CCPA: Qué significan los derechos de privacidad de California para tu web

CCPA y CPRA: una sola ley modificada

Los votantes de California aprobaron la California Privacy Rights Act (CPRA) en noviembre de 2020. Esta modificó la CCPA, con cambios en vigor desde el 1 de enero de 2023, por lo que no existe un régimen CPRA independiente: evalúa tu web con arreglo a la CCPA modificada.

Esta guía trata el ámbito de aplicación y el recorrido básico en una web. La guía sobre la CPRA explica qué cambiaron las modificaciones, incluida la información personal sensible, la rectificación, la conservación y los reglamentos de 2025.

A quién se aplica la CCPA

Los umbrales que aparecen al principio de esta página proceden de las preguntas frecuentes de la Agencia de Protección de la Privacidad de California. La cifra de ingresos se ajusta a la inflación cada año impar: se aplican 26.625.000 $ desde el 1 de enero de 2025, y el próximo ajuste está previsto para el 1 de enero de 2027.

Una empresa de fuera de California también puede estar sujeta a la ley, al igual que las filiales que comparten la marca y la información personal de una empresa sujeta. Algunas organizaciones y tipos de información están exentos. Las visitas a la web no sustituyen al criterio de los 100.000 consumidores u hogares.

Registra por qué estás dentro o fuera del ámbito de aplicación, y vuelve a evaluarlo cuando cambien los ingresos, el modelo de negocio o las prácticas de datos.

Venta, compartición, publicidad y proveedores de servicios

La exclusión abarca la venta y la compartición. Que una herramienta entre en ella depende de lo que haga el destinatario con los datos y del contrato que lo respalda, no del nombre de la herramienta.

Llamar «analítica» a una herramienta, o trasladar el mismo evento de un píxel a una conexión del lado del servidor, no cambia el análisis.

Cómo es un control «Do Not Sell or Share» que funciona

Una empresa que vende o comparte información personal que recoge online debe ofrecer al menos dos métodos de exclusión. Uno es procesar señales de preferencia de exclusión como GPC. El otro es uno de estos:

• Enlace «Do Not Sell or Share My Personal Information» (no vender ni compartir mi información personal) en la cabecera o el pie de la página de inicio, que excluye al visitante de inmediato o lleva a un formulario de exclusión.
• Enlace de exclusión alternativo (Alternative Opt-out Link): un único enlace «Your Privacy Choices» o «Your California Privacy Choices» con el icono oficial de exclusión, que abarca la exclusión y el derecho a limitar el uso de la información personal sensible.
• Sin enlace: solo si procesas las señales sin fricciones, la señal ejecuta por completo la exclusión (incluida cualquier venta o compartición offline) y tu política de privacidad lo explica.

Un banner de cookies genérico o un panel de ajustes de cookies no es por sí solo un método aceptable, porque se refiere a la recogida, no a la venta o la compartición. El control debe mencionar la venta y la compartición, requerir pasos mínimos y no exigir una cuenta (reglamento de la CCPA, §7013, §7015 y §7026).

Ejemplo: el enlace del pie de página de una tienda online

Ejemplo ilustrativo: una tienda online que vende material de montaña usa un píxel publicitario y una carga semanal de listas de clientes para publicidad conductual en contextos cruzados. Su enlace del pie de página «Your Privacy Choices», con el icono de exclusión, abre una página que explica el derecho y ofrece dos botones igual de destacados: «Oponerme a la venta y la compartición» y «Mantener la configuración actual». El estado actual se indica con palabras.

Cuando el visitante se opone:

• El píxel deja de enviar los eventos de este navegador a la plataforma para publicidad conductual en contextos cruzados.
• La cuenta del cliente con sesión iniciada se marca y queda fuera de la siguiente carga de listas.
• Se informa de la exclusión a los terceros que recibieron los datos después de la solicitud, pero antes de que la tienda actuara.
• La página confirma el resultado, por ejemplo con «Opt-Out Request Honored» (solicitud de exclusión atendida).
• El proceso de compra, la cesta y la analítica de los proveedores de servicios siguen funcionando.

Aplica la exclusión en cuanto sea factible y en un plazo de 15 días hábiles; las transferencias que puedes detener al instante, como las pujas publicitarias en tiempo real, deben detenerse de inmediato. Después, espera al menos 12 meses antes de pedir al visitante que vuelva a aceptar.

Respeta las señales de preferencia de exclusión

Una empresa sujeta a la ley que vende o comparte datos debe tratar una señal que cumpla los requisitos, como Global Privacy Control, como una exclusión válida para ese navegador o dispositivo y para cualquier perfil vinculado a él, así como para el consumidor si se le conoce. Publicar los enlaces de exclusión no elimina esta obligación.

Prueba una primera visita, una visita de regreso y una cuenta con sesión iniciada, incluidos los destinos del lado del servidor. La guía sobre Global Privacy Control trata los conflictos con elecciones anteriores y el mensaje de estado obligatorio.

Avisos y solicitudes de los consumidores

La información personal incluye los identificadores de cookies, la actividad de navegación y los datos vinculados a un hogar. Para cada herramienta, registra qué recoge, por qué y quién lo recibe, incluidos los servicios incrustados y las integraciones del lado del servidor.

Informa en el momento de la recogida o antes: las categorías, las finalidades y si la información se vende o se comparte, con un enlace a tu política de privacidad. Revisa los formularios de captación, el registro de cuentas y las páginas de destino de campañas, además de la página de inicio. La página sobre la CCPA del fiscal general de California resume estas obligaciones.

Atiende las solicitudes para conocer, suprimir, rectificar y recibir la información en un formato portátil, con sujeción a las excepciones, sin penalizar a nadie por ejercer sus derechos. Verifica la identidad de forma proporcionada en estas solicitudes; las exclusiones no requieren verificación. Asegúrate de que cada solicitud llega a los sistemas y proveedores que tienen los datos.

Lista de comprobación para tu web

• Ámbito: registra qué umbral se aplica, o por qué no se aplica ninguno.
• Destinatarios: etiqueta cada herramienta como venta, compartición, proveedor de servicios o contratista.
• Vía de exclusión: elige el enlace, el enlace alternativo o la gestión de señales sin fricciones.
• Efecto: confirma que los píxeles, los eventos del servidor y las cargas de listas se detienen tras una exclusión.
• Señales: prueba GPC en una visita nueva y en una cuenta con sesión iniciada.
• Solicitudes: sigue una solicitud de acceso, supresión y rectificación a través de los sistemas conectados.

Preguntas frecuentes