Facturación superior a US$ 26.625.000
Ingresos brutos anuales superiores a este valor, que era de US$ 25 millones y se ajustó por inflación en enero de 2025. La facturación cuenta en total, no solo la que viene de California.
Guía · Ley estatal de EE. UU.
California tiene la ley de privacidad más detallada de Estados Unidos y la que más multas aplica. En esta guía entenderás cuándo se aplica a tu sitio, por qué los anuncios personalizados cuentan como venta o uso compartido de datos y qué debe aparecer en la página para que el visitante pueda decir que no.
Qué es
La California Consumer Privacy Act, o CCPA, se aprobó en 2018 y entró en vigor el 1 de enero de 2020. Da a los residentes de California el derecho de saber qué datos recopila una empresa, pedir que se eliminen y evitar que se vendan.
En noviembre de 2020, los votantes aprobaron la California Privacy Rights Act, la CPRA, que reescribió buena parte de la CCPA. Los cambios rigen desde el 1 de enero de 2023. Por eso, cuando hoy se habla de la CCPA, casi siempre se habla de la ley ya modificada por la CPRA.
La CPRA creó la California Privacy Protection Agency, una agencia dedicada solo a la privacidad, que hoy se presenta al público como CalPrivacy. Escribe las reglas detalladas, investiga a las empresas y aplica multas. El fiscal general de California conserva el poder de demandar a quien incumpla la ley.
Para quien tiene un sitio con anuncios, el punto central es simple: cuando las cookies y los identificadores del visitante se usan para mostrar anuncios según lo que hizo en otros sitios, la ley lo trata como uso compartido de datos. Y el visitante tiene derecho a rechazarlo.
Lista de verificación
Valen para empresas que superan uno de los límites de la ley y venden o comparten datos de residentes de California.
Quien vende o comparte datos necesita un enlace claro en el encabezado o en el pie de la página principal. Las reglas también aceptan un enlace único llamado Your Privacy Choices o Your California Privacy Choices, con el ícono oficial al lado.
Pie de página: Do Not Sell or Share My Personal Information
La fiscalía general dice que el GPC debe respetarse como solicitud válida de rechazo. Las reglas vigentes desde 2026 piden que el sitio le muestre al visitante el estado de su elección.
Panel de privacidad: Recibimos tu señal GPC. No vendemos ni compartimos tus datos.
El rechazo debe atenderse lo antes posible, en un máximo de 15 días hábiles. Las solicitudes para saber, eliminar o corregir tienen 45 días de plazo, con 45 más si se avisa al visitante.
El aviso aparece antes o en el momento en que se recopilan los datos y trae el enlace a la política de privacidad. La política explica los derechos del visitante y cómo usarlos.
Usamos cookies de socios de anuncios. Según la ley de California, esto puede ser compartir datos. Para rechazarlo, haz clic en Do Not Sell or Share My Personal Information.
Quien vende o comparte datos necesita dos o más formas de rechazar. Para solicitudes de acceso o eliminación, una empresa solo en línea puede ofrecer solo un correo electrónico.
Solicitudes de privacidad: privacidad@tusitio.com
Las reglas piden simetría en las opciones. Un aviso que solo ofrece Sí y Preguntar después no es equilibrado, porque no hay forma de rechazar.
Dos botones del mismo tamaño y del mismo color: Aceptar y Rechazar
Para vender o compartir datos de quien sabes que tiene menos de 16 años, se necesita autorización previa. Por debajo de los 13 años, la autorización viene de los padres o tutores.
En la sección de California de la string GPP, el rechazo de venta o de uso compartido activa el RDP. Otra opción es activar el RDP en la etiqueta para quien hizo clic en el enlace.
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});En la práctica
Herramientas oficiales
Google no exige una CMP certificada para California. Puedes usar el mensaje de estados de EE. UU. de Google, una CMP que genere GPP o el RDP en la etiqueta. Estos son los enlaces oficiales.
A quién se aplica
La ley se aplica a empresas con fines de lucro que hacen negocios en California, recopilan datos de residentes del estado y alcanzan al menos uno de los umbrales siguientes. Tener sede allí no es una condición: las empresas de fuera que atienden a californianos también pueden entrar.
Ingresos brutos anuales superiores a este valor, que era de US$ 25 millones y se ajustó por inflación en enero de 2025. La facturación cuenta en total, no solo la que viene de California.
Comprar, vender o compartir datos de 100 mil o más consumidores u hogares de California por año. Un portal con mucho tráfico californiano y anuncios personalizados puede llegar ahí sin darse cuenta.
Obtener el 50% o más de los ingresos anuales de la venta o el uso compartido de datos personales de californianos, sin importar el tamaño de la empresa.
Las entidades sin fines de lucro y los organismos públicos, por regla general, no están cubiertos. Las empresas por debajo de los tres umbrales tampoco, pero los socios de anuncios pueden exigir igualmente las señales de opt-out.
Definiciones
La CCPA usa términos propios. Entender los cuatro de abajo evita la mayor parte de las confusiones.
Cualquier dato vinculado o que pueda vincularse a una persona u hogar. La propia ley incluye identificadores en línea, dirección IP, historial de navegación e interacciones con sitios y anuncios.
Datos como documentos, inicios de sesión de cuentas, ubicación precisa, origen racial, religión, salud, vida sexual y biometría. El visitante puede pedir que el uso de estos datos se limite.
Pasar datos a terceros a cambio de dinero o de otro valor. No tiene que haber un pago directo: permitir que un socio recopile datos a cambio de un servicio puede contar como venta.
Pasar datos a terceros para publicidad conductual entre contextos, es decir, anuncios elegidos según lo que la persona hizo en otros sitios y apps. Se aplica incluso sin pago.
Derechos
La empresa tiene 45 días para responder a las solicitudes, con una prórroga de otros 45 cuando sea necesario. Las solicitudes de opt-out deben atenderse mucho más rápido y sin trámites.
Descubrir qué datos se recopilaron, de dónde vinieron, para qué sirven y con quién se vendieron o compartieron.
Pedir la eliminación de los datos recopilados y la corrección de datos erróneos, con algunas excepciones previstas en la ley.
Ordenar a la empresa que deje de vender o compartir sus datos, incluso para anuncios personalizados, mediante un enlace en el sitio o una señal automática del navegador.
Restringir el uso de datos sensibles a lo necesario y no recibir un peor trato, con un precio mayor o un servicio reducido, por haber ejercido estos derechos.
Obligaciones del sitio
Quien vende o comparte datos debe ofrecer un enlace claro con el texto Do Not Sell or Share My Personal Information, normalmente en el pie de página de todas las páginas. Las reglas de la agencia permiten reemplazar este enlace y el de datos sensibles por un único enlace llamado Your Privacy Choices, acompañado del ícono oficial. Al hacer clic, debe llevar a una forma sencilla de rechazar, sin registro y sin exigir documentos.
La señal automática de opt-out también es obligatoria. El ejemplo más conocido es el Global Privacy Control, el GPC, una configuración del navegador o de una extensión que avisa a todos los sitios que la persona no quiere que se vendan ni se compartan sus datos. Desde el 1 de enero de 2026, las reglas exigen que el sitio muestre si procesó esa señal, por ejemplo con un mensaje de solicitud de opt-out atendida.
También se necesitan un aviso en el momento de la recopilación y una política de privacidad completa. Esta enumera las categorías de datos recopilados, las finalidades, las categorías de empresas que reciben los datos, si hay venta o uso compartido, cuánto tiempo se conservan los datos y cómo ejercer cada derecho. Las reglas de la agencia piden también la fecha de la última actualización.
Las reglas prohíben los llamados patrones engañosos: rechazar no puede exigir más pasos que aceptar, y cerrar un pop-up no vale como consentimiento. Para vender o compartir datos de quienes la empresa sabe que tienen menos de 16 años, se necesita autorización previa. Entre los 13 y los 16 años, autoriza el propio adolescente; por debajo de los 13, los padres.
Cronología
Fechas confirmadas en fuentes oficiales del estado de California.
Nace el derecho de saber, eliminar y rechazar la venta de datos.
Acuerdo de US$ 1,2 millones por vender datos mediante rastreadores de terceros e ignorar el GPC.
Se incorporan el uso compartido para anuncios, la corrección y el límite a los datos sensibles, y termina el plazo obligatorio de 30 días para corregir antes de la sanción.
El umbral de facturación sube a US$ 26.625.000 y las multas a US$ 2.663 y US$ 7.988.
Rigen las evaluaciones de riesgo para actividades de riesgo significativo, la confirmación visible de la señal de opt-out y las nuevas reglas contra los patrones engañosos.
Comienzan las reglas de decisiones automatizadas para decisiones importantes. La ley AB 566, de 2025, pasa a exigir que los navegadores ofrezcan una señal de opt-out integrada.
Plazo para enviar la declaración y el resumen de las evaluaciones de riesgo. Las certificaciones de auditoría de seguridad comienzan en esa fecha para quienes facturan más de US$ 100 millones y continúan en 2029 y 2030 para los demás.
Supervisión y multas
La agencia de privacidad y el fiscal general pueden actuar. Desde 2023 ya no existe el plazo obligatorio de 30 días para corregir antes de la sanción. La agencia puede tener en cuenta la buena fe, pero no tiene que avisar antes.
Las multas se ajustaron en enero de 2025: hasta US$ 2.663 por infracción y hasta US$ 7.988 por infracción intencional o que involucre a menores de 16 años. Como cada visitante o cada solicitud puede contar como una infracción, la cuenta crece rápido. El ciudadano solo puede demandar directamente en casos de filtración de datos, con una indemnización de entre US$ 107 y US$ 799 por persona e incidente.
Sephora pagó US$ 1,2 millones en 2022 por rastreadores y GPC. En marzo de 2025, Honda pagó US$ 632.500 a la agencia por exigir demasiados datos para el opt-out y por una herramienta que no presentaba las opciones de forma equilibrada. En mayo de 2025, la marca de ropa Todd Snyder pagó US$ 345.178 porque un portal mal configurado dejó de procesar solicitudes de opt-out durante 40 días.
En julio de 2025, el fiscal general cerró un acuerdo de US$ 1,55 millones con el sitio de salud Healthline, que no respetaba los rechazos de publicidad dirigida, incluso mediante el GPC. En septiembre de 2025, Tractor Supply recibió una multa de US$ 1,35 millones, que incluye fallas en el tratamiento del GPC. En febrero de 2026, Disney cerró el mayor acuerdo hasta entonces, de US$ 2,75 millones, porque el opt-out y el GPC valían solo en un dispositivo o servicio.
AdSense y Ad Manager
Google ofrece el procesamiento restringido de datos, llamado RDP. Cuando la señal está presente, Google no muestra anuncios basados en el comportamiento anterior del visitante y envía solicitudes no personalizadas a los compradores. En este modo, Google actúa como proveedor de servicios, figura que la ley californiana no trata como venta.
Hay dos caminos. El primero es una CMP que genere la cadena GPP, el formato de IAB Tech Lab para señales de privacidad. AdSense y Ad Manager leen la sección US National y la sección de California. En la sección de California, rechazar la venta o el uso compartido activa el RDP, y el rechazo para menores de 16 años activa el tratamiento para niños. El segundo camino es activar el RDP directamente en la etiqueta, por ejemplo con restrictDataProcessing en GPT, solo para quien hizo clic en el enlace de opt-out.
El mensaje de normativas estatales de EE. UU., en el menú Privacidad y mensajes de AdSense y Ad Manager, cubre California. Muestra el enlace Do Not Sell or Share My Personal Information, registra el rechazo y guarda la elección en GPP. Google recuerda, sin embargo, que la responsabilidad de cumplir la ley sigue siendo del sitio.
El header bidding, las redes de video y los píxeles de redes sociales también reciben datos. El opt-out debe llegar a todos ellos, no solo a Google.
En la práctica
Ejemplos del día a día de un sitio con AdSense o Ad Manager y visitantes californianos.
Errores comunes
Casi todos los acuerdos públicos tratan de opt-outs que parecen funcionar, pero no funcionan.
El enlace Do Not Sell or Share abre la política de privacidad en lugar de una pantalla donde el visitante pueda rechazar de verdad.
La CMP detecta el GPC, pero las etiquetas de anuncios se cargan antes o siguen recibiendo la señal de no rechazado.
El RDP se activa en Google, pero los socios de header bidding y los píxeles de terceros siguen recopilando datos.
Aceptar todo con un clic y rechazar solo después de abrir la configuración. La falta de equilibrio en las opciones pesó en el caso Honda.
Política sin fecha de actualización, sin las categorías de datos o sin decir que hay uso compartido para anuncios.
El banner aparece, pero no se genera ninguna cadena GPP, así que Google y los socios no reciben la elección del visitante.
En ConsentMode
Puede aplicarte. La ley no exige tener sede en California. Si la empresa atiende a residentes del estado y supera uno de los tres umbrales, como 100 mil consumidores u hogares por año con datos compartidos para anuncios, entra. Por debajo de los umbrales, la ley no se aplica, pero Google y otros socios siguen leyendo las señales de opt-out.
Los anuncios personalizados según la navegación en otros sitios encajan en el concepto de uso compartido. Con el RDP activo, Google pasa a actuar como proveedor de servicios y muestra solo anuncios no personalizados a ese visitante.
La CCPA funciona por opt-out, así que no exige pedir permiso antes a los adultos. Lo que exige es el aviso en la recopilación, el enlace de rechazo y el respeto al GPC. Para menores de 16 años, se necesita opt-in.
Sí. El fiscal general y la agencia tratan el GPC como una solicitud válida de opt-out, y varios acuerdos, como los de Sephora, Tractor Supply y Disney, citan fallas en el GPC. Desde 2026 el sitio también debe mostrar si procesó la señal.
Aplica a las empresas cubiertas por la ley cuyas actividades estén en la lista de riesgo significativo de las reglas de la agencia. Quien hace anuncios personalizados debe revisar esa lista con un abogado. Un blog por debajo de los umbrales de la CCPA no la necesita. Quien está por encima y encaja en la lista debe documentar la evaluación y enviar la declaración antes del 1 de abril de 2028.
No. ConsentMode no es una CMP y no muestra banners. Audita el sitio desde fuera y muestra qué corregir. La decisión jurídica corresponde a tu abogado.
Biblioteca
Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:
La auditoría abre el sitio como visitante de California, con y sin GPC, y muestra qué corregir sin modificar nada.