California
Leyes de Privacidad Biométrica de California: Recolección, Consentimiento y Sanciones (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 14 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 14 de agosto de 2026. · 15 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
California trata los datos biométricos como información personal sensible bajo la CCPA/CPRA (Cal. Civ. Code 1798.100 y siguientes) en lugar de mediante un estatuto independiente. Esto otorga a los consumidores el derecho a saber qué información biométrica recolectan las empresas, solicitar su eliminación y limitar su uso más allá de lo razonablemente necesario.
California no cuenta con un estatuto de privacidad biométrica independiente como la BIPA de Illinois. En cambio, el estado incorpora los datos biométricos a su marco integral de privacidad del consumidor bajo la California Consumer Privacy Act (CCPA), modificada por la California Privacy Rights Act (CPRA). Para cualquier persona que recolecte huellas dactilares, escaneos faciales o huellas de voz en California, las reglas están integradas en todo el ecosistema de las Leyes de Privacidad de Datos de California.
Esto significa que las protecciones biométricas en California provienen de múltiples fuentes superpuestas: derechos del consumidor bajo la CCPA/CPRA, estatutos de notificación de filtraciones, restricciones del código laboral, y nuevas regulaciones de la CPPA sobre toma de decisiones automatizada. Esto es lo que necesita saber.
Cómo Define California la Información Biométrica
La CCPA define la "información biométrica" bajo el Cal. Civ. Code 1798.140(c) como:
Información biométrica significa las características fisiológicas, biológicas o conductuales de una persona, incluida la información relativa al ácido desoxirribonucleico (ADN) de esa persona, que se usa o se pretende usar, individualmente o en combinación entre sí o con otros datos de identificación, para establecer la identidad individual.
El estatuto enumera ejemplos específicos:
- Imágenes de huellas dactilares, rostro, mano, palma y patrones de venas
- Escaneos de iris y retina
- Grabaciones de voz de las que se pueden extraer identificadores
- Patrones o ritmos de tecleo
- Patrones o ritmos de marcha
- Datos de sueño, salud o ejercicio que contengan información de identificación
La información biométrica también se clasifica como un tipo de "información personal" bajo la Sección 1798.140(v)(1)(E).
Clasificación como Información Personal Sensible
Bajo las enmiendas de la CPRA, la información biométrica procesada con el fin de identificar de manera única a un consumidor califica como "información personal sensible" según la Sección 1798.140(ae). Esta clasificación elevada activa protecciones más estrictas que la información personal regular.
Una distinción importante: las fotografías por sí solas no son información biométrica bajo la CCPA. Sin embargo, las fotografías usadas o almacenadas con fines de reconocimiento facial sí califican.
Derechos del Consumidor Sobre los Datos Biométricos
Debido a que los datos biométricos son información personal sensible, los consumidores de California tienen varios derechos específicos bajo la CCPA/CPRA:
Derecho a Limitar el Uso y la Divulgación. Los consumidores pueden indicar a las empresas que limiten el uso de sus datos biométricos a lo "necesario para realizar los servicios o proporcionar los bienes que razonablemente espera un consumidor promedio". Las empresas deben proporcionar un enlace "Limitar el Uso de Mi Información Personal Sensible" en sus sitios web.
Derecho a Saber. Los consumidores pueden solicitar que una empresa revele qué información biométrica ha recolectado, las fuentes de las que la recolectó, el propósito comercial de recolectarla, y las categorías de terceros con quienes se ha compartido.
Derecho a Eliminar. Los consumidores pueden solicitar la eliminación de sus datos biométricos. Las empresas deben cumplir e indicar a los proveedores de servicios que también eliminen los datos.
Derecho a Corregir. Si los datos biométricos son inexactos, los consumidores pueden solicitar su corrección.
Derecho a Optar por No Participar en la Venta o el Intercambio. Los consumidores pueden optar por no participar en la venta o el intercambio de su información biométrica con terceros.
Sin Represalias. Las empresas no pueden discriminar a los consumidores que ejerzan estos derechos negándoles bienes, cobrándoles precios diferentes u ofreciéndoles un nivel de calidad de servicio distinto.
Derecho de Acción Privado por Filtraciones de Datos Biométricos
El Cal. Civ. Code 1798.150 otorga a los consumidores el derecho a demandar cuando su información personal no cifrada es expuesta mediante una filtración de datos causada por la falta de una empresa en mantener una seguridad razonable. Esta es una de las pocas áreas donde la ley de California permite demandas privadas en lugar de depender únicamente de la aplicación por parte de agencias.
La "información personal" en el contexto de filtraciones incluye el nombre de una persona combinado con "datos biométricos únicos generados a partir de mediciones o análisis técnicos de características del cuerpo humano, como una huella dactilar, retina o imagen del iris, utilizados para autenticar a una persona específica".
Qué Pueden Recuperar los Consumidores
- Daños legales: de $107 a $799 por consumidor por incidente
- Daños reales si son mayores que los daños legales
- Compensación cautelar o declaratoria
- Cualquier otra compensación que el tribunal considere apropiada
Requisitos Antes de Presentar una Demanda
Los consumidores deben proporcionar a la empresa un aviso escrito de 30 días identificando las infracciones específicas antes de presentar una demanda por daños legales. Si es posible subsanar la infracción, cuando la empresa efectivamente la subsana dentro de esos 30 días y proporciona una declaración escrita confirmando la corrección, no se pueden buscar daños legales. Las demandas por daños reales no requieren aviso previo.
Esa excepción de subsanación es más limitada de lo que parece. La Sección 1798.150(b) establece expresamente que la implementación y el mantenimiento de procedimientos y prácticas de seguridad razonables conforme a la Sección 1798.81.5 después de una filtración no constituye una subsanación respecto de esa filtración. Debido a que este derecho de acción privado existe únicamente para filtraciones causadas por la falta de mantener una seguridad razonable, una empresa no puede desestimar una demanda simplemente reforzando su seguridad después de los hechos.
Este derecho de acción privado se aplica únicamente a los escenarios de filtraciones de datos. Para otras infracciones de la CCPA que involucren datos biométricos, el cumplimiento se realiza a través de la Fiscalía General y la CPPA.
Requisitos de Notificación de Filtraciones
Los estatutos de notificación de filtraciones de California, Cal. Civ. Code 1798.29 (agencias gubernamentales) y 1798.82 (empresas), exigen notificación cuando se comprometen datos biométricos no cifrados. Obtenga más información en nuestra guía de Leyes de Notificación de Filtraciones de Datos de California.
Los requisitos clave para las filtraciones de datos biométricos incluyen:
- Plazo: Los dos estatutos establecen normas distintas. Las empresas deben notificar dentro de los 30 días calendario posteriores al descubrimiento o la notificación de la filtración conforme a la Sección 1798.82(a)(2)(A), aunque ese plazo puede retrasarse por las necesidades legítimas de las fuerzas del orden o según sea necesario para determinar el alcance de la filtración y restaurar la integridad del sistema de datos. Las agencias gubernamentales bajo la Sección 1798.29 no tienen un plazo fijo en absoluto: deben notificar «en el tiempo más expedito posible y sin demora injustificada»
- Aviso a la Fiscalía General: Requerido cuando se ven afectados más de 500 residentes de California
- Instrucciones especiales para datos biométricos (opcional): A discreción de la empresa, los avisos de filtración que involucren datos biométricos pueden incluir instrucciones sobre cómo notificar a otras entidades que usaron el mismo tipo de datos biométricos como autenticador, para que esas entidades puedan dejar de confiar en los datos comprometidos
- Contenido requerido: Los avisos deben seguir un formato prescrito con encabezados que incluyan "Qué Sucedió", "Qué Información Estuvo Involucrada", "Qué Estamos Haciendo", "Qué Puede Hacer Usted" y "Para Más Información"
Obligaciones de los Empleadores en Materia de Datos Biométricos
Los empleadores de California enfrentan requisitos específicos de datos biométricos provenientes de múltiples fuentes.
Cobertura de Empleados Bajo la CCPA/CPRA
La exención de información personal de empleados bajo la CCPA expiró el 1 de enero de 2023. Desde entonces, los empleados de California tienen los mismos derechos que los consumidores con respecto a sus datos biométricos. Los empleadores que recolectan huellas dactilares para relojes de tiempo, escaneos faciales para acceso a edificios, u otros identificadores biométricos deben:
- Proporcionar aviso en o antes del momento de la recolección de datos biométricos
- Respetar las solicitudes de los empleados para saber, eliminar, corregir y limitar el uso de datos biométricos
- Permitir que los empleados limiten el uso de datos biométricos a lo necesario para la relación laboral
- Mantener procedimientos de seguridad razonables para proteger los datos biométricos
Sección 1051 del Código Laboral de California
El Código Laboral de California 1051 agrega una protección más antigua y limitada. Constituye un delito menor exigir a un empleado o solicitante de empleo, como condición para obtener o conservar el trabajo, que sea fotografiado o le tomen las huellas dactilares por un tercero que desee esa fotografía o huella dactilar (o información sobre ella) para proporcionarla a otro empleador o tercero, cuando pudiera usarse en perjuicio del empleado o solicitante. Es un estatuto contra las listas negras dirigido a terceros que recopilan datos para compartirlos con otros empleadores.
Esto significa que los empleadores no pueden condicionar un empleo a que el trabajador se someta a ser fotografiado o a que le tomen las huellas dactilares por un tercero con la intención de incluirlo en una lista negra con otros empleadores. El estatuto no restringe, por sí mismo, la forma en que un empleador comparte los datos biométricos que recopila y controla legalmente para sus propios fines internos, como el control de asistencia.
Cumplimiento y Sanciones
Dos agencias comparten la autoridad de cumplimiento sobre las infracciones de datos biométricos en California.
California Privacy Protection Agency (CPPA)
La CPPA fue creada por la CPRA en 2020 y tiene la autoridad principal de cumplimiento. A partir de 2025, la CPPA puede imponer:
- $2,663 por infracción no intencional (ajustado anualmente por inflación)
- $7,988 por infracción intencional
- $7,988 por infracción que involucre datos de un menor
La CPPA ha estado activa. Solo en 2025, emitió una multa de $632,500 contra Honda, una multa de $345,178 contra Todd Snyder, y lanzó un Grupo Especial de Cumplimiento contra Corredores de Datos. Aunque ninguna de estas acciones apuntó específicamente al mal uso de datos biométricos, demuestran la disposición de la agencia a imponer sanciones significativas.
Fiscalía General
La Fiscalía General de California conserva autoridad de cumplimiento concurrente bajo el Cal. Civ. Code 1798.199.90. La AG puede emprender acciones civiles por infracciones de la CCPA, incluidas las que involucren datos biométricos.
Nuevas Regulaciones de la CPPA Vigentes en 2026
La CPPA finalizó nuevas regulaciones el 23 de septiembre de 2025, vigentes desde el 1 de enero de 2026, que cubren tecnología de toma de decisiones automatizada (ADMT), evaluaciones de riesgo y auditorías de ciberseguridad. Estas regulaciones tienen implicaciones directas para los datos biométricos:
Tecnología de Toma de Decisiones Automatizada. Las empresas que usan ADMT para procesar información biométrica con fines de elaboración de perfiles o verificación de identidad deben cumplir con nuevos requisitos a partir del 1 de enero de 2027. Esto incluye proporcionar avisos previos al uso, ofrecer opciones de exclusión, y realizar evaluaciones de precisión y auditorías de no discriminación.
Evaluaciones de Riesgo. El procesamiento de datos biométricos con fines de elaboración de perfiles o verificación de identidad califica como procesamiento de "riesgo significativo". Las empresas que realizan dicho procesamiento deben completar evaluaciones de riesgo y presentar certificaciones a la CPPA antes del 1 de abril de 2028.
Auditorías de Ciberseguridad. Las empresas que procesan información personal sensible, incluidos datos biométricos, a gran escala pueden necesitar realizar auditorías anuales de ciberseguridad. Los plazos están escalonados según los ingresos, y las empresas más grandes (más de $100 millones) deben presentar certificaciones antes del 1 de abril de 2028.
Expansiones Legislativas Recientes
California continúa ampliando el alcance de las protecciones relacionadas con lo biométrico a través de nueva legislación.
SB 1223: Protección de Datos Neuronales (Vigente desde el 1 de Enero de 2025)
La SB 1223 agregó los "datos neuronales" a la definición de información personal sensible bajo la Sección 1798.140(ae). Los datos neuronales se definen como información generada al medir la actividad del sistema nervioso central o periférico de un consumidor, que no se infiere a partir de información no neuronal.
Esto otorga a los datos de ondas cerebrales provenientes de dispositivos EEG, dispositivos de neurorretroalimentación e interfaces cerebro-computadora el mismo nivel de protección que las huellas dactilares y los escaneos faciales. California se convirtió en el primer estado en proteger explícitamente los datos neuronales bajo una ley de privacidad del consumidor.
AB 1008: Cobertura de Modelos de IA (Vigente desde el 1 de Enero de 2025)
La AB 1008 aclaró que los datos biométricos recolectados sin el conocimiento de un consumidor nunca pueden considerarse información "disponible públicamente", sin importar el contexto. La ley también amplió la definición de "información personal" para cubrir formatos digitales abstractos, incluyendo los pesos y tokens de modelos de IA derivados de la información personal de un consumidor.
Para los datos biométricos específicamente, esto significa que un modelo de reconocimiento facial entrenado con imágenes del rostro de un consumidor sin su conocimiento no puede alegar que esos datos estaban "disponibles públicamente" y, por lo tanto, exentos de los requisitos de la CCPA.
Cómo Se Compara California con la BIPA de Illinois
El enfoque de California difiere significativamente del de la Ley de Privacidad de Información Biométrica de Illinois (BIPA), que es la ley de privacidad biométrica independiente más agresiva del país.
| Característica | California (CCPA/CPRA) | Illinois (BIPA) |
|---|---|---|
| Tipo de Ley | Ley integral de privacidad | Estatuto biométrico independiente |
| Consentimiento Requerido | Aviso + derecho a limitar el uso | Consentimiento informado por escrito antes de la recolección |
| Derecho de Acción Privado | Solo filtraciones de datos (1798.150) | Cualquier infracción del estatuto |
| Daños | $107-$799 por incidente de filtración | $1,000-$5,000 por infracción |
| Retención/Destrucción | Derechos generales de eliminación | Política de retención escrita obligatoria |
| Cumplimiento | CPPA + AG + acción privada limitada | Demandas privadas + AG |
California proporciona una cobertura más amplia ya que las protecciones biométricas forman parte de un marco integral de privacidad de datos. Sin embargo, el derecho de acción privado es mucho más limitado que en Illinois, donde los demandantes individuales han impulsado miles de millones de dólares en acuerdos.
Más Leyes de California
- Leyes de Grabación de Reuniones con IA de California
- Leyes de Pensión Alimenticia Conyugal de California
- Leyes de Empleo a Voluntad de California
- Leyes de Accidentes Automovilísticos de California
- Leyes de Asientos de Seguridad para Niños de California
- Leyes de Custodia de Menores de California
- Leyes de Manutención Infantil de California
- Leyes de Matrimonio de Hecho de California
- Leyes sobre Deepfakes de California
- Leyes de Divorcio de California
- Leyes sobre Mordeduras de Perro de California
- Leyes de Emancipación de California
- Leyes de Eliminación de Antecedentes Penales de California
- Leyes sobre Atropello y Fuga de California
- Leyes de Propietarios e Inquilinos de California
- Ley del Limón de California
Fuentes y Referencias
Este artículo hace referencia a estatutos de California, materiales regulatorios y publicaciones oficiales de agencias. Para el texto completo de la CCPA/CPRA, visite el sitio de California Legislative Information. Para la actividad de cumplimiento y elaboración de normas vigente de la CPPA, visite cppa.ca.gov.
Este artículo proporciona información legal general sobre las leyes de privacidad biométrica de California. No constituye asesoría legal. Consulte a un abogado calificado para obtener orientación sobre su situación específica. Las leyes y regulaciones cambian con frecuencia. Verifique los requisitos vigentes a través de fuentes oficiales del gobierno de California.
Preguntas frecuentes
¿California tiene una ley de privacidad biométrica como la BIPA de Illinois?
No. California no cuenta con un estatuto de privacidad biométrica independiente. En cambio, los datos biométricos están protegidos como 'información personal sensible' bajo la CCPA/CPRA (Cal. Civ. Code 1798.100 y siguientes). Esto otorga a los consumidores el derecho a saber qué datos biométricos se recolectan, solicitar su eliminación, limitar su uso y optar por no participar en su venta. Las protecciones son integrales pero están incorporadas dentro de la ley de privacidad más amplia en lugar de existir como un estatuto independiente específico para lo biométrico.
¿Puedo demandar a una empresa en California por recolectar mis huellas dactilares sin consentimiento?
El derecho de acción privado bajo el Cal. Civ. Code 1798.150 se limita a escenarios de filtraciones de datos donde una empresa no mantuvo una seguridad razonable y sus datos biométricos no cifrados quedaron expuestos. No puede demandar bajo la CCPA simplemente por la recolección de datos biométricos sin aviso adecuado. Para infracciones que no involucren una filtración, tendría que presentar una queja ante la CPPA o la Fiscalía General, quienes pueden emprender acciones de cumplimiento en su nombre.
¿Qué datos biométricos deben proteger los empleadores de California?
Desde que la exención de empleados expiró el 1 de enero de 2023, los empleadores de California deben tratar los datos biométricos de los empleados de la misma manera que los datos biométricos de los consumidores bajo la CCPA/CPRA. Esto incluye huellas dactilares de relojes de tiempo, escaneos faciales para control de acceso y huellas de voz. Los empleadores deben proporcionar aviso antes de la recolección, respetar las solicitudes de eliminación y acceso, y permitir que los empleados limiten el uso de sus datos biométricos. El Código Laboral de California 1051 establece, por separado, que es un delito menor condicionar un empleo a que el trabajador sea fotografiado o le tomen las huellas dactilares por un tercero que tenga la intención de proporcionar esos datos a otro empleador en perjuicio del trabajador.
¿Cuáles son las sanciones por el manejo inadecuado de datos biométricos en California?
La CPPA puede imponer multas de $2,663 por infracción no intencional y $7,988 por infracción intencional o infracciones que involucren a menores (montos de 2025, ajustados anualmente). Para las filtraciones de datos que involucren datos biométricos, los consumidores pueden demandar por $107 a $799 por incidente por consumidor bajo el Cal. Civ. Code 1798.150. La Fiscalía General también puede emprender acciones civiles de cumplimiento. Los empleadores que condicionen el empleo a ser fotografiados o a que les tomen las huellas dactilares por un tercero con la intención de proporcionar esos datos a otro empleador, en infracción del Código Laboral 1051, enfrentan cargos de delito menor.
¿La ley de California cubre el reconocimiento facial y los sistemas biométricos basados en IA?
Sí. La CCPA cubre los datos biométricos extraídos de la tecnología de reconocimiento facial, y las fotografías almacenadas con fines de reconocimiento facial califican como información biométrica. La AB 1008 (vigente desde enero de 2025) aclaró que los datos biométricos recolectados sin el conocimiento de un consumidor no pueden clasificarse como disponibles públicamente, cerrando una posible laguna para los sistemas de reconocimiento facial. Las nuevas regulaciones de la CPPA vigentes desde el 1 de enero de 2026 imponen requisitos adicionales a la tecnología de toma de decisiones automatizada que procesa datos biométricos con fines de elaboración de perfiles o verificación de identidad.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Se corrigió el plazo de notificación de filtraciones para distinguir el límite de 30 días aplicable a las empresas bajo el Código Civil 1798.82 del estándar de tiempo más expedito posible aplicable a las agencias gubernamentales bajo el 1798.29, y se agregó la excepción legal que establece que reforzar la seguridad después de una filtración no constituye una subsanación bajo el 1798.150(b).
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Se corrigió la descripción del Código Laboral 1051 (es una disposición limitada contra las listas negras sobre la toma de fotografías o huellas dactilares por terceros como condición de empleo, no una prohibición general de que los empleadores compartan datos biométricos recopilados internamente) y se corrigió la viñeta de aviso de filtración de la CCPA que presentaba la instrucción opcional de notificación cruzada de datos biométricos (Cal. Civ. Code 1798.82(d)(3)(C)) como obligatoria.
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en las disposiciones legales a continuación, conservadas en nuestro propio registro jurídico y obtenidas de la fuente oficial. Toque una sección para leer el texto vigente.
California Civil Code
§ 1798.100Vigentecitada en 13 de nuestros artículos
General Duties of Businesses that Collect Personal Information (a) A business that controls the collection of a consumer’s personal information shall, at or before the point of collection, inform consumers of the following: (1) The categories of personal information to be collected and the purposes for which the categories of personal information are collected or used and whether that information is sold or shared. A business shall not collect additional categories of personal information or use personal information collected for additional purposes that are incompatible with the disclosed purpose for which the personal information was collected without providing the consumer with notice consistent with this section. (2) If the business collects sensitive personal information, the categories of sensitive personal information to be collected and the purposes for which the categories of sensitive personal information are collected or used, and whether that information is sold or shared.
Texto oficial (extracto) · verificado el 2026-08-31 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
Citada en 36 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026
Resoluciones que citan esta sección en nuestra colección:
- Untitled California Attorney General Opinion (California Attorney General Reports 2022)“…ROUND The California Consumer Privacy Act of 2018 (Civil Code, §§ 1798.100 et seq.) is the first law of its kind i…”
- Troester v. Starbucks Corporation (California Supreme Court 2018, 235 Cal. Rptr. 3d 820)“…he consumer law context. (See Consumer Privacy Act of 2018, Civ. Code, § 1798.100 et seq. (added by Stats. 2018, ch. 55,…”
- Hajny v. Volkswagen Group of America CA1/1 (California Court of Appeal 2024)“…ions of the California Consumer Privacy Act of 2018 (CCPA), Civil Code section 1798.100 et seq. Shortly after Wynne filed…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
También citada en: Cómo solicitar sus datos personales: derechos por estado
§ 1798.140Vigentecitada en 14 de nuestros artículos
Definitions For purposes of this title: (a) “Advertising and marketing” means a communication by a business or a person acting on the business’ behalf in any medium intended to induce a consumer to obtain goods, services, or employment. (b) “Aggregate consumer information” means information that relates to a group or category of consumers, from which individual consumer identities have been removed, that is not linked or reasonably linkable to any consumer or household, including via a device. “Aggregate consumer information” does not mean one or more individual consumer records that have been deidentified. (c) “Biometric information” means an individual’s physiological, biological, or behavioral characteristics, including information pertaining to an individual’s deoxyribonucleic acid (DNA), that is used or is intended to be used singly or in combination with each other or with other identifying data, to establish individual identity.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
Citada en 12 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026
Resoluciones que citan esta sección en nuestra colección:
- Untitled California Attorney General Opinion (California Attorney General Reports 2022)“…e business uses and shares that information. 26 21 Civ. Code, § 1798.140, subd. (c)(1)(A)-(C). 22 Civ. Code…”
- Netchoice, LLC v. Bonta (Court of Appeals for the Ninth Circuit 2026)“…cisionmaking, or choice, as further defined by regulation.” Cal. Civ. Code § 1798.140(l); id. § 1798.99.30(a). 40…”
- Keown v. International Association of Sheet Metal Air Rail Transportation Workers (District Court, District of Columbia 2024)“…or financial benefit of its shareholders or other owners.” Cal. Civ. Code § 1798.140(d)(1). As for the UCL, both state and f…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
También citada en: Cómo Presentar una Solicitud de Eliminación de Datos (2026), ¿Son legales las cámaras Flock? Leyes y límites judiciales
§ 1798.150Vigentecitada en 13 de nuestros artículos
Personal Information Security Breaches (a) (1) Any consumer whose nonencrypted and nonredacted personal information, as defined in subparagraph (A) of paragraph (1) of subdivision (d) of Section 1798.81.5, or whose email address in combination with a password or security question and answer that would permit access to the account is subject to an unauthorized access and exfiltration, theft, or disclosure as a result of the business’ violation of the duty to implement and maintain reasonable security procedures and practices appropriate to the nature of the information to protect the personal information may institute a civil action for any of the following: (A) To recover damages in an amount not less than one hundred dollars ($100) and not greater than seven hundred and fifty ($750) per consumer per incident or actual damages, whichever is greater. The amounts in this subdivision shall be adjusted pursuant to subdivision (d) of Section 1798.199.95. (B) Injunctive or declaratory relief. (C) Any other relief the court deems proper.
Texto oficial (extracto) · verificado el 2026-09-17 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
Citada en 41 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2025
Resoluciones que citan esta sección en nuestra colección:
- Jarman v. HCR ManorCare, Inc. (California Supreme Court 2020, 267 Cal. Rptr. 3d 696)“…of the harm, as it has done in other contexts. (See, e.g., Civ. Code, § 1798.150, subd. (a)(2).) These deficiencie…”
- Untitled California Attorney General Opinion (California Attorney General Reports 2022)“…ubd. (c). 48 Civ. Code, § 1798.155, subd. (b). 49 Civ. Code, § 1798.150. 50 Initiative Measure (Prop. 24)…”
- Hajny v. Volkswagen Group of America CA1/1 (California Court of Appeal 2024)“…750 without having to prove causation and actual damages. (Civ. Code, § 1798.150, subd. (a)(1)(A).) No other state provi…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 1798.81.5Vigente
(a) (1) It is the intent of the Legislature to ensure that personal information about California residents is protected. To that end, the purpose of this section is to encourage businesses that own, license, or maintain personal information about Californians to provide reasonable security for that information. (2) For the purpose of this section, the terms “own” and “license” include personal information that a business retains as part of the business’ internal customer account or for the purpose of using that information in transactions with the person to whom the information relates. The term “maintain” includes personal information that a business maintains but does not own or license. (b) A business that owns, licenses, or maintains personal information about a California resident shall implement and maintain reasonable security procedures and practices appropriate to the nature of the information, to protect the personal information from unauthorized access, destruction, use, modification, or disclosure.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
§ 1798.82Vigentecitada en 3 de nuestros artículos
(a) (1) An individual or business that conducts business in California, and that owns or licenses computerized data that includes personal information, shall disclose a breach of the security of the system following discovery or notification of the breach in the security of the data to a resident of California whose unencrypted personal information was, or is reasonably believed to have been, acquired by an unauthorized person, or whose encrypted personal information was, or is reasonably believed to have been, acquired by an unauthorized person and the encryption key or security credential was, or is reasonably believed to have been, acquired by an unauthorized person, and the person or business that owns or licenses the encrypted information has a reasonable belief that the encryption key or security credential could render that personal information readable or usable. (2) (A) Subject to subparagraph (B), the disclosure required by this subdivision shall be made within 30 calendar days of discovery or notification of the data breach.
Texto oficial (extracto) · verificado el 2026-08-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
Citada en 39 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026
En los tribunales (resumen editorial, verificado de forma independiente):El deber de aviso se hace cumplir por la vía de la competencia desleal. En People v. Experian Data Corp. (2024), un caso de primera impresión, el Court of Appeal sostuvo que el fiscal municipal de San Diego puede invocar la regla de descubrimiento para retrasar el inicio del plazo de una demanda cuya infracción base fue que Experian no dio el aviso que exige la Section 1798.82(a).
Resoluciones que citan esta sección en nuestra colección:
- People v. Experian Data Corp. (California Court of Appeal 2024)✓El fiscal municipal de San Diego demandó a Experian bajo la ley de competencia desleal por no notificar con prontitud a los consumidores una filtración de datos, como exige la Sección 1798.82; el tribunal sostuvo que la regla de descubrimiento puede retrasar el inicio del plazo y revocó el fallo.
- Bank of America Corp. v. Superior Court (California Court of Appeal 2011, 198 Cal. App. 4th 862)“…ssue notice of default) (6th cause of action); violation of Civil Code section 1798.82 (requiring disclosure to consumer of da…”
- Eisenhower Medical Center v. Superior Court (California Court of Appeal 2014, 226 Cal. App. 4th 430)“…of action for violation of the Customer Records Act (CRA) (Civ.Code, § 1798.82), which requires notification to consum…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 1798.29Vigentecitada en 2 de nuestros artículos
(a) Any agency that owns or licenses computerized data that includes personal information shall disclose any breach of the security of the system following discovery or notification of the breach in the security of the data to any resident of California (1) whose unencrypted personal information was, or is reasonably believed to have been, acquired by an unauthorized person, or, (2) whose encrypted personal information was, or is reasonably believed to have been, acquired by an unauthorized person and the encryption key or security credential was, or is reasonably believed to have been, acquired by an unauthorized person and the agency that owns or licenses the encrypted information has a reasonable belief that the encryption key or security credential could render that personal information readable or usable. The disclosure shall be made in the most expedient time possible and without unreasonable delay, consistent with the legitimate needs of law enforcement, as provided in subdivision (c), or any measures necessary to determine the scope of the breach and restore the reasonable integrity of the data system.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
Citada en 4 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2024
Resoluciones que citan esta sección en nuestra colección:
- Beeman v. Anthem Prescription Management, LLC (California Supreme Court 2013, 58 Cal. 4th 329)“…usiness maintaining computerized personal information data (Civ. Code, §§ 1798.29, 1798.82), or the nature and investment…”
- Sifuentes v. X Corp. (District Court, N.D. California 2024)“…4 (9) Violations of California Civil Code sections 1798.29 and 1798.82, (id. at ¶¶ 90-97), 5…”
- Damner v. Facebook Incorporated (District Court, N.D. California 2020)“…enant of good faith and 8 fair dealing; (7) violation of Cal. Civ. Code § 1798.29; and (8) fraudulent and negligent 9…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 1798.199.90Vigentecitada en 2 de nuestros artículos
(a) Any business, service provider, contractor, or other person that violates this title shall be subject to an injunction and liable for a civil penalty of not more than two thousand five hundred dollars ($2,500) for each violation or seven thousand five hundred dollars ($7,500) for each intentional violation and each violation involving the personal information of minor consumers, as adjusted pursuant to subdivision (d) of Section 1798.199.95, which shall be assessed and recovered in a civil action brought in the name of the people of the State of California by the Attorney General. The court may consider the good faith cooperation of the business, service provider, contractor, or other person in determining the amount of the civil penalty. (b) (1) (A) Ninety-five percent of any civil penalty recovered by an action brought by the Attorney General for a violation of this title, and of the proceeds of any settlement of those actions, shall be deposited into the Attorney General Consumer Privacy Enforcement Subfund created within the Consumer Privacy Fund pursuant to subdivision (c) of Section 1798.160 to support the Attorney General in the enforcement of this title.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
California Labor Code
§ 1051Vigente
Except as provided in Section 1057, any person or agent or officer thereof, who requires, as a condition precedent to securing or retaining employment, that an employee or applicant for employment be photographed or fingerprinted by any person who desires his or her photograph or fingerprints for the purpose of furnishing the same or information concerning the same or concerning the employee or applicant for employment to any other employer or third person, and these photographs and fingerprints could be used to the detriment of the employee or applicant for employment is guilty of a misdemeanor.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
Citada en 1 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2014
Resoluciones que citan esta sección en nuestra colección:
- Gunawan v. Howroyd-Wright Employment Agency (District Court, C.D. California 2014, 997 F. Supp. 2d 1058)“…mployee or applicant” engaged in protected activity) and Cal. Labor Code § 1051 (providing protection for the fingerpr…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Fuentes y referencias
- Texto completo de la California Consumer Privacy Act(leginfo.legislature.ca.gov).gov
- Cal. Civ. Code 1798.140 - Definiciones de la CCPA, incluyendo información biométrica(leginfo.legislature.ca.gov).gov
- Cal. Civ. Code 1798.150 - Derecho de acción privado por filtraciones de datos(leginfo.legislature.ca.gov).gov
- Cal. Civ. Code 1798.82 - Requisitos de notificación de filtraciones(leginfo.legislature.ca.gov).gov
- Cal. Civ. Code 1798.29 - Requisitos de notificación de filtraciones para agencias(leginfo.legislature.ca.gov).gov
- Código Laboral de California Sección 1051 - Prohibición de compartir huellas dactilares de empleados(leginfo.legislature.ca.gov).gov
- SB 1223 - Datos neuronales como información personal sensible(leginfo.legislature.ca.gov).gov
- AB 1008 - Cobertura de modelos de IA y aclaraciones sobre datos biométricos(leginfo.legislature.ca.gov).gov
- CPPA Acerca de Nosotros - Autoridad y misión de la agencia(cppa.ca.gov).gov
- Anuncio de aumento de sanciones de la CPPA para 2025(cppa.ca.gov).gov
- La CPPA finalizó las regulaciones de ADMT, evaluación de riesgos y auditoría de ciberseguridad(cppa.ca.gov).gov
- Acción de cumplimiento del acuerdo de la CPPA con Honda(cppa.ca.gov).gov
- Acción de cumplimiento de la CPPA con Todd Snyder(cppa.ca.gov).gov
- Información de la CCPA de la Fiscalía General de California(oag.ca.gov).gov
- Requisitos de reporte de filtraciones de datos de la OAG(oag.ca.gov).gov