el valor que los datos del consumidor aportan a la empresa. Además, las empresas pueden tener programas de lealtad o incentivos económicos vinculados a los datos personales, pero deben informar a los consumidores sobre ellos y obtener su consentimiento primero. Estos programas no deben ser injustos ni manipuladores, y los consumidores pueden retirar su consentimiento en cualquier momento.

Esta ley exige que las empresas ofrezcan formas sencillas para que los consumidores soliciten información sobre sus datos personales, realicen correcciones o pidan la eliminación de datos. Las empresas deben ofrecer al menos dos métodos para estas solicitudes, incluyendo un número de teléfono gratuito; si operan solo en línea, un correo electrónico es suficiente. Una vez verificada la solicitud, las empresas tienen 45 días para cumplirla, plazo que puede extenderse una vez por otros 45 días si es necesario. Las empresas deben proporcionar la información de forma gratuita y en un formato accesible, cubriendo los datos de los últimos 12 meses, o más si se requiere. También deben divulgar las categorías de datos, las fuentes y los detalles de intercambio en sus políticas de privacidad, actualizándolas al menos anualmente. Finalmente, el personal que maneja estas solicitudes debe estar bien informado sobre los derechos del consumidor, y los datos personales utilizados para la verificación de la solicitud no deben usarse para otros fines.

Las empresas que venden o comparten datos de los consumidores deben ofrecer formas sencillas para que los consumidores detengan esta práctica. Deben tener enlaces claros en sus sitios web, como 'No Vender ni Compartir Mi Información Personal' y 'Limitar el Uso de Mi Información Personal Sensible', para ayudar a los consumidores a optar por no participar. Las empresas también pueden optar por usar un solo enlace para gestionar ambas opciones. Si una empresa añade tarifas por optar por no participar, debe explicar claramente cualquier beneficio financiero a los consumidores. Las empresas deben respetar las señales de los consumidores que indican su preferencia de exclusión voluntaria y asegurarse de que el personal esté informado sobre estos derechos. Para las empresas, el manejo de las exclusiones voluntarias de los consumidores debe ser conforme a la ley y transparente, incluso para los menores de 16 años. Además, no pueden usar ni vender esta información durante al menos un año sin el consentimiento del consumidor. Si una empresa redirige solicitudes o comparte información con terceros, esas partes solo pueden usar los datos para el servicio específico que proporcionan. Las cláusulas o limitaciones en los contratos sobre estos derechos son nulas.

Esta sección de la ley explica varios términos relacionados con los derechos de privacidad del consumidor y la protección de datos en California. «Publicidad y marketing» se refiere a las comunicaciones hechas para fomentar compras. La «información agregada del consumidor» se refiere a datos sobre grupos, no sobre individuos. La «información biométrica» incluye características como las huellas dactilares utilizadas para la identificación. «Empresa» se define como entidades con fines de lucro que manejan datos de consumidores y cumplen ciertos criterios. La «información personal» abarca datos que identifican o están vinculados a individuos, como nombres, direcciones y más. La ley también detalla los «propósitos comerciales» para el uso de datos, incluyendo la prestación de servicios y la seguridad. El «consentimiento» requiere un acuerdo claro de los consumidores para el uso de datos, y los roles de «contratista» y «proveedor de servicios» tienen responsabilidades específicas en el manejo de datos. Otras definiciones incluyen conceptos como la «publicidad conductual entre contextos» y los «patrones oscuros», que afectan las interacciones y la privacidad del consumidor.

Esta sección describe varias exenciones a las obligaciones impuestas a las empresas bajo leyes de privacidad específicas de California. Permite a las empresas cumplir con obligaciones legales como citaciones o investigaciones, cooperar en emergencias o realizar ciertas actividades comerciales fuera de California sin enfrentar restricciones. Tampoco se aplica a sectores sensibles como la información médica, financiera y educativa regulada por otras leyes. Exenciones adicionales cubren actividades relacionadas con la información de empleados, actividades no comerciales y ciertos tipos de datos asociados con reparaciones de vehículos, estudios de investigación y informes de crédito. Los derechos del consumidor, como las solicitudes de eliminación y de información, tienen límites en contextos específicos, como roles laborales o investigaciones oficiales. Finalmente, las empresas no son responsables si un proveedor de servicios o un tercero hace un uso indebido de la información personal, siempre que no tuvieran conocimiento de posibles violaciones en el momento de compartirla.

Esta sección de la ley establece que cierta información médica y relacionada con la atención de la salud no está cubierta por las normas de privacidad descritas en este título. Exime específicamente la información médica que ya está regida por las leyes federales y de California existentes, como HIPAA. Esto incluye datos médicos gestionados por proveedores de atención médica, entidades cubiertas y sus asociados comerciales si cumplen con las normas de HIPAA. También cubre información desidentificada y datos de investigación bajo condiciones específicas. Si algún dato es reidentificado, debe cumplir con las leyes de privacidad pertinentes. La sección también define términos clave como 'asociado comercial', 'entidad cubierta' e 'información de salud protegida' basándose en las regulaciones federales.

Esta sección prohíbe que cualquier persona tome datos que han sido anonimizados e intente averiguar a quién pertenecían originalmente, excepto en ciertas situaciones. Estas situaciones incluyen hacerlo para tratamientos médicos, propósitos de salud pública, investigación conforme a los estándares federales, probar métodos de desidentificación bajo un contrato estricto, o cuando sea legalmente requerido. Si los datos anonimizados se reidentifican, deben cumplir con las leyes de privacidad como HIPAA. Además, cualquier contrato en California que involucre datos de salud anonimizados debe establecer que estos datos no pueden ser reidentificados y solo pueden compartirse bajo estas mismas reglas.

Esta ley permite a los californianos demandar a las empresas si su información personal es accedida o robada debido a que la empresa no protegió esos datos adecuadamente. Si la negligencia de una empresa provoca una violación, los consumidores afectados pueden reclamar daños y perjuicios que van desde $100 hasta $750 por incidente o más, según las circunstancias. El tribunal evalúa los daños basándose en la gravedad y persistencia de la mala conducta de la empresa, entre otros factores. Antes de demandar por daños y perjuicios legales, los consumidores deben dar a la empresa la oportunidad de solucionar el problema en un plazo de 30 días. Sin embargo, simplemente arreglar la seguridad después de una violación no es suficiente para evitar demandas. Los consumidores también pueden demandar por pérdidas financieras reales sin previo aviso. Este derecho a demandar solo se aplica a este tipo específico de violación y no cubre las violaciones de otras leyes.

Si una empresa infringe las leyes de privacidad de este título, puede ser multada con hasta $2,500 por cada infracción. Si manejan datos de menores de 16 años de forma indebida a sabiendas o lo hacen intencionalmente, la multa asciende a $7,500 por caso. La mayor parte del dinero de las multas recaudado se destinará a apoyar el trabajo de la Agencia de Protección de la Privacidad de California en la aplicación de estas leyes, mientras que una pequeña parte se destinará a un fondo para subvenciones relacionadas con la privacidad.

Esta sección establece el Fondo de Privacidad del Consumidor dentro de la Tesorería del Estado de California. El fondo se divide en tres subfondos, cada uno con propósitos y requisitos específicos: el Subfondo de Privacidad del Consumidor, el Subfondo de Aplicación de la Privacidad del Consumidor del Fiscal General y el Subfondo de Subvenciones para la Privacidad del Consumidor. Una parte importante de las multas y sanciones civiles por violaciones de privacidad se deposita en estos subfondos. Los dos primeros subfondos se centran en apoyar las actividades de la Agencia de Protección de la Privacidad de California y del Fiscal General, respectivamente, mientras que el tercer subfondo otorga subvenciones para promover la privacidad del consumidor y la educación sobre temas de privacidad en línea. Los subfondos deben usar sus fondos exclusivamente para su propósito previsto y la Legislatura no puede reasignarlos a otros fines. Los fondos no utilizados que no hayan sido asignados por la Ley de Presupuesto de 2025 se redistribuirán entre estos subfondos en proporciones específicas.

Esta ley busca mejorar los derechos de privacidad de las personas y complementa las normas existentes sobre cómo las empresas manejan la información personal. Aunque se centra principalmente en datos electrónicos o en línea, se aplica a cualquier información personal recopilada de los consumidores. Si hay un conflicto entre leyes, se debe seguir la que ofrezca la mayor protección de la privacidad.

Esta ley deja claro que las normas sobre cómo las empresas recopilan y venden información personal en California son controladas por el estado, no por los gobiernos locales. Las normas locales no pueden contradecir ni reemplazar estas normas estatales.

Esta sección describe las responsabilidades del Fiscal General y, a partir de julio de 2022, de la Agencia de Protección de la Privacidad de California, para crear y actualizar reglamentos que protejan la privacidad del consumidor. Las áreas clave incluyen la actualización de las definiciones de información personal y sensible, el establecimiento de reglas para los derechos de los consumidores, como la opción de no participar en la venta de datos, y la garantía de que las empresas respeten esos derechos sin engañar a los consumidores. Los reglamentos también guiarán cómo las empresas pueden usar la toma de decisiones automatizada y cómo manejan los riesgos de privacidad a través de auditorías. Además, se hace hincapié en armonizar las diferentes regulaciones de privacidad y asegurar que todas las comunicaciones con el consumidor sean claras y accesibles. La ley también establece plazos distintos para cuándo deben establecerse y aplicarse estas reglas.

Esta ley establece que si alguien organiza una serie de transacciones o pasos con la intención de eludir las normas de privacidad, esos pasos serán ignorados por el tribunal o la agencia. Esto puede ocurrir, por ejemplo, si una empresa entrega información a un tercero para esquivar las reglas sobre la venta o el intercambio de datos. También puede suceder si se intercambia algo de valor sin un pago monetario claro para sortear las reglas.

Esta ley establece que cualquier parte de un contrato que intente renunciar o limitar derechos bajo este título, específicamente los derechos a recursos o formas de hacerlos cumplir, es automáticamente nula y no puede hacerse cumplir. Sin embargo, esto no impide que los consumidores decidan no solicitar información, oponerse a la venta de datos, o permitir que una empresa venda o comparta sus datos personales después de haberse opuesto previamente.

Esta sección aclara cuándo comenzará a aplicarse un conjunto particular de leyes de privacidad. Específicamente, estas leyes solo entrarán en vigor a partir del 1 de enero de 2020, si otra iniciativa de privacidad específica, la Ley de Derecho a la Privacidad del Consumidor de 2018, es eliminada de la boleta de votación.

Esta sección establece que, a pesar de lo que se dice en la Sección 1798.198, las reglas de la Sección 1798.180 comenzarán a aplicarse tan pronto como la ley que incluye esta sección entre en vigor.

Esta ley crea la Agencia de Protección de la Privacidad de California, encargada de supervisar la aplicación de las leyes de privacidad en California. La agencia es dirigida por una junta de cinco miembros, cuyos nombramientos son realizados por el Gobernador, el Fiscal General, el Comité de Reglas del Senado y el Presidente de la Asamblea. Los miembros deben tener experiencia en privacidad, tecnología o derechos del consumidor. Los nombramientos iniciales para la junta deben completarse dentro de los 90 días posteriores a la fecha de inicio de la ley.

Esta sección de la ley describe las reglas para los miembros de la junta de una agencia. Deben tener conocimientos en privacidad y tecnología, mantener la información confidencial y evitar influencias externas. Mientras están en el cargo, no pueden participar en actividades o trabajos que generen conflictos y tienen derecho a acceder a la información de la agencia. Después de dejar el cargo, no pueden trabajar para ciertas empresas durante un año ni representar a otras personas ante la agencia a cambio de dinero durante dos años, especialmente si su objetivo es influir en las decisiones de la agencia.

Esta sección de la ley explica que la junta de la agencia es responsable de contratar a un director ejecutivo que trabajará siguiendo las directrices y los requisitos legales de la agencia. La agencia también tiene la facultad de contratar y despedir a otro personal, como funcionarios y asesores, y decidir cuánto se les paga, siempre y cuando sigan las reglas del servicio civil. Además, la agencia puede contratar ayuda externa si es necesario para tareas que sus propios empleados no pueden realizar.

Esta sección detalla las funciones de una agencia relacionadas con la Ley de Privacidad del Consumidor de California (CCPA). La agencia tiene la tarea de implementar y hacer cumplir la ley, adoptar reglamentos para apoyar la CCPA y proteger los derechos de privacidad sobre la información personal. También busca aumentar la conciencia pública sobre los riesgos de privacidad, proporcionar orientación a consumidores y empresas, y nombrar un Auditor Principal de Privacidad para verificar el cumplimiento. Además, la agencia asesorará sobre legislación de privacidad, supervisará los desarrollos tecnológicos, cooperará con otras autoridades de privacidad, ofrecerá una certificación voluntaria de cumplimiento para empresas, aprobará solicitudes de subvenciones y equilibrará la privacidad del consumidor con el impacto en las empresas.

Esta sección permite a una agencia investigar posibles infracciones por parte de empresas o proveedores de servicios, ya sea basándose en denuncias de ciudadanos o por iniciativa propia. La agencia puede optar por no investigar si considera que no hubo intención de infringir o si la empresa tomó medidas para corregir el problema antes de ser notificada. Están obligados a notificar al denunciante su decisión y los motivos, aunque cualquier información confidencial o privilegiada relacionada con la investigación no se divulga en la respuesta.

Antes de que una agencia pueda decidir si hay motivos suficientes para creer que una empresa, proveedor de servicios, contratista o persona ha incumplido las normas, debe informarles con al menos 30 días de antelación sobre su supuesta infracción. Esta notificación debe enviarse por correo certificado o notificación personal y debe incluir un resumen de las pruebas. La parte notificada tiene derecho a asistir y a tener un abogado con ellos en cualquier reunión de la agencia que discuta la posible infracción. Si desean que la reunión sea pública, pueden solicitarlo por escrito; de lo contrario, será privada.

Si una agencia gubernamental cree que alguien ha incumplido esta ley de privacidad, realizará una audiencia para investigarlo. La agencia seguirá reglas específicas para llevar a cabo la audiencia. Si encuentran una infracción, pueden ordenar a la persona que detenga la violación y pague una multa. La multa puede ser de hasta $2,500 por infracciones comunes, o hasta $7,500 si fue intencional o si involucra información personal de consumidores menores (niños). La mayor parte de la multa se deposita en un fondo especial para la privacidad del consumidor. Si más de una persona es responsable, cada una es completamente responsable de la multa.

Si una agencia gubernamental no está de acuerdo con una decisión tomada por un juez administrativo, debe explicar claramente por escrito por qué está rechazando esa decisión.

Si una agencia gubernamental impone una multa administrativa y esta no se paga, la agencia puede llevar el asunto a los tribunales para cobrarla. Tienen la opción de presentar el caso en tribunales de menor cuantía o superiores, según el monto de la multa, pero solo en el condado donde la multa fue impuesta originalmente. Para ganar el caso, la agencia debe probar que la multa se impuso legalmente, que la persona fue notificada y que se solicitó el pago pero no se cumplió. La agencia tiene hasta cuatro años para iniciar este proceso judicial después de imponer la multa.

Esta ley permite a una agencia gubernamental convertir una multa administrativa en una sentencia judicial si nadie impugna la multa, o si todos los intentos de impugnarla en los tribunales han finalizado. Para ello, la agencia debe solicitarlo al tribunal donde se emitió la multa, presentando prueba de la orden final. El secretario del tribunal lo registra inmediatamente como una sentencia, haciéndola ejecutable como cualquier otra resolución judicial. Sin embargo, la agencia tiene hasta cuatro años para llevar a cabo esta acción después de que se resuelvan todas las revisiones legales, y este proceso es una opción adicional a cualquier otra acción legal que puedan emprender.

Si la agencia toma una decisión sobre una queja o una multa, puedes llevarla a los tribunales si te afecta esa decisión. El tribunal verificará si la agencia abusó de su autoridad al tomar su decisión.

Esta ley establece que si una empresa, proveedor de servicios, contratista o persona infringe las normas de privacidad, puede enfrentar multas de hasta $2,500 por cada infracción o $7,500 si es intencional o involucra datos de menores. La mayor parte de estas multas financian los esfuerzos del Fiscal General para hacer cumplir las leyes de privacidad. Parte del dinero puede destinarse a otros fondos según las investigaciones. Si el Fiscal General asume un caso, otras agencias deben pausar sus acciones a menos que el Fiscal General se retire. No pueden tomar medidas si ya se ha emitido una decisión u orden sobre la misma infracción. Finalmente, esta ley no afecta el derecho de los individuos a demandar bajo otra sección (1798.150).

Esta sección de la ley explica las directrices de financiación y operativas para una agencia específica de California, incluyendo un presupuesto inicial de $5 millones del estado y $10 millones anuales (ajustados por el costo de vida) a partir de entonces. El Departamento de Finanzas es responsable de incluir estas cantidades en los informes presupuestarios. El Fiscal General apoyará a la agencia hasta que contrate a su propio personal, y la agencia cubrirá los costos. A partir de 2025, la agencia ajustará los umbrales financieros basándose en el Índice de Precios al Consumidor cada dos años. Estos ajustes tienen como objetivo mantenerse en línea con la inflación y no están sujetos a los procesos estándar de elaboración de normas.