El mosaico de leyes de privacidad estatales de Estados Unidos: qué le falta a un SaaS que ya cumple el RGPD

El error caro que más vemos es el de un SaaS europeo que ha hecho bien el RGPD, gana sus primeros clientes serios en Estados Unidos y da por hecho que está cubierto. Está cubierto a medias. El aviso de privacidad, el mapa de datos, la lista de subencargados y la tubería de borrado se aprovechan todos. La arquitectura de exclusión no, y esa es la parte que aparece en la carta de un regulador.

El error espejo es tratarlo como una revisión legal puntual: un enlace de "Do Not Sell or Share My Personal Information" que apunta a un formulario que nadie lee y que nunca se conectó al stack publicitario que creó la exposición.

La lista de estados con leyes integrales de privacidad en vigor crece cada sesión legislativa, así que cualquier artículo que las enumere queda obsoleto en meses. Lo estable es el patrón, y es contra el patrón contra lo que se construye.

California es la plantilla y el resto son variaciones

La California Consumer Privacy Act, modificada por la California Privacy Rights Act, es la implementación de referencia. Casi todas las leyes estatales posteriores tomaron su estructura: umbrales de aplicabilidad por facturación y por volumen de consumidores, un conjunto de derechos, la obligación de atender exclusiones, cláusulas contractuales que bajan a los proveedores y una categoría de datos sensibles con tratamiento reforzado.

Las variaciones se concentran en sitios predecibles. Si los datos sensibles y la publicidad segmentada exigen consentimiento previo o basta con poder excluirse. Si hay periodo de subsanación antes de la sanción. Si los datos de empleados y de contactos B2B entran en alcance, donde California es la excepción que los cubre y la mayoría los deja fuera. Cómo de amplias son las definiciones de venta y compartición. Si la evaluación de impacto es obligatoria para tratamientos de riesgo alto.

California también es la única con un regulador propio y potestad reglamentaria. En el resto, quien persigue es la fiscalía general del estado.

Los umbrales son más bajos de lo que se cree

El disparador típico es operar en el estado más una de dos cosas: facturación en decenas de millones, o datos personales de un número umbral de residentes, habitualmente decenas de miles. Varios estados bajan el listón cuando la mayoría de los ingresos vienen de vender datos. Comprueba las cifras vigentes, porque se modifican.

Los umbrales son por estado, así que estás en alcance en unos y en otros no, lo cual es inviable como modelo de ingeniería. Casi todo el mundo acaba aplicando la configuración más estricta razonable en todas partes, y eso debería ser una decisión registrada y no inercia.

Global Privacy Control es el requisito que se descubre tarde

California obliga a atender las señales de preferencia de exclusión que envía el navegador, y Global Privacy Control es la señal que existe. Varios estados más han ido detrás.

Esto es trabajo de ingeniería, no un cambio de banner. La señal llega como cabecera HTTP o como propiedad de JavaScript en la primera petición. Atenderla significa detectarla antes de que dispare ninguna etiqueta, suprimir las etiquetas de publicidad y analítica que constituyen venta o compartición en lugar de limitarse a registrar la preferencia, persistir la elección contra el usuario autenticado, y propagarla a las plataformas publicitarias y a cualquier almacén que sincronice audiencias.

Una plataforma de consentimiento resuelve las dos primeras si está bien configurada. Las dos últimas son tuyas. Prueba con la señal activada y mira la pestaña de red: hay bastantes implementaciones que registran la preferencia y disparan el píxel igualmente.

"Nosotros no vendemos datos" casi siempre es falso

Las definiciones son amplias a propósito. La venta cubre revelar información personal a un tercero por contraprestación monetaria o de otro valor. La compartición, en California, cubre la cesión para publicidad conductual entre contextos aunque no haya dinero de por medio.

En la práctica, un píxel que pasa identificadores a una red publicitaria para retargeting se trata como venta o compartición, igual que la subida de una audiencia similar. La excepción del proveedor de servicios existe, pero solo se sostiene si el contrato lleva las restricciones exigidas y el proveedor no usa los datos para sus propios fines.

Así que el primer paso es un inventario de cada etiqueta, SDK e integración de servidor que recibe un identificador, con una decisión registrada por destino: proveedor de servicios, o venta y compartición. Ese inventario es además la evidencia que te van a pedir, así que guárdalo donde viven el resto de tus artefactos de control. Este es el argumento para mapear un solo conjunto de controles a varios marcos en vez de llevar la privacidad como una línea aparte: si ya automatizas la evidencia de SOC 2, la misma tubería debería producir esto.

Qué te da el RGPD y qué no

Ya está hecho si tu programa de RGPD es real: el inventario de tratamientos, el calendario de retención, la mecánica de borrado y exportación, el registro de subencargados y la diligencia debida de proveedores. La evaluación de impacto estatal se parece lo bastante a una EIPD como para extender la misma plantilla, igual que una Declaración de Aplicabilidad de ISO 27001 se reutiliza en lugar de reescribirse.

No está hecho: el tratamiento de la señal de exclusión, la clasificación de venta y compartición, el derecho a limitar el uso de datos sensibles que no tiene análogo limpio en el RGPD, las reglas del aviso en el momento de la recogida, las cláusulas contractuales para proveedores de servicios y los plazos de respuesta. La mayoría de estados fijan 45 días con una prórroga, más ajustado en la práctica que el mes del RGPD porque el reloj arranca en la recepción y hay poca tolerancia con verificaciones de identidad lentas.

Y una diferencia de fondo: el RGPD exige una base jurídica antes de tratar. Las leyes estatales, en general, no; regulan qué informas y qué puede parar el consumidor. Un equipo entrenado en preguntar "cuál es mi base" tiene que empezar a preguntar "he informado de esto y puede el consumidor desactivarlo".

Cosas que se olvidan

• Las peticiones de usuarios autenticados. Alguien con sesión iniciada pide el borrado por un formulario público y se le trata como a un desconocido, con la verificación cayendo en soporte. Mete el flujo de derechos dentro del producto, donde la identidad ya está establecida.
• El borrado tiene que llegar al almacén de datos. Borrar filas de producción mientras un año de eventos sigue en analítica y en sus modelos derivados es el fallo más común, y el plazo es más corto que el del RGPD.
• Los agentes autorizados. Varios estados permiten que un tercero presente peticiones en nombre del consumidor, y en masa. La entrada tiene que absorber volumen sin una persona clasificando una a una.
• Los menores. El consentimiento previo aplica a la venta y compartición para menores de 16, y averiguar la edad es tu problema, no el suyo.

Qué hacer esta semana

Activa Global Privacy Control en un navegador, carga tu web comercial con la pestaña de red grabando y comprueba si las etiquetas de publicidad y analítica siguen disparándose. Diez minutos, y responde a la pregunta que un regulador hace primero. Convertir eso en un conjunto de controles mantenido es lo que cubre nuestro trabajo de seguridad y cumplimiento.