Si ya ha creado un banner para sus visitantes europeos con nuestra guía del banner de cookies conforme al RGPD, las reglas de California le parecerán parecidas en la superficie y muy distintas en el fondo. Este artículo explica qué exige realmente la California Consumer Privacy Act (modificada por la CPRA) para las cookies, qué debe contener un banner de cookies CCPA y cómo comprobarlo.
¿La CCPA exige un banner de cookies?
No con esas palabras. Ni la ley ni su reglamento usan la expresión «banner de cookies». Lo que sí imponen son cuatro obligaciones que afectan a las cookies en cuanto recogen datos personales, lo que en California incluye identificadores de cookies, direcciones IP e identificadores de dispositivo:
- Aviso en el momento de la recogida («notice at collection», sección 7012 del reglamento): el visitante debe saber, como muy tarde al recoger los datos, qué categorías recoge usted y para qué.
- El derecho a oponerse a la venta y al intercambio (Civil Code 1798.120): si sus rastreadores venden o comparten datos, el visitante debe poder negarse mediante un enlace «Do Not Sell or Share My Personal Information» o el enlace alternativo «Your Privacy Choices».
- Las señales de preferencia (sección 7025): la señal Global Privacy Control que envía el navegador cuenta como solicitud válida de exclusión.
- La simetría de las opciones (sección 7004): decir que no no puede ser más largo ni más difícil que decir que sí.
El banner es simplemente el lugar más práctico para cumplir las cuatro. Por eso las guías estadounidenses hablan de «CCPA cookie banner», aunque la ley no lo haga.
Quién debe cumplirla
La CCPA se aplica a las empresas con ánimo de lucro que operan en California y superan uno de tres umbrales: una facturación anual superior a 26.625.000 dólares (cifra ajustada por la agencia californiana de privacidad, la CPPA, desde enero de 2025), comprar, vender o compartir datos de 100.000 o más consumidores u hogares californianos, u obtener al menos el 50 % de sus ingresos de la venta o el intercambio de datos. Una empresa española con público en Estados Unidos puede quedar incluida por el segundo o el tercer criterio. El texto y los umbrales están resumidos en nuestra página sobre la CCPA y la CPRA.
Cuándo sus cookies «venden» o «comparten» datos
Esta pregunta decide si necesita usted un mecanismo de exclusión. Desde la CPRA, «compartir» (sharing) significa transmitir datos a un tercero para publicidad comportamental entre contextos, haya o no pago. «Vender» (selling) abarca cualquier transmisión a cambio de una «contraprestación de valor», concepto más amplio que un pago en dinero.
En la práctica:
- Los píxeles publicitarios (Meta Pixel, TikTok Pixel, remarketing de Google Ads, LinkedIn Insight Tag) envían la navegación a plataformas que la usan para mostrar anuncios en otros sitios. Es el caso típico de intercambio.
- La analítica a cargo de un proveedor vinculado por un contrato de «service provider» que limita el uso de los datos no suele ser una venta. La misma herramienta configurada para alimentar una red publicitaria puede llegar a serlo.
- Las cookies estrictamente necesarias (sesión, carrito, seguridad) no se venden ni se comparten y no requieren exclusión.
El fiscal general de California lo dejó claro en agosto de 2022 con un acuerdo de 1,2 millones de dólares con Sephora: la empresa permitía que rastreadores de terceros recogieran datos en su web a cambio de servicios de analítica y publicidad, sin informar de que vendía datos y sin respetar Global Privacy Control.
Antes de decidir nada, necesita saber qué se activa realmente en sus páginas. Compruebe en 30 segundos qué cookies instala su sitio con el escáner gratuito y clasifique cada una: necesaria, analítica o publicidad.
Requisitos de la CCPA: qué debe contener el banner
En cuanto algunas cookies venden o comparten datos, el banner de cookies CCPA (o la combinación de banner y enlaces del pie de página) debe cubrir los puntos siguientes.
Un aviso en el momento de la recogida
Una frase en el banner indica que el sitio usa cookies de analítica y publicidad, con un enlace al aviso de recogida o a la sección de la política de privacidad que enumera categorías, finalidades, plazos de conservación y si los datos se venden o comparten. Nuestro artículo sobre el aviso de cookies y la política de cookies explica cómo encajan ambos documentos.
Una forma clara de excluirse
El reglamento permite dos formatos. O bien un enlace «Do Not Sell or Share My Personal Information» (y «Limit the Use of My Sensitive Personal Information» si trata datos sensibles), o bien un único enlace «Your Privacy Choices» con el icono oficial en forma de interruptor. El enlace debe aparecer en el pie de página o en otro lugar visible de cada página. En el propio banner, un botón de exclusión que surta efecto de inmediato cumple la misma función.
Opciones de igual peso
La sección 7004 da ejemplos explícitos de lo que no es simétrico: «Aceptar todo» junto a «Más información», o «Sí» junto a «Preguntar más tarde». Si aceptar cuesta un clic, rechazar debe costar un clic. En marzo de 2025 la CPPA impuso a Honda 632.500 dólares, en parte porque su herramienta de privacidad no presentaba las opciones de forma simétrica. Un ejemplo concreto de banner diseñado al revés: FlowConsent muestra por defecto «Aceptar» y «Rechazar» con el mismo tamaño y color, y las opciones de diseño no pueden romper ese equilibrio.
Ningún obstáculo a la exclusión
Una solicitud de exclusión no requiere verificar la identidad. Pedir un correo electrónico, una cuenta o una prueba de residencia para detener el intercambio por cookies es una infracción. Honda también fue sancionada por pedir demasiados datos, y en mayo de 2025 la marca de ropa Todd Snyder aceptó pagar 345.178 dólares por fallos en sus mecanismos de exclusión y exigencias de verificación excesivas.
El respeto de la señal Global Privacy Control
Es el requisito que más se olvida, por eso tiene su propia sección.
Global Privacy Control: la señal que su banner debe leer
Global Privacy Control (GPC) es un ajuste del navegador que envía la cabecera Sec-GPC: 1 en cada petición y expone navigator.globalPrivacyControl a los scripts. Firefox, Brave y DuckDuckGo lo admiten, y hay extensiones que lo añaden en otros navegadores. Según la sección 7025, una empresa debe tratar esta señal como una solicitud válida de exclusión de la venta y el intercambio para ese navegador, sin pedir confirmación. El reglamento modificado desde enero de 2026 permite mostrar que la señal se ha respetado.
Las sanciones son reales. Tractor Supply recibió en 2025 una multa de 1,35 millones de dólares de la CPPA, en parte por no respetar GPC, y en julio de 2025 el fiscal general anunció un acuerdo de 1,55 millones de dólares con Healthline por exclusiones no aplicadas. El 9 de septiembre de 2025, California, Colorado y Connecticut anunciaron una revisión conjunta de los sitios que ignoran la señal. La presión aumentará: la Opt Me Out Act (AB 566), firmada en octubre de 2025, obliga a los navegadores a ofrecer un ajuste de exclusión a partir del 1 de enero de 2027.
Técnicamente, respetar GPC significa que el script del banner comprueba la señal antes de cargar cualquier etiqueta publicitaria y, si está presente, mantiene esas etiquetas bloqueadas y registra la exclusión.
Banner de cookies CCPA y banner RGPD: dos lógicas opuestas
Ambos modelos parten de principios contrarios, como detalla nuestra comparativa de la CCPA y el RGPD para cookies:
- El RGPD, la directiva ePrivacy y la LSSI exigen un consentimiento previo: las cookies no esenciales permanecen bloqueadas hasta que el visitante acepta. Es el opt-in.
- La CCPA permite las cookies por defecto y exige una forma sencilla de oponerse a su venta o intercambio. Es el opt-out.
Nuestro artículo sobre opt-in y opt-out explica la diferencia con ejemplos. Para un sitio con visitantes europeos y californianos hay dos estrategias válidas. La primera aplica el opt-in en todas partes: más estricto de lo que exige California, pero una sola configuración y ningún error de geolocalización. La segunda geolocaliza, con un banner opt-in para la Unión Europea y el Reino Unido y un banner opt-out para California: maximiza la recogida de datos en Estados Unidos, pero duplica la configuración que hay que probar. Otros estados con leyes generales de privacidad (Colorado, Connecticut, Texas, Oregón, entre otros) siguen también la lógica del opt-out, con variaciones.
Cómo configurar un banner de cookies CCPA, paso a paso
- Inventariar los rastreadores. Escanear el sitio y listar cada cookie y script, su proveedor y su finalidad.
- Clasificarlos. Necesarios, analítica con contrato de proveedor, publicidad o perfilado entre sitios (venta o intercambio).
- Elegir el modelo. Opt-in en todas partes u opt-out geolocalizado para California.
- Redactar el aviso de recogida y enlazarlo desde el banner.
- Añadir la exclusión. Un enlace «Do Not Sell or Share» o «Your Privacy Choices» en el pie de página, y un botón de rechazo en el banner tan visible como el de aceptar.
- Respetar GPC. Bloquear las etiquetas publicitarias cuando la señal esté presente y registrar la exclusión.
- Probar. Activar GPC en Firefox o Brave, cargar el sitio y comprobar en la pestaña de red que no sale ninguna petición publicitaria. Después, sin GPC, hacer clic en el enlace de exclusión y comprobar el mismo resultado. Repetir la prueba tras cada nueva etiqueta.
Para el diseño y los textos, nuestros ejemplos de banners de cookies muestran cómo es un diseño equilibrado.
Errores frecuentes en sitios con público californiano
- Un enlace de exclusión que lleva a un formulario de contacto o a una página de privacidad genérica.
- Un banner con un único botón «Aceptar» y el rechazo escondido tras «Gestionar preferencias».
- Una exclusión registrada que no detiene las etiquetas de Meta Pixel o Google Ads.
- GPC ignorado porque la CMP se configuró solo para el RGPD.
- Pedir un correo electrónico antes de tramitar una exclusión de cookies.
- Una herramienta de cookies que deja de funcionar tras una actualización del sitio, el tipo de fallo que se reprochó a Todd Snyder. Los escaneos periódicos lo detectan.
Cómo gestiona FlowConsent el banner de cookies CCPA
FlowConsent aplica el modelo opt-in a todos los visitantes, californianos incluidos: los scripts de publicidad y analítica permanecen bloqueados hasta que el visitante acepta, «Aceptar» y «Rechazar» tienen el mismo peso y un botón flotante permite cambiar de opinión en cualquier momento. Eso cubre los requisitos de simetría y de ausencia de obstáculos, y los datos de un visitante que nunca acepta nunca se comparten con redes publicitarias. Cada elección se guarda como prueba de consentimiento exportable, y el escaneo automático de cookies ayuda a detectar los nuevos rastreadores tras una actualización. Lo que la documentación no describe hoy es un modo opt-out estadounidense con geolocalización ni una detección automática de GPC: el enlace «Your Privacy Choices» y el tratamiento de GPC quedan a su cargo. Si usted los necesita integrados para un sitio orientado sobre todo a Estados Unidos, nuestra comparativa con Osano es un buen punto de partida. El estilo del banner y el botón para volver a abrirlo se explican en la guía de personalización del banner.