CCPA/CPRA: Guía sobre la ley de privacidad de California
Actualizado para 2026.
La Ley de Derechos de Privacidad del Consumidor de California (CPRA) entró en vigor en 2023. Creó la Agencia de Protección de la Privacidad de California (CPPA). La CPPA es el primer regulador estatal de privacidad en los Estados Unidos. En 2024, la CPPA impuso más de 100 millones de dólares en multas. La ley de privacidad de California es aplicación activa — no una norma en papel.
¿Quién debe cumplirla?
Tres pruebas determinan si la ley aplica. Una empresa debe cumplir al menos una de ellas.
- Ingresos anuales de 25 millones de dólares o más.
- Datos personales de 100.000 o más consumidores del estado.
- Más del 50 % de los ingresos procedentes de la venta de información personal.
El estado tiene 40 millones de residentes. Es la quinta economía más grande del mundo. La mayoría de las empresas globales cumplen al menos una prueba.
19 categorías de datos sensibles
La ley crea un nivel especial para los datos personales sensibles. Las empresas deben dar a los consumidores un aviso adicional y el derecho a limitar el uso. Los 19 tipos son:
- Números de seguridad social, licencia de conducir, ID estatal, pasaporte
- Números de cuenta financiera o tarjeta con códigos de acceso
- Geolocalización precisa (dentro de 1.852 metros)
- Origen racial o étnico
- Creencias religiosas o filosóficas
- Afiliación sindical
- Contenido de correos electrónicos privados o correo postal
- Información genética
- Registros biométricos para identificación
- Registros de salud o médicos
- Orientación sexual o vida sexual
- Estatus migratorio (añadido en 2024)
- Registros de salud mental (añadidos en 2024)
- Estatus de ciudadanía
- Números de cuenta sin códigos de acceso
- Estatus de discapacidad
- Indicadores de estatus de empleo
- Información de pólizas de seguro
- Registros penales o de arrestos
Para cada categoría, los consumidores pueden limitar cómo una empresa los usa y comparte. Este derecho es independiente del derecho general de oposición a la venta de datos.
Lo que la CPPA investigó en 2024
Las acciones de la CPPA en 2024 se dividieron en cuatro áreas.
Registro de intermediarios de datos. El estado exige que los intermediarios de datos se registren con la CPPA. La agencia encontró cientos de intermediarios no registrados que vendían perfiles de consumidores.
Herramientas de opt-out defectuosas. Muchas plataformas de consentimiento no ofrecían un opt-out real. El botón no funcionaba, o el opt-out solo cubría algunos usos.
Decisiones de IA sin aviso. Las reglas de IA de 2025 exigen aviso cuando herramientas automatizadas toman decisiones clave. El empleo, el crédito y la vivienda están incluidos. Varios casos de 2024 apuntaron a herramientas de IA usadas sin este aviso.
Datos de menores. El Código de Diseño Apropiado para la Edad de California aplica a cualquier servicio que los menores probablemente usen. Esas empresas deben completar una Evaluación de Impacto de Protección de Datos. La CPPA encontró que muchas compañías no lo habían hecho.
Ley estatal vs. RGPD: diferencias clave
El cumplimiento del RGPD no le cubre en California. Las leyes comparten objetivos pero difieren en puntos clave.
Opt-out versus opt-in. El RGPD requiere consentimiento opt-in para la mayoría de usos de datos sensibles. La ley estatal usa un modelo opt-out. El procesamiento está permitido hasta que el consumidor se oponga.
Derechos del consumidor. Ambas leyes otorgan derechos de acceso, supresión y rectificación. La ley estatal añade el derecho a oponerse a las decisiones automatizadas. El Artículo 22 del RGPD también cubre esto, pero con un alcance más limitado.
Registros de empleados. La ley estatal aplica plenamente a los datos personales de los empleados. El RGPD también, pero los estados miembros de la UE tienen sus propias normas laborales. La privacidad del personal en el estado a menudo necesita su propia pista de cumplimiento.
Tipos sensibles. Los 19 tipos estatales se superponen parcialmente con el Artículo 9 del RGPD. El estatus migratorio y los números de cuenta independientes son específicos del estado.
Consulte la guía de cumplimiento legal para saber cómo se acumulan estas obligaciones.
Requisitos para proveedores de IA
Las reglas de IA de 2025 crean obligaciones claras para las empresas que usan herramientas de IA con registros de consumidores.
Contratos de proveedores. Los proveedores de servicios deben firmar un acuerdo por escrito. El acuerdo debe cubrir cuatro puntos. Primero: usar los registros solo para el propósito declarado. Segundo: eliminar los registros cuando el servicio termine. Tercero: tramitar las solicitudes de derechos de los consumidores. Cuarto: mantener una seguridad adecuada.
Aviso de decisión automatizada. Si una herramienta de IA ayuda a decidir sobre crédito, fraude o empleo — se debe informar a los consumidores. También deben recibir un opt-out.
Límites de entrenamiento de IA. Si los registros de consumidores entrenaron un modelo de IA, ese modelo tiene límites. No puede usarse para propósitos que entren en conflicto con la razón de recolección original.
La solución directa para la mayoría de los equipos: eliminar los IDs personales antes de que los registros entren en cualquier sistema de IA. Esto cumple las reglas de decisión de IA y reduce el riesgo de tipos sensibles al mismo tiempo.
Aprenda cómo anonym.legal elimina los IDs antes del procesamiento de IA en /security-compliance.
Puntos clave
La ley estatal cubre a la mayoría de las empresas globales con clientes en el estado. Añade 19 tipos sensibles, una agencia de aplicación activa y reglas de aviso de IA. El cumplimiento del RGPD no reemplaza el cumplimiento estatal. El paso más claro: eliminar IDs personales antes de que los registros entren en herramientas de IA.
Lea sobre minimización de datos en /docs/faq.
Fuentes
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- California Privacy Rights Act (CPRA) texto completo. leginfo.legislature.ca.gov.
- CPPA: Automated Decision-Making Technology Regulations 2025. cppa.ca.gov.
- California Age-Appropriate Design Code. leginfo.legislature.ca.gov.