Respuesta Rápida: La Ley de Privacidad del Consumidor de California (CCPA) otorga a los residentes de California el derecho a optar por no participar en la venta o el intercambio de su información personal. A partir del 1 de enero de 2026, las regulaciones enmendadas ahora requieren que las empresas respeten las señales de preferencia de exclusión voluntaria (como Global Privacy Control), confirmen visiblemente que esas señales han sido procesadas y aseguren que los flujos de exclusión voluntaria no sean más complejos que los flujos de inclusión voluntaria. El incumplimiento puede resultar en sanciones civiles de hasta $7,500 por violación intencional.
Puntos Clave
- La CCPA se aplica a empresas con fines de lucro que cumplen con umbrales específicos de ingresos, volumen de datos o venta de datos, no a todas las empresas que operan en California.
- A partir del 1 de enero de 2026, las empresas deben mostrar una confirmación visible cuando se haya reconocido y respetado una señal de preferencia de exclusión voluntaria (como Global Privacy Control). [3]
- Los mecanismos de exclusión voluntaria deben ser tan fáciles de usar como los flujos de inclusión voluntaria; los patrones oscuros que desalientan las exclusiones voluntarias están explícitamente prohibidos bajo las enmiendas de 2026. [7]
- Las empresas tienen 15 días hábiles para atender una solicitud de exclusión voluntaria del consumidor después de su recepción. [2]
- La "información personal" bajo la CCPA es amplia: incluye direcciones IP, historial de navegación, datos de geolocalización, inferencias extraídas del comportamiento del consumidor y más.
- La CCPA y el GDPR operan con modelos de consentimiento fundamentalmente diferentes, exclusión voluntaria frente a inclusión voluntaria, y muchas empresas deben cumplir con ambos simultáneamente.
- No actualizar su política de privacidad para reflejar los derechos de la CCPA es en sí mismo una brecha de cumplimiento, separada de las fallas técnicas de exclusión voluntaria.
- Una plataforma de gestión de consentimiento como Biscotti CMP puede automatizar la detección de señales, la visualización de la confirmación de exclusión voluntaria y el mantenimiento de registros de preferencias.
Qué es la CCPA y por qué es importante para su negocio
La Ley de Privacidad del Consumidor de California es una ley de privacidad a nivel estatal que otorga a los residentes de California derechos específicos sobre cómo las empresas recopilan, usan y venden sus datos personales. Es importante porque California es la quinta economía más grande del mundo, y cualquier negocio que tenga contacto con consumidores de California, independientemente de dónde tenga su sede, puede estar legalmente obligado a cumplir.
La CCPA fue promulgada originalmente en 2018, fortalecida por la Ley de Derechos de Privacidad de California (CPRA) en 2020, y actualizada materialmente de nuevo con regulaciones aprobadas por la Oficina de Derecho Administrativo de California el 22 de septiembre de 2025, con vigencia a partir del 1 de enero de 2026. [1][5] Estas enmiendas de 2026 agregaron nuevas obligaciones en torno a la tecnología de toma de decisiones automatizada (ADMT), las evaluaciones de riesgos y, fundamentalmente para la mayoría de las empresas, el diseño de mecanismos de exclusión voluntaria y los requisitos de confirmación. [1][7]
Comprender la CCPA explicada: cómo gestionar las exclusiones voluntarias para los consumidores de California ya no es opcional para las empresas cubiertas. El piso regulatorio ha subido, y la aplicación ha seguido.
¿Cómo sé si la CCPA se aplica a mi empresa?
La CCPA se aplica a las empresas con fines de lucro que hacen negocios en California y cumplen al menos uno de los siguientes umbrales:
- Ingresos brutos anuales que superen los $25 millones
- Comprar, vender, recibir o compartir anualmente la información personal de 100,000 o más consumidores o hogares de California
- Derivar el 50% o más de los ingresos anuales de la venta o el intercambio de información personal de consumidores de California [4][6]
¿Se aplica la CCPA a las pequeñas empresas con ingresos inferiores a un cierto nivel? Generalmente, no. Si una empresa cae por debajo de los tres umbrales, no es una empresa cubierta por la CCPA. Sin embargo, los proveedores de servicios y contratistas que procesan datos en nombre de empresas cubiertas están sujetos a obligaciones contractuales de la CCPA, incluso si de otro modo no calificarían de forma independiente. [2]
Caso límite: Una pequeña empresa SaaS con menos de $25 millones en ingresos pero una gran base de usuarios de nivel gratuito podría cruzar fácilmente el umbral de datos de 100,000 consumidores sin darse cuenta.
¿Qué se considera información personal bajo la CCPA?
La información personal bajo la CCPA se define ampliamente como cualquier información que identifica, se relaciona con, describe o podría vincularse razonablemente con un consumidor o hogar en particular. Esto va mucho más allá de nombres y direcciones de correo electrónico.
Las categorías cubiertas incluyen:
| Categoría | Ejemplos |
|---|---|
| Identificadores | Nombre, correo electrónico, dirección IP, ID de dispositivo |
| Información comercial | Historial de compras, comportamiento de navegación |
| Datos biométricos | Huellas dactilares, datos de reconocimiento facial |
| Actividad en Internet | Cookies, historial de búsqueda, interacciones en el sitio |
| Geolocalización | Ubicación precisa de dispositivos móviles |
| Inferencias | Perfiles construidos a partir de datos de comportamiento |
| Información personal sensible | Números de Seguro Social, datos de salud, geolocalización precisa |
Las inferencias extraídas de los datos del consumidor para crear perfiles sobre preferencias, características o comportamiento están explícitamente incluidas. [4] Esto es importante para la tecnología publicitaria, el análisis y las tuberías de personalización.
¿Cuál es la diferencia entre la exclusión voluntaria y la inclusión voluntaria de la CCPA?
La CCPA opera bajo un modelo de exclusión voluntaria: las empresas pueden recopilar y usar datos del consumidor por defecto, pero los consumidores tienen derecho a exigir que sus datos no se vendan ni se compartan. El consentimiento de inclusión voluntaria solo se requiere en circunstancias específicas, como cuando se maneja información personal de consumidores menores de 16 años. [4][6]
Esta es la diferencia estructural fundamental con el GDPR, que opera bajo un modelo de inclusión voluntaria que requiere un consentimiento afirmativo antes de que comience la mayoría del procesamiento de datos. Bajo la CCPA, el silencio no es consentimiento, pero tampoco es una barrera para el procesamiento. Bajo el GDPR, el silencio no es consentimiento y el procesamiento no puede comenzar sin él.
Elija la lógica de inclusión voluntaria si: está manejando datos de menores (menores de 16 años) o procesando categorías de información personal sensible que requieren consentimiento explícito bajo la ley de California.
Elija la lógica de exclusión voluntaria si: está manejando datos de consumidores estándar de adultos y es una empresa cubierta por la CCPA.
¿Cómo configuro un enlace de "No vender ni compartir mi información personal"?
Toda empresa cubierta que venda o comparta información personal debe proporcionar un enlace claro y visible titulado "No vender ni compartir mi información personal" en su página de inicio y en su política de privacidad. [4][6]
Configuración paso a paso:
- Audite sus flujos de datos para determinar si su negocio vende o comparte información personal según lo define la CCPA.
- Agregue el enlace requerido al pie de página de su sitio web y al menú de configuración de su aplicación móvil.
- Configure su plataforma de gestión de consentimiento para capturar y registrar las solicitudes de exclusión voluntaria con una marca de tiempo.
- Asegúrese de que el flujo de exclusión voluntaria no requiera más pasos que el flujo de inclusión voluntaria; las regulaciones de 2026 prohíben explícitamente la fricción asimétrica. [7]
- Respete automáticamente las señales de Global Privacy Control (GPC) si su negocio procesa datos basados en el navegador.
- Muestre una confirmación visible de que la exclusión voluntaria ha sido reconocida, por ejemplo, un banner o un estado de alternancia que muestre "Señal de preferencia de exclusión voluntaria respetada". [3]
Una plataforma como Biscotti CMP puede automatizar los pasos 3 a 6, incluida la detección de señales GPC y la visualización de confirmación conforme.
¿Cuánto tiempo tengo para responder a una solicitud de exclusión voluntaria del consumidor?
Las empresas deben atender una solicitud de exclusión voluntaria del consumidor dentro de los 15 días hábiles posteriores a su recepción. [2] Esto es distinto del plazo de respuesta de 45 días que se aplica a otras solicitudes de derechos del consumidor (como acceso o eliminación).
Una vez atendida, la empresa también debe notificar a cualquier tercero al que haya vendido o compartido los datos del consumidor en los 90 días anteriores, indicándoles que dejen de usar esos datos. [6] Esta obligación de notificación descendente se pasa por alto con frecuencia y representa una brecha de cumplimiento común.
¿Puedo seguir usando los datos después de que un cliente opte por no participar?
Después de que un consumidor opta por no participar en la venta o el intercambio, la empresa no puede vender ni compartir la información personal de ese consumidor en el futuro. Sin embargo, la empresa aún puede usar los datos para fines internos que sean consistentes con la relación del consumidor con la empresa. [4]
Específicamente prohibido después de la exclusión voluntaria:
- Vender o compartir los datos con terceros para publicidad conductual entre contextos
- Usar los datos de maneras que sean incompatibles con el contexto en el que se recopilaron
Todavía permitido después de la exclusión voluntaria:
- Cumplir con la transacción o el servicio solicitado por el consumidor
- Análisis interno y prevención de fraudes
- Cumplimiento de obligaciones legales
Error común: Asumir que la exclusión voluntaria significa la eliminación completa de datos. No es así. Los consumidores deben enviar una solicitud de eliminación separada para activar ese derecho.
CCPA vs. GDPR: ¿Cuál debo seguir?
Si su negocio atiende tanto a residentes de California como a residentes de la Unión Europea, es probable que deba cumplir con ambos. La CCPA y el GDPR no son mutuamente excluyentes, y los requisitos de cumplimiento difieren lo suficiente como para que una sola política rara vez satisfaga a ambos.
| Factor | CCPA | GDPR |
|---|---|---|
| Modelo de consentimiento | Exclusión voluntaria (procesamiento predeterminado permitido) | Inclusión voluntaria (consentimiento requerido primero) |
| Ámbito geográfico | Residentes de California | Residentes de la UE/EEE |
| A quién cubre | Empresas con fines de lucro que cumplen umbrales | Cualquier entidad que procese datos de residentes de la UE |
| Sanciones | Hasta $7,500 por violación intencional | Hasta el 4% de la facturación anual global |
| Derecho a la eliminación | Sí | Sí (Derecho al olvido) |
| Portabilidad de datos | Sí | Sí |
La implicación práctica: los banners de consentimiento compatibles con el GDPR no son automáticamente compatibles con la CCPA, porque la CCPA requiere un mecanismo de exclusión voluntaria específico en lugar de una puerta de consentimiento.
¿Qué sucede si no cumplo con los requisitos de la CCPA?
El incumplimiento expone a las empresas a sanciones civiles de hasta $2,500 por violación no intencional y $7,500 por violación intencional, aplicadas por la Agencia de Protección de la Privacidad de California (CPPA). [4][6] Las violaciones que involucran datos de menores se tratan como intencionales por defecto.
Los consumidores también tienen un derecho de acción privado por violaciones de datos resultantes de la falta de una empresa para implementar medidas de seguridad razonables, con daños legales que van desde $100 a $750 por consumidor por incidente. [4]
Las enmiendas de 2026 ampliaron la autoridad de auditoría de la CPPA, lo que significa que las empresas sujetas a requisitos de evaluación de riesgos pueden enfrentar un escrutinio regulatorio proactivo, no solo una aplicación reactiva. [1][7]
¿Necesito actualizar mi política de privacidad para la CCPA?
Sí. Las empresas cubiertas deben mantener una política de privacidad que divulgue, como mínimo:
- Las categorías de información personal recopilada y los fines de la recopilación
- Si la información personal se vende o se comparte, y las categorías de terceros involucrados
- Los derechos del consumidor disponibles bajo la CCPA (exclusión voluntaria, eliminación, acceso, corrección, portabilidad)
- Cómo los consumidores pueden enviar solicitudes para ejercer esos derechos
- El período de retención para cada categoría de información personal [4][6]
Las políticas de privacidad deben actualizarse al menos una vez cada 12 meses. No actualizar la política después de un cambio material en las prácticas de datos, como agregar un nuevo proveedor de análisis, es en sí mismo una violación de cumplimiento.
¿Cómo verifico que la solicitud de exclusión voluntaria de un consumidor es legítima?
Para las solicitudes de exclusión voluntaria específicamente, la CCPA no requiere que las empresas verifiquen la identidad del consumidor que realiza la solicitud. [2] Esto es intencional: requerir la verificación de identidad para las exclusiones voluntarias crearía fricción que socava el derecho.
Sin embargo, las empresas pueden usar medios razonables para confirmar que una solicitud no es fraudulenta, como confirmar la dirección de correo electrónico asociada con la cuenta. El estándar para la verificación de exclusión voluntaria es deliberadamente más bajo que para las solicitudes de eliminación o acceso, donde la verificación de identidad es apropiada porque esas solicitudes implican la divulgación o destrucción de datos.
Caso límite: Si una solicitud de exclusión voluntaria llega a través de una señal automatizada (GPC), no se requiere ni se permite ningún paso de verificación adicional; la señal en sí misma constituye una solicitud válida. [3][7]
¿Cómo funcionan los mecanismos de exclusión voluntaria en las aplicaciones móviles frente a los sitios web?
En los sitios web, los mecanismos de exclusión voluntaria deben incluir el enlace "No vender ni compartir mi información personal" en el pie de página y deben respetar las señales GPC a nivel de navegador. [3][7] En las aplicaciones móviles, los requisitos son funcionalmente equivalentes, pero la implementación difiere:
- Las aplicaciones móviles deben incluir la opción de exclusión voluntaria en el menú de configuración de la aplicación o en la sección de preferencias de privacidad.
- Las aplicaciones distribuidas a través de tiendas de aplicaciones deben cumplir con cualquier requisito de privacidad adicional a nivel de plataforma (como App Tracking Transparency en iOS), pero esos requisitos de plataforma no sustituyen el cumplimiento de la CCPA.
- Las señales automatizadas de los sistemas operativos móviles deben respetarse de la misma manera que las señales GPC basadas en el navegador si la empresa procesa esos datos.
Las regulaciones de 2026 dejan claro que el canal (web vs. aplicación) no cambia la obligación subyacente, solo la implementación técnica difiere.
¿Cuáles son los errores comunes que cometen las empresas con el cumplimiento de la CCPA?
Incluso las empresas bien intencionadas cometen con frecuencia los siguientes errores:
- Tratar la exclusión voluntaria como inclusión voluntaria: Requerir que los consumidores confirmen afirmativamente su exclusión voluntaria a través de múltiples pasos, lo que viola el requisito de simetría en las enmiendas de 2026. [7]
- Ignorar las señales GPC: No configurar su pila tecnológica para detectar y respetar las señales de navegador de Global Privacy Control, que ahora se tratan como solicitudes de exclusión voluntaria válidas. [3]
- No mostrar la confirmación de exclusión voluntaria: Las reglas de 2026 requieren una confirmación visible de que se ha procesado una señal; una entrada de registro en el backend no es suficiente. [3]
- Pasar por alto a los proveedores descendentes: No notificar a los destinatarios de datos de terceros después de recibir una exclusión voluntaria.
- Políticas de privacidad estáticas: No actualizar la política anualmente o después de cambios materiales en las prácticas de datos.
- Confundir proveedores de servicios con terceros: Los proveedores de servicios que procesan datos bajo contrato tienen obligaciones diferentes a las de los terceros que reciben datos para sus propios fines.
Preguntas Frecuentes
¿Se aplica la CCPA a las organizaciones sin fines de lucro? No. La CCPA se aplica solo a empresas con fines de lucro. Las organizaciones sin fines de lucro no son empresas cubiertas, aunque pueden estar sujetas a otros estatutos de privacidad de California.
¿Qué es Global Privacy Control (GPC) y debo respetarlo? GPC es una señal a nivel de navegador que comunica automáticamente la preferencia de exclusión voluntaria de un consumidor. A partir del 1 de enero de 2026, las empresas cubiertas que procesan datos del navegador deben respetar las señales GPC como solicitudes de exclusión voluntaria válidas y mostrar una confirmación de que la señal fue procesada. [3][7]
¿Puede una empresa cobrar un precio diferente a los consumidores que optan por no participar? Generalmente no. La CCPA prohíbe a las empresas discriminar a los consumidores que ejercen sus derechos de privacidad, incluso cobrando precios diferentes, a menos que la diferencia esté razonablemente relacionada con el valor de los datos del consumidor. [4]
¿Cuánto tiempo deben conservarse los registros de exclusión voluntaria? La CCPA no especifica un período de retención universal para los registros de exclusión voluntaria, pero las empresas deben conservar los registros el tiempo suficiente para demostrar el cumplimiento en caso de una auditoría o acción de cumplimiento, generalmente al menos 24 meses se considera una base razonable. [6]
¿Un banner de cookies satisface los requisitos de exclusión voluntaria de la CCPA? Un banner de cookies por sí solo no es suficiente. La CCPA requiere un enlace dedicado de "No vender ni compartir mi información personal", y las enmiendas de 2026 requieren que las empresas respeten y confirmen las señales GPC independientemente de cualquier interacción de consentimiento de cookies. [3][7]
¿Cuál es la diferencia entre una "venta" y un "intercambio" bajo la CCPA? La "venta" implica el intercambio de información personal por una contraprestación monetaria. El "intercambio" cubre la divulgación de información personal para publicidad conductual entre contextos, incluso sin pago. Ambos activan los derechos de exclusión voluntaria. [4]
¿Necesito mecanismos de exclusión voluntaria separados para cada categoría de datos? No. Un único mecanismo de exclusión voluntaria que cubra la venta y el intercambio es suficiente, aunque las empresas deben describir claramente en su política de privacidad qué categorías de datos están cubiertas.
¿Qué es una evaluación de riesgos según las enmiendas de la CCPA de 2026? Las empresas que procesan información personal de maneras que presentan riesgos significativos para la privacidad, incluido el uso de tecnología de toma de decisiones automatizada, deben realizar y documentar evaluaciones de riesgos antes de comenzar ese procesamiento. [1][7]
Conclusión
La CCPA explicada: cómo gestionar las exclusiones voluntarias para los consumidores de California es un objetivo en constante evolución, y las enmiendas de 2026 han elevado considerablemente el listón. Las obligaciones principales, proporcionar un mecanismo de exclusión voluntaria claro, atender las solicitudes de los consumidores en un plazo de 15 días hábiles y actualizar su política de privacidad, siguen siendo fundamentales. Pero los nuevos requisitos en torno a la confirmación de señales GPC, la prohibición de patrones oscuros y las evaluaciones de riesgos de ADMT exigen un enfoque más sistemático de lo que puede proporcionar un enlace estático en el pie de página.
Próximos pasos accionables para las empresas cubiertas:
- Audite su flujo actual de exclusión voluntaria en comparación con el requisito de simetría de 2026: cuente los pasos para optar por no participar y compárelos con los pasos para optar por participar.
- Verifique que su sitio web y aplicación móvil detecten y respeten las señales de Global Privacy Control, y que se muestre un mensaje de confirmación visible cuando se reciba una señal.
- Revise su lista de proveedores externos y confirme que existen procedimientos de notificación descendente para los flujos de datos posteriores a la exclusión voluntaria.
- Actualice su política de privacidad para reflejar las prácticas de datos actuales, los períodos de retención y la lista completa de derechos del consumidor.
- Evalúe una plataforma de gestión de consentimiento como Biscotti CMP para automatizar la detección de señales, la confirmación de exclusión voluntaria y el mantenimiento de registros de preferencias en canales web y móviles.
El cumplimiento no es un proyecto único. La CPPA ha demostrado su voluntad de emitir orientación y buscar la aplicación, y el entorno regulatorio seguirá evolucionando. Construir procesos repetibles y auditables ahora es la posición más defendible que puede adoptar una empresa cubierta.
Referencias
[1] Navigating New Obligations Under The CCPA Updated Regulations - https://www.lw.com/en/insights/navigating-new-obligations-under-the-ccpa-updated-regulations
[2] Navigating California Consumer Privacy Act 30 Essential FAQs Covered Businesses Including Clarifying Regulations Effective 1/1/26 - https://www.jacksonlewis.com/insights/navigating-california-consumer-privacy-act-30-essential-faqs-covered-businesses-including-clarifying-regulations-effective-1126
[3] Show Me That You've Opted Me Out: New CCPA Rules Require Businesses To Prove Compliance - https://www.nelsonmullins.com/insights/alerts/fcc-download/all/show-me-that-you-ve-opted-me-out-new-ccpa-rules-require-businesses-to-prove-compliance
[4] CCPA Statute Effective 2026-01-01 - https://cppa.ca.gov/regulations/pdf/ccpa_statute_eff_20260101.pdf
[5] CCPA Updates - https://cppa.ca.gov/regulations/ccpa_updates.html
[6] CCPA Requirements 2026: Complete Compliance Guide - https://secureprivacy.ai/blog/ccpa-requirements-2026-complete-compliance-guide
[7] CCPA 2026: Navigating The Expanded Consumer Privacy Compliance Requirements For Businesses - https://www.lathropgpm.com/insights/ccpa-2026-navigating-the-expanded-consumer-privacy-compliance-requirements-for-businesses/
[8] CCPA in 2026: What's Changing in Consent, Consumer Rights, and AI Governance - https://www.onetrust.com/blog/ccpa-in-2026-whats-changing-in-consent-consumer-rights-and-ai-governance/
[9] New CCPA 2026 Regulations: Your Complete Compliance Action Guide - https://captaincompliance.com/education/new-ccpa-2026-regulations-your-complete-compliance-action-guide/
[10] CPPA Regulations - https://cppa.ca.gov/regulations/