> Lo que exige la CCPA, modificada por la CPRA, para las cookies: enlace Do Not Sell or Share, Global Privacy Control, umbrales, multas y casos reales. > > Canonical: https://www.flowconsent.com/es/laws/ccpa-cpra Ley de cookies # CCPA y CPRA: lo que la ley de California exige para las cookies Lo que exige la CCPA, modificada por la CPRA, para las cookies: enlace Do Not Sell or Share, Global Privacy Control, umbrales, multas y casos reales. Actualizado el 9 de octubre de 2026 · 10 min de lectura [Escanear mi sitio gratis](https://www.flowconsent.com/es/scan) · [Probar FlowConsent gratis](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=laws) ## Ficha - Nombre completo California Consumer Privacy Act de 2018, modificada por la California Privacy Rights Act (Proposición 24) - Jurisdicción California, Estados Unidos - En vigor desde 1 de enero de 2020 (modificaciones de la CPRA desde el 1 de enero de 2023) - Autoridad California Privacy Protection Agency (CalPrivacy) y el Fiscal General de California - Multa máxima 2.663 $ por infracción, 7.988 $ por infracción intencional o que afecte a menores (importes ajustados de 2025) - Modelo de consentimiento Opt-out ## Lo esencial - La CCPA es una ley de opt-out: puede usar cookies publicitarias por defecto, pero los californianos deben poder detener la venta o el intercambio de sus datos. - Se aplica a empresas con ánimo de lucro que operan en California y superan un umbral de ingresos, de volumen o de venta de datos. - Quien vende o comparte datos debe ofrecer un enlace «Do Not Sell or Share My Personal Information» y respetar Global Privacy Control. - Un banner de cookies por sí solo no es un método válido de opt-out, y las opciones deben ser simétricas. - Vender o compartir datos de menores de 16 años exige consentimiento (opt-in), de los padres si son menores de 13. - CalPrivacy y el Fiscal General aplican la ley, con casos públicos contra Sephora, Honda y Tractor Supply. Índice > **En resumen:** la CCPA, modificada por la CPRA, no exige consentimiento previo para las cookies, pero obliga a permitir que los californianos se opongan a la venta o el intercambio de sus datos personales, mediante un enlace claro y mediante señales del navegador como Global Privacy Control. Se aplica a las empresas con ánimo de lucro que operan en California y superan un umbral de ingresos o de volumen de datos, estén donde estén, incluidas empresas españolas o latinoamericanas con clientes en California. Las autoridades multan activamente a quienes tienen herramientas de opt-out rotas, desequilibradas o ciegas a GPC. ## CCPA / CPRA: ¿de qué se trata? La California Consumer Privacy Act de 2018 es la principal ley de privacidad de California. Es aplicable desde el **1 de enero de 2020**. En noviembre de 2020, los votantes aprobaron la **Proposición 24**, la California Privacy Rights Act (CPRA), que modificó la CCPA. Según el Fiscal General de California, esas modificaciones surtieron efecto el **1 de enero de 2023**. Hoy existe una sola ley: la CCPA modificada por la CPRA. La ley figura en el Código Civil de California (sección 1798.100 y siguientes) y se completa con un reglamento detallado en el Título 11, División 6 del California Code of Regulations, adoptado por la California Privacy Protection Agency, que hoy se presenta como **CalPrivacy**. El último paquete de cambios, aprobado el 22 de septiembre de 2025, está vigente desde el **1 de enero de 2026**. La ley protege a los «consumidores», es decir, a los residentes en California. Les reconoce el derecho a saber qué datos se recogen, a suprimirlos, a rectificarlos, a oponerse a su venta o intercambio y a limitar el uso de los datos sensibles. Para una web, el derecho decisivo es el **derecho de opt-out de la venta y el intercambio**, porque eso es justo lo que suelen provocar las cookies y los píxeles publicitarios. La palabra clave es «share». Con la CPRA, compartir significa revelar datos personales a un tercero **para publicidad conductual entre contextos**, haya o no dinero de por medio. Se trata de la publicidad basada en la actividad de una persona en otras empresas, webs o apps. Un píxel de retargeting es el ejemplo típico. ## ¿A quién se aplica? La CCPA se aplica a una entidad con ánimo de lucro que recoge datos de consumidores, decide por qué y cómo se tratan, opera en California y cumple **al menos uno** de estos umbrales: - **Ingresos brutos anuales superiores a 26.625.000 $** el año natural anterior. La ley dice 25.000.000 $, pero CalPrivacy ajusta la cifra a la inflación cada año impar, y el importe ajustado se aplica desde el 1 de enero de 2025. - Comprar, vender o compartir datos personales de **100.000 o más** consumidores u hogares californianos al año. - Obtener el **50 % o más** de sus ingresos anuales de vender o compartir datos personales. No hace falta estar establecido en California. Una tienda online de Texas, un SaaS de Nueva York o una empresa española pueden estar cubiertos si operan en California y superan un umbral. El tercer umbral pasa a menudo desapercibido: una web pequeña que obtiene la mayor parte de sus ingresos de publicidad basada en datos puede cumplirlo con ingresos modestos. La ley alcanza también a las empresas que le rodean. Los **terceros** que controlan la recogida de datos en su web, como algunas redes publicitarias, deben dar su propio aviso, y los proveedores de servicios deben firmar contratos con cláusulas específicas. ## Lo que exige la CCPA para las cookies y el consentimiento ### Opt-out, no opt-in A diferencia del RGPD y de la LSSI, la CCPA no pide consentimiento antes de instalar cookies. Las cookies pueden cargarse por defecto. Lo que exige es que los consumidores puedan negarse en cualquier momento a la venta o el intercambio de sus datos, y que usted respete esa elección. Hay una excepción importante. Si sabe que un consumidor tiene **menos de 16 años**, no puede vender ni compartir sus datos salvo que lo haya autorizado expresamente (opt-in). Para los **menores de 13**, la autorización debe darla un progenitor o tutor. Ignorar deliberadamente la edad equivale a conocerla. ### Aviso en el momento de la recogida Debe informar a los consumidores, **en el momento de la recogida o antes**, de qué categorías de datos recoge, para qué, si las vende o comparte y cuánto tiempo conserva cada una. En una web, suele hacerse con un enlace visible en la página de inicio y en cada página donde se recogen datos. ### El enlace de opt-out La empresa que vende o comparte datos debe colocar en la cabecera o el pie de su página de inicio un enlace visible **«Do Not Sell or Share My Personal Information»**. Debe excluir al consumidor de inmediato o llevarle a una página donde pueda hacerlo. En su lugar puede usar el **enlace alternativo** «Your Privacy Choices» o «Your California Privacy Choices», con el icono oficial, que cubre también el derecho a limitar los datos sensibles. ### Señales de preferencia y Global Privacy Control El reglamento obliga a toda empresa que vende o comparte datos a tratar una **señal de preferencia de exclusión** válida, como Global Privacy Control (GPC), como una solicitud de opt-out para ese navegador o dispositivo. No puede pedir información adicional para tramitarla. Desde los cambios de enero de 2026, **debe mostrar** si ha procesado la señal, por ejemplo con un mensaje como «Opt-Out Preference Signal Honored». La presión aumenta: una nueva sección 1798.136 del Código Civil, aplicable desde el **1 de enero de 2027**, obligará a quienes desarrollan navegadores a incluir un ajuste que envíe una señal de opt-out. ### Por qué un banner de cookies no basta Es la trampa para las webs que reutilizan su banner europeo. El reglamento establece que un banner o un panel de cookies **por sí solos** no son un método aceptable de opt-out de la venta o el intercambio, porque las cookies afectan a la recogida y no a la venta. Quien recoge datos online debe aceptar el opt-out mediante una señal de preferencia **y** al menos otro método, como un formulario tras el enlace Do Not Sell or Share. ### Plazos, prueba y nueva solicitud Tras recibir un opt-out, debe dejar de vender y compartir tan pronto como sea posible y **en un máximo de 15 días hábiles**, avisando a los terceros. No puede exigir una cuenta ni una verificación de identidad. Debe esperar **al menos 12 meses** antes de pedir a esa persona que vuelva a aceptar. Conserve registros de las solicitudes y de cómo las tramitó. ## El banner de cookies conforme a la CCPA Si muestra un banner a visitantes californianos, debe respetar la **simetría en la elección**: el camino hacia la opción más protectora no puede ser más largo, difícil o lento que el camino hacia la menos protectora. Una configuración conforme suele incluir: - un aviso breve sobre lo que se recoge y si se vende o comparte, con enlace al aviso completo; - un enlace **«Do Not Sell or Share My Personal Information»** o **«Your Privacy Choices»** siempre accesible en el pie; - la detección automática de **Global Privacy Control**, con una confirmación visible; - si pide consentimiento (por ejemplo para menores), botones como «Accept All» y «Decline All» con el mismo peso. El reglamento da ejemplos de lo que **no** es simétrico: - un banner que solo ofrece «Accept All» y «More Information», o «Accept All» y «Preferences»; - un botón «Sí» más grande o llamativo que el botón «No»; - una elección entre «Sí» y «Preguntarme más tarde», sin forma de rechazar; - dobles negaciones o interruptores sin etiquetas claras. La ley define un dark pattern como una interfaz que tiene el efecto sustancial de socavar la autonomía o la capacidad de decisión del usuario. El aviso de CalPrivacy de septiembre de 2024 insiste en que cuenta el efecto, no la intención. Para el diseño, consulte nuestra [guía del banner de cookies](https://www.flowconsent.com/es/blog/banner-cookies-conforme-rgpd-guia) y nuestro artículo sobre [dark patterns](https://www.flowconsent.com/es/blog/dark-patterns-cookies-cnil-prohibe): las reglas europeas son más estrictas, pero el principio de opciones equivalentes se mantiene. ## Sanciones y controles Dos autoridades aplican la CCPA: **CalPrivacy**, mediante procedimientos administrativos, y el **Fiscal General de California**, mediante acciones judiciales. Los consumidores solo pueden demandar directamente tras ciertas brechas de seguridad. La ley prevé multas de hasta 2.500 $ por infracción y 7.500 $ por infracción intencional o que afecte a menores de 16 años. Con el ajuste por inflación vigente desde el 1 de enero de 2025, los importes son **2.663 $** y **7.988 $**. Se aplican por infracción, de modo que un fallo que afecta a muchos visitantes se acumula rápido. Tres casos publicados: - **Sephora (Fiscal General, agosto de 2022): 1,2 millones de dólares.** Sephora permitía que rastreadores de terceros siguieran a los compradores en su web y su app, no informaba de que eso era una venta y no tramitaba las solicitudes enviadas mediante Global Privacy Control. ([comunicado](https://oag.ca.gov/news/press-releases/attorney-general-bonta-announces-settlement-sephora-part-ongoing-enforcement)) - **Honda (CalPrivacy, marzo de 2025): 632.500 $.** Entre otras infracciones, su herramienta de privacidad no ofrecía opciones simétricas, exigía demasiada información y compartía datos con empresas de publicidad sin los contratos exigidos. ([anuncio](https://cppa.ca.gov/announcements/2025/20250312.html)) - **Tractor Supply (CalPrivacy, septiembre de 2025): 1.350.000 $.** El minorista no ofrecía una forma eficaz de oponerse a la venta y el intercambio, tampoco mediante señales como GPC, y sus avisos eran insuficientes. ([anuncio](https://cppa.ca.gov/announcements/2025/20250930.html)) En mayo de 2025, CalPrivacy multó además con 345.178 $ a la marca Todd Snyder, entre otras cosas porque su portal dejó de tramitar opt-outs durante 40 días. ## Checklist de cumplimiento 1. **Compruebe los umbrales**: ingresos superiores a 26.625.000 $, 100.000 consumidores u hogares californianos, o el 50 % de los ingresos procedentes de vender o compartir datos. 2. **Mapee sus rastreadores** con un escaneo de cookies e identifique las etiquetas que venden o comparten datos para publicidad entre contextos. 3. **Revise los contratos** con proveedores de analítica y publicidad. 4. **Publique un aviso en el momento de la recogida** y actualice su política de privacidad. 5. **Añada el enlace «Do Not Sell or Share My Personal Information»** o «Your Privacy Choices» con el icono. 6. **Detecte y respete Global Privacy Control** automáticamente, mostrando que se ha respetado. 7. **Haga simétricas las opciones**, sin sesgo visual ni interruptores confusos. 8. **Tramite los opt-outs en 15 días hábiles**, sin cuenta ni identificación, y comuníquelos a los terceros. 9. **Obtenga consentimiento previo** antes de vender o compartir datos de menores de 16 años. 10. **Guarde registros** de las solicitudes y pruebe su mecanismo con regularidad. ## Cómo le ayuda FlowConsent a cumplir la CCPA FlowConsent le da la parte técnica del cumplimiento sin un proyecto largo. Empiece con el [escáner gratuito](https://www.flowconsent.com/es/scan) para ver qué cookies y rastreadores carga su web, incluidas las etiquetas publicitarias que más probablemente cuentan como venta o intercambio. El **escaneo automático** mantiene ese inventario al día. El banner se instala en unos diez minutos, **bloquea los scripts** mientras la elección del visitante no los permita e integra Google Consent Mode v2. Cada elección queda registrada, y puede exportar la prueba con el [informe de prueba](https://www.flowconsent.com/es/doc/proof-report) cuando una autoridad o un socio se la pida. FlowConsent es gratuito hasta 25.000 sesiones al mes y está alojado en Europa. [Cree su cuenta gratuita](https://app.flowconsent.com/auth/register). ## Para saber más Si su web también recibe visitantes europeos, la cuestión clave es cómo conciliar el opt-out de California con el opt-in de Europa: nuestra comparativa [CCPA vs RGPD](https://www.flowconsent.com/es/blog/ccpa-vs-rgpd-diferencias-cookies) lo explica en detalle. Los demás artículos tratan la auditoría de rastreadores, el diseño de un banner equilibrado y Google Consent Mode v2. Para saber más ## Profundice en CCPA / CPRA. Guías prácticas de nuestro blog para aplicar estas reglas en su sitio. [Blog](https://www.flowconsent.com/es/blog/ccpa-vs-rgpd-diferencias-cookies) ### [CCPA vs RGPD: las diferencias reales en materia de cookies](https://www.flowconsent.com/es/blog/ccpa-vs-rgpd-diferencias-cookies) [Leer el artículo ](https://www.flowconsent.com/es/blog/ccpa-vs-rgpd-diferencias-cookies)· [Blog](https://www.flowconsent.com/es/blog/banner-cookies-conforme-rgpd-guia) ### [Banner de cookies conforme: la guía para no olvidar nada](https://www.flowconsent.com/es/blog/banner-cookies-conforme-rgpd-guia) [Leer el artículo ](https://www.flowconsent.com/es/blog/banner-cookies-conforme-rgpd-guia)· [Blog](https://www.flowconsent.com/es/blog/dark-patterns-cookies-cnil-prohibe) ### [Dark patterns en cookies: lo que la CNIL prohíbe en los banners de consentimiento](https://www.flowconsent.com/es/blog/dark-patterns-cookies-cnil-prohibe) [Leer el artículo ](https://www.flowconsent.com/es/blog/dark-patterns-cookies-cnil-prohibe)· [Blog](https://www.flowconsent.com/es/blog/necesito-banner-de-cookies-en-mi-web) ### [¿Necesito un banner de cookies en mi web?](https://www.flowconsent.com/es/blog/necesito-banner-de-cookies-en-mi-web) [Leer el artículo ](https://www.flowconsent.com/es/blog/necesito-banner-de-cookies-en-mi-web)· [Blog](https://www.flowconsent.com/es/blog/auditoria-cookies-sitio-web-guia-completa) ### [Auditoría de cookies del sitio web: guía completa para escanear sus rastreadores](https://www.flowconsent.com/es/blog/auditoria-cookies-sitio-web-guia-completa) [Leer el artículo ](https://www.flowconsent.com/es/blog/auditoria-cookies-sitio-web-guia-completa)· [Blog](https://www.flowconsent.com/es/blog/google-consent-mode-v2-guia-implementacion) ### [Google Consent Mode v2: guía completa para entenderlo e implementarlo](https://www.flowconsent.com/es/blog/google-consent-mode-v2-guia-implementacion) [Leer el artículo ](https://www.flowconsent.com/es/blog/google-consent-mode-v2-guia-implementacion)· [Blog](https://www.flowconsent.com/es/blog/meta-pixel-cookies-rgpd-cumplimiento) ### [Meta Pixel y RGPD: cookies, consentimiento y cumplimiento](https://www.flowconsent.com/es/blog/meta-pixel-cookies-rgpd-cumplimiento) [Leer el artículo](https://www.flowconsent.com/es/blog/meta-pixel-cookies-rgpd-cumplimiento) Preguntas ## CCPA / CPRA y cookies: sus preguntas ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿La CCPA exige un banner de consentimiento de cookies? No en el sentido del RGPD. La CCPA es una ley de opt-out, así que no necesita un consentimiento previo antes de instalar cookies para adultos. Sí necesita un aviso en el momento de la recogida y, si sus cookies implican vender o compartir datos personales, un enlace Do Not Sell or Share y el respeto de las señales de preferencia. El reglamento añade que un banner de cookies por sí solo no es un método aceptable de opt-out. ### ¿Tengo que respetar Global Privacy Control? Sí, si vende o comparte datos personales. El reglamento de la CCPA exige tratar una señal de preferencia de exclusión válida, como Global Privacy Control, como una solicitud de opt-out de la venta y el intercambio para ese navegador o dispositivo. No puede pedir información adicional para tramitarla y debe mostrar si la ha respetado. Sephora y Tractor Supply fueron sancionadas, entre otras cosas, por ignorar GPC. ### ¿Se aplica la CCPA a mi empresa si no está en California? Puede aplicarse. La ley abarca a las empresas con ánimo de lucro que operan en California y cumplen al menos un umbral: más de 26.625.000 $ de ingresos brutos anuales (cifra ajustada de 2025), comprar, vender o compartir datos de 100.000 o más consumidores u hogares californianos, u obtener el 50 % o más de sus ingresos de vender o compartir datos. La presencia física en California no es un criterio. ### ¿Usar Google Analytics o un píxel de Meta es vender o compartir datos? Depende del flujo de datos. Compartir significa revelar datos personales a un tercero para publicidad conductual entre contextos, aunque no haya pago. Los píxeles publicitarios que siguen a los visitantes entre webs suelen entrar en esa categoría. La analítica realizada por un proveedor de servicios con un contrato conforme a la CCPA no es una venta. El Fiscal General consideró venta lo que hacía Sephora con rastreadores de terceros. ### ¿En qué plazo debo tramitar una solicitud de opt-out? El reglamento exige dejar de vender y compartir los datos del consumidor tan pronto como sea posible y, como máximo, 15 días hábiles después de recibir la solicitud. También debe avisar a los terceros que recibieron los datos entretanto. No puede exigir una cuenta ni verificar la identidad para un opt-out, y debe esperar al menos 12 meses antes de pedir a esa persona que vuelva a aceptar. ### ¿Qué diferencia hay entre la CCPA y la CPRA? La CPRA no es una ley distinta. Aprobada por los votantes californianos como Proposición 24 en noviembre de 2020, modificó la CCPA desde el 1 de enero de 2023. Añadió el derecho de rectificación, el derecho a limitar el uso de datos sensibles, el concepto de compartir para publicidad conductual entre contextos y la California Privacy Protection Agency, hoy CalPrivacy. Cumplir hoy la CCPA significa cumplir el texto modificado. ## Fuentes oficiales Los textos y directrices en los que se basa esta página. - [Fiscal General de California: California Consumer Privacy Act (CCPA) ](https://oag.ca.gov/privacy/ccpa)oag.ca.gov - [CalPrivacy: texto de la CCPA vigente desde el 1 de enero de 2026 ](https://cppa.ca.gov/pdf/20260101_ccpa_statute.pdf)cppa.ca.gov - [CalPrivacy: texto aprobado del reglamento de la CCPA (cambios vigentes desde el 1 de enero de 2026) ](https://cppa.ca.gov/regulations/pdf/ccpa_updates_cyber_risk_admt_appr_text.pdf)cppa.ca.gov - [CalPrivacy: actualizaciones del reglamento, aprobación y entrada en vigor ](https://cppa.ca.gov/regulations/ccpa_updates.html)cppa.ca.gov - [CalPrivacy: importes actualizados de la CCPA ](https://cppa.ca.gov/regulations/cpi_adjustment.html)cppa.ca.gov - [CalPrivacy: aviso de aplicación sobre dark patterns (septiembre de 2024) ](https://cppa.ca.gov/announcements/2024/20240904.html)cppa.ca.gov - [CalPrivacy: acuerdo con Honda (marzo de 2025) ](https://cppa.ca.gov/announcements/2025/20250312.html)cppa.ca.gov - [CalPrivacy: multa a Todd Snyder (mayo de 2025) ](https://cppa.ca.gov/announcements/2025/20250506.html)cppa.ca.gov - [CalPrivacy: Tractor Supply pagará 1,35 millones de dólares (septiembre de 2025) ](https://cppa.ca.gov/announcements/2025/20250930.html)cppa.ca.gov - [Fiscal General de California: acuerdo con Sephora (agosto de 2022) ](https://oag.ca.gov/news/press-releases/attorney-general-bonta-announces-settlement-sephora-part-ongoing-enforcement)oag.ca.gov Otras leyes ## Otras leyes de cookies y privacidad. [RGPD · Opt-in](https://www.flowconsent.com/es/laws/rgpd) ### [RGPD y cookies: lo que el Reglamento exige a su web](https://www.flowconsent.com/es/laws/rgpd) [Leer la guía ](https://www.flowconsent.com/es/laws/rgpd)· [Directiva ePrivacy · Opt-in](https://www.flowconsent.com/es/laws/directiva-eprivacy) ### [Directiva ePrivacy y cookies: la norma detrás de cada banner](https://www.flowconsent.com/es/laws/directiva-eprivacy) [Leer la guía ](https://www.flowconsent.com/es/laws/directiva-eprivacy)· [UK GDPR / PECR · Opt-in](https://www.flowconsent.com/es/laws/uk-gdpr-pecr) ### [UK GDPR, PECR y cookies: lo que exige la ley británica a su web](https://www.flowconsent.com/es/laws/uk-gdpr-pecr) [Leer la guía ](https://www.flowconsent.com/es/laws/uk-gdpr-pecr)· [TDDDG · Opt-in](https://www.flowconsent.com/es/laws/tdddg) ### [TDDDG y cookies: lo que exige el artículo 25 de la ley alemana a su web](https://www.flowconsent.com/es/laws/tdddg) [Leer la guía ](https://www.flowconsent.com/es/laws/tdddg)· [nLPD · Opt-out](https://www.flowconsent.com/es/laws/nlpd-suiza) ### [nLPD suiza y cookies: lo que exige la nueva ley de protección de datos a su web](https://www.flowconsent.com/es/laws/nlpd-suiza) [Leer la guía ](https://www.flowconsent.com/es/laws/nlpd-suiza)· [LGPD · Mixto](https://www.flowconsent.com/es/laws/lgpd-brasil) ### [LGPD y cookies: lo que exige la ley brasileña de protección de datos a su web](https://www.flowconsent.com/es/laws/lgpd-brasil) [Leer la guía ](https://www.flowconsent.com/es/laws/lgpd-brasil)· [LOPDGDD · Opt-in](https://www.flowconsent.com/es/laws/lopdgdd) ### [LOPDGDD y cookies: lo que la ley española exige a su web](https://www.flowconsent.com/es/laws/lopdgdd) [Leer la guía](https://www.flowconsent.com/es/laws/lopdgdd) [Ver todas las leyes](https://www.flowconsent.com/es/laws) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)