Resposta rápida: A California Consumer Privacy Act (CCPA) outorga aos residentes de California o dereito a optar por non vender ou compartir a súa información persoal. A partir do 1 de xaneiro de 2026, as regulacións modificadas agora requiren que as empresas respecten os sinais de preferencia de exclusión (como o Global Privacy Control), confirmen visiblemente que eses sinais foron procesados e aseguren que os fluxos de exclusión non sexan máis complexos que os fluxos de inclusión. O incumprimento pode resultar en sancións civís de ata 7.500 $ por infracción intencionada.
Puntos clave
- A CCPA aplícase a empresas con ánimo de lucro que cumpran limiares específicos de ingresos, volume de datos ou venda de datos, non a todas as empresas que operan en California.
- A partir do 1 de xaneiro de 2026, as empresas deben mostrar unha confirmación visible cando se recoñeceu e respectou un sinal de preferencia de exclusión (como o Global Privacy Control). [3]
- Os mecanismos de exclusión deben ser tan fáciles de usar como os fluxos de inclusión; os patróns escuros que desincentivan as exclusións están explicitamente prohibidos polas emendas de 2026. [7]
- As empresas teñen 15 días hábiles para atender unha solicitude de exclusión do consumidor despois da recepción. [2]
- A "información persoal" baixo a CCPA é ampla: inclúe enderezos IP, historial de navegación, datos de xeolocalización, inferencias extraídas do comportamento do consumidor e moito máis.
- A CCPA e o GDPR operan con modelos de consentimento fundamentalmente diferentes, exclusión fronte a inclusión, e moitas empresas deben cumprir ambos simultaneamente.
- Non actualizar a súa política de privacidade para reflectir os dereitos da CCPA é en si mesmo unha lagoa de cumprimento, separada dos fallos técnicos de exclusión.
- Unha plataforma de xestión de consentimento como Biscotti CMP pode automatizar a detección de sinais, a visualización da confirmación de exclusión e o rexistro de preferencias.
Que é a CCPA e por que é importante para a súa empresa
A California Consumer Privacy Act é unha lei de privacidade a nivel estatal que outorga aos residentes de California dereitos específicos sobre como as empresas recollen, usan e venden os seus datos persoais. É importante porque California é a quinta economía máis grande do mundo, e calquera empresa que teña contacto con consumidores de California, independentemente de onde estea a sede da empresa, pode estar legalmente obrigada a cumprir.
A CCPA foi promulgada orixinalmente en 2018, reforzada pola California Privacy Rights Act (CPRA) en 2020, e actualizada materialmente de novo con regulamentos aprobados pola California Office of Administrative Law o 22 de setembro de 2025, con vixencia a partir do 1 de xaneiro de 2026. [1][5] Estas emendas de 2026 engadiron novas obrigas en torno á tecnoloxía de toma de decisións automatizada (ADMT), avaliacións de riscos e, fundamentalmente para a maioría das empresas, o deseño de mecanismos de exclusión e os requisitos de confirmación. [1][7]
Comprender a CCPA explicada: como xestionar as opcións de exclusión para os consumidores de California xa non é opcional para as empresas cubertas. O nivel regulatorio aumentou e a aplicación seguiu.
Como sei se a CCPA se aplica á miña empresa
A CCPA aplícase a empresas con ánimo de lucro que fan negocios en California e cumpren polo menos un dos seguintes limiares:
- Ingresos brutos anuais que superan os 25 millóns de dólares
- Comprar, vender, recibir ou compartir anualmente a información persoal de 100.000 ou máis consumidores ou fogares de California
- Derivar o 50% ou máis dos ingresos anuais da venda ou compartición da información persoal dos consumidores de California [4][6]
A CCPA aplícase a pequenas empresas por debaixo dun determinado ingreso? Xeralmente, non. Se unha empresa está por debaixo dos tres limiares, non é unha empresa cuberta pola CCPA. Non obstante, os provedores de servizos e contratistas que procesan datos en nome de empresas cubertas están suxeitos a obrigas contractuais da CCPA aínda que non cualificarían doutro xeito de forma independente. [2]
Caso límite: unha pequena empresa SaaS con menos de 25 millóns de dólares en ingresos pero unha gran base de usuarios de nivel gratuíto podería cruzar facilmente o limiar de datos de 100.000 consumidores sen decatarse.
Que se considera información persoal baixo a CCPA
A información persoal baixo a CCPA defínese amplamente como calquera información que identifique, se relacione, describa ou poida vincularse razoablemente a un consumidor ou fogar en particular. Isto vai moito máis alá dos nomes e enderezos de correo electrónico.
As categorías cubertas inclúen:
| Categoría | Exemplos |
|---|---|
| Identificadores | Nome, correo electrónico, enderezo IP, ID do dispositivo |
| Información comercial | Historial de compras, comportamento de navegación |
| Datos biométricos | Pegadas dixitais, datos de recoñecemento facial |
| Actividade en Internet | Cookies, historial de busca, interaccións do sitio |
| Xeolocalización | Localización precisa de dispositivos móbiles |
| Inferencias | Perfís construídos a partir de datos de comportamento |
| Información persoal sensible | Números de seguridade social, datos de saúde, xeolocalización precisa |
As inferencias extraídas de datos de consumidores para crear perfís sobre preferencias, características ou comportamento están explicitamente incluídas. [4] Isto é importante para as canles de tecnoloxía publicitaria, analítica e personalización.
Cal é a diferenza entre a exclusión e a inclusión da CCPA
A CCPA opera cun modelo de exclusión: as empresas poden recoller e usar datos de consumidores por defecto, pero os consumidores teñen dereito a esixir que os seus datos non sexan vendidos ou compartidos. O consentimento de inclusión só se require en circunstancias específicas, como cando se manexa información persoal de consumidores menores de 16 anos. [4][6]
Esta é a diferenza estrutural fundamental co GDPR, que opera cun modelo de inclusión que require o consentimento afirmativo antes de que comece a maioría do procesamento de datos. Baixo a CCPA, o silencio non é consentimento, pero tampouco é un impedimento para o procesamento. Baixo o GDPR, o silencio non é consentimento e o procesamento non pode comezar sen el.
Escolla a lóxica de inclusión se: está a manexar datos de menores (menores de 16 anos) ou a procesar categorías de información persoal sensible que requiren o consentimento explícito segundo a lei de California.
Escolla a lóxica de exclusión se: está a manexar datos de consumidores estándar de adultos e é unha empresa cuberta pola CCPA.
Como configuro unha ligazón "Non vender nin compartir a miña información persoal"
Toda empresa cuberta que venda ou comparta información persoal debe proporcionar unha ligazón clara e visible titulada "Non vender nin compartir a miña información persoal" na súa páxina de inicio e na súa política de privacidade. [4][6]
Configuración paso a paso:
- Audite os seus fluxos de datos para determinar se a súa empresa vende ou comparte información persoal tal e como se define na CCPA.
- Engada a ligazón requirida ao pé de páxina do seu sitio web e ao menú de configuración da aplicación móbil.
- Configure a súa plataforma de xestión de consentimento para capturar e rexistrar as solicitudes de exclusión.
- Asegúrese de que o fluxo de exclusión non requira máis pasos que o fluxo de inclusión; as regulacións de 2026 prohiben explicitamente a fricción asimétrica. [7]
- Respecte os sinais de Global Privacy Control (GPC) automaticamente se a súa empresa procesa datos baseados no navegador.
- Mostre unha confirmación visible de que a exclusión foi recoñecida, por exemplo, un banner ou un estado de alternancia que mostre "Sinal de preferencia de exclusión respectado". [3]
Unha plataforma como Biscotti CMP pode automatizar os pasos 3 a 6, incluíndo a detección de sinais GPC e a visualización de confirmación conforme.
Canto tempo teño para responder a unha solicitude de exclusión do consumidor
As empresas deben atender unha solicitude de exclusión do consumidor dentro dos 15 días hábiles seguintes á súa recepción. [2] Isto é distinto da xanela de resposta de 45 días que se aplica a outras solicitudes de dereitos do consumidor (como acceso ou eliminación).
Unha vez atendida, a empresa tamén debe notificar a calquera terceiro ao que vendeu ou compartiu os datos do consumidor nos 90 días anteriores, indicándolles que deixen de usar eses datos. [6] Esta obriga de notificación descendente adoita pasarse por alto e representa unha lagoa de cumprimento común.
Podo seguir usando datos despois de que un cliente se exclúa
Despois de que un consumidor se exclúa da venda ou compartición, a empresa non poderá vender nin compartir a información persoal dese consumidor no futuro. Non obstante, a empresa aínda pode usar os datos para fins internos que sexan coherentes coa relación do consumidor coa empresa. [4]
Especificamente prohibido despois da exclusión:
- Vender ou compartir os datos con terceiros para publicidade comportamental entre contextos
- Usar os datos de formas que sexan incompatibles co contexto no que se recolleron
Aínda permitido despois da exclusión:
- Cumprir a transacción ou o servizo solicitado polo consumidor
- Análise interna e prevención de fraudes
- Cumprimento das obrigas legais
Erro común: Asumir que a exclusión significa a eliminación completa dos datos. Non é así. Os consumidores deben presentar unha solicitude de eliminación separada para activar ese dereito.
CCPA vs. GDPR: cal debo seguir
Se a súa empresa atende tanto a residentes de California como a residentes da Unión Europea, é probable que deba cumprir ambos. A CCPA e o GDPR non son mutuamente excluíntes, e os requisitos de cumprimento difiren o suficiente como para que unha única política rara vez satisfaga ambos.
| Factor | CCPA | GDPR |
|---|---|---|
| Modelo de consentimento | Exclusión (procesamento predeterminado permitido) | Inclusión (consentimento requirido primeiro) |
| Ámbito xeográfico | Residentes de California | Residentes da UE/EEE |
| A quen cobre | Empresas con ánimo de lucro que cumpren limiares | Calquera entidade que procese datos de residentes da UE |
| Sancións | Ata 7.500 $ por infracción intencionada | Ata o 4% da facturación anual global |
| Dereito á eliminación | Si | Si (Dereito ao esquecemento) |
| Portabilidade de datos | Si | Si |
A implicación práctica: os banners de consentimento conformes co GDPR non son automaticamente conformes coa CCPA, porque a CCPA require un mecanismo de exclusión específico en lugar dunha porta de consentimento.
Que ocorre se non cumpro os requisitos da CCPA
O incumprimento expón ás empresas a sancións civís de ata 2.500 $ por infracción non intencionada e 7.500 $ por infracción intencionada, aplicadas pola California Privacy Protection Agency (CPPA). [4][6] As infraccións que implican datos de menores trátanse como intencionadas por defecto.
Os consumidores tamén teñen un dereito de acción privada por violacións de datos resultantes da falta de implementación de medidas de seguridade razoables por parte dunha empresa, con danos estatutarios que van desde 100 $ a 750 $ por consumidor por incidente. [4]
As emendas de 2026 expandiron a autoridade de auditoría da CPPA, o que significa que as empresas suxeitas a requisitos de avaliación de riscos poden enfrontarse a un escrutinio regulatorio proactivo, non só a unha aplicación reactiva. [1][7]
Necesito actualizar a miña política de privacidade para a CCPA
Si. As empresas cubertas deben manter unha política de privacidade que divulgue, como mínimo:
- As categorías de información persoal recollida e os fins da recollida
- Se a información persoal se vende ou comparte, e as categorías de terceiros implicados
- Os dereitos do consumidor dispoñibles baixo a CCPA (exclusión, eliminación, acceso, corrección, portabilidade)
- Como os consumidores poden presentar solicitudes para exercer eses dereitos
- O período de retención para cada categoría de información persoal [4][6]
As políticas de privacidade deben actualizarse polo menos unha vez cada 12 meses. Non actualizar a política despois dun cambio material nas prácticas de datos, como engadir un novo provedor de análises, é en si mesmo unha violación de cumprimento.
Como verifico que a solicitude de exclusión dun consumidor é lexítima
Para as solicitudes de exclusión especificamente, a CCPA non require que as empresas verifiquen a identidade do consumidor que fai a solicitude. [2] Isto é intencionado: requirir a verificación de identidade para as exclusións crearía fricción que socavaría o dereito.
Non obstante, as empresas poden usar medios razoables para confirmar que unha solicitude non é fraudulenta, como confirmar o enderezo de correo electrónico asociado á conta. O estándar para a verificación de exclusión é deliberadamente máis baixo que para as solicitudes de eliminación ou acceso, onde a verificación de identidade é apropiada porque esas solicitudes implican a divulgación ou destrución de datos.
Caso límite: Se unha solicitude de exclusión chega a través dun sinal automatizado (GPC), non se require nin se permite ningún paso de verificación adicional; o propio sinal constitúe unha solicitude válida. [3][7]
Como funcionan os mecanismos de exclusión nas aplicacións móbiles fronte aos sitios web
Nos sitios web, os mecanismos de exclusión deben incluír a ligazón "Non vender nin compartir a miña información persoal" no pé de páxina e deben respectar os sinais GPC a nivel de navegador. [3][7] Nas aplicacións móbiles, os requisitos son funcionalmente equivalentes pero a implementación difire:
- As aplicacións móbiles deben incluír a opción de exclusión no menú de configuración da aplicación ou na sección de preferencias de privacidade.
- As aplicacións distribuídas a través de tendas de aplicacións deben cumprir calquera requisito de privacidade adicional a nivel de plataforma (como App Tracking Transparency en iOS), pero eses requisitos de plataforma non substitúen o cumprimento da CCPA.
- Os sinais automatizados dos sistemas operativos móbiles deben ser respectados do mesmo xeito que os sinais GPC baseados no navegador se a empresa procesa eses datos.
As regulacións de 2026 deixan claro que a canle (web vs. aplicación) non cambia a obriga subxacente, só difire a implementación técnica.
Cales son os erros comúns que cometen as empresas co cumprimento da CCPA
Mesmo as empresas ben intencionadas adoitan cometer os seguintes erros:
- Tratar a exclusión como inclusión: Requirir que os consumidores confirmen afirmativamente a súa exclusión a través de múltiples pasos, o que viola o requisito de simetría nas emendas de 2026. [7]
- Ignorar os sinais GPC: Non configurar a súa pila tecnolóxica para detectar e respectar os sinais do navegador Global Privacy Control, que agora se tratan como solicitudes de exclusión válidas. [3]
- Non mostrar a confirmación de exclusión: As regras de 2026 requiren unha confirmación visible de que se procesou un sinal; unha entrada de rexistro de backend non é suficiente. [3]
- Pasar por alto os provedores descendentes: Non notificar aos receptores de datos de terceiros despois de recibir unha exclusión.
- Políticas de privacidade estáticas: Non actualizar a política anualmente ou despois de cambios materiais nas prácticas de datos.
- Confundir provedores de servizos con terceiros: Os provedores de servizos que procesan datos baixo contrato teñen obrigas diferentes ás dos terceiros que reciben datos para os seus propios fins.
Preguntas frecuentes
A CCPA aplícase ás organizacións sen ánimo de lucro? Non. A CCPA aplícase só a empresas con ánimo de lucro. As organizacións sen ánimo de lucro non son empresas cubertas, aínda que poden estar suxeitas a outras leis de privacidade de California.
Que é o Global Privacy Control (GPC) e debo respectalo? GPC é un sinal a nivel de navegador que comunica automaticamente a preferencia de exclusión dun consumidor. A partir do 1 de xaneiro de 2026, as empresas cubertas que procesan datos do navegador deben respectar os sinais GPC como solicitudes de exclusión válidas e mostrar unha confirmación de que o sinal foi procesado. [3][7]
Pode unha empresa cobrar un prezo diferente aos consumidores que se exclúen? Xeralmente non. A CCPA prohibe ás empresas discriminar aos consumidores que exercen os seus dereitos de privacidade, incluíndo o cobro de prezos diferentes, a menos que a diferenza estea razoablemente relacionada co valor dos datos do consumidor. [4]
Canto tempo deben conservarse os rexistros de exclusión? A CCPA non especifica un período de retención universal para os rexistros de exclusión, pero as empresas deben conservar os rexistros o tempo suficiente para demostrar o cumprimento en caso de auditoría ou acción de aplicación, normalmente polo menos 24 meses considérase unha base razoable. [6]
Un banner de cookies satisfai os requisitos de exclusión da CCPA? Un banner de cookies por si só non é suficiente. A CCPA require unha ligazón dedicada "Non vender nin compartir a miña información persoal", e as emendas de 2026 requiren que as empresas respecten e confirmen os sinais GPC independentemente de calquera interacción de consentimento de cookies. [3][7]
Cal é a diferenza entre unha "venda" e unha "compartición" baixo a CCPA? A "venda" implica o intercambio de información persoal por consideración monetaria. A "compartición" abarca a divulgación de información persoal para publicidade comportamental entre contextos, mesmo sen pago. Ambos activan os dereitos de exclusión. [4]
Necesito mecanismos de exclusión separados para cada categoría de datos? Non. Un único mecanismo de exclusión que cubra a venda e a compartición é suficiente, aínda que as empresas deben describir claramente na súa política de privacidade que categorías de datos están cubertas.
Que é unha avaliación de riscos baixo as emendas da CCPA de 2026? As empresas que procesan información persoal de formas que presentan riscos significativos para a privacidade, incluído o uso de tecnoloxía de toma de decisións automatizada, deben realizar e documentar avaliacións de riscos antes de comezar ese procesamento. [1][7]
Conclusión
A CCPA explicada: como xestionar as opcións de exclusión para os consumidores de California é un obxectivo en movemento, e as emendas de 2026 elevaron o listón considerablemente. As obrigas fundamentais, proporcionar un mecanismo de exclusión claro, atender as solicitudes dos consumidores dentro dos 15 días hábiles e actualizar a súa política de privacidade, seguen sendo fundamentais. Pero os novos requisitos en torno á confirmación de sinais GPC, a prohibición de patróns escuros e as avaliacións de riscos de ADMT esixen un enfoque máis sistemático do que pode proporcionar unha ligazón de pé de páxina estática.
Próximos pasos accionables para as empresas cubertas:
- Audite o seu fluxo de exclusión actual fronte ao requisito de simetría de 2026: conte os pasos para excluírse e compáreos cos pasos para incluírse.
- Verifique que o seu sitio web e a súa aplicación móbil detectan e respectan os sinais de Global Privacy Control, e que se mostra unha mensaxe de confirmación visible cando se recibe un sinal.
- Revise a súa lista de provedores de terceiros e confirme que existen procedementos de notificación descendente para os fluxos de datos posteriores á exclusión.
- Actualice a súa política de privacidade para reflectir as prácticas de datos actuais, os períodos de retención e a lista completa de dereitos do consumidor.
- Avalíe unha plataforma de xestión de consentimento como Biscotti CMP para automatizar a detección de sinais, a confirmación de exclusión e o rexistro de preferencias en canles web e móbiles.
O cumprimento non é un proxecto único. A CPPA demostrou a súa vontade de emitir orientacións e buscar a aplicación, e o ambiente regulatorio seguirá evolucionando. Construír procesos repetibles e auditables agora é a posición máis defendible que pode adoptar unha empresa cuberta.
Referencias
[1] Navigating New Obligations Under The CCPA Updated Regulations - https://www.lw.com/en/insights/navigating-new-obligations-under-the-ccpa-updated-regulations
[2] Navigating California Consumer Privacy Act 30 Essential FAQs Covered Businesses Including Clarifying Regulations Effective 1/1/26 - https://www.jacksonlewis.com/insights/navigating-california-consumer-privacy-act-30-essential-faqs-covered-businesses-including-clarifying-regulations-effective-1126
[3] Show Me That You've Opted Me Out: New CCPA Rules Require Businesses To Prove Compliance - https://www.nelsonmullins.com/insights/alerts/fcc-download/all/show-me-that-you-ve-opted-me-out-new-ccpa-rules-require-businesses-to-prove-compliance
[4] CCPA Statute Effective 2026-01-01 - https://cppa.ca.gov/regulations/pdf/ccpa_statute_eff_20260101.pdf
[5] CCPA Updates - https://cppa.ca.gov/regulations/ccpa_updates.html
[6] CCPA Requirements 2026: Complete Compliance Guide - https://secureprivacy.ai/blog/ccpa-requirements-2026-complete-compliance-guide
[7] CCPA 2026: Navigating The Expanded Consumer Privacy Compliance Requirements For Businesses - https://www.lathropgpm.com/insights/ccpa-2026-navigating-the-expanded-consumer-privacy-compliance-requirements-for-businesses/
[8] CCPA in 2026: What's Changing in Consent, Consumer Rights, and AI Governance - https://www.onetrust.com/blog/ccpa-in-2026-whats-changing-in-consent-consumer-rights-and-ai-governance/
[9] New CCPA 2026 Regulations: Your Complete Compliance Action Guide - https://captaincompliance.com/education/new-ccpa-2026-regulations-your-complete-compliance-action-guide/
[10] CPPA Regulations - https://cppa.ca.gov/regulations/