En resumen
El RGPD y la CCPA son los dos grandes marcos normativos que regulan la gestión de cookies en los sitios web, pero funcionan de forma radicalmente distinta. El RGPD (Europa) exige un consentimiento explícito antes de instalar cualquier cookie no esencial (opt-in). La CCPA/CPRA (California) permite instalar cookies por defecto, pero exige un mecanismo de exclusión (opt-out) para la venta o el intercambio de datos personales. Un sitio web dirigido a usuarios de ambas regiones debe gestionar los dos conjuntos de reglas a la vez, lo que requiere una CMP capaz de diferenciar las reglas según la geolocalización.
Por qué importa esta comparación
El RGPD parte del principio de que no se debe recoger nada sin un acuerdo previo. La CCPA parte del principio de que la recogida está permitida, pero el usuario debe poder oponerse. Esta distinción tiene consecuencias directas en la configuración de tu banner de cookies, en el bloqueo de scripts y en la arquitectura de tu CMP.
RGPD y CCPA: dos marcos, dos filosofías
El RGPD en pocas palabras
El RGPD está en vigor en la Unión Europea desde mayo de 2018. Define los datos personales de forma amplia: direcciones IP, identificadores de cookies, datos de navegación. Cualquier cookie no esencial requiere un consentimiento previo libre, informado, específico e inequívoco. Es el modelo opt-in.
La CCPA/CPRA en pocas palabras
La CCPA está en vigor desde enero de 2020 y la CPRA la refuerza desde enero de 2023. Se aplica a las empresas que superan determinados umbrales (25 millones de dólares de facturación, 100.000 residentes o el 50 % de los ingresos procedentes de la venta de datos). La CCPA sigue un modelo opt-out: las cookies pueden instalarse en cuanto se carga la página, pero los usuarios deben poder oponerse mediante un enlace Do Not Sell or Share y la señal GPC.
Las diferencias concretas en materia de cookies
Según el RGPD, si tu sitio carga Google Analytics o un píxel publicitario antes de que el usuario haga clic en Aceptar, estás incumpliendo la normativa. Según la CCPA, esos scripts pueden cargarse de inmediato, pero el usuario debe poder impedir la venta o el intercambio de sus datos mediante una opción de exclusión accesible.
Qué significa esto en la práctica para tu sitio web
Si te diriges solo a Europa
Bloquea todos los scripts no esenciales antes del consentimiento. Tu banner de cookies debe ofrecer una elección granular, con un botón Rechazar tan visible como el botón Aceptar. Debes conservar la prueba del consentimiento.
Si te diriges solo a California
Puedes cargar los scripts de seguimiento en cuanto se carga la página. Muestra un enlace Do Not Sell or Share accesible desde todas las páginas. Tu sitio debe respetar la señal GPC.
Si te diriges a ambas regiones
Tu CMP debe detectar la ubicación del visitante y aplicar las reglas correspondientes. Al elegir una CMP que gestione ambas normativas, comprueba que admite la geolocalización, la señal GPC y Consent Mode v2.
Qué cookies se ven afectadas por cada normativa
Las dos normativas no se dirigen exactamente a los mismos tipos de cookies. Las cookies estrictamente necesarias están exentas en ambos casos. Las cookies de analítica requieren opt-in según el RGPD. Las cookies publicitarias están cubiertas por ambas normativas.
Errores frecuentes (y cómo evitarlos)
Aplicar las mismas reglas en todas partes. Aplicar las reglas del RGPD a todos los visitantes reduce la tasa de consentimiento en California. Aplicar las reglas de la CCPA a todos los visitantes no cumple con el RGPD.
Ignorar la señal GPC. La CCPA/CPRA exige respetar Global Privacy Control. En 2025, Tractor Supply recibió una multa de 1,35 millones de dólares, en parte por no respetar la señal GPC.
Confundir Do Not Sell con Rechazar todo. El enlace Do Not Sell de la CCPA se refiere específicamente a la venta y el intercambio de datos con terceros, no a todas las cookies.
Olvidar Consent Mode v2. Si usas Google Analytics y te diriges al EEE, Consent Mode v2 es obligatorio desde marzo de 2024. Es independiente de los requisitos de la CCPA.
Descuidar la documentación. El RGPD exige una documentación completa. La CCPA exige una política de privacidad actualizada y un aviso en el momento de la recogida. Ambas requieren actualizaciones anuales.
Cómo configurar tu CMP para ambas normativas
Geolocalización para identificar la ubicación del visitante. Banner adaptado a cada región. Bloqueo condicional de scripts. Conservación de la prueba del consentimiento. Usa un escáner de cookies para comprobar que la configuración de tu CMP funciona correctamente.
Checklist de cumplimiento de cookies CCPA + RGPD
- Identifica dónde se encuentran tus visitantes y qué normativas se aplican.
- Configura tu CMP con reglas diferenciadas según la geolocalización.
- Bloquea los scripts no esenciales antes del consentimiento para los visitantes europeos.
- Muestra un enlace Do Not Sell or Share para los visitantes californianos.
- Configura el respeto de la señal GPC.
- Conserva la prueba del consentimiento de los visitantes de la UE.
- Actualiza tu política de privacidad con la información exigida por el RGPD y la CCPA.
- Configura Consent Mode v2 para los visitantes del EEE.
- Analiza tu sitio para comprobar que el bloqueo y el opt-out funcionan correctamente.
- Planifica una revisión anual de la configuración de tu CMP.
Conclusión y siguiente paso
El RGPD y la CCPA imponen obligaciones distintas: opt-in en Europa, opt-out en California. Un sitio que recibe tráfico de ambas regiones debe gestionar los dos conjuntos de reglas. Empieza con un análisis de tu sitio para identificar todas las cookies y rastreadores activos. En 2026, la aplicación tanto del RGPD como de la CCPA sigue intensificándose, y los sitios que operan en EE. UU. y en la UE necesitan una estrategia de cumplimiento clara para ambos marcos.