# CCPA y CPRA: cómo afecta la ley de privacidad de EE. UU. a las cookies > Cómo afectan la CCPA y la CPRA a las cookies: cuándo un rastreador publicitario supone vender o compartir datos, el enlace de exclusión, GPC y qué necesita tu web. Source: https://www.cookiesh.eu/es/blog/ccpa-cpra-cookies Published: 2026-05-19 ## Key takeaways - La CCPA, modificada por la CPRA, es una ley de exclusión voluntaria (opt-out) que, por lo general, no exige consentimiento antes de instalar cookies. - Las cookies y los píxeles publicitarios de terceros pueden considerarse venta o intercambio de información personal, lo que activa el derecho de exclusión. - Las empresas sujetas a la ley deben ofrecer una forma clara de exclusión, como un enlace “Do Not Sell or Share My Personal Information” (No vender ni compartir mi información personal). - Las empresas deben tratar las señales de preferencia de exclusión, como Global Privacy Control, como solicitudes válidas para excluirse de la venta y del intercambio de datos. - Vender o compartir la información personal de consumidores de los que se sabe que son menores de 16 años requiere una autorización previa (opt-in). La CCPA, modificada por la CPRA, no exige consentimiento antes de instalar cookies. En su lugar, considera que muchas cookies y píxeles publicitarios suponen una “venta” o un “intercambio” de información personal y otorga a los residentes en California el derecho a excluirse. Las empresas sujetas a la ley deben informar de lo que recogen, ofrecer un enlace de exclusión claro y respetar señales del navegador como Global Privacy Control. ## ¿Qué son la CCPA y la CPRA? La California Consumer Privacy Act (CCPA) es la principal ley de privacidad de los consumidores de California. La California Privacy Rights Act (CPRA) la modificó y amplió, por lo que hoy “CCPA” suele referirse a la ley combinada y modificada. La CPRA añadió nuevos derechos, introdujo el concepto de “compartir” (sharing) para la publicidad comportamental entre contextos y creó un regulador específico, la California Privacy Protection Agency (CPPA). La agencia redacta reglamentos detallados y comparte las funciones de control con el fiscal general de California. La ley se aplica a las empresas con ánimo de lucro que operan en California, tratan información personal de residentes en California y cumplen al menos uno de estos umbrales: unos ingresos brutos anuales superiores a una cantidad fijada que se ajusta a la inflación; comprar, vender o compartir la información personal de 100 000 o más consumidores u hogares; u obtener la mitad o más de sus ingresos anuales de la venta o el intercambio de información personal. No hace falta tener una oficina en California para estar sujeto a la ley. ## ¿Las cookies se consideran información personal según la CCPA? A menudo, sí. La CCPA define la información personal de forma amplia, y su definición de identificadores únicos menciona expresamente las cookies, las balizas y las etiquetas de píxel. Los ID de cookies, los ID publicitarios, las direcciones IP y el historial de navegación vinculados a un consumidor, un hogar o un dispositivo suelen entrar en la definición. Lo que importa es qué ocurre después con esos datos. Una cookie de sesión propia que mantiene a alguien con la sesión iniciada plantea pocos problemas con la CCPA, mientras que un píxel publicitario de terceros que envía la actividad de navegación a una red publicitaria es otra historia. ## ¿Cuándo supone una cookie “vender” o “compartir” datos? Una cookie supone vender o compartir datos cuando permite que un tercero reciba información personal para sus propios fines o para publicidad comportamental entre contextos. No tiene por qué haber dinero de por medio. - **Vender** significa comunicar información personal a un tercero a cambio de una contraprestación económica o de otro tipo con valor. Las herramientas gratuitas que, en la práctica, pagas con los datos de los visitantes pueden entrar en esta definición. - **Compartir** significa comunicar información personal a un tercero para publicidad comportamental entre contextos, es decir, anuncios segmentados a partir de la actividad de una persona en sitios y aplicaciones de otras empresas, tanto si se intercambia algo de valor como si no. - **Los proveedores de servicios y contratistas** que tratan los datos únicamente por cuenta tuya, en virtud de un contrato que contiene las cláusulas que exige la ley, no suelen considerarse terceros, así que las comunicaciones de datos a ellos no son ventas. En la práctica, los píxeles de retargeting, las cookies de redes publicitarias y los píxeles de seguimiento de redes sociales son los sospechosos habituales. [Haz una auditoría de cookies](/es/blog/how-to-run-a-cookie-audit) para identificar qué proveedores reciben datos y en virtud de qué contratos antes de clasificar cada uno. ## ¿En qué se diferencia la CCPA del RGPD en materia de cookies? La diferencia fundamental es la opción por defecto. Las normas de la UE exigen un consentimiento previo (opt-in) antes de que se carguen las cookies no esenciales, mientras que California permite que se carguen, pero exige una forma sencilla de excluirse. | | RGPD y ePrivacy (UE) | CCPA y CPRA (California) | | --- | --- | --- | | Modelo | Consentimiento previo (opt-in) antes de las cookies no esenciales | Exclusión voluntaria (opt-out) de la venta y del intercambio de datos | | Banner de consentimiento | Obligatorio en la práctica | No obligatorio | | Control clave del usuario | Opciones de aceptar y rechazar | Enlace “Do Not Sell or Share My Personal Information” | | Señales del navegador | Efecto jurídico menos definido | Deben respetarse las señales de preferencia de exclusión, como GPC | | Menores | Normas especiales para el consentimiento de los menores | Consentimiento previo antes de vender o compartir datos de menores de 16 años | | Supervisión | Autoridades nacionales de protección de datos | La CPPA y el fiscal general de California | Si te diriges a ambos públicos, la segmentación geográfica te permite mostrar un banner de consentimiento previo en la UE y una experiencia de exclusión voluntaria en California. Para la parte de la UE, consulta [qué exige el RGPD para el consentimiento de cookies](/es/blog/gdpr-cookie-consent-requirements). ## ¿Qué necesita tu sitio web? Las empresas sujetas a la ley necesitan información clara, un mecanismo de exclusión y los procesos internos que hacen que esa exclusión sea efectiva. Usa esta lista de comprobación como punto de partida. 1. **Aviso en el momento de la recogida.** En el momento de la recogida o antes, indica qué categorías de información personal recoges, por qué, si las vendes o las compartes y cuánto tiempo las conservas. 2. **Política de privacidad.** Describe los derechos de los consumidores y cómo ejercerlos, y actualiza la política al menos una vez cada 12 meses. 3. **Enlace de exclusión.** Ofrece un enlace claro “Do Not Sell or Share My Personal Information” (No vender ni compartir mi información personal), o el enlace único de exclusión alternativo que permite el reglamento, normalmente en el pie de página del sitio. 4. **Respeta GPC.** Trata una señal de [Global Privacy Control](/es/blog/global-privacy-control) como una exclusión válida para ese navegador y para la cuenta del consumidor si sabes quién es. 5. **Detén el flujo de datos.** Cuando alguien se excluya, deja de activar las etiquetas que venden o comparten sus datos. No basta con un enlace que solo registre una preferencia. 6. **Limita los datos sensibles.** Si utilizas información personal sensible más allá de los fines que permite la ley, ofrece un enlace “Limit the Use of My Sensitive Personal Information” (Limitar el uso de mi información personal sensible). 7. **Guarda registros.** Registra las solicitudes de exclusión y cómo las gestionaste, igual que harías con los [registros de prueba del consentimiento](/es/blog/proof-of-consent-records), para poder demostrar que tu proceso funciona. ## ¿Y los demás estados de EE. UU.? California ya no está sola. Cada vez más estados de EE. UU. han aprobado leyes integrales de privacidad con derechos similares para excluirse de la publicidad segmentada y de la venta de datos personales, y varios obligan a las empresas a respetar las señales universales de exclusión. Los detalles varían, como los umbrales de aplicación, las definiciones y si algunos datos, como los sensibles, requieren un consentimiento previo. Revisa cada ley que se aplique a tu público. Crear un único flujo de exclusión sólido que respete GPC en todas partes suele ser más sencillo que mantener excepciones estado por estado. ## En resumen En lo que respecta a las cookies, la CCPA y la CPRA giran en torno a la transparencia y a una exclusión que funcione, no al consentimiento previo. Identifica qué rastreadores venden o comparten datos, da a los californianos una forma clara de decir que no, respeta GPC automáticamente y asegúrate de que excluirse detiene realmente el flujo de datos. Herramientas como Cookiesh pueden servir banners de la CCPA segmentados geográficamente y respetar las señales de GPC por ti. *Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.* ## FAQ ### ¿Necesito un banner de cookies para cumplir la CCPA? La CCPA no exige un banner de consentimiento en el sentido del RGPD. Sí necesitas un aviso en el momento de la recogida y una forma operativa de excluirse de la venta y del intercambio de datos, y muchos sitios usan un banner o un enlace en el pie de página para ofrecer ambas cosas. ### ¿Se aplica la CCPA a empresas de fuera de California? Sí, si la empresa supera los umbrales de la ley y trata información personal de residentes en California. Para que la ley se aplique no es necesario tener una oficina ni personal en California. ### ¿Usar Google Analytics supone una venta o un intercambio de datos según la CCPA? Depende de cómo esté configurado y contratado. Los datos de analítica tratados únicamente por cuenta tuya en virtud de un contrato de proveedor de servicios reciben un trato distinto de los datos utilizados para publicidad comportamental entre contextos, así que revisa con tu asesor jurídico ajustes como las integraciones publicitarias. ### ¿Quién vela por el cumplimiento de la CCPA y la CPRA? Tanto el fiscal general de California como la California Privacy Protection Agency, creada por la CPRA, tienen potestades de control. La agencia también dicta el reglamento que establece los detalles operativos, como la forma de procesar las señales de preferencia de exclusión. ## Sources - [California Consumer Privacy Act (CCPA), California Attorney General](https://oag.ca.gov/privacy/ccpa) - [California Privacy Protection Agency](https://cppa.ca.gov/) - [Global Privacy Control](https://globalprivacycontrol.org/)