Resposta ràpida: La California Privacy Rights Act (CPRA) va modificar substancialment la California Consumer Privacy Act (CCPA) original, introduint nous drets del consumidor, una agència d'aplicació dedicada, sancions més estrictes i una categoria completament nova d'informació personal sensible. Per als operadors de llocs web, CCPA vs. CPRA: Què va canviar per als operadors de llocs web a Califòrnia? no és una pregunta teòrica, es tradueix directament en polítiques de privadesa actualitzades, nous mecanismes de consentiment i obligacions contractuals ampliades amb proveïdors de tercers.
Punts clau
- La CPRA va entrar en vigor plenament l'1 de juliol de 2023, substituint i ampliant el marc de la CCPA.
- Una nova categoria d'"informació personal sensible" (SPI) requereix un enllaç de desactivació dedicat als llocs web que recopilen aquestes dades.
- Els consumidors van obtenir el dret a corregir dades personals inexactes, un dret que no existia sota la CCPA original.
- El llindar d'aplicabilitat va augmentar de 50.000 a 100.000 consumidors o llars, eximint alguns operadors més petits.
- Compartir dades personals per a publicitat conductual entre contextos ara es considera una "venda", requerint mecanismes de desactivació.
- Els operadors de llocs web han de respectar els senyals de Global Privacy Control (GPC) com a sol·licituds de desactivació vàlides.
- Les multes administratives van augmentar a 2.663 dòlars per infracció no intencionada i 7.988 dòlars per infracció intencionada a partir de l'1 de gener de 2025.
- La California Privacy Protection Agency (CPPA) ara té autoritat d'aplicació independent separada del Fiscal General.
- Els requisits de transparència de la presa de decisions automatitzada entraran en vigor l'1 de gener de 2027.
- Les avaluacions de riscos i les auditories de ciberseguretat són ara obligatòries per a activitats de processament de dades d'alt risc.
Quina és la diferència entre la CCPA i la CPRA?
La CCPA, en vigor l'1 de gener de 2020, va atorgar als consumidors de Califòrnia drets bàsics sobre les seves dades personals: el dret a saber, eliminar i optar per no vendre la seva informació. La CPRA, aprovada pels votants de Califòrnia el novembre de 2020 i plenament aplicable a partir de l'1 de juliol de 2023, no va substituir la CCPA directament, sinó que la va modificar i ampliar significativament [1].
Les diferències estructurals clau inclouen:
| Característica | CCPA (Original) | CPRA (Modificada) |
|---|---|---|
| Organisme d'aplicació | Fiscal General de Califòrnia | CPPA + Fiscal General |
| Categoria de dades sensibles | No definida | Definida formalment (SPI) |
| Dret a corregir | No inclòs | Inclòs |
| Definició de "venda" | Intercanvi de dades per valor | Inclou "compartir" per a publicitat |
| Llindar d'aplicabilitat | 50.000 consumidors/llars | 100.000 consumidors/llars |
| Avaluacions de riscos | No requerides | Requerides per a processament d'alt risc |
| Compliment del senyal GPC | No obligatori | Obligatori |
La conseqüència pràctica per als operadors de llocs web és que el compliment de la CPRA vs. CCPA no és només una actualització de paperassa, sinó que requereix canvis arquitectònics en els fluxos de consentiment, les polítiques de privadesa i els contractes amb proveïdors [2].
Quan va entrar en vigor la CPRA i va substituir la CCPA?
Els drets i obligacions substancials de la CPRA es van aplicar a les dades recollides a partir de l'1 de gener de 2022, amb l'aplicació a partir de l'1 de juliol de 2023. El període de gràcia d'un any per a l'aplicació va finalitzar en aquesta data, la qual cosa significa que la California Privacy Protection Agency podria començar a imposar multes sense previ avís [4].
Per als operadors de llocs web que encara operen sota les polítiques de l'era CCPA a partir de 2026, l'exposició és real i immediata.
Quins nous drets tenen els consumidors sota la CPRA que no estaven a la CCPA?
La CPRA va afegir dos drets del consumidor que estaven absents del marc original de la CCPA:
Dret a corregir: Els consumidors ara poden sol·licitar que una empresa corregeixi informació personal inexacta que tingui sobre ells. Els operadors de llocs web han d'establir un procés de sol·licitud verificable i actuar sobre les sol·licituds de correcció en un termini de 45 dies [2].
Dret a limitar l'ús d'informació personal sensible: Els consumidors poden restringir com les empreses utilitzen la seva SPI més enllà del propòsit per al qual es va recopilar originalment. Aquest dret requereix un mecanisme de desactivació separat i clarament etiquetat al lloc web [1].
Aquestes addicions s'uneixen als drets existents a saber, eliminar, optar per no vendre i no discriminació, creant un requisit de compliment més complex per a qualsevol lloc que recopili dades d'usuari més enllà de les analítiques bàsiques.
Què és el dret a corregir sota la CPRA?
El dret a corregir és una de les addicions més exigents operativament de la CPRA. Quan un consumidor presenta una sol·licitud de correcció verificada, l'empresa ha d'utilitzar esforços comercialment raonables per corregir la informació personal inexacta i indicar a qualsevol proveïdor de serveis o contractista que hagi rebut aquestes dades que faci la mateixa correcció [2].
Per als operadors de llocs web, això significa:
- Construir un mecanisme de recepció de sol·licituds de correcció (formulari web, procés de correu electrònic o portal de comptes).
- Documentar la correcció i notificar els processadors de dades posteriors.
- Respondre en un termini de 45 dies, amb una pròrroga de 45 dies permesa si és necessari.
Error comú: Molts operadors assumeixen que el dret a corregir només s'aplica a les dades del perfil del compte. En la pràctica, s'estén a qualsevol informació personal que tingui l'empresa, incloses les dades de comportament, les preferències inferides i l'historial de compres.
Quines noves categories de dades cobreix la CPRA que la CCPA no cobria?
La CPRA va definir formalment la "informació personal sensible" (SPI) com una categoria de dades diferent i de major protecció. La CCPA no tenia una classificació equivalent [1].
La SPI sota la CPRA inclou:
- Números de seguretat social i identificacions emeses pel govern
- Credencials de comptes financers (inici de sessió més codis de seguretat)
- Dades de geolocalització precises
- Origen racial o ètnic, creences religioses i afiliació sindical
- Continguts de comunicacions privades (correu, correu electrònic, text)
- Dades genètiques i biomètriques processades per a la identificació
- Informació de salut i vida sexual o orientació sexual
Els operadors de llocs web que recopilin qualsevol d'aquestes categories han de proporcionar un enllaç "Limitar l'ús de la meva informació personal sensible", funcionalment similar a l'enllaç "No vendre la meva informació personal" ja requerit sota la CCPA [1].
CPRA vs. CCPA: Quina s'aplica al meu negoci?
A partir de 2026, el marc de la CPRA s'aplica a les empreses amb ànim de lucre que fan negocis a Califòrnia I compleixen almenys un d'aquests llindars [7]:
- Ingressos bruts anuals superiors a 25 milions de dòlars.
- Compra, ven, rep o comparteix la informació personal de 100.000 o més consumidors o llars de Califòrnia per any (augmentat de 50.000 sota la CCPA).
- Obté el 50% o més dels ingressos anuals de la venda o compartició d'informació personal dels consumidors.
Trieu el compliment de la CPRA si: El vostre lloc web serveix a residents de Califòrnia i compliu qualsevol dels criteris anteriors. Si anteriorment complíeu el llindar de 50.000 consumidors de la CCPA, però processeu menys de 100.000 registres anualment, és possible que ja no estigueu subjectes directament, tot i que les obligacions contractuals amb socis més grans encara poden requerir el compliment.
Cas límit: Les organitzacions sense ànim de lucre i els operadors purament B2B estan generalment exempts, però els proveïdors de serveis i contractistes d'empreses cobertes tenen les seves pròpies obligacions de la CPRA [3].
Com afecta la CPRA la política de privadesa del meu lloc web?
Una política de privadesa compatible amb la CCPA ja no és suficient. La CPRA requereix que els operadors de llocs web actualitzin les seves polítiques de privadesa per reflectir [2][3]:
- La nova categoria SPI i el dret a limitar-ne l'ús.
- El dret a corregir informació personal inexacta.
- La definició ampliada de "venda" per incloure "compartir" per a publicitat conductual entre contextos.
- Com l'empresa respon als senyals GPC.
- Períodes de retenció de dades per a cada categoria d'informació personal recollida.
- Si s'utilitza la presa de decisions automatitzada i com els consumidors poden optar per no participar.
Les polítiques de privadesa s'han de revisar almenys una vegada cada 12 mesos i actualitzar-les per reflectir les pràctiques de dades actuals. Les polítiques obsoletes que descriuen drets de l'era CCPA sense les addicions de la CPRA són un desencadenant comú de l'aplicació.
He d'actualitzar els meus formularis de consentiment per al compliment de la CPRA?
Sí. Els mecanismes de consentiment que eren suficients sota la CCPA requereixen actualitzacions significatives per a la CPRA. Concretament, els operadors de llocs web han de [3][5]:
- Afegir un enllaç de desactivació "Limitar l'ús de la meva informació personal sensible" si el lloc recopila SPI.
- Respectar els senyals del navegador GPC com una opció vàlida per no vendre i compartir, això no pot requerir que l'usuari faci passos addicionals.
- Obtenir el consentiment explícit abans de vendre o compartir informació personal de consumidors menors de 16 anys.
- Assegurar-se que el consentiment per a la publicitat conductual entre contextos (retargeting, compartició d'audiència amb plataformes publicitàries) es distingeix clarament d'altres usos de dades.
Una plataforma de gestió del consentiment pot ajudar a automatitzar la detecció de GPC i el registre de preferències. Biscotti CMP (www.biscotti-cmp.com) està dissenyada per gestionar aquests requisits específics de la CPRA, inclosos els fluxos de desactivació de SPI i el compliment del senyal GPC, sense requerir un desenvolupament personalitzat per part de l'operador del lloc web.
Quines són les sancions per no complir amb la CPRA?
A partir de l'1 de gener de 2025, les multes administratives sota el marc de la CPRA són [5]:
- 2.663 dòlars per infracció no intencionada.
- 7.988 dòlars per infracció intencionada.
- 7.988 dòlars per infracció (triplicat) per infraccions que impliquin informació personal de consumidors menors de 16 anys.
Aquestes xifres s'ajusten periòdicament per la inflació. Les multes s'avaluen per infracció, la qual cosa significa que una única pràctica de dades no compliant que afecti milers de consumidors pot generar una responsabilitat agregada de milions. La CPPA té autoritat independent per iniciar accions d'aplicació sense derivació del Fiscal General [4].
Important: La CPRA va eliminar el període de subsanació de 30 dies que existia sota la CCPA per a la majoria de les infraccions, eliminant una xarxa de seguretat en la qual molts operadors confiaven.
Quins errors comuns cometen els llocs web amb el compliment de la CPRA?
Basant-se en els requisits ampliats, els errors de compliment més freqüents inclouen [3][6]:
- Ignorar els senyals GPC: No detectar i respectar els senyals de desactivació a nivell de navegador és una de les prioritats d'aplicació declarades de la CPPA.
- Falta l'enllaç de desactivació de SPI: Afegir només un enllaç "No vendre" sense l'enllaç separat "Limitar l'ús de SPI" quan es recopila SPI.
- Contractes de proveïdors obsolets: No actualitzar els acords de processament de dades amb els proveïdors de serveis per incloure els termes requerits per la CPRA.
- Sense calendari de retenció de dades: La CPRA requereix que les empreses revelin i compleixin els períodes de retenció; moltes polítiques de privadesa encara ho ometen.
- Assumir que el període de subsanació encara s'aplica: Els operadors que esperen un avís abans de corregir les infraccions poden enfrontar-se a multes immediates.
- Passar per alt el dret a corregir: Construir només fluxos de treball d'eliminació sense la gestió de sol·licituds de correcció.
Les petites empreses tenen requisits diferents de la CPRA?
L'augment del llindar de 50.000 a 100.000 consumidors redueix directament la càrrega de compliment per als operadors de llocs web més petits [7]. Un petit lloc de comerç electrònic o producte SaaS que serveix a menys de 100.000 consumidors de Califòrnia anualment, amb ingressos inferiors a 25 milions de dòlars i sense ingressos per vendes de dades, queda fora de l'abast directe de la CPRA.
No obstant això, les petites empreses han de tenir en compte:
- Si actuen com a proveïdors de serveis per a una empresa coberta, hereten les obligacions contractuals de la CPRA independentment de la seva mida.
- El compliment voluntari és cada vegada més esperat pels clients empresarials i pot ser un diferenciador competitiu.
- Altres estats han promulgat lleis similars, i la legislació federal de privadesa continua en discussió activa a partir de 2026.
Quant costa complir amb la CPRA?
No hi ha un cost de compliment fix, varia significativament segons la complexitat de l'ecosistema de dades d'un lloc web. Els factors de cost generals inclouen:
- Actualització de la política de privadesa: Baix cost si es fa internament; 500$, 3.000$+ si s'utilitza assessorament legal.
- Plataforma de gestió del consentiment: Subscripció SaaS continuada; els preus varien segons el volum de trànsit i el conjunt de funcions.
- Implementació tècnica: Temps de desenvolupador per afegir enllaços de desactivació, detecció de GPC i fluxos de treball de sol·licitud de correcció.
- Revisió de contractes amb proveïdors: Revisió legal dels acords de processament de dades amb tots els processadors de tercers.
- Avaluacions de riscos: Per a processaments d'alt risc, les avaluacions formals poden requerir consultors externs.
Per a la majoria d'operadors de llocs web de mida mitjana, la correcció inicial del compliment oscil·la entre diversos milers de dòlars, amb costos operatius continuats per al manteniment de polítiques i la gestió del consentiment. El cost del no compliment, donades les multes per infracció, supera substancialment la inversió.
Com sé si la CPRA s'aplica als visitants del meu lloc web?
La CPRA s'aplica en funció de la residència del consumidor, no de la ubicació de l'empresa. Si un lloc web té visitants residents a Califòrnia i l'operador compleix qualsevol dels tres llindars empresarials, les obligacions de la CPRA s'apliquen a les dades recollides d'aquests visitants [7][8].
Indicadors pràctics que la CPRA probablement s'aplica:
- El lloc web accepta comandes, registres o orientació publicitària d'usuaris dels EUA sense bloqueig geogràfic de Califòrnia.
- L'empresa utilitza xarxes de publicitat de tercers que realitzen publicitat conductual entre contextos.
- El lloc web recopila qualsevol forma de SPI dels usuaris (qüestionaris de salut, dades financeres, ubicació precisa).
En cas de dubte, la posició conservadora i legalment defensable és tractar tots els visitants del lloc web dels EUA com a potencialment coberts per la CPRA i implementar fluxos de consentiment conformes en conseqüència.
Avaluacions de riscos obligatòries, auditories de ciberseguretat i què ve després
La CPRA requereix que les empreses que realitzen processaments d'alt risc realitzin avaluacions de riscos i auditories de ciberseguretat regulars. Les regulacions que detallen aquests requisits es van finalitzar el 2025 i van entrar en vigor el 2026 [6]. Les activitats d'alt risc inclouen el processament de SPI a gran escala, la creació de perfils de consumidors per a decisions significatives i la venda o compartició de dades amb un gran nombre de tercers.
A més, els requisits de transparència de la presa de decisions automatitzada, que cobreixen la creació de perfils per a l'ocupació, el crèdit, l'habitatge i decisions conseqüents similars, estan programats per entrar en vigor l'1 de gener de 2027 [6]. Els operadors de llocs web que utilitzen motors de recomanació algorítmics, eines de puntuació de crèdit o creació de perfils de comportament haurien de començar a planificar el compliment ara.
Conclusió
Entendre CCPA vs. CPRA: Què va canviar per als operadors de llocs web a Califòrnia? no és opcional per a cap empresa que serveixi residents de Califòrnia a gran escala. La CPRA va introduir noves obligacions substancials, categories de dades sensibles, el dret a corregir, el compliment del senyal GPC, requisits de proveïdors ampliats i una agència d'aplicació dedicada amb autoritat real per imposar multes, que exigeixen respostes operatives concretes, no només actualitzacions de polítiques.
Pròxims passos accionables per als operadors de llocs web el 2026:
- Auditeu les vostres pràctiques actuals de recollida de dades respecte a la llista de categories SPI i afegiu l'enllaç de desactivació requerit si escau.
- Actualitzeu la vostra política de privadesa per reflectir els drets de la CPRA, els calendaris de retenció de dades i la definició ampliada de "venda".
- Implementeu la detecció de senyals GPC, aquesta és una prioritat d'aplicació i no es pot ajornar.
- Reviseu i actualitzeu tots els acords de processament de dades amb proveïdors de serveis i contractistes.
- Construïu un flux de treball de sol·licitud de correcció juntament amb el vostre procés d'eliminació existent.
- Si el vostre lloc realitza processaments d'alt risc, encarregueu una avaluació de riscos formal abans que els reguladors n'iniciïn una per a vosaltres.
- Avalueu una solució de gestió del consentiment com Biscotti CMP (www.biscotti-cmp.com) per automatitzar els fluxos de desactivació, el compliment de GPC i el registre de preferències.
La trajectòria d'aplicació de la CPRA el 2026 fa que el compliment proactiu sigui l'única estratègia racional.
Preguntes freqüents
P: La CPRA és el mateix que la CCPA 2.0? La CPRA s'anomena comunament "CCPA 2.0" perquè va modificar en lloc de substituir la CCPA. Va afegir nous drets, una nova agència d'aplicació i noves categories de dades, tot conservant el marc original de la CCPA.
P: Quan va començar l'aplicació de la CPRA? L'aplicació completa va començar l'1 de juliol de 2023. La CPPA pot imposar multes per infraccions que es produeixin després d'aquesta data sense un període de subsanació previ per a la majoria de les infraccions.
P: La CPRA s'aplica a empreses fora de Califòrnia? Sí. Qualsevol empresa amb ànim de lucre que recopili informació personal de residents de Califòrnia i compleixi els llindars d'aplicabilitat ha de complir, independentment d'on tingui la seu l'empresa.
P: Què és un senyal GPC i per què és important? Un Global Privacy Control (GPC) és una configuració a nivell de navegador que indica la preferència de desactivació d'un consumidor. Sota la CPRA, els operadors de llocs web han de detectar i respectar els senyals GPC com a sol·licituds de desactivació vàlides; ignorar-los és una infracció de compliment.
P: La CPRA s'aplica a les dades dels empleats? Sí. A partir de l'1 de gener de 2023, les exempcions temporals per a dades d'empleats i B2B van expirar. La informació personal dels empleats ara està subjecta a les proteccions completes de la CPRA.
P: Quina és la diferència entre una "venda" i "compartir" sota la CPRA? Sota la CCPA original, la "venda" requeria un intercanvi per valor monetari. La CPRA va ampliar això per incloure "compartir" dades personals amb tercers per a publicitat conductual entre contextos, fins i tot sense pagament directe.
P: Amb quina freqüència s'ha d'actualitzar una política de privadesa sota la CPRA? Com a mínim, una vegada cada 12 mesos. També s'ha d'actualitzar sempre que les pràctiques de dades canviïn materialment.
P: Les organitzacions sense ànim de lucre estan exemptes de la CPRA? Generalment sí, la CPRA s'aplica a les empreses amb ànim de lucre. No obstant això, les organitzacions sense ànim de lucre que actuen com a proveïdors de serveis per a empreses cobertes poden tenir obligacions contractuals de compliment.
P: Què passa si un consumidor presenta una sol·licitud de correcció i l'empresa no hi està d'acord? L'empresa pot denegar la correcció si determina que la informació és precisa, però ha de documentar la decisió i informar el consumidor de la base de la denegació.
P: Hi ha un dret d'acció privada sota la CPRA? Existeix un dret d'acció privada limitat per a les violacions de dades que impliquen certes categories d'informació personal. La majoria de les altres infraccions són aplicades per la CPPA o el Fiscal General, no mitjançant demandes privades.
Comprovador interactiu de compliment de la CPRA
Referències
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai