Abrir espacio

Guía · Ley estatal de EE. UU.

CCPA y CPRA explicadas para quienes viven de los anuncios

California tiene la ley de privacidad más detallada de Estados Unidos y la que más multas aplica. En esta guía entenderás cuándo se aplica a tu sitio, por qué los anuncios personalizados cuentan como venta o uso compartido de datos y qué debe aparecer en la página para que el visitante pueda decir que no.

  • ✓Basado en el texto de la ley, en las reglas de la agencia y en los acuerdos públicos
  • ✓Ejemplos pensados para sitios con AdSense y Ad Manager
  • ✓Auditoría de solo lectura, sin modificar el sitio
100 milconsumidores u hogares de California por año: uno de los umbrales que colocan a la empresa dentro de la ley
US$ 7.988multa máxima por infracción intencional o que involucre a menores de 16 años, valor ajustado en 2025
16edad por debajo de la cual vender o compartir datos exige autorización previa
2026año en que entraron en vigor las nuevas reglas sobre evaluaciones de riesgo, decisiones automatizadas y auditorías

Qué es

La ley que dio al visitante el derecho de decir no a la venta de sus datos

La California Consumer Privacy Act, o CCPA, se aprobó en 2018 y entró en vigor el 1 de enero de 2020. Da a los residentes de California el derecho de saber qué datos recopila una empresa, pedir que se eliminen y evitar que se vendan.

En noviembre de 2020, los votantes aprobaron la California Privacy Rights Act, la CPRA, que reescribió buena parte de la CCPA. Los cambios rigen desde el 1 de enero de 2023. Por eso, cuando hoy se habla de la CCPA, casi siempre se habla de la ley ya modificada por la CPRA.

La CPRA creó la California Privacy Protection Agency, una agencia dedicada solo a la privacidad, que hoy se presenta al público como CalPrivacy. Escribe las reglas detalladas, investiga a las empresas y aplica multas. El fiscal general de California conserva el poder de demandar a quien incumpla la ley.

Para quien tiene un sitio con anuncios, el punto central es simple: cuando las cookies y los identificadores del visitante se usan para mostrar anuncios según lo que hizo en otros sitios, la ley lo trata como uso compartido de datos. Y el visitante tiene derecho a rechazarlo.

Lista de verificación

Lo que debes cumplir

Valen para empresas que superan uno de los límites de la ley y venden o comparten datos de residentes de California.

  1. Pon el enlace de rechazo en la página principal

    Quien vende o comparte datos necesita un enlace claro en el encabezado o en el pie de la página principal. Las reglas también aceptan un enlace único llamado Your Privacy Choices o Your California Privacy Choices, con el ícono oficial al lado.

    Ejemplo

    Pie de página: Do Not Sell or Share My Personal Information

  2. Acepta el GPC como rechazo válido

    La fiscalía general dice que el GPC debe respetarse como solicitud válida de rechazo. Las reglas vigentes desde 2026 piden que el sitio le muestre al visitante el estado de su elección.

    Ejemplo

    Panel de privacidad: Recibimos tu señal GPC. No vendemos ni compartimos tus datos.

  3. Atiende el rechazo rápido

    El rechazo debe atenderse lo antes posible, en un máximo de 15 días hábiles. Las solicitudes para saber, eliminar o corregir tienen 45 días de plazo, con 45 más si se avisa al visitante.

  4. Da el aviso en la recopilación y mantén la política completa

    El aviso aparece antes o en el momento en que se recopilan los datos y trae el enlace a la política de privacidad. La política explica los derechos del visitante y cómo usarlos.

    Ejemplo

    Usamos cookies de socios de anuncios. Según la ley de California, esto puede ser compartir datos. Para rechazarlo, haz clic en Do Not Sell or Share My Personal Information.

  5. Ofrece al menos dos canales

    Quien vende o comparte datos necesita dos o más formas de rechazar. Para solicitudes de acceso o eliminación, una empresa solo en línea puede ofrecer solo un correo electrónico.

    Ejemplo

    Solicitudes de privacidad: privacidad@tusitio.com

  6. Deja las opciones equilibradas

    Las reglas piden simetría en las opciones. Un aviso que solo ofrece Sí y Preguntar después no es equilibrado, porque no hay forma de rechazar.

    Ejemplo

    Dos botones del mismo tamaño y del mismo color: Aceptar y Rechazar

  7. Pide autorización para menores de 16 años

    Para vender o compartir datos de quien sabes que tiene menos de 16 años, se necesita autorización previa. Por debajo de los 13 años, la autorización viene de los padres o tutores.

  8. Lleva el rechazo a Google

    En la sección de California de la string GPP, el rechazo de venta o de uso compartido activa el RDP. Otra opción es activar el RDP en la etiqueta para quien hizo clic en el enlace.

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada para California. Puedes usar el mensaje de estados de EE. UU. de Google, una CMP que genere GPP o el RDP en la etiqueta. Estos son los enlaces oficiales.

A quién se aplica

Basta con superar uno de estos tres umbrales

La ley se aplica a empresas con fines de lucro que hacen negocios en California, recopilan datos de residentes del estado y alcanzan al menos uno de los umbrales siguientes. Tener sede allí no es una condición: las empresas de fuera que atienden a californianos también pueden entrar.

Facturación superior a US$ 26.625.000

Ingresos brutos anuales superiores a este valor, que era de US$ 25 millones y se ajustó por inflación en enero de 2025. La facturación cuenta en total, no solo la que viene de California.

100 mil consumidores u hogares

Comprar, vender o compartir datos de 100 mil o más consumidores u hogares de California por año. Un portal con mucho tráfico californiano y anuncios personalizados puede llegar ahí sin darse cuenta.

La mitad de los ingresos viene de los datos

Obtener el 50% o más de los ingresos anuales de la venta o el uso compartido de datos personales de californianos, sin importar el tamaño de la empresa.

Quién queda fuera

Las entidades sin fines de lucro y los organismos públicos, por regla general, no están cubiertos. Las empresas por debajo de los tres umbrales tampoco, pero los socios de anuncios pueden exigir igualmente las señales de opt-out.

Definiciones

Las palabras que lo cambian todo para un sitio con anuncios

La CCPA usa términos propios. Entender los cuatro de abajo evita la mayor parte de las confusiones.

Información personal

Cualquier dato vinculado o que pueda vincularse a una persona u hogar. La propia ley incluye identificadores en línea, dirección IP, historial de navegación e interacciones con sitios y anuncios.

Información personal sensible

Datos como documentos, inicios de sesión de cuentas, ubicación precisa, origen racial, religión, salud, vida sexual y biometría. El visitante puede pedir que el uso de estos datos se limite.

Venta

Pasar datos a terceros a cambio de dinero o de otro valor. No tiene que haber un pago directo: permitir que un socio recopile datos a cambio de un servicio puede contar como venta.

Uso compartido

Pasar datos a terceros para publicidad conductual entre contextos, es decir, anuncios elegidos según lo que la persona hizo en otros sitios y apps. Se aplica incluso sin pago.

Derechos

Qué puede pedir el visitante de California

La empresa tiene 45 días para responder a las solicitudes, con una prórroga de otros 45 cuando sea necesario. Las solicitudes de opt-out deben atenderse mucho más rápido y sin trámites.

Saber y acceder

Descubrir qué datos se recopilaron, de dónde vinieron, para qué sirven y con quién se vendieron o compartieron.

Eliminar y corregir

Pedir la eliminación de los datos recopilados y la corrección de datos erróneos, con algunas excepciones previstas en la ley.

Rechazar la venta y el uso compartido

Ordenar a la empresa que deje de vender o compartir sus datos, incluso para anuncios personalizados, mediante un enlace en el sitio o una señal automática del navegador.

Limitar los datos sensibles y no sufrir represalias

Restringir el uso de datos sensibles a lo necesario y no recibir un peor trato, con un precio mayor o un servicio reducido, por haber ejercido estos derechos.

Obligaciones del sitio

Enlace de opt-out, señal GPC y aviso de privacidad

Quien vende o comparte datos debe ofrecer un enlace claro con el texto Do Not Sell or Share My Personal Information, normalmente en el pie de página de todas las páginas. Las reglas de la agencia permiten reemplazar este enlace y el de datos sensibles por un único enlace llamado Your Privacy Choices, acompañado del ícono oficial. Al hacer clic, debe llevar a una forma sencilla de rechazar, sin registro y sin exigir documentos.

La señal automática de opt-out también es obligatoria. El ejemplo más conocido es el Global Privacy Control, el GPC, una configuración del navegador o de una extensión que avisa a todos los sitios que la persona no quiere que se vendan ni se compartan sus datos. Desde el 1 de enero de 2026, las reglas exigen que el sitio muestre si procesó esa señal, por ejemplo con un mensaje de solicitud de opt-out atendida.

También se necesitan un aviso en el momento de la recopilación y una política de privacidad completa. Esta enumera las categorías de datos recopilados, las finalidades, las categorías de empresas que reciben los datos, si hay venta o uso compartido, cuánto tiempo se conservan los datos y cómo ejercer cada derecho. Las reglas de la agencia piden también la fecha de la última actualización.

Las reglas prohíben los llamados patrones engañosos: rechazar no puede exigir más pasos que aceptar, y cerrar un pop-up no vale como consentimiento. Para vender o compartir datos de quienes la empresa sabe que tienen menos de 16 años, se necesita autorización previa. Entre los 13 y los 16 años, autoriza el propio adolescente; por debajo de los 13, los padres.

Cronología

Cómo llegó hasta aquí la ley de California

Fechas confirmadas en fuentes oficiales del estado de California.

  1. 1 de enero de 2020

    La CCPA entra en vigor

    Nace el derecho de saber, eliminar y rechazar la venta de datos.

  2. 24 de agosto de 2022

    Primera multa: Sephora

    Acuerdo de US$ 1,2 millones por vender datos mediante rastreadores de terceros e ignorar el GPC.

  3. 1 de enero de 2023

    La CPRA entra en vigor

    Se incorporan el uso compartido para anuncios, la corrección y el límite a los datos sensibles, y termina el plazo obligatorio de 30 días para corregir antes de la sanción.

  4. 1 de enero de 2025

    Valores ajustados

    El umbral de facturación sube a US$ 26.625.000 y las multas a US$ 2.663 y US$ 7.988.

  5. 1 de enero de 2026

    Nuevo paquete de reglas

    Rigen las evaluaciones de riesgo para actividades de riesgo significativo, la confirmación visible de la señal de opt-out y las nuevas reglas contra los patrones engañosos.

  6. 1 de enero de 2027

    Decisiones automatizadas y navegadores

    Comienzan las reglas de decisiones automatizadas para decisiones importantes. La ley AB 566, de 2025, pasa a exigir que los navegadores ofrezcan una señal de opt-out integrada.

  7. 1 de abril de 2028

    Declaraciones a la agencia

    Plazo para enviar la declaración y el resumen de las evaluaciones de riesgo. Las certificaciones de auditoría de seguridad comienzan en esa fecha para quienes facturan más de US$ 100 millones y continúan en 2029 y 2030 para los demás.

Supervisión y multas

Quién supervisa y cuánto cuesta equivocarse

La agencia de privacidad y el fiscal general pueden actuar. Desde 2023 ya no existe el plazo obligatorio de 30 días para corregir antes de la sanción. La agencia puede tener en cuenta la buena fe, pero no tiene que avisar antes.

Las multas se ajustaron en enero de 2025: hasta US$ 2.663 por infracción y hasta US$ 7.988 por infracción intencional o que involucre a menores de 16 años. Como cada visitante o cada solicitud puede contar como una infracción, la cuenta crece rápido. El ciudadano solo puede demandar directamente en casos de filtración de datos, con una indemnización de entre US$ 107 y US$ 799 por persona e incidente.

Sephora pagó US$ 1,2 millones en 2022 por rastreadores y GPC. En marzo de 2025, Honda pagó US$ 632.500 a la agencia por exigir demasiados datos para el opt-out y por una herramienta que no presentaba las opciones de forma equilibrada. En mayo de 2025, la marca de ropa Todd Snyder pagó US$ 345.178 porque un portal mal configurado dejó de procesar solicitudes de opt-out durante 40 días.

En julio de 2025, el fiscal general cerró un acuerdo de US$ 1,55 millones con el sitio de salud Healthline, que no respetaba los rechazos de publicidad dirigida, incluso mediante el GPC. En septiembre de 2025, Tractor Supply recibió una multa de US$ 1,35 millones, que incluye fallas en el tratamiento del GPC. En febrero de 2026, Disney cerró el mayor acuerdo hasta entonces, de US$ 2,75 millones, porque el opt-out y el GPC valían solo en un dispositivo o servicio.

AdSense y Ad Manager

Qué cambia en un sitio con anuncios de Google

Google ofrece el procesamiento restringido de datos, llamado RDP. Cuando la señal está presente, Google no muestra anuncios basados en el comportamiento anterior del visitante y envía solicitudes no personalizadas a los compradores. En este modo, Google actúa como proveedor de servicios, figura que la ley californiana no trata como venta.

Hay dos caminos. El primero es una CMP que genere la cadena GPP, el formato de IAB Tech Lab para señales de privacidad. AdSense y Ad Manager leen la sección US National y la sección de California. En la sección de California, rechazar la venta o el uso compartido activa el RDP, y el rechazo para menores de 16 años activa el tratamiento para niños. El segundo camino es activar el RDP directamente en la etiqueta, por ejemplo con restrictDataProcessing en GPT, solo para quien hizo clic en el enlace de opt-out.

El mensaje de normativas estatales de EE. UU., en el menú Privacidad y mensajes de AdSense y Ad Manager, cubre California. Muestra el enlace Do Not Sell or Share My Personal Information, registra el rechazo y guarda la elección en GPP. Google recuerda, sin embargo, que la responsabilidad de cumplir la ley sigue siendo del sitio.

El header bidding, las redes de video y los píxeles de redes sociales también reciben datos. El opt-out debe llegar a todos ellos, no solo a Google.

En la práctica

Qué se puede y qué no en California

Ejemplos del día a día de un sitio con AdSense o Ad Manager y visitantes californianos.

Sí se puede

  • Mostrar anuncios personalizados hasta que el visitante rechace, siempre que el enlace de opt-out esté visible
  • Usar un único enlace Your Privacy Choices con el ícono oficial en el pie de página
  • Leer el GPC y marcar automáticamente al visitante como opt-out en la cadena GPP
  • Mostrar un mensaje breve que confirme que la señal de opt-out fue atendida
  • Mostrar anuncios no personalizados a quien rechazó
  • Usar el mensaje de normativas estatales de EE. UU. de Google

No se puede

  • Pedir registro o documentos para registrar el opt-out
  • Dejar el botón de aceptar a todo color y el de rechazar escondido en gris
  • Tratar el cierre del pop-up como aceptación
  • Desactivar solo Google y dejar que el header bidding y los píxeles sigan recibiendo datos
  • Ignorar el GPC porque el visitante no hizo clic en el enlace
  • Usar datos de quien sabes que tiene menos de 16 años para anuncios personalizados sin autorización

Errores comunes

Fallas que aparecen en los casos de supervisión

Casi todos los acuerdos públicos tratan de opt-outs que parecen funcionar, pero no funcionan.

Enlace que lleva a un texto

El enlace Do Not Sell or Share abre la política de privacidad en lugar de una pantalla donde el visitante pueda rechazar de verdad.

GPC leído, pero sin efecto

La CMP detecta el GPC, pero las etiquetas de anuncios se cargan antes o siguen recibiendo la señal de no rechazado.

Opt-out solo para Google

El RDP se activa en Google, pero los socios de header bidding y los píxeles de terceros siguen recopilando datos.

Banner desequilibrado

Aceptar todo con un clic y rechazar solo después de abrir la configuración. La falta de equilibrio en las opciones pesó en el caso Honda.

Política desactualizada

Política sin fecha de actualización, sin las categorías de datos o sin decir que hay uso compartido para anuncios.

Mensaje solo para California, sin cadena

El banner aparece, pero no se genera ninguna cadena GPP, así que Google y los socios no reciben la elección del visitante.

En ConsentMode

Qué revisa la auditoría sobre la CCPA

  • Abre el sitio como visitante de California y busca el enlace Do Not Sell or Share o Your Privacy Choices en todas las páginas analizadas.
  • Repite la visita con el GPC activado y observa si cambian en la página la cadena GPP, el RDP y el mensaje de confirmación.
  • Lee la cadena GPP en las solicitudes de anuncios y muestra si las secciones US National o California indican el rechazo.
  • Identifica la CMP por el código de la página y comprueba si las etiquetas de anuncios esperan su respuesta.
  • Lee la política de privacidad y señala los elementos que faltan, como las categorías de datos, el uso compartido para anuncios y la fecha de actualización.

Preguntas frecuentes sobre la CCPA

Mi sitio es brasileño. ¿Me aplica la CCPA?

Puede aplicarte. La ley no exige tener sede en California. Si la empresa atiende a residentes del estado y supera uno de los tres umbrales, como 100 mil consumidores u hogares por año con datos compartidos para anuncios, entra. Por debajo de los umbrales, la ley no se aplica, pero Google y otros socios siguen leyendo las señales de opt-out.

¿Los anuncios de AdSense cuentan como venta?

Los anuncios personalizados según la navegación en otros sitios encajan en el concepto de uso compartido. Con el RDP activo, Google pasa a actuar como proveedor de servicios y muestra solo anuncios no personalizados a ese visitante.

¿Necesito un banner de cookies para California?

La CCPA funciona por opt-out, así que no exige pedir permiso antes a los adultos. Lo que exige es el aviso en la recopilación, el enlace de rechazo y el respeto al GPC. Para menores de 16 años, se necesita opt-in.

¿El GPC es realmente obligatorio?

Sí. El fiscal general y la agencia tratan el GPC como una solicitud válida de opt-out, y varios acuerdos, como los de Sephora, Tractor Supply y Disney, citan fallas en el GPC. Desde 2026 el sitio también debe mostrar si procesó la señal.

¿La evaluación de riesgo aplica a un blog?

Aplica a las empresas cubiertas por la ley cuyas actividades estén en la lista de riesgo significativo de las reglas de la agencia. Quien hace anuncios personalizados debe revisar esa lista con un abogado. Un blog por debajo de los umbrales de la CCPA no la necesita. Quien está por encima y encaja en la lista debe documentar la evaluación y enviar la declaración antes del 1 de abril de 2028.

¿ConsentMode resuelve la CCPA por mí?

No. ConsentMode no es una CMP y no muestra banners. Audita el sitio desde fuera y muestra qué corregir. La decisión jurídica corresponde a tu abogado.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Comprueba si tu opt-out funciona de verdad

La auditoría abre el sitio como visitante de California, con y sin GPC, y muestra qué corregir sin modificar nada.

Comenzar la auditoría