Respuesta rápida: La Ley de Derechos de Privacidad de California (CPRA) modificó sustancialmente la Ley de Privacidad del Consumidor de California (CCPA) original, introduciendo nuevos derechos del consumidor, una agencia de aplicación dedicada, sanciones más estrictas y una categoría completamente nueva de información personal sensible. Para los operadores de sitios web, CCPA vs. CPRA: ¿Qué cambió para los operadores de sitios web en California? no es una pregunta teórica, se traduce directamente en políticas de privacidad actualizadas, nuevos mecanismos de consentimiento y obligaciones contractuales ampliadas con proveedores externos.
Puntos clave
- La CPRA entró en plena vigencia el 1 de julio de 2023, reemplazando y expandiendo el marco de la CCPA.
- Una nueva categoría de "información personal sensible" (SPI) requiere un enlace de exclusión voluntaria dedicado en los sitios web que recopilan esos datos.
- Los consumidores obtuvieron el derecho a corregir datos personales inexactos, un derecho que no existía bajo la CCPA original.
- El umbral de aplicabilidad aumentó de 50,000 a 100,000 consumidores u hogares, eximiendo a algunos operadores más pequeños.
- "Compartir" datos personales para publicidad conductual entre contextos ahora cuenta como una "venta", lo que requiere mecanismos de exclusión voluntaria.
- Los operadores de sitios web deben respetar las señales de Control de Privacidad Global (GPC) como solicitudes válidas de exclusión voluntaria.
- Las multas administrativas aumentaron a $2,663 por infracción no intencional y $7,988 por infracción intencional a partir del 1 de enero de 2025.
- La Agencia de Protección de la Privacidad de California (CPPA) ahora tiene autoridad de aplicación independiente del Fiscal General.
- Los requisitos de transparencia en la toma de decisiones automatizada entrarán en vigor el 1 de enero de 2027.
- Las evaluaciones de riesgos y las auditorías de ciberseguridad ahora son obligatorias para las actividades de procesamiento de datos de alto riesgo.
¿Cuál es la diferencia entre CCPA y CPRA?
La CCPA, en vigor desde el 1 de enero de 2020, otorgó a los consumidores de California derechos básicos sobre sus datos personales: el derecho a saber, eliminar y optar por no vender su información. La CPRA, aprobada por los votantes de California en noviembre de 2020 y totalmente aplicable a partir del 1 de julio de 2023, no reemplazó la CCPA por completo, sino que la modificó y expandió significativamente [1].
Las diferencias estructurales clave incluyen:
| Característica | CCPA (Original) | CPRA (Modificada) |
|---|---|---|
| Organismo de aplicación | Fiscal General de California | CPPA + Fiscal General |
| Categoría de datos sensibles | No definida | Definida formalmente (SPI) |
| Derecho a corregir | No incluido | Incluido |
| Definición de "venta" | Intercambio de datos por valor | Incluye "compartir" para publicidad |
| Umbral de aplicabilidad | 50,000 consumidores/hogares | 100,000 consumidores/hogares |
| Evaluaciones de riesgos | No requeridas | Requeridas para procesamiento de alto riesgo |
| Cumplimiento de la señal GPC | No obligatorio | Obligatorio |
La consecuencia práctica para los operadores de sitios web es que el cumplimiento de la CPRA vs. CCPA no es simplemente una actualización de papeleo, requiere cambios arquitectónicos en los flujos de consentimiento, las políticas de privacidad y los contratos con proveedores [2].
¿Cuándo entró en vigor la CPRA y reemplazó a la CCPA?
Los derechos y obligaciones sustantivos de la CPRA se aplicaron a los datos recopilados a partir del 1 de enero de 2022, con la aplicación comenzando el 1 de julio de 2023. El período de gracia de un año para la aplicación finalizó en esa fecha, lo que significa que la Agencia de Protección de la Privacidad de California podría comenzar a imponer multas sin previo aviso [4].
Para los operadores de sitios web que aún operan bajo las políticas de la era CCPA a partir de 2026, la exposición es real e inmediata.
¿Qué nuevos derechos tienen los consumidores bajo la CPRA que no estaban en la CCPA?
La CPRA añadió dos derechos del consumidor que estaban ausentes en el marco original de la CCPA:
Derecho a corregir: Los consumidores ahora pueden solicitar a una empresa que corrija la información personal inexacta que tiene sobre ellos. Los operadores de sitios web deben establecer un proceso de solicitud verificable y actuar sobre las solicitudes de corrección dentro de los 44 días [2].
Derecho a limitar el uso de información personal sensible: Los consumidores pueden restringir cómo las empresas utilizan su SPI más allá del propósito para el que se recopiló originalmente. Este derecho requiere un mecanismo de exclusión voluntaria separado y claramente etiquetado en el sitio web [1].
Estas adiciones se suman a los derechos existentes de saber, eliminar, optar por no vender y no discriminación, creando un requisito de cumplimiento más complejo para cualquier sitio que recopile datos de usuario más allá de los análisis básicos.
¿Qué es el derecho a corregir bajo la CPRA?
El derecho a corregir es una de las adiciones más exigentes operativamente en la CPRA. Cuando un consumidor presenta una solicitud de corrección verificada, la empresa debe hacer esfuerzos comercialmente razonables para corregir la información personal inexacta y ordenar a cualquier proveedor de servicios o contratista que recibió esos datos que realice la misma corrección [2].
Para los operadores de sitios web, esto significa:
- Construir un mecanismo de recepción de solicitudes de corrección (formulario web, proceso de correo electrónico o portal de cuenta).
- Documentar la corrección y notificar a los procesadores de datos posteriores.
- Responder dentro de los 45 días, con una extensión de 45 días permitida si es necesario.
Error común: Muchos operadores asumen que el derecho a corregir solo se aplica a los datos del perfil de la cuenta. En la práctica, se extiende a cualquier información personal que la empresa tenga, incluidos los datos de comportamiento, las preferencias inferidas y el historial de compras.
¿Qué nuevas categorías de datos cubre la CPRA que la CCPA no cubría?
La CPRA definió formalmente la "información personal sensible" (SPI) como una categoría de datos distinta y de mayor protección. La CCPA no tenía una clasificación equivalente [1].
La SPI bajo la CPRA incluye:
- Números de Seguro Social e identificaciones emitidas por el gobierno
- Credenciales de cuentas financieras (inicio de sesión más códigos de seguridad)
- Datos de geolocalización precisos
- Origen racial o étnico, creencias religiosas y afiliación sindical
- Contenido de comunicaciones privadas (correo, correo electrónico, texto)
- Datos genéticos y biométricos procesados para identificación
- Información de salud y vida sexual u orientación sexual
Los operadores de sitios web que recopilen cualquiera de estas categorías deben proporcionar un enlace "Limitar el uso de mi información personal sensible", funcionalmente similar al enlace "No vender mi información personal" ya requerido bajo la CCPA [1].
CPRA vs. CCPA: ¿Cuál se aplica a mi negocio?
A partir de 2026, el marco de la CPRA se aplica a las empresas con fines de lucro que operan en California Y cumplen al menos uno de estos umbrales [7]:
- Ingresos brutos anuales que superan los $25 millones.
- Compra, vende, recibe o comparte la información personal de 100,000 o más consumidores u hogares de California por año (aumentado de 50,000 bajo la CCPA).
- Deriva el 50% o más de los ingresos anuales de la venta o el intercambio de información personal de los consumidores.
Elija el cumplimiento de la CPRA si: Su sitio web atiende a residentes de California y cumple con cualquiera de los criterios anteriores. Si anteriormente calificaba bajo el umbral de 50,000 consumidores de la CCPA pero procesa menos de 100,000 registros anualmente, es posible que ya no esté directamente sujeto, aunque las obligaciones contractuales con socios más grandes aún pueden requerir el cumplimiento.
Caso excepcional: Las organizaciones sin fines de lucro y los operadores puramente B2B generalmente están exentos, pero los proveedores de servicios y contratistas de empresas cubiertas tienen sus propias obligaciones de la CPRA [3].
¿Cómo afecta la CPRA la política de privacidad de mi sitio web?
Una política de privacidad compatible con la CCPA ya no es suficiente. La CPRA requiere que los operadores de sitios web actualicen sus políticas de privacidad para reflejar [2][3]:
- La nueva categoría de SPI y el derecho a limitar su uso.
- El derecho a corregir información personal inexacta.
- La definición ampliada de "venta" para incluir "compartir" para publicidad conductual entre contextos.
- Cómo la empresa responde a las señales GPC.
- Períodos de retención de datos para cada categoría de información personal recopilada.
- Si se utiliza la toma de decisiones automatizada y cómo los consumidores pueden optar por no participar.
Las políticas de privacidad deben revisarse al menos una vez cada 12 meses y actualizarse para reflejar las prácticas de datos actuales. Las políticas obsoletas que describen los derechos de la era CCPA sin las adiciones de la CPRA son un desencadenante común de aplicación.
¿Necesito actualizar mis formularios de consentimiento para cumplir con la CPRA?
Sí. Los mecanismos de consentimiento que eran suficientes bajo la CCPA requieren actualizaciones significativas para la CPRA. Específicamente, los operadores de sitios web deben [3][5]:
- Añadir un enlace de exclusión voluntaria "Limitar el uso de mi información personal sensible" si el sitio recopila SPI.
- Respetar las señales del navegador GPC como una exclusión voluntaria válida de venta y uso compartido, esto no puede requerir que el usuario realice pasos adicionales.
- Obtener el consentimiento afirmativo de los consumidores menores de 16 años antes de vender o compartir su información personal.
- Asegurarse de que el consentimiento para la publicidad conductual entre contextos (retargeting, intercambio de audiencia con plataformas publicitarias) se distinga claramente de otros usos de datos.
Una plataforma de gestión de consentimiento puede ayudar a automatizar la detección de GPC y el registro de preferencias. Biscotti CMP (www.biscotti-cmp.com) está diseñada para manejar estos requisitos específicos de la CPRA, incluidos los flujos de exclusión voluntaria de SPI y el cumplimiento de la señal GPC, sin requerir un desarrollo personalizado por parte del operador del sitio web.
¿Cuáles son las sanciones por no cumplir con la CPRA?
A partir del 1 de enero de 2025, las multas administrativas bajo el marco de la CPRA son [5]:
- $2,663 por infracción no intencional.
- $7,988 por infracción intencional.
- $7,988 por infracción (triplicado) por infracciones que involucren información personal de consumidores menores de 16 años.
Estas cifras se ajustan periódicamente por inflación. Las multas se evalúan por infracción, lo que significa que una sola práctica de datos no conforme que afecte a miles de consumidores puede generar una responsabilidad agregada de millones. La CPPA tiene autoridad independiente para iniciar acciones de aplicación sin la remisión del Fiscal General [4].
Importante: La CPRA eliminó el período de subsanación de 30 días que existía bajo la CCPA para la mayoría de las infracciones, eliminando una red de seguridad en la que muchos operadores confiaban.
¿Qué errores comunes cometen los sitios web con el cumplimiento de la CPRA?
Según los requisitos ampliados, las fallas de cumplimiento más frecuentes incluyen [3][6]:
- Ignorar las señales GPC: No detectar y respetar las señales de exclusión voluntaria a nivel de navegador es una de las prioridades de aplicación declaradas de la CPPA.
- Faltar el enlace de exclusión voluntaria de SPI: Añadir solo un enlace "No vender" sin el enlace separado "Limitar el uso de SPI" cuando se recopila SPI.
- Contratos de proveedores obsoletos: No actualizar los acuerdos de procesamiento de datos con los proveedores de servicios para incluir los términos requeridos por la CPRA.
- Sin programa de retención de datos: La CPRA requiere que las empresas divulguen y cumplan con los períodos de retención; muchas políticas de privacidad aún omiten esto.
- Asumir que el período de subsanación aún se aplica: Los operadores que esperan un aviso antes de corregir las infracciones pueden enfrentar multas inmediatas.
- Pasar por alto el derecho a corregir: Construir solo flujos de trabajo de eliminación sin manejar las solicitudes de corrección.
¿Las pequeñas empresas tienen diferentes requisitos de la CPRA?
El aumento del umbral de 50,000 a 100,000 consumidores reduce directamente la carga de cumplimiento para los operadores de sitios web más pequeños [7]. Un pequeño sitio de comercio electrónico o producto SaaS que atiende a menos de 100,000 consumidores de California anualmente, con ingresos inferiores a $25 millones y sin ingresos por ventas de datos, queda fuera del alcance directo de la CPRA.
Sin embargo, las pequeñas empresas deben tener en cuenta:
- Si actúan como proveedores de servicios para una empresa cubierta, heredan las obligaciones contractuales de la CPRA independientemente de su tamaño.
- El cumplimiento voluntario es cada vez más esperado por los clientes empresariales y puede ser un diferenciador competitivo.
- Otros estados han promulgado leyes similares, y la legislación federal de privacidad sigue en discusión activa a partir de 2026.
¿Cuánto cuesta cumplir con la CPRA?
No hay un costo de cumplimiento fijo, varía significativamente según la complejidad del ecosistema de datos de un sitio web. Los factores de costo generales incluyen:
- Actualización de la política de privacidad: Bajo costo si se hace internamente; $500, $3,000+ si se utiliza asesoramiento legal.
- Plataforma de gestión de consentimiento: Suscripción SaaS continua; el precio varía según el volumen de tráfico y el conjunto de características.
- Implementación técnica: Tiempo de desarrollador para agregar enlaces de exclusión voluntaria, detección de GPC y flujos de trabajo de solicitud de corrección.
- Revisión de contratos de proveedores: Revisión legal de acuerdos de procesamiento de datos con todos los procesadores de terceros.
- Evaluaciones de riesgos: Para el procesamiento de alto riesgo, las evaluaciones formales pueden requerir consultores externos.
Para la mayoría de los operadores de sitios web de tamaño mediano, la remediación inicial del cumplimiento oscila entre varios miles de dólares, con costos operativos continuos para el mantenimiento de políticas y la gestión de consentimientos. El costo del incumplimiento, dadas las multas por infracción, supera sustancialmente la inversión.
¿Cómo sé si la CPRA se aplica a los visitantes de mi sitio web?
La CPRA se aplica en función de la residencia del consumidor, no de la ubicación del negocio. Si un sitio web tiene visitantes residentes en California y el operador cumple con cualquiera de los tres umbrales comerciales, las obligaciones de la CPRA se aplican a los datos recopilados de esos visitantes [7][8].
Indicadores prácticos de que la CPRA probablemente se aplica:
- El sitio web acepta pedidos, registros o segmentación de anuncios de usuarios de EE. UU. sin geobloquear California.
- El negocio utiliza redes publicitarias de terceros que participan en publicidad conductual entre contextos.
- El sitio web recopila cualquier forma de SPI de los usuarios (cuestionarios de salud, datos financieros, ubicación precisa).
En caso de duda, la posición conservadora y legalmente defendible es tratar a todos los visitantes del sitio web de EE. UU. como potencialmente cubiertos por la CPRA e implementar flujos de consentimiento conformes en consecuencia.
Evaluaciones de riesgos obligatorias, auditorías de ciberseguridad y lo que viene después
La CPRA requiere que las empresas que realizan procesamiento de alto riesgo realicen evaluaciones de riesgos y auditorías de ciberseguridad periódicas. Las regulaciones que detallan estos requisitos se finalizaron en 2025 y entraron en vigor en 2026 [6]. Las actividades de alto riesgo incluyen el procesamiento de SPI a gran escala, la elaboración de perfiles de consumidores para decisiones significativas y la venta o el intercambio de datos con un gran número de terceros.
Además, los requisitos de transparencia en la toma de decisiones automatizada, que cubren la elaboración de perfiles para el empleo, el crédito, la vivienda y decisiones consecuentes similares, están programados para entrar en vigor el 1 de enero de 2027 [6]. Los operadores de sitios web que utilizan motores de recomendación algorítmicos, herramientas de puntuación de crédito o elaboración de perfiles de comportamiento deben comenzar a planificar el cumplimiento ahora.
Conclusión
Comprender CCPA vs. CPRA: ¿Qué cambió para los operadores de sitios web en California? no es opcional para ninguna empresa que atienda a residentes de California a gran escala. La CPRA introdujo nuevas obligaciones sustantivas, categorías de datos sensibles, el derecho a corregir, el cumplimiento de la señal GPC, requisitos de proveedores ampliados y una agencia de aplicación dedicada con autoridad real para imponer multas, que exigen respuestas operativas concretas, no solo actualizaciones de políticas.
Próximos pasos accionables para los operadores de sitios web en 2026:
- Audite sus prácticas actuales de recopilación de datos con la lista de categorías de SPI y agregue el enlace de exclusión voluntaria requerido si corresponde.
- Actualice su política de privacidad para reflejar los derechos de la CPRA, los programas de retención de datos y la definición ampliada de "venta".
- Implemente la detección de señales GPC, esta es una prioridad de aplicación y no se puede posponer.
- Revise y actualice todos los acuerdos de procesamiento de datos con proveedores de servicios y contratistas.
- Construya un flujo de trabajo de solicitud de corrección junto con su proceso de eliminación existente.
- Si su sitio realiza procesamiento de alto riesgo, encargue una evaluación de riesgos formal antes de que los reguladores inicien una para usted.
- Evalúe una solución de gestión de consentimiento como Biscotti CMP (www.biscotti-cmp.com) para automatizar los flujos de exclusión voluntaria, el cumplimiento de GPC y el registro de preferencias.
La trayectoria de aplicación de la CPRA en 2026 hace que el cumplimiento proactivo sea la única estrategia racional.
Preguntas frecuentes
P: ¿Es la CPRA lo mismo que la CCPA 2.0? La CPRA se conoce comúnmente como "CCPA 2.0" porque modificó en lugar de reemplazar la CCPA. Agregó nuevos derechos, una nueva agencia de aplicación y nuevas categorías de datos, al tiempo que conservó el marco original de la CCPA.
P: ¿Cuándo comenzó la aplicación de la CPRA? La aplicación completa comenzó el 1 de julio de 2023. La CPPA puede imponer multas por infracciones ocurridas después de esa fecha sin un período de subsanación previo para la mayoría de las infracciones.
P: ¿La CPRA se aplica a empresas fuera de California? Sí. Cualquier empresa con fines de lucro que recopile información personal de residentes de California y cumpla con los umbrales de aplicabilidad debe cumplir, independientemente de dónde tenga su sede la empresa.
P: ¿Qué es una señal GPC y por qué es importante? Un Control de Privacidad Global (GPC) es una configuración a nivel de navegador que señala la preferencia de exclusión voluntaria de un consumidor. Bajo la CPRA, los operadores de sitios web deben detectar y respetar las señales GPC como solicitudes válidas de exclusión voluntaria; ignorarlas es una infracción de cumplimiento.
P: ¿La CPRA se aplica a los datos de los empleados? Sí. A partir del 1 de enero de 2023, las exenciones temporales para los datos de empleados y B2B expiraron. La información personal de los empleados ahora está sujeta a las protecciones completas de la CPRA.
P: ¿Cuál es la diferencia entre una "venta" y un "intercambio" bajo la CPRA? Bajo la CCPA original, la "venta" requería un intercambio por valor monetario. La CPRA amplió esto para incluir el "intercambio" de datos personales con terceros para publicidad conductual entre contextos, incluso sin pago directo.
P: ¿Con qué frecuencia debe actualizarse una política de privacidad bajo la CPRA? Como mínimo, una vez cada 12 meses. También debe actualizarse cada vez que las prácticas de datos cambien materialmente.
P: ¿Las organizaciones sin fines de lucro están exentas de la CPRA? Generalmente sí, la CPRA se aplica a empresas con fines de lucro. Sin embargo, las organizaciones sin fines de lucro que actúan como proveedores de servicios para empresas cubiertas pueden tener obligaciones contractuales de cumplimiento.
P: ¿Qué sucede si un consumidor envía una solicitud de corrección y la empresa no está de acuerdo? La empresa puede denegar la corrección si determina que la información es precisa, pero debe documentar la decisión e informar al consumidor de la base de la denegación.
P: ¿Existe un derecho de acción privado bajo la CPRA? Existe un derecho de acción privado limitado para las filtraciones de datos que involucran ciertas categorías de información personal. La mayoría de las otras infracciones son aplicadas por la CPPA o el Fiscal General, no a través de demandas privadas.
Verificador interactivo de cumplimiento de la CPRA
Referencias
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai