California, Estados Unidos
Modificaciones de la CCPA
Qué cambió la CPRA en la ley de privacidad de California
La California Privacy Rights Act (CPRA) no creó una segunda ley de privacidad. Modificó la CCPA y añadió normas sobre la compartición con fines publicitarios, la información personal sensible, la rectificación, la conservación y los contratos con proveedores. Esta guía explica esos cambios y la normativa más reciente basada en ellos.
De un vistazo
- A quién puede aplicarse
- Empresas sujetas a la CCPA. La CPRA no tiene un criterio de ámbito propio: modificó los umbrales y las obligaciones de la CCPA.
- Qué es
- La Proposición 24, aprobada por los votantes de California en noviembre de 2020. Modificó la CCPA a partir del 1 de enero de 2023 y creó la California Privacy Protection Agency (CPPA).
- Opciones que ofrecer
- Exclusión de la venta y de la compartición para publicidad comportamental entre contextos, derecho a limitar ciertos usos de la información personal sensible y derecho de rectificación.
- Acciones en la web
- Trata la compartición con tecnología publicitaria (ad tech) como cubierta por la exclusión, haya pago o no.
- Comprueba si tu uso de datos sensibles requiere un control de limitación («Limit»).
- Informa de cuánto tiempo conservas cada categoría de datos.
- Lleva las solicitudes de rectificación a todos los sistemas conectados.
- Ajusta los contratos al papel real de cada destinatario.
- Fuentes primarias
- Texto de la Proposición 24, texto legal de la CCPA, Reglamento de la CCPA y CPPA: normativa de 2025
- Última revisión
Cómo se relaciona la CPRA con la CCPA
La CPRA modificó el texto de la CCPA en lugar de añadir una ley paralela. Hoy existe un único marco en California, la CCPA modificada, así que no crees experiencias de consentimiento separadas para la «CCPA» y la «CPRA».
Consulta la guía de la CCPA para saber a quién se aplica, los avisos, el enlace de exclusión y las solicitudes de los consumidores. Esta página explica qué cambió y cómo afecta a tu web. Las fechas clave:
- Noviembre de 2020: los votantes de California aprobaron la Proposición 24, la CPRA.
- 1 de enero de 2023: entraron en vigor las modificaciones de la CCPA introducidas por la CPRA.
- 1 de julio de 2023: pudo empezar la aplicación civil y administrativa de las disposiciones modificadas, para infracciones cometidas a partir de esa fecha.
Qué cambió para las webs
La tabla resume los cambios que más a menudo afectan a una web; las secciones siguientes explican cada uno.
| Cambio | Qué significa para tu web |
|---|---|
| Compartición para publicidad comportamental entre contextos | Qué significa para tu webLas transferencias a herramientas publicitarias están cubiertas por la exclusión aunque no haya intercambio de dinero. |
| Derecho de rectificación | Qué significa para tu webLos visitantes pueden pedirte que corrijas datos inexactos, y la corrección debe llegar a los sistemas conectados. |
| Información personal sensible y derecho a limitar | Qué significa para tu webIdentifica los datos sensibles. Ofrece un control de limitación («Limit») si los usas más allá de los fines permitidos. |
| Información sobre la conservación | Qué significa para tu webIndica cuánto tiempo conservas cada categoría de datos, o cómo lo decides, en el momento de la recogida o antes. |
| Contratos con proveedores de servicios, contratistas y terceros | Qué significa para tu webLas condiciones escritas deben limitar el uso a fines especificados y ajustarse a lo que hace realmente cada destinatario. |
Compartición para publicidad comportamental entre contextos
La publicidad comportamental entre contextos consiste en dirigir anuncios a partir de la actividad de una persona en webs, apps o servicios de otras empresas. Enumera las herramientas que reciben eventos de navegación, identificadores, compras o datos de audiencias, y comprueba si el destinatario los usa de ese modo.
Una declaración del tipo «nunca vendemos información personal» puede inducir a error si ignora la compartición. Alinea la declaración, el control de exclusión y la configuración, y prueba tanto las vías del navegador como las del lado del servidor. Una empresa que presta publicidad comportamental entre contextos es un tercero, no un proveedor de servicios.
Información personal sensible y derecho a limitar
La información personal sensible incluye, entre otras categorías, los números de documentos de identidad oficiales, las credenciales de acceso a cuentas con contraseña, la geolocalización precisa, la información sobre la salud y el origen racial o étnico.
La ley permite algunos usos sin derecho a limitar, como prestar los bienes o servicios que el consumidor ha pedido. El derecho a limitar se aplica a los usos que van más allá. Usar las credenciales de una cuenta para iniciar la sesión de alguien es un uso permitido; reutilizar datos sensibles para elaborar perfiles puede que no lo sea. Si solo los usas para fines permitidos y lo indicas en tu política de privacidad, no necesitas el enlace «Limit the Use of My Sensitive Personal Information» (limitar el uso de mi información personal sensible).
Derecho de rectificación
Un cliente puede pedirte que rectifiques información personal inexacta, y debes hacer esfuerzos comercialmente razonables para hacerlo. Identifica el registro de referencia y los sistemas que copian sus datos.
Prueba una solicitud desde su recepción hasta su resolución. Si una integración antigua sobrescribe después un dato corregido, el proceso todavía necesita mejoras.
Conservación y minimización de datos
En el momento de la recogida o antes, informa de cuánto tiempo piensas conservar cada categoría de información personal, o de los criterios que usas, y no la conserves más tiempo del razonablemente necesario. La recogida y el uso también deben ser razonablemente necesarios y proporcionados respecto a los fines que comunicaste.
Evita un vago «durante el tiempo necesario» cuando sea posible indicar un plazo concreto. Compara la conservación en la web, la analítica, la plataforma de clientes, las exportaciones publicitarias y las copias de seguridad.
Contratos y control sobre los destinatarios
Vender o compartir datos con un tercero, o comunicarlos a un proveedor de servicios o contratista, requiere un acuerdo que limite el uso a fines especificados, traslade las obligaciones de la CCPA y te permita actuar contra el uso no autorizado. Una cláusula genérica de confidencialidad no basta.
Los contratos no controlan los flujos de datos por sí solos. Comprueba que los ajustes y el uso real de cada destinatario coinciden con su papel contractual.
Evaluaciones de riesgos, auditorías de ciberseguridad y ADMT
La CPRA también encargó a la agencia de privacidad de California que redactara normas sobre evaluaciones de riesgos, auditorías de ciberseguridad y tecnología de toma de decisiones automatizada (ADMT). El Consejo de la CPPA las adoptó el 24 de julio de 2025, la Office of Administrative Law las aprobó el 22 de septiembre de 2025 y entraron en vigor el 1 de enero de 2026 (página de la CPPA sobre la elaboración de normas). Los plazos de cumplimiento son escalonados:
| Requisito | A quién puede afectar | Plazos |
|---|---|---|
| Evaluaciones de riesgos | A quién puede afectarEmpresas sujetas que venden o comparten información personal, tratan datos sensibles o usan ADMT para decisiones significativas, entre otras. | PlazosAntes de cada tratamiento nuevo a partir del 1 de enero de 2026. Tratamientos iniciados antes: evaluar a más tardar el 31 de diciembre de 2027 y presentar a más tardar el 1 de abril de 2028. |
| Tecnología de toma de decisiones automatizada (ADMT) | A quién puede afectarEmpresas que usan ADMT para tomar decisiones significativas sobre los consumidores. | PlazosCumplimiento a más tardar el 1 de enero de 2027. |
| Auditorías de ciberseguridad | A quién puede afectarEmpresas cuyo tratamiento presenta un riesgo de seguridad significativo según los criterios de ingresos y volumen del reglamento. | PlazosPrimer informe de auditoría a más tardar el 1 de abril de 2028, 2029 o 2030, según los ingresos. |
Ten en cuenta qué activa la evaluación de riesgos: una empresa sujeta que comparte información personal para publicidad comportamental entre contextos está vendiendo o compartiendo, así que la obligación puede aplicarse a una web de marketing corriente. Las evaluaciones deben actualizarse en un plazo de 45 días tras un cambio sustancial y revisarse al menos cada tres años.
Los plazos de las auditorías de ciberseguridad dependen de los ingresos brutos anuales: más de 100 millones de dólares, primer informe a más tardar el 1 de abril de 2028; de 50 a 100 millones de dólares, a más tardar el 1 de abril de 2029; menos de 50 millones de dólares, a más tardar el 1 de abril de 2030. Contrasta tus actividades con estas normas y mantén esa revisión separada de la configuración del banner.
Lista de comprobación operativa
Revisa estos puntos cada vez que añadas una integración publicitaria, una función de ubicación o una herramienta de personalización, aunque el banner no cambie.
- Compartición: enumera todas las herramientas que reciben datos de navegación o de audiencias, con su papel.
- Efecto de la exclusión: confirma que la venta y la compartición se detienen en los flujos del navegador y del lado del servidor.
- Datos sensibles: decide si hace falta un control de limitación («Limit») y anota por qué.
- Conservación: haz coincidir los plazos de tu aviso con los ajustes reales de cada sistema.
- Rectificación: sigue una solicitud a través de todos los sistemas conectados.
- Contratos: confirma que el contrato de cada destinatario coincide con su uso real.
- Nuevas obligaciones: comprueba ahora si te afectan las evaluaciones de riesgos y, a más tardar el 1 de enero de 2027, la ADMT.
Preguntas frecuentes
¿Significa la CPRA que todas las cookies necesitan consentimiento previo?
No. Las normas de California sobre la venta y la compartición siguen siendo de exclusión (opt-out) para los adultos. El consentimiento es necesario en casos concretos, como vender o compartir datos de consumidores de los que se sabe que tienen menos de 16 años, y otras jurisdicciones pueden exigirlo.
¿La información de ubicación corriente es siempre sensible?
No. La definición abarca la geolocalización precisa: datos del dispositivo usados para localizar a alguien dentro de un círculo de 1850 pies de radio. Comprueba la precisión y el uso de los datos de ubicación que recoges.
¿Puede un cliente rectificar información que hemos inferido?
No des por hecho que la información inferida queda fuera de este derecho. Evalúa la solicitud, su exactitud y las normas reglamentarias aplicables en su contexto.
¿Una exclusión obliga a eliminar la cuenta?
No. Las exclusiones de la venta y la compartición, la supresión y el cierre de la cuenta son acciones distintas. Explica y aplica cada una por separado.
¿Quién hace cumplir los cambios de la CPRA?
La California Privacy Protection Agency, creada por la CPRA, y el fiscal general (Attorney General) hacen cumplir la CCPA modificada.