CCPA, CPRA y leyes estatales de privacidad de EE. UU. para sitios web
Qué exigen la CCPA, modificada por la CPRA, y las leyes estatales de EE. UU. a los sitios con cookies: aviso, opt-out de la venta y el intercambio, y GPC.
Opt-out en lugar de opt-in
Las leyes estatales de privacidad de EE. UU. funcionan sobre todo con opt-out: un sitio puede usar cookies de analítica y publicidad, pero debe informar a los visitantes y permitirles oponerse a la venta de su información personal, a su intercambio para publicidad conductual entre contextos y, en la mayoría de los estados, a la publicidad dirigida. Las cookies y los píxeles publicitarios de terceros suelen ser una «venta» o un «intercambio» según estas leyes.
La California Consumer Privacy Act
La CCPA, modificada por la CPRA (en vigor desde 2023), se aplica a las empresas con ánimo de lucro que operan en California y cumplen uno de tres umbrales: ingresos brutos anuales superiores a 25 millones de dólares (ajustados por inflación), comprar, vender o compartir la información personal de 100.000 o más consumidores u hogares, u obtener al menos la mitad de sus ingresos de vender o compartir información personal. Exige:
- un aviso en el momento de la recogida que explique qué se recoge y por qué;
- un enlace «Do Not Sell or Share My Personal Information» u otro enlace de opt-out;
- respetar las señales de navegador Global Privacy Control (GPC) como opt-out válido;
- responder a las solicitudes de acceso, supresión y rectificación en 45 días.
La California Privacy Protection Agency y el fiscal general la hacen cumplir, con multas por infracción ajustadas por inflación y más altas para las infracciones intencionadas y las que afectan a menores.
Otros estados
Virginia, Colorado, Connecticut, Utah, Texas, Oregón, Montana y una lista creciente de estados tienen leyes de privacidad generales con derechos de opt-out similares. Varios de ellos, entre ellos Colorado, Connecticut, Texas y Oregón, exigen respetar señales universales de opt-out como GPC. Los umbrales, las reglas sobre datos sensibles y los plazos varían según el estado.
Cómo le ayuda Consentl
- Una regla para EE. UU. lista para usar: opt-out, con un aviso y un enlace a las preferencias donde los visitantes pueden desactivar la venta o el intercambio de sus datos.
- Global Privacy Control respetado automáticamente: una señal GPC cuenta como opt-out y el registro lo indica.
- Etiquetas retenidas tras un opt-out y Google Consent Mode actualizado.
- Un formulario de solicitudes con el plazo de 45 días de la CCPA en su panel, y solicitudes «Do Not Sell or Share» sin verificación de identidad, como exige la normativa.
Preguntas frecuentes
¿La CCPA se aplica a un sitio pequeño?
Solo si la empresa alcanza uno de los umbrales. Las leyes de otros estados tienen sus propios umbrales, a menudo basados en el número de residentes cuyos datos trata.
¿Necesito un banner de cookies para la CCPA?
La CCPA no exige un banner opt-in, pero debe informar y ofrecer un opt-out sencillo. Un banner con enlace a las preferencias es una forma habitual de hacer ambas cosas.
Esta página ofrece información general, no asesoramiento jurídico. Las leyes y las guías cambian; compruebe las normas vigentes para su caso.