Resposta ràpida: La Llei de Privadesa del Consumidor de Califòrnia (CCPA) atorga als residents de Califòrnia el dret a optar per no vendre o compartir la seva informació personal. A partir de l'1 de gener de 2026, les regulacions modificades ara requereixen que les empreses respectin els senyals de preferència d'exclusió voluntària (com ara el Global Privacy Control), confirmin visiblement que aquests senyals s'han processat i assegurin que els fluxos d'exclusió voluntària no siguin més complexos que els fluxos d'inclusió voluntària. L'incompliment pot comportar sancions civils de fins a 7.500 dòlars per infracció intencionada.
Punts clau
- La CCPA s'aplica a empreses amb ànim de lucre que compleixen llindars específics d'ingressos, volum de dades o venda de dades, no a totes les empreses que operen a Califòrnia.
- A partir de l'1 de gener de 2026, les empreses han de mostrar una confirmació visible quan s'ha reconegut i respectat un senyal de preferència d'exclusió voluntària (com ara el Global Privacy Control). [3]
- Els mecanismes d'exclusió voluntària han de ser tan fàcils d'utilitzar com els fluxos d'inclusió voluntària; els patrons foscos que desincentiven les exclusions voluntàries estan explícitament prohibits segons les esmenes de 2026. [7]
- Les empreses tenen 15 dies hàbils per atendre una sol·licitud d'exclusió voluntària del consumidor després de la recepció. [2]
- La "informació personal" segons la CCPA és àmplia: inclou adreces IP, historial de navegació, dades de geolocalització, inferències extretes del comportament del consumidor i molt més.
- La CCPA i el GDPR operen amb models de consentiment fonamentalment diferents, d'exclusió voluntària versus inclusió voluntària, i moltes empreses han de complir amb tots dos simultàniament.
- No actualitzar la vostra política de privadesa per reflectir els drets de la CCPA és en si mateix una bretxa de compliment, independent dels errors tècnics d'exclusió voluntària.
- Una plataforma de gestió del consentiment com Biscotti CMP pot automatitzar la detecció de senyals, la visualització de la confirmació d'exclusió voluntària i el registre de preferències.
Què és la CCPA i per què és important per al vostre negoci
La Llei de Privadesa del Consumidor de Califòrnia és una llei de privadesa a nivell estatal que atorga als residents de Califòrnia drets específics sobre com les empreses recopilen, utilitzen i venen les seves dades personals. És important perquè Califòrnia és la cinquena economia més gran del món, i qualsevol empresa que toqui els consumidors de Califòrnia, independentment d'on tingui la seu l'empresa, pot estar legalment obligada a complir-la.
La CCPA es va promulgar originalment el 2018, es va reforçar amb la Llei de Drets de Privadesa de Califòrnia (CPRA) el 2020 i es va actualitzar materialment de nou amb regulacions aprovades per l'Oficina de Dret Administratiu de Califòrnia el 22 de setembre de 2025, amb efecte a partir de l'1 de gener de 2026. [1][5] Aquestes esmenes de 2026 van afegir noves obligacions sobre la tecnologia de presa de decisions automatitzada (ADMT), avaluacions de riscos i, críticament per a la majoria de les empreses, el disseny del mecanisme d'exclusió voluntària i els requisits de confirmació. [1][7]
Entendre la CCPA explicada: com gestionar les exclusions voluntàries per als consumidors de Califòrnia ja no és opcional per a les empreses cobertes. El nivell regulador ha augmentat i l'aplicació ha seguit.
Com sé si la CCPA s'aplica a la meva empresa
La CCPA s'aplica a les empreses amb ànim de lucre que fan negocis a Califòrnia i compleixen almenys un dels següents llindars:
- Ingressos bruts anuals que superen els 25 milions de dòlars
- Comprar, vendre, rebre o compartir anualment la informació personal de 100.000 o més consumidors o llars de Califòrnia
- Obtenir el 50% o més dels ingressos anuals de la venda o compartició d'informació personal de consumidors de Califòrnia [4][6]
La CCPA s'aplica a les petites empreses amb uns ingressos determinats? Generalment, no. Si una empresa cau per sota dels tres llindars, no és una empresa coberta per la CCPA. No obstant això, els proveïdors de serveis i contractistes que processen dades en nom d'empreses cobertes estan subjectes a obligacions contractuals de la CCPA, fins i tot si no es qualificarien d'altra manera de manera independent. [2]
Cas límit: Una petita empresa SaaS amb menys de 25 milions de dòlars en ingressos, però amb una gran base d'usuaris de nivell gratuït, podria superar fàcilment el llindar de dades de 100.000 consumidors sense adonar-se'n.
Què es considera informació personal segons la CCPA
La informació personal segons la CCPA es defineix àmpliament com qualsevol informació que identifiqui, es relacioni, descrigui o pugui estar raonablement vinculada a un consumidor o llar en particular. Això va molt més enllà dels noms i les adreces de correu electrònic.
Les categories cobertes inclouen:
| Categoria | Exemples |
|---|---|
| Identificadors | Nom, correu electrònic, adreça IP, ID de dispositiu |
| Informació comercial | Historial de compres, comportament de navegació |
| Dades biomètriques | Empremtes digitals, dades de reconeixement facial |
| Activitat a Internet | Cookies, historial de cerques, interaccions amb el lloc |
| Geolocalització | Ubicació precisa de dispositius mòbils |
| Inferències | Perfils creats a partir de dades de comportament |
| Informació personal sensible | Números de la Seguretat Social, dades de salut, geolocalització precisa |
Les inferències extretes de les dades del consumidor per crear perfils sobre preferències, característiques o comportament s'inclouen explícitament. [4] Això és important per a les tecnologies publicitàries, l'anàlisi i els processos de personalització.
Quina és la diferència entre l'exclusió voluntària i la inclusió voluntària de la CCPA
La CCPA opera amb un model d'exclusió voluntària: les empreses poden recopilar i utilitzar les dades del consumidor per defecte, però els consumidors tenen dret a exigir que les seves dades no es venguin ni es comparteixin. El consentiment d'inclusió voluntària només es requereix en circumstàncies específiques, com ara quan es gestiona la informació personal de consumidors menors de 16 anys. [4][6]
Aquesta és la diferència estructural fonamental amb el GDPR, que opera amb un model d'inclusió voluntària que requereix un consentiment afirmatiu abans que comenci la majoria del processament de dades. Segons la CCPA, el silenci no és consentiment, però tampoc és un obstacle per al processament. Segons el GDPR, el silenci no és consentiment i el processament no pot començar sense ell.
Trieu la lògica d'inclusió voluntària si: esteu gestionant dades de menors (menors de 16 anys) o processant categories d'informació personal sensible que requereixen un consentiment explícit segons la llei de Califòrnia.
Trieu la lògica d'exclusió voluntària si: esteu gestionant dades de consumidors estàndard d'adults i sou una empresa coberta per la CCPA.
Com configuro un enllaç de "No vendre ni compartir la meva informació personal"
Tota empresa coberta que vengui o comparteixi informació personal ha de proporcionar un enllaç clar i visible titulat "No vendre ni compartir la meva informació personal" a la seva pàgina d'inici i a la seva política de privadesa. [4][6]
Configuració pas a pas:
- Auditeu els vostres fluxos de dades per determinar si la vostra empresa ven o comparteix informació personal tal com la defineix la CCPA.
- Afegiu l'enllaç requerit al peu de pàgina del vostre lloc web i al menú de configuració de l'aplicació mòbil.
- Configureu la vostra plataforma de gestió del consentiment per capturar i registrar les sol·licituds d'exclusió voluntària.
- Assegureu-vos que el flux d'exclusió voluntària no requereixi més passos que el flux d'inclusió voluntària; les regulacions de 2026 prohibeixen explícitament la fricció asimètrica. [7]
- Respecteu automàticament els senyals de Global Privacy Control (GPC) si la vostra empresa processa dades basades en el navegador.
- Mostreu una confirmació visible que l'exclusió voluntària s'ha reconegut, per exemple, un bàner o un estat de commutació que mostri "Senyal de preferència d'exclusió voluntària respectat". [3]
Una plataforma com Biscotti CMP pot automatitzar els passos 3 a 6, inclosa la detecció de senyals GPC i la visualització de confirmació compliant.
Quant de temps tinc per respondre a una sol·licitud d'exclusió voluntària del consumidor
Les empreses han d'atendre una sol·licitud d'exclusió voluntària del consumidor en un termini de 15 dies hàbils des de la seva recepció. [2] Això és diferent del termini de resposta de 45 dies que s'aplica a altres sol·licituds de drets del consumidor (com ara l'accés o la supressió).
Un cop atesa, l'empresa també ha de notificar a qualsevol tercer a qui hagi venut o compartit les dades del consumidor en els 90 dies anteriors, indicant-los que deixin d'utilitzar aquestes dades. [6] Aquesta obligació de notificació posterior sovint es passa per alt i representa una bretxa de compliment comuna.
Puc seguir utilitzant dades després que un client opti per no participar
Després que un consumidor opti per no vendre o compartir, l'empresa no pot vendre ni compartir la informació personal d'aquest consumidor en el futur. No obstant això, l'empresa encara pot utilitzar les dades per a finalitats internes que siguin coherents amb la relació del consumidor amb l'empresa. [4]
Específicament prohibit després de l'exclusió voluntària:
- Vendre o compartir les dades amb tercers per a publicitat conductual entre contextos
- Utilitzar les dades de maneres incompatibles amb el context en què es van recopilar
Encara permès després de l'exclusió voluntària:
- Complir la transacció o el servei sol·licitat pel consumidor
- Anàlisi interna i prevenció de fraus
- Compliment de les obligacions legals
Error comú: Assumir que l'exclusió voluntària significa l'eliminació completa de les dades. No és així. Els consumidors han de presentar una sol·licitud d'eliminació separada per activar aquest dret.
CCPA vs. GDPR: Quin he de seguir
Si la vostra empresa atén tant a residents de Califòrnia com a residents de la Unió Europea, és probable que hagueu de complir amb tots dos. La CCPA i el GDPR no són mútuament excloents, i els requisits de compliment difereixen prou com perquè una única política rarament satisfaci tots dos.
| Factor | CCPA | GDPR |
|---|---|---|
| Model de consentiment | Exclusió voluntària (processament per defecte permès) | Inclusió voluntària (consentiment requerit primer) |
| Abast geogràfic | Residents de Califòrnia | Residents de la UE/EEE |
| Qui cobreix | Empreses amb ànim de lucre que compleixen els llindars | Qualsevol entitat que processi dades de residents de la UE |
| Sancions | Fins a 7.500 dòlars per infracció intencionada | Fins al 4% de la facturació anual global |
| Dret a la supressió | Sí | Sí (Dret a l'oblit) |
| Portabilitat de dades | Sí | Sí |
La implicació pràctica: els bàners de consentiment compatibles amb el GDPR no són automàticament compatibles amb la CCPA, perquè la CCPA requereix un mecanisme d'exclusió voluntària específic en lloc d'una porta de consentiment.
Què passa si no compleixo els requisits de la CCPA
L'incompliment exposa les empreses a sancions civils de fins a 2.500 dòlars per infracció no intencionada i 7.500 dòlars per infracció intencionada, aplicades per l'Agència de Protecció de la Privadesa de Califòrnia (CPPA). [4][6] Les infraccions que impliquen dades de menors es tracten com a intencionades per defecte.
Els consumidors també tenen un dret d'acció privat per a les violacions de dades resultants de la manca d'implementació de mesures de seguretat raonables per part d'una empresa, amb danys legals que van des de 100 a 750 dòlars per consumidor per incident. [4]
Les esmenes de 2026 van ampliar l'autoritat d'auditoria de la CPPA, el que significa que les empreses subjectes a requisits d'avaluació de riscos poden enfrontar-se a un escrutini regulador proactiu, no només a una aplicació reactiva. [1][7]
He d'actualitzar la meva política de privadesa per a la CCPA
Sí. Les empreses cobertes han de mantenir una política de privadesa que divulgui, com a mínim:
- Les categories d'informació personal recopilada i els propòsits de la recopilació
- Si la informació personal es ven o es comparteix, i les categories de tercers implicats
- Els drets del consumidor disponibles segons la CCPA (exclusió voluntària, supressió, accés, correcció, portabilitat)
- Com els consumidors poden presentar sol·licituds per exercir aquests drets
- El període de retenció per a cada categoria d'informació personal [4][6]
Les polítiques de privadesa s'han d'actualitzar almenys una vegada cada 12 mesos. No actualitzar la política després d'un canvi material en les pràctiques de dades, com ara afegir un nou proveïdor d'anàlisi, és en si mateix una violació de compliment.
Com verifico que una sol·licitud d'exclusió voluntària del consumidor és legítima
Per a les sol·licituds d'exclusió voluntària específicament, la CCPA no requereix que les empreses verifiquin la identitat del consumidor que fa la sol·licitud. [2] Això és intencionat: requerir la verificació d'identitat per a les exclusions voluntàries crearia fricció que soscavaria el dret.
No obstant això, les empreses poden utilitzar mitjans raonables per confirmar que una sol·licitud no és fraudulenta, com ara confirmar l'adreça de correu electrònic associada al compte. L'estàndard per a la verificació d'exclusió voluntària és deliberadament inferior al de les sol·licituds d'eliminació o accés, on la verificació d'identitat és apropiada perquè aquestes sol·licituds impliquen la divulgació o destrucció de dades.
Cas límit: Si una sol·licitud d'exclusió voluntària arriba mitjançant un senyal automatitzat (GPC), no es requereix ni es permet cap pas de verificació addicional; el senyal en si mateix constitueix una sol·licitud vàlida. [3][7]
Com funcionen els mecanismes d'exclusió voluntària a les aplicacions mòbils vs. els llocs web
Als llocs web, els mecanismes d'exclusió voluntària han d'incloure l'enllaç "No vendre ni compartir la meva informació personal" al peu de pàgina i han de respectar els senyals GPC a nivell de navegador. [3][7] A les aplicacions mòbils, els requisits són funcionalment equivalents, però la implementació difereix:
- Les aplicacions mòbils han d'incloure l'opció d'exclusió voluntària al menú de configuració de l'aplicació o a la secció de preferències de privadesa.
- Les aplicacions distribuïdes a través de botigues d'aplicacions han de complir qualsevol requisit de privadesa addicional a nivell de plataforma (com ara App Tracking Transparency a iOS), però aquests requisits de plataforma no substitueixen el compliment de la CCPA.
- Els senyals automatitzats dels sistemes operatius mòbils s'han de respectar de la mateixa manera que els senyals GPC basats en el navegador si l'empresa processa aquestes dades.
Les regulacions de 2026 deixen clar que el canal (web vs. aplicació) no canvia l'obligació subjacent, només la implementació tècnica difereix.
Quins són els errors comuns que cometen les empreses amb el compliment de la CCPA
Fins i tot les empreses ben intencionades sovint cometen els errors següents:
- Tractar l'exclusió voluntària com a inclusió voluntària: Requerir que els consumidors confirmin afirmativament la seva exclusió voluntària mitjançant múltiples passos, cosa que viola el requisit de simetria de les esmenes de 2026. [7]
- Ignorar els senyals GPC: No configurar la seva pila tecnològica per detectar i respectar els senyals del navegador Global Privacy Control, que ara es tracten com a sol·licituds d'exclusió voluntària vàlides. [3]
- No mostrar la confirmació d'exclusió voluntària: Les regles de 2026 requereixen una confirmació visible que s'ha processat un senyal; una entrada de registre de backend no és suficient. [3]
- Passar per alt els proveïdors posteriors: No notificar els receptors de dades de tercers després de rebre una exclusió voluntària.
- Polítiques de privadesa estàtiques: No actualitzar la política anualment o després de canvis materials en les pràctiques de dades.
- Confondre els proveïdors de serveis amb tercers: Els proveïdors de serveis que processen dades sota contracte tenen obligacions diferents de les de tercers que reben dades per als seus propis propòsits.
Preguntes freqüents
La CCPA s'aplica a les organitzacions sense ànim de lucre? No. La CCPA només s'aplica a les empreses amb ànim de lucre. Les organitzacions sense ànim de lucre no són empreses cobertes, tot i que poden estar subjectes a altres estatuts de privadesa de Califòrnia.
Què és el Global Privacy Control (GPC) i l'he de respectar? El GPC és un senyal a nivell de navegador que comunica automàticament la preferència d'exclusió voluntària d'un consumidor. A partir de l'1 de gener de 2026, les empreses cobertes que processen dades del navegador han de respectar els senyals GPC com a sol·licituds d'exclusió voluntària vàlides i mostrar una confirmació que el senyal s'ha processat. [3][7]
Pot una empresa cobrar un preu diferent als consumidors que opten per no participar? Generalment no. La CCPA prohibeix a les empreses discriminar els consumidors que exerceixen els seus drets de privadesa, incloent-hi el cobrament de preus diferents, tret que la diferència estigui raonablement relacionada amb el valor de les dades del consumidor. [4]
Quant de temps s'han de conservar els registres d'exclusió voluntària? La CCPA no especifica un període de retenció universal per als registres d'exclusió voluntària, però les empreses han de conservar els registres el temps suficient per demostrar el compliment en cas d'auditoria o acció d'aplicació, normalment almenys 24 mesos es considera una base raonable. [6]
Un bàner de cookies satisfà els requisits d'exclusió voluntària de la CCPA? Un bàner de cookies per si sol no és suficient. La CCPA requereix un enllaç dedicat de "No vendre ni compartir la meva informació personal", i les esmenes de 2026 requereixen que les empreses respectin i confirmin els senyals GPC independentment de qualsevol interacció de consentiment de cookies. [3][7]
Quina és la diferència entre una "venda" i una "compartició" segons la CCPA? La "venda" implica l'intercanvi d'informació personal per una contraprestació monetària. La "compartició" cobreix la divulgació d'informació personal per a publicitat conductual entre contextos, fins i tot sense pagament. Tots dos activen els drets d'exclusió voluntària. [4]
Necessito mecanismes d'exclusió voluntària separats per a cada categoria de dades? No. Un únic mecanisme d'exclusió voluntària que cobreixi la venda i la compartició és suficient, tot i que les empreses han de descriure clarament a la seva política de privadesa quines categories de dades estan cobertes.
Què és una avaluació de riscos segons les esmenes de la CCPA de 2026? Les empreses que processen informació personal de maneres que presenten riscos significatius per a la privadesa, inclòs l'ús de tecnologia de presa de decisions automatitzada, han de realitzar i documentar avaluacions de riscos abans de començar aquest processament. [1][7]
Conclusió
La CCPA explicada: com gestionar les exclusions voluntàries per als consumidors de Califòrnia és un objectiu en moviment, i les esmenes de 2026 han elevat considerablement el llistó. Les obligacions bàsiques, proporcionar un mecanisme d'exclusió voluntària clar, atendre les sol·licituds dels consumidors en un termini de 15 dies hàbils i actualitzar la vostra política de privadesa, segueixen sent fonamentals. Però els nous requisits sobre la confirmació de senyals GPC, la prohibició de patrons foscos i les avaluacions de riscos d'ADMT exigeixen un enfocament més sistemàtic del que pot proporcionar un enllaç de peu de pàgina estàtic.
Pròxims passos accionables per a les empreses cobertes:
- Auditeu el vostre flux d'exclusió voluntària actual respecte al requisit de simetria de 2026: compteu els passos per optar per no participar i compareu-los amb els passos per optar per participar.
- Verifiqueu que el vostre lloc web i l'aplicació mòbil detecten i respecten els senyals de Global Privacy Control, i que es mostra un missatge de confirmació visible quan es rep un senyal.
- Reviseu la vostra llista de proveïdors de tercers i confirmeu que hi ha procediments de notificació posteriors per als fluxos de dades posteriors a l'exclusió voluntària.
- Actualitzeu la vostra política de privadesa per reflectir les pràctiques de dades actuals, els períodes de retenció i la llista completa de drets del consumidor.
- Avalueu una plataforma de gestió del consentiment com Biscotti CMP per automatitzar la detecció de senyals, la confirmació d'exclusió voluntària i el registre de preferències a través de canals web i mòbils.
El compliment no és un projecte únic. La CPPA ha demostrat la voluntat d'emetre orientacions i perseguir l'aplicació, i l'entorn regulador continuarà evolucionant. Construir processos repetibles i auditables ara és la posició més defensable que pot adoptar una empresa coberta.
Referències
[1] Navigating New Obligations Under The CCPA Updated Regulations - https://www.lw.com/en/insights/navigating-new-obligations-under-the-ccpa-updated-regulations
[2] Navigating California Consumer Privacy Act 30 Essential FAQs Covered Businesses Including Clarifying Regulations Effective 1/1/26 - https://www.jacksonlewis.com/insights/navigating-california-consumer-privacy-act-30-essential-faqs-covered-businesses-including-clarifying-regulations-effective-1126
[3] Show Me That You've Opted Me Out: New CCPA Rules Require Businesses To Prove Compliance - https://www.nelsonmullins.com/insights/alerts/fcc-download/all/show-me-that-you-ve-opted-me-out-new-ccpa-rules-require-businesses-to-prove-compliance
[4] CCPA Statute Effective 2026-01-01 - https://cppa.ca.gov/regulations/pdf/ccpa_statute_eff_20260101.pdf
[5] CCPA Updates - https://cppa.ca.gov/regulations/ccpa_updates.html
[6] CCPA Requirements 2026: Complete Compliance Guide - https://secureprivacy.ai/blog/ccpa-requirements-2026-complete-compliance-guide
[7] CCPA 2026: Navigating The Expanded Consumer Privacy Compliance Requirements For Businesses - https://www.lathropgpm.com/insights/ccpa-2026-navigating-the-expanded-consumer-privacy-compliance-requirements-for-businesses/
[8] CCPA in 2026: What's Changing in Consent, Consumer Rights, and AI Governance - https://www.onetrust.com/blog/ccpa-in-2026-whats-changing-in-consent-consumer-rights-and-ai-governance/
[9] New CCPA 2026 Regulations: Your Complete Compliance Action Guide - https://captaincompliance.com/education/new-ccpa-2026-regulations-your-complete-compliance-action-guide/
[10] CPPA Regulations - https://cppa.ca.gov/regulations/