Resposta rápida: A Lei de Dereitos de Privacidade de California (CPRA) modificou substancialmente a Lei de Privacidade do Consumidor de California (CCPA) orixinal, introducindo novos dereitos do consumidor, unha axencia de aplicación dedicada, sancións máis estritas e unha categoría completamente nova de información persoal sensible. Para os operadores de sitios web, CCPA vs. CPRA: Que cambiou para os operadores de sitios web en California? non é unha pregunta teórica, tradúcese directamente en políticas de privacidade actualizadas, novos mecanismos de consentimento e obrigas contractuais expandidas con provedores de terceiros.
Puntos clave
- O CPRA entrou en vigor o 1 de xullo de 2023, substituíndo e expandindo o marco do CCPA.
- Unha nova categoría de "información persoal sensible" (SPI) require unha ligazón de exclusión dedicada nos sitios web que recollen eses datos.
- Os consumidores gañaron o dereito a corrixir datos persoais inexactos, un dereito que non existía baixo o CCPA orixinal.
- O limiar de aplicabilidade aumentou de 50.000 a 100.000 consumidores ou fogares, eximindo a algúns operadores máis pequenos.
- A "compartición" de datos persoais para publicidade comportamental entre contextos agora conta como unha "venda", o que require mecanismos de exclusión.
- Os operadores de sitios web deben respectar os sinais de Global Privacy Control (GPC) como solicitudes de exclusión válidas.
- As multas administrativas aumentaron a 2.663 $ por infracción non intencionada e 7.988 $ por infracción intencionada a partir do 1 de xaneiro de 2025.
- A California Privacy Protection Agency (CPPA) agora ten autoridade de aplicación independente separada do Fiscal Xeral.
- Os requisitos de transparencia da toma de decisións automatizada entrarán en vigor o 1 de xaneiro de 2027.
- As avaliacións de riscos e as auditorías de ciberseguridade son agora obrigatorias para as actividades de procesamento de datos de alto risco.
Cal é a diferenza entre CCPA e CPRA?
O CCPA, en vigor o 1 de xaneiro de 2020, outorgou aos consumidores de California dereitos básicos sobre os seus datos persoais: o dereito a saber, eliminar e optar por non vender a súa información. O CPRA, aprobado polos votantes de California en novembro de 2020 e totalmente aplicable a partir do 1 de xullo de 2023, non substituíu o CCPA directamente, senón que o modificou e expandiu significativamente [1].
As principais diferenzas estruturais inclúen:
| Característica | CCPA (Orixinal) | CPRA (Modificado) |
|---|---|---|
| Órgano de aplicación | Fiscal Xeral de California | CPPA + Fiscal Xeral |
| Categoría de datos sensibles | Non definida | Definida formalmente (SPI) |
| Dereito a corrixir | Non incluído | Incluído |
| Definición de "venda" | Intercambio de datos por valor | Inclúe "compartir" para publicidade |
| Limiar de aplicabilidade | 50.000 consumidores/fogares | 100.000 consumidores/fogares |
| Avaliacións de riscos | Non requiridas | Requiridas para o procesamento de alto risco |
| Cumprimento do sinal GPC | Non obrigatorio | Obrigatorio |
A consecuencia práctica para os operadores de sitios web é que o cumprimento de CPRA vs. CCPA non é simplemente unha actualización de papeleo, require cambios arquitectónicos nos fluxos de consentimento, políticas de privacidade e contratos con provedores [2].
Cando entrou en vigor o CPRA e substituíu o CCPA?
Os dereitos e obrigas substantivos do CPRA aplicáronse aos datos recollidos a partir do 1 de xaneiro de 2022, coa aplicación a partir do 1 de xullo de 2023. O período de graza de aplicación dun ano rematou nesa data, o que significa que a California Privacy Protection Agency podería comezar a emitir multas sen previo aviso [4].
Para os operadores de sitios web que aínda operan baixo as políticas da era CCPA a partir de 2026, a exposición é real e inmediata.
Que novos dereitos teñen os consumidores baixo o CPRA que non estaban no CCPA?
O CPRA engadiu dous dereitos do consumidor que estaban ausentes do marco orixinal do CCPA:
Dereito a corrixir: Os consumidores agora poden solicitar que unha empresa corrixa información persoal inexacta que posúe sobre eles. Os operadores de sitios web deben establecer un proceso de solicitude verificable e actuar sobre as solicitudes de corrección nun prazo de 45 días [2].
Dereito a limitar o uso de información persoal sensible: Os consumidores poden restrinxir como as empresas usan a súa SPI máis alá do propósito para o que foi recollida orixinalmente. Este dereito require un mecanismo de exclusión separado e claramente etiquetado no sitio web [1].
Estas adicións únense aos dereitos existentes de saber, eliminar, optar por non vender e non discriminación, creando un requisito de cumprimento máis complexo para calquera sitio que recolla datos do usuario máis alá da análise básica.
Que é o dereito a corrixir baixo o CPRA?
O dereito a corrixir é unha das adicións máis esixentes operacionalmente no CPRA. Cando un consumidor presenta unha solicitude de corrección verificada, a empresa debe facer esforzos comercialmente razoables para corrixir a información persoal inexacta e indicar a calquera provedor de servizos ou contratista que recibiu eses datos que faga a mesma corrección [2].
Para os operadores de sitios web, isto significa:
- Construír un mecanismo de entrada de solicitudes de corrección (formulario web, proceso de correo electrónico ou portal de contas).
- Documentar a corrección e notificar aos procesadores de datos posteriores.
- Responder nun prazo de 45 días, cunha extensión de 45 días permitida se é necesario.
Erro común: Moitos operadores asumen que o dereito a corrixir só se aplica aos datos do perfil da conta. Na práctica, esténdese a calquera información persoal que posúa a empresa, incluídos datos de comportamento, preferencias inferidas e historial de compras.
Que novas categorías de datos cubre o CPRA que o CCPA non cubría?
O CPRA definiu formalmente a "información persoal sensible" (SPI) como unha categoría de datos distinta e de maior protección. O CCPA non tiña unha clasificación equivalente [1].
A SPI baixo o CPRA inclúe:
- Números de seguridade social e identificacións emitidas polo goberno
- Credenciais de contas financeiras (inicio de sesión máis códigos de seguridade)
- Datos de xeolocalización precisos
- Orixe racial ou étnica, crenzas relixiosas e afiliación sindical
- Contidos de comunicacións privadas (correo, correo electrónico, texto)
- Datos xenéticos e biométricos procesados para identificación
- Información de saúde e vida sexual ou orientación sexual
Os operadores de sitios web que recollen calquera destas categorías deben proporcionar unha ligazón "Limitar o uso da miña información persoal sensible", funcionalmente similar á ligazón "Non vender a miña información persoal" xa requirida baixo o CCPA [1].
CPRA vs. CCPA: Cal se aplica ao meu negocio?
A partir de 2026, o marco do CPRA aplícase a empresas con ánimo de lucro que operan en California E cumpren polo menos un destes limiares [7]:
- Ingresos brutos anuais que superan os 25 millóns de dólares.
- Compra, vende, recibe ou comparte a información persoal de 100.000 ou máis consumidores ou fogares de California ao ano (aumentado de 50.000 baixo o CCPA).
- Deriva o 50% ou máis dos ingresos anuais da venda ou compartición de información persoal dos consumidores.
Elixe o cumprimento do CPRA se: O teu sitio web serve a residentes de California e cumpres calquera dos criterios anteriores. Se anteriormente cualificabas baixo o limiar de 50.000 consumidores do CCPA pero procesas menos de 100.000 rexistros anualmente, é posible que xa non esteas directamente suxeito, aínda que as obrigas contractuais con socios máis grandes aínda poidan requirir o cumprimento.
Caso límite: As organizacións sen ánimo de lucro e os operadores puramente B2B están xeralmente exentos, pero os provedores de servizos e contratistas de empresas cubertas teñen as súas propias obrigas do CPRA [3].
Como afecta o CPRA á política de privacidade do meu sitio web?
Unha política de privacidade compatible co CCPA xa non é suficiente. O CPRA require que os operadores de sitios web actualicen as súas políticas de privacidade para reflectir [2][3]:
- A nova categoría SPI e o dereito a limitar o seu uso.
- O dereito a corrixir información persoal inexacta.
- A definición expandida de "venda" para incluír "compartir" para publicidade comportamental entre contextos.
- Como a empresa responde aos sinais GPC.
- Períodos de retención de datos para cada categoría de información persoal recollida.
- Se se utiliza a toma de decisións automatizada e como os consumidores poden optar por non participar.
As políticas de privacidade deben revisarse polo menos unha vez cada 12 meses e actualizarse para reflectir as prácticas de datos actuais. As políticas obsoletas que describen os dereitos da era CCPA sen as adicións do CPRA son un desencadeante común de aplicación.
Necesito actualizar os meus formularios de consentimento para o cumprimento do CPRA?
Si. Os mecanismos de consentimento que eran suficientes baixo o CCPA requiren actualizacións significativas para o CPRA. Especificamente, os operadores de sitios web deben [3][5]:
- Engadir unha ligazón de exclusión "Limitar o uso da miña información persoal sensible" se o sitio recolle SPI.
- Respectar os sinais do navegador GPC como unha exclusión válida de venda e compartición, isto non pode requirir que o usuario realice pasos adicionais.
- Obter o consentimento afirmativo antes de vender ou compartir información persoal de consumidores menores de 16 anos.
- Asegurarse de que o consentimento para a publicidade comportamental entre contextos (retargeting, compartición de audiencia con plataformas publicitarias) se distinga claramente doutros usos de datos.
Unha plataforma de xestión de consentimento pode axudar a automatizar a detección de GPC e o rexistro de preferencias. Biscotti CMP (www.biscotti-cmp.com) está construído para xestionar estes requisitos específicos do CPRA, incluídos os fluxos de exclusión de SPI e o cumprimento do sinal GPC, sen requirir un desenvolvemento personalizado por parte do operador do sitio web.
Cales son as sancións por non cumprir co CPRA?
A partir do 1 de xaneiro de 2025, as multas administrativas baixo o marco do CPRA son [5]:
- 2.663 $ por infracción non intencionada.
- 7.988 $ por infracción intencionada.
- 7.988 $ por infracción (triplicado) por infraccións que impliquen información persoal de consumidores menores de 16 anos.
Estas cifras axústanse periodicamente á inflación. As multas avalíanse por infracción, o que significa que unha única práctica de datos non conforme que afecte a miles de consumidores pode xerar unha responsabilidade agregada de millóns. A CPPA ten autoridade independente para iniciar accións de aplicación sen remisión do Fiscal Xeral [4].
Importante: O CPRA eliminou o período de corrección de 30 días que existía baixo o CCPA para a maioría das infraccións, eliminando unha rede de seguridade na que moitos operadores confiaban.
Que erros cometen habitualmente os sitios web co cumprimento do CPRA?
Baseándose nos requisitos expandidos, os fallos de cumprimento máis frecuentes inclúen [3][6]:
- Ignorar os sinais GPC: Non detectar e respectar os sinais de exclusión a nivel de navegador é unha das prioridades de aplicación declaradas da CPPA.
- Faltar a ligazón de exclusión de SPI: Engadir só unha ligazón "Non vender" sen a ligazón separada "Limitar o uso de SPI" cando se recolle SPI.
- Contratos con provedores obsoletos: Non actualizar os acordos de procesamento de datos con provedores de servizos para incluír os termos requiridos polo CPRA.
- Sen calendario de retención de datos: O CPRA require que as empresas divulguen e cumpran os períodos de retención; moitas políticas de privacidade aínda o omiten.
- Asumir que o período de corrección aínda se aplica: Os operadores que esperan un aviso antes de corrixir as infraccións poden enfrontarse a multas inmediatas.
- Pasar por alto o dereito a corrixir: Construír só fluxos de traballo de eliminación sen xestionar as solicitudes de corrección.
Teñen as pequenas empresas diferentes requisitos de CPRA?
O aumento do limiar de 50.000 a 100.000 consumidores reduce directamente a carga de cumprimento para os operadores de sitios web máis pequenos [7]. Un pequeno sitio de comercio electrónico ou produto SaaS que atende a menos de 100.000 consumidores de California anualmente, con ingresos inferiores a 25 millóns de dólares e sen ingresos por vendas de datos, queda fóra do alcance directo do CPRA.
Non obstante, as pequenas empresas deben ter en conta:
- Se actúan como provedores de servizos para unha empresa cuberta, herdan as obrigas contractuais do CPRA independentemente do seu tamaño.
- O cumprimento voluntario é cada vez máis esperado polos clientes empresariais e pode ser un diferenciador competitivo.
- Outros estados promulgaron leis similares, e a lexislación federal de privacidade segue en discusión activa a partir de 2026.
Canto custa cumprir co CPRA?
Non hai un custo fixo de cumprimento, varía significativamente segundo a complexidade do ecosistema de datos dun sitio web. Os factores de custo xerais inclúen:
- Actualización da política de privacidade: Baixo custo se se fai internamente; 500 $, 3.000 $ ou máis se se utiliza asesoramento legal.
- Plataforma de xestión de consentimento: Subscrición SaaS continua; o prezo varía segundo o volume de tráfico e o conxunto de funcións.
- Implementación técnica: Tempo de desenvolvemento para engadir ligazóns de exclusión, detección de GPC e fluxos de traballo de solicitudes de corrección.
- Revisión de contratos con provedores: Revisión legal dos acordos de procesamento de datos con todos os procesadores de terceiros.
- Avaliacións de riscos: Para o procesamento de alto risco, as avaliacións formais poden requirir consultores externos.
Para a maioría dos operadores de sitios web de tamaño medio, a remediación inicial do cumprimento oscila entre varios miles de dólares, con custos operativos continuos para o mantemento de políticas e a xestión do consentimento. O custo do incumprimento, dadas as multas por infracción, supera substancialmente o investimento.
Como sei se o CPRA se aplica aos visitantes do meu sitio web?
O CPRA aplícase en función da residencia do consumidor, non da localización da empresa. Se un sitio web ten visitantes residentes en California e o operador cumpre calquera dos tres limiares empresariais, as obrigas do CPRA aplícanse aos datos recollidos deses visitantes [7][8].
Indicadores prácticos de que o CPRA probablemente se aplica:
- O sitio web acepta pedidos, rexistros ou segmentación de anuncios de usuarios dos EUA sen xeobloquear California.
- A empresa utiliza redes publicitarias de terceiros que se dedican á publicidade comportamental entre contextos.
- O sitio web recolle calquera forma de SPI dos usuarios (cuestionarios de saúde, datos financeiros, localización precisa).
En caso de dúbida, a posición conservadora e legalmente defendible é tratar a todos os visitantes do sitio web dos EUA como potencialmente cubertos polo CPRA e implementar fluxos de consentimento conformes en consecuencia.
Avaliacións de riscos obrigatorias, auditorías de ciberseguridade e o que vén despois
O CPRA require que as empresas que realizan procesamento de alto risco realicen avaliacións de riscos e auditorías de ciberseguridade regulares. As regulacións que detallan estes requisitos foron finalizadas en 2025 e entraron en vigor en 2026 [6]. As actividades de alto risco inclúen o procesamento de SPI a escala, a elaboración de perfís de consumidores para decisións significativas e a venda ou compartición de datos cun gran número de terceiros.
Ademais, os requisitos de transparencia da toma de decisións automatizada, que abarcan a elaboración de perfís para o emprego, o crédito, a vivenda e decisións consecuentes similares, están programados para entrar en vigor o 1 de xaneiro de 2027 [6]. Os operadores de sitios web que utilizan motores de recomendación algorítmicos, ferramentas de puntuación de crédito ou elaboración de perfís de comportamento deberían comezar a planificar o cumprimento agora.
Conclusión
Comprender CCPA vs. CPRA: Que cambiou para os operadores de sitios web en California? non é opcional para ningunha empresa que atenda a residentes de California a gran escala. O CPRA introduciu novas obrigas substantivas, categorías de datos sensibles, o dereito a corrixir, o cumprimento do sinal GPC, requisitos expandidos para provedores e unha axencia de aplicación dedicada con autoridade real para impor multas, que esixen respostas operativas concretas, non só actualizacións de políticas.
Próximos pasos accionables para os operadores de sitios web en 2026:
- Audita as túas prácticas actuais de recollida de datos en relación coa lista de categorías SPI e engade a ligazón de exclusión requirida se é aplicable.
- Actualiza a túa política de privacidade para reflectir os dereitos do CPRA, os calendarios de retención de datos e a definición expandida de "venda".
- Implementa a detección de sinais GPC, esta é unha prioridade de aplicación e non se pode aprazar.
- Revisa e actualiza todos os acordos de procesamento de datos con provedores de servizos e contratistas.
- Constrúe un fluxo de traballo de solicitudes de corrección xunto co teu proceso de eliminación existente.
- Se o teu sitio realiza procesamento de alto risco, encarga unha avaliación formal de riscos antes de que os reguladores inicien unha para ti.
- Avalía unha solución de xestión de consentimento como Biscotti CMP (www.biscotti-cmp.com) para automatizar os fluxos de exclusión, o cumprimento de GPC e o rexistro de preferencias.
A traxectoria de aplicación do CPRA en 2026 fai que o cumprimento proactivo sexa a única estratexia racional.
Preguntas frecuentes
P: É o CPRA o mesmo que o CCPA 2.0? O CPRA é comunmente chamado "CCPA 2.0" porque modificou en lugar de substituír o CCPA. Engadiu novos dereitos, unha nova axencia de aplicación e novas categorías de datos, mentres que preservou o marco orixinal do CCPA.
P: Cando comezou a aplicación do CPRA? A aplicación completa comezou o 1 de xullo de 2023. A CPPA pode impoñer multas por infraccións ocorridas despois desa data sen un período de corrección previo para a maioría das infraccións.
P: Aplícase o CPRA a empresas fóra de California? Si. Calquera empresa con ánimo de lucro que recolla información persoal de residentes de California e cumpra os limiares de aplicabilidade debe cumprir, independentemente de onde estea a sede da empresa.
P: Que é un sinal GPC e por que é importante? Un Global Privacy Control (GPC) é unha configuración a nivel de navegador que sinala a preferencia de exclusión dun consumidor. Baixo o CPRA, os operadores de sitios web deben detectar e respectar os sinais GPC como solicitudes de exclusión válidas; ignoralos é unha infracción de cumprimento.
P: Aplícase o CPRA aos datos dos empregados? Si. A partir do 1 de xaneiro de 2023, as exencións temporais para os datos dos empregados e B2B caducaron. A información persoal dos empregados está agora suxeita a todas as proteccións do CPRA.
P: Cal é a diferenza entre unha "venda" e unha "compartición" baixo o CPRA? Baixo o CCPA orixinal, a "venda" requiría un intercambio por valor monetario. O CPRA expandiu isto para incluír a "compartición" de datos persoais con terceiros para publicidade comportamental entre contextos, mesmo sen pago directo.
P: Con que frecuencia debe actualizarse unha política de privacidade baixo o CPRA? Como mínimo, unha vez cada 12 meses. Tamén debe actualizarse sempre que as prácticas de datos cambien materialmente.
P: Están exentas as organizacións sen ánimo de lucro do CPRA? Xeralmente si, o CPRA aplícase a empresas con ánimo de lucro. Non obstante, as organizacións sen ánimo de lucro que actúan como provedores de servizos para empresas cubertas poden ter obrigas de cumprimento contractual.
P: Que ocorre se un consumidor presenta unha solicitude de corrección e a empresa non está de acordo? A empresa pode rexeitar a corrección se determina que a información é precisa, pero debe documentar a decisión e informar ao consumidor da base da denegación.
P: Existe un dereito de acción privada baixo o CPRA? Existe un dereito de acción privada limitado para as violacións de datos que impliquen certas categorías de información persoal. A maioría das outras violacións son aplicadas pola CPPA ou o Fiscal Xeral, non a través de demandas privadas.
Comprobador interactivo de cumprimento do CPRA
Referencias
[1] Cpra Explained Changes From Ccpa - https://www.legalbanner.com/blog/cpra-explained-changes-from-ccpa?utm_source=openai
[2] Ccpa Vs Cpra Key Differences - https://kukie.io/blog/ccpa-vs-cpra-key-differences?utm_source=openai
[3] Ccpa Vs Cpra What Changed And How To Comply In 2026 - https://dapripro.com/ccpa-vs-cpra-what-changed-and-how-to-comply-in-2026/?utm_source=openai
[4] Cpra Vs Ccpa - https://transcend.io/blog/cpra-vs-ccpa?utm_source=openai
[5] Ccpa And Cpra Cookie Compliance What Your Website Needs - https://www.clym.io/blog/ccpa-and-cpra-cookie-compliance-what-your-website-needs?utm_source=openai
[6] What Is Ccpa - https://www.recordinglaw.com/us-laws/data-privacy-laws/california-data-privacy-laws/what-is-ccpa/?utm_source=openai
[7] Ccpa Vs Cpra Key Differences And What They Mean For Your Business - https://www.consenteo.com/knowledge-hub/CCPA/ccpa_vs_cpra_key_differences_and_what_they_mean_for_your_business?utm_source=openai
[8] Ccpa Vs Cpra - https://nordlayer.com/learn/ccpa/ccpa-vs-cpra/?utm_source=openai