Cumplimiento de la Colorado Privacy Act con ConsentX

La Colorado Privacy Act (CPA) es la ley integral de privacidad del consumidor de Colorado. Reconoce derechos a los consumidores de Colorado sobre sus datos personales y establece obligaciones para las organizaciones que controlan o tratan esos datos.

La CPA se aplica, con carácter general, a las organizaciones que operan en Colorado o que se dirigen a residentes de Colorado y que superan los umbrales de la norma para el control o el tratamiento de datos personales. Determinadas entidades, datos y actividades están exentos.

Los consumidores de Colorado tienen derecho a acceder a sus datos personales, rectificar los datos inexactos, suprimir sus datos personales, obtener su portabilidad, oponerse a la venta de datos personales, oponerse a la publicidad dirigida y oponerse a determinadas actividades de elaboración de perfiles. Los consumidores pueden ejercer estos derechos con sujeción a las condiciones y excepciones aplicables.

La CPA exige consentimiento para determinadas actividades de tratamiento, en particular el tratamiento de datos sensibles. No todo tratamiento requiere consentimiento, por lo que las organizaciones deben determinar la base jurídica adecuada y los requisitos aplicables a cada actividad.

Los datos sensibles incluyen determinadas categorías de datos personales, como la información que revela el origen racial o étnico, las creencias religiosas, el estado o diagnóstico de salud física o mental, la vida sexual o la orientación sexual, la situación de ciudadanía o inmigración, ciertos datos genéticos o biométricos y determinados datos de menores. El marco de privacidad de Colorado también se ha modificado para incorporar categorías adicionales, como los datos de geolocalización precisa.

Un mecanismo universal de exclusión (UOOM) permite a los consumidores comunicar determinadas decisiones de privacidad a múltiples empresas sin tener que presentar solicitudes individuales a cada organización. Colorado exige a las organizaciones sujetas que respeten las señales UOOM aplicables para determinados derechos de oposición.

Sí. El Global Privacy Control (GPC) está actualmente reconocido por el Colorado Department of Law como mecanismo universal de exclusión válido. Las organizaciones sujetas deben respetar el GPC para los derechos de oposición aplicables, incluida la oposición a la venta de datos personales y a su uso con fines de publicidad dirigida.

Sí. Los consumidores de Colorado tienen derecho a oponerse al tratamiento de sus datos personales con fines de publicidad dirigida.

Sí. La CPA reconoce a los consumidores el derecho a oponerse a determinadas actividades de elaboración de perfiles, en particular las destinadas a decisiones que producen efectos jurídicos o similarmente significativos para el consumidor.

La CPA regula el tratamiento de datos personales y no las cookies como tales. Cuando las cookies, los rastreadores o tecnologías similares recogen o tratan información que constituye datos personales, las organizaciones deben evaluar los requisitos aplicables de la CPA e implantar los controles de privacidad adecuados.

Sí. Los responsables del tratamiento deben realizar evaluaciones de protección de datos para determinadas actividades que presentan un riesgo elevado de perjuicio para los consumidores. Pueden incluir tratamientos relacionados con publicidad dirigida, elaboración de perfiles, venta de datos personales y datos sensibles.

Una organización sujeta debe responder, con carácter general, a la solicitud de un consumidor en un plazo de 45 días. Ese plazo puede prorrogarse otros 45 días cuando sea razonablemente necesario, siempre que se informe al consumidor de la prórroga y de sus motivos.

ConsentX aporta tecnología que respalda operaciones importantes de la Colorado Privacy Act, como la gestión del consentimiento, el consentimiento para datos sensibles, las exclusiones de los consumidores, el soporte de GPC, el descubrimiento de rastreadores, el bloqueo previo de scripts, los flujos de trabajo de derechos y las evidencias de privacidad. No obstante, ConsentX por sí solo no garantiza el cumplimiento de la CPA. Las organizaciones deben evaluar el conjunto de sus tratamientos de datos, avisos de privacidad, controles de seguridad, contratos, evaluaciones de protección de datos y demás obligaciones legales aplicables.