Transferencias transfronterizas de datos: PIPL, CCPA, VCDPA

El alcance de las transferencias transfronterizas de datos

La publicación del Reglamento General de Protección de Datos (RGPD) el 25 de mayo de 2016 en la Unión Europea, sirvió de inspiración a nivel mundial para la implantación de leyes de privacidad de datos.

Muchos países, a raíz de esto, comenzaron a desarrollar una ley muy similar para proteger los derechos y libertades de las personas que se encontrasen en sus territorios. 

A continuación se estudiará el alcance de las transferencias transfronterizas de datos en China (PIPL) y los estados de  California (CCPA) o Virginia (VCDPA) de los Estados Unidos de América.

Países que implementaron su Ley de Protección de Datos a raíz del RGPD:

• China (PIPL):

La Ley de Protección de la Información Personal (PIPL) fue aprobada el pasado 20 de agosto de 2021 por el Comité Permanente de la Asamblea Popular Nacional de la República Popular de China, y entró en vigor el 1 de noviembre del mismo año. 

El objetivo de esta nueva Ley es, de acuerdo con su artículo 1: “regular las actividades de tratamiento de la información personal” y “promover el uso razonable de la información personal”.

Alcance territorial 

Al igual que el RGPD, la PIPL tiene alcance extraterritorial sobre actividades de tratamiento que se produzcan fuera de la frontera de China. 

Tal y como establece el artículo 3 de dicha ley, la PIPL se aplicará cuando el propósito de la actividad de tratamiento sea:

1. Ofrecer productos o servicios a una persona que se encuentre en China.
2. Analizar o evaluar el comportamiento de una persona que se encuentre en China.

Las empresas que desarrollen su actividad mercantil fuera de China pero que traten información de ciudadanos chinos, les será de aplicación la PIPL, y deberán nombrar un representante local o crear una entidad responsable en China, con el objetivo de asegurar el cumplimiento de la Ley.

Jihong Chen, abogado experto en Protección de Datos, señala que la nueva ley de privacidad pretende regular la forma en que los procesadores obtienen y gestionan la información personal (IP) de individuos en China, tanto si los procesadores están o no en su territorio.

Por último, acorde con la PIPL, la información personal debe almacenarse dentro del territorio de la República Popular China.

• California (CCPA)

La ley California Consumer Privacy Act (CCPA) entró en vigor en 2020, siendo la legislación sobre privacidad más completa de Estados Unidos.
Las entidades con ánimo de lucro que realicen una actividad mercantil en California o recojan información personal de ciudadanos del estado de California deben cumplir los requisitos de dicha ley.
La CCPA protege la información personal de los individuos, y su objetivo es impedir el uso no deseado y no autorizado de la información personal por parte de las empresas y sus socios.

Alcance territorial 

Esta ley sólo protege tanto derechos y libertades de los consumidores residentes en California como a los que temporalmente residen fuera del estado. No se aplica a quienes visitan California de forma temporal.

Es aplicable a todo aquél que:

•  Tenga una entidad con ánimo de lucro.
• Desarrolle su actividad en California y atienda al menos a 50.000 usuarios u hogares.
• Iguale o supere los 25 millones de dólares de facturación anual.
• Consiga el 50% o más de sus ingresos brutos compartiendo o vendiendo información personal de los consumidores.

• Virginia (VCDPA)

La VCDPA regula la recogida y el tratamiento de los datos personales de los residentes en  Virginia.

Establece derechos clave, como el derecho a optar por no vender los datos personales a terceros o utilizarlos para publicidad dirigida. 

La ley se aprobó el 2 de marzo de 2021, sin embargo, la aplicación por parte del Fiscal General de Virginia no comenzará hasta el 1 de enero de 2023.

Alcance territorial 

La VCDPA se aplica a las organizaciones que llevan a cabo actividades comerciales en Virginia u ofrecen productos o servicios dirigidos a los residentes del territorio de Virginia: 

• Tratan datos personales de al menos 100.000 residentes de Virginia.
• Obtienen más del 50% de los ingresos brutos de la venta de datos personales.
• Tratan datos personales de al menos 25.000 residentes de Virginia.

La concienciación de la importancia de establecer una ley que regule el uso de los datos personales de los ciudadanos se ha hecho eco.

Como resultado, cada vez son más los países que trabajan para implantar dicha ley, regulando el alcance de las transferencias transfronterizas de datos.

Desde Auratech Legal Solutions esperamos que este post haya servido de ayuda para todas aquellas empresas que mantengan actividad comercial en China, o en los estados de  California o Virginia de los Estados Unidos de América, y conozcan el grado de afectación de dichas nuevas leyes de Protección de Datos en sus negocios.