Cumplimiento de la CCPA, la CPRA y la CIPA para tiendas Shopify

¿Qué son la CCPA, la CPRA y la CIPA?

California tiene dos tipos de leyes de privacidad que afectan a una tienda online.

California Consumer Privacy Act (CCPA): en vigor desde el 1 de enero de 2020, la CCPA otorga a los residentes de California derechos sobre la información personal que las empresas recogen sobre ellos:

• Derecho a saber: conocer qué información personal se recoge, usa, vende o comparte.
• Derecho de supresión: pedir a una empresa que suprima su información personal.
• Derecho de exclusión voluntaria: oponerse a la venta o la cesión de su información personal, incluida la cesión para publicidad comportamental entre contextos.
• Derecho a no ser discriminado: ejercer estos derechos sin recibir un trato diferente.

California Privacy Rights Act (CPRA): la CPRA modificó la CCPA a partir del 1 de enero de 2023. Añadió el derecho a rectificar la información inexacta y a limitar el uso de la información personal sensible, y creó la California Privacy Protection Agency para hacer cumplir la ley. Las empresas también deben respetar las señales de preferencia de exclusión, como Global Privacy Control (GPC), como una solicitud de exclusión válida.

California Invasion of Privacy Act (CIPA): la CIPA es una ley de 1967 incluida en el Código Penal de California (artículo 630 y siguientes), redactada para impedir las escuchas telefónicas y la interceptación de comunicaciones. Hoy los tribunales y los demandantes la aplican a los sitios web. Su artículo sobre escuchas exige el consentimiento de todas las partes de una comunicación, y las reclamaciones sostienen que los widgets de chat, las herramientas de grabación de sesiones y los píxeles publicitarios permiten a terceros “escuchar” la interacción de un visitante con una tienda. Como la CIPA prevé daños legales de 5.000 $ por infracción, se ha convertido en una de las fuentes más habituales de demandas y requerimientos por privacidad contra negocios online.

¿Qué ocurre si no cumplo la CCPA, la CPRA y la CIPA?

Las consecuencias difieren entre los dos tipos de leyes:

• Multas de la CCPA y la CPRA: hasta 2.663 $ por infracción, o 7.988 $ por infracción intencionada o que afecte a consumidores menores de 16 años (importes ajustados desde el 1 de enero de 2025). Tanto la California Privacy Protection Agency como el Fiscal General hacen cumplir la ley.
• Demandas por brechas de datos según la CCPA: los consumidores pueden demandar tras determinadas brechas de datos por entre 107 $ y 799 $ por consumidor y por incidente, o por los daños reales si son mayores.
• Demandas según la CIPA: las personas pueden demandar por 5.000 $ por infracción, o por el triple de los daños reales. La mayoría de las reclamaciones se presentan como demandas colectivas, por lo que la exposición crece con el número de visitantes.
• Reclamaciones de la CIPA sobre dispositivos de registro (pen register): a partir del 1 de enero de 2027, las reclamaciones basadas en el artículo 638.51 sobre el rastreo en sitios web y aplicaciones solo podrá presentarlas el Fiscal General, no los particulares. Las reclamaciones por escuchas basadas en el artículo 631, por ejemplo por herramientas de chat o de grabación de sesiones, no se ven afectadas.

Cómo cumplir la CCPA, la CPRA y la CIPA

En una tienda Shopify, la mayor parte del trabajo consiste en controlar las cookies, los píxeles y los scripts que se ejecutan en su sitio:

• Ofrezca una exclusión voluntaria clara. Añada un enlace “No vender ni compartir mi información personal” y asegúrese de que las etiquetas publicitarias dejan de compartir datos en cuanto un visitante se excluye.
• Respete Global Privacy Control. Trate una señal GPC del navegador del visitante como una exclusión de la venta y la cesión.
• Pida el consentimiento antes de que se ejecute el rastreo. La CIPA gira en torno al consentimiento, así que lo más seguro es el consentimiento previo (opt-in) para los visitantes de California: bloquee la analítica, los píxeles publicitarios, la grabación de sesiones y las herramientas de chat que envían datos a terceros hasta que el visitante acepte.
• Conserve la prueba del consentimiento. Los registros de cuándo y cómo dio su consentimiento cada visitante son su mejor prueba si recibe un requerimiento basado en la CIPA.
• Actualice su aviso de privacidad. Explique qué recoge, por qué, quién lo recibe y cómo pueden los consumidores ejercer sus derechos.
• Atienda las solicitudes de los consumidores. Responda a las solicitudes de acceso, supresión y rectificación en un plazo de 45 días.

Una plataforma de gestión del consentimiento (CMP) como Pandectes GDPR Compliance cubre estos pasos en su tienda. Ofrece un banner de cookies con un enlace “No vender ni compartir mi información personal” y compatibilidad con Global Privacy Control, y puede configurarla para exigir el consentimiento previo de los visitantes de California, bloqueando la analítica, los píxeles y los scripts de grabación de sesiones hasta que acepten. Analiza y clasifica automáticamente sus cookies, genera una declaración de cookies, conserva registros de consentimiento con la fecha, la hora y las opciones elegidas como prueba del consentimiento, y le ayuda a gestionar las solicitudes de los interesados.

La jurisprudencia sobre la CIPA cambia rápidamente, así que revise su configuración con un asesor legal cuando proceda.