En resumen: la CCPA, modificada por la CPRA, no exige consentimiento previo para las cookies, pero obliga a permitir que los californianos se opongan a la venta o el intercambio de sus datos personales, mediante un enlace claro y mediante señales del navegador como Global Privacy Control. Se aplica a las empresas con ánimo de lucro que operan en California y superan un umbral de ingresos o de volumen de datos, estén donde estén, incluidas empresas españolas o latinoamericanas con clientes en California. Las autoridades multan activamente a quienes tienen herramientas de opt-out rotas, desequilibradas o ciegas a GPC.
CCPA / CPRA: ¿de qué se trata?
La California Consumer Privacy Act de 2018 es la principal ley de privacidad de California. Es aplicable desde el 1 de enero de 2020. En noviembre de 2020, los votantes aprobaron la Proposición 24, la California Privacy Rights Act (CPRA), que modificó la CCPA. Según el Fiscal General de California, esas modificaciones surtieron efecto el 1 de enero de 2023. Hoy existe una sola ley: la CCPA modificada por la CPRA.
La ley figura en el Código Civil de California (sección 1798.100 y siguientes) y se completa con un reglamento detallado en el Título 11, División 6 del California Code of Regulations, adoptado por la California Privacy Protection Agency, que hoy se presenta como CalPrivacy. El último paquete de cambios, aprobado el 22 de septiembre de 2025, está vigente desde el 1 de enero de 2026.
La ley protege a los «consumidores», es decir, a los residentes en California. Les reconoce el derecho a saber qué datos se recogen, a suprimirlos, a rectificarlos, a oponerse a su venta o intercambio y a limitar el uso de los datos sensibles. Para una web, el derecho decisivo es el derecho de opt-out de la venta y el intercambio, porque eso es justo lo que suelen provocar las cookies y los píxeles publicitarios.
La palabra clave es «share». Con la CPRA, compartir significa revelar datos personales a un tercero para publicidad conductual entre contextos, haya o no dinero de por medio. Se trata de la publicidad basada en la actividad de una persona en otras empresas, webs o apps. Un píxel de retargeting es el ejemplo típico.
¿A quién se aplica?
La CCPA se aplica a una entidad con ánimo de lucro que recoge datos de consumidores, decide por qué y cómo se tratan, opera en California y cumple al menos uno de estos umbrales:
- Ingresos brutos anuales superiores a 26.625.000 $ el año natural anterior. La ley dice 25.000.000 $, pero CalPrivacy ajusta la cifra a la inflación cada año impar, y el importe ajustado se aplica desde el 1 de enero de 2025.
- Comprar, vender o compartir datos personales de 100.000 o más consumidores u hogares californianos al año.
- Obtener el 50 % o más de sus ingresos anuales de vender o compartir datos personales.
No hace falta estar establecido en California. Una tienda online de Texas, un SaaS de Nueva York o una empresa española pueden estar cubiertos si operan en California y superan un umbral. El tercer umbral pasa a menudo desapercibido: una web pequeña que obtiene la mayor parte de sus ingresos de publicidad basada en datos puede cumplirlo con ingresos modestos.
La ley alcanza también a las empresas que le rodean. Los terceros que controlan la recogida de datos en su web, como algunas redes publicitarias, deben dar su propio aviso, y los proveedores de servicios deben firmar contratos con cláusulas específicas.
Lo que exige la CCPA para las cookies y el consentimiento
Opt-out, no opt-in
A diferencia del RGPD y de la LSSI, la CCPA no pide consentimiento antes de instalar cookies. Las cookies pueden cargarse por defecto. Lo que exige es que los consumidores puedan negarse en cualquier momento a la venta o el intercambio de sus datos, y que usted respete esa elección.
Hay una excepción importante. Si sabe que un consumidor tiene menos de 16 años, no puede vender ni compartir sus datos salvo que lo haya autorizado expresamente (opt-in). Para los menores de 13, la autorización debe darla un progenitor o tutor. Ignorar deliberadamente la edad equivale a conocerla.
Aviso en el momento de la recogida
Debe informar a los consumidores, en el momento de la recogida o antes, de qué categorías de datos recoge, para qué, si las vende o comparte y cuánto tiempo conserva cada una. En una web, suele hacerse con un enlace visible en la página de inicio y en cada página donde se recogen datos.
El enlace de opt-out
La empresa que vende o comparte datos debe colocar en la cabecera o el pie de su página de inicio un enlace visible «Do Not Sell or Share My Personal Information». Debe excluir al consumidor de inmediato o llevarle a una página donde pueda hacerlo. En su lugar puede usar el enlace alternativo «Your Privacy Choices» o «Your California Privacy Choices», con el icono oficial, que cubre también el derecho a limitar los datos sensibles.
Señales de preferencia y Global Privacy Control
El reglamento obliga a toda empresa que vende o comparte datos a tratar una señal de preferencia de exclusión válida, como Global Privacy Control (GPC), como una solicitud de opt-out para ese navegador o dispositivo. No puede pedir información adicional para tramitarla. Desde los cambios de enero de 2026, debe mostrar si ha procesado la señal, por ejemplo con un mensaje como «Opt-Out Preference Signal Honored».
La presión aumenta: una nueva sección 1798.136 del Código Civil, aplicable desde el 1 de enero de 2027, obligará a quienes desarrollan navegadores a incluir un ajuste que envíe una señal de opt-out.
Por qué un banner de cookies no basta
Es la trampa para las webs que reutilizan su banner europeo. El reglamento establece que un banner o un panel de cookies por sí solos no son un método aceptable de opt-out de la venta o el intercambio, porque las cookies afectan a la recogida y no a la venta. Quien recoge datos online debe aceptar el opt-out mediante una señal de preferencia y al menos otro método, como un formulario tras el enlace Do Not Sell or Share.
Plazos, prueba y nueva solicitud
Tras recibir un opt-out, debe dejar de vender y compartir tan pronto como sea posible y en un máximo de 15 días hábiles, avisando a los terceros. No puede exigir una cuenta ni una verificación de identidad. Debe esperar al menos 12 meses antes de pedir a esa persona que vuelva a aceptar. Conserve registros de las solicitudes y de cómo las tramitó.
El banner de cookies conforme a la CCPA
Si muestra un banner a visitantes californianos, debe respetar la simetría en la elección: el camino hacia la opción más protectora no puede ser más largo, difícil o lento que el camino hacia la menos protectora.
Una configuración conforme suele incluir:
- un aviso breve sobre lo que se recoge y si se vende o comparte, con enlace al aviso completo;
- un enlace «Do Not Sell or Share My Personal Information» o «Your Privacy Choices» siempre accesible en el pie;
- la detección automática de Global Privacy Control, con una confirmación visible;
- si pide consentimiento (por ejemplo para menores), botones como «Accept All» y «Decline All» con el mismo peso.
El reglamento da ejemplos de lo que no es simétrico:
- un banner que solo ofrece «Accept All» y «More Information», o «Accept All» y «Preferences»;
- un botón «Sí» más grande o llamativo que el botón «No»;
- una elección entre «Sí» y «Preguntarme más tarde», sin forma de rechazar;
- dobles negaciones o interruptores sin etiquetas claras.
La ley define un dark pattern como una interfaz que tiene el efecto sustancial de socavar la autonomía o la capacidad de decisión del usuario. El aviso de CalPrivacy de septiembre de 2024 insiste en que cuenta el efecto, no la intención. Para el diseño, consulte nuestra guía del banner de cookies y nuestro artículo sobre dark patterns: las reglas europeas son más estrictas, pero el principio de opciones equivalentes se mantiene.
Sanciones y controles
Dos autoridades aplican la CCPA: CalPrivacy, mediante procedimientos administrativos, y el Fiscal General de California, mediante acciones judiciales. Los consumidores solo pueden demandar directamente tras ciertas brechas de seguridad.
La ley prevé multas de hasta 2.500 $ por infracción y 7.500 $ por infracción intencional o que afecte a menores de 16 años. Con el ajuste por inflación vigente desde el 1 de enero de 2025, los importes son 2.663 $ y 7.988 $. Se aplican por infracción, de modo que un fallo que afecta a muchos visitantes se acumula rápido. Tres casos publicados:
- Sephora (Fiscal General, agosto de 2022): 1,2 millones de dólares. Sephora permitía que rastreadores de terceros siguieran a los compradores en su web y su app, no informaba de que eso era una venta y no tramitaba las solicitudes enviadas mediante Global Privacy Control. (comunicado)
- Honda (CalPrivacy, marzo de 2025): 632.500 $. Entre otras infracciones, su herramienta de privacidad no ofrecía opciones simétricas, exigía demasiada información y compartía datos con empresas de publicidad sin los contratos exigidos. (anuncio)
- Tractor Supply (CalPrivacy, septiembre de 2025): 1.350.000 $. El minorista no ofrecía una forma eficaz de oponerse a la venta y el intercambio, tampoco mediante señales como GPC, y sus avisos eran insuficientes. (anuncio)
En mayo de 2025, CalPrivacy multó además con 345.178 $ a la marca Todd Snyder, entre otras cosas porque su portal dejó de tramitar opt-outs durante 40 días.
Checklist de cumplimiento
- Compruebe los umbrales: ingresos superiores a 26.625.000 $, 100.000 consumidores u hogares californianos, o el 50 % de los ingresos procedentes de vender o compartir datos.
- Mapee sus rastreadores con un escaneo de cookies e identifique las etiquetas que venden o comparten datos para publicidad entre contextos.
- Revise los contratos con proveedores de analítica y publicidad.
- Publique un aviso en el momento de la recogida y actualice su política de privacidad.
- Añada el enlace «Do Not Sell or Share My Personal Information» o «Your Privacy Choices» con el icono.
- Detecte y respete Global Privacy Control automáticamente, mostrando que se ha respetado.
- Haga simétricas las opciones, sin sesgo visual ni interruptores confusos.
- Tramite los opt-outs en 15 días hábiles, sin cuenta ni identificación, y comuníquelos a los terceros.
- Obtenga consentimiento previo antes de vender o compartir datos de menores de 16 años.
- Guarde registros de las solicitudes y pruebe su mecanismo con regularidad.
Cómo le ayuda FlowConsent a cumplir la CCPA
FlowConsent le da la parte técnica del cumplimiento sin un proyecto largo. Empiece con el escáner gratuito para ver qué cookies y rastreadores carga su web, incluidas las etiquetas publicitarias que más probablemente cuentan como venta o intercambio. El escaneo automático mantiene ese inventario al día.
El banner se instala en unos diez minutos, bloquea los scripts mientras la elección del visitante no los permita e integra Google Consent Mode v2. Cada elección queda registrada, y puede exportar la prueba con el informe de prueba cuando una autoridad o un socio se la pida. FlowConsent es gratuito hasta 25.000 sesiones al mes y está alojado en Europa. Cree su cuenta gratuita.
Para saber más
Si su web también recibe visitantes europeos, la cuestión clave es cómo conciliar el opt-out de California con el opt-in de Europa: nuestra comparativa CCPA vs RGPD lo explica en detalle. Los demás artículos tratan la auditoría de rastreadores, el diseño de un banner equilibrado y Google Consent Mode v2.