Lista de Verificación de Cumplimiento de la CCPA para Empresas (2026)

Cumplir con los requisitos de la California Consumer Privacy Act (CCPA) implica mucho más que actualizar una política de privacidad. Las empresas que cumplen con los umbrales de aplicabilidad de la ley deben construir procesos operativos para manejar las solicitudes de los consumidores, gestionar las relaciones con proveedores y documentar las prácticas de datos. Las enmiendas de la CPRA (vigentes desde el 1 de enero de 2023) y las actualizaciones regulatorias de 2026 agregaron más requisitos en torno a la información personal sensible, las evaluaciones de riesgo, las auditorías de ciberseguridad y la tecnología de toma de decisiones automatizada (ADMT).

Esta lista de verificación recorre cada obligación de cumplimiento en términos prácticos, organizada por prioridad de implementación. Ya sea que esté comenzando desde cero o auditando un programa existente, cada paso corresponde directamente a una disposición específica de la CCPA.

Paso 1: Determine Si la CCPA Se Aplica a Su Empresa

Antes de invertir en infraestructura de cumplimiento, confirme que su empresa cumple con al menos uno de los umbrales de aplicabilidad de la CCPA. A partir del ajuste del IPC de 2025:

• Umbral de ingresos: Los ingresos brutos anuales superan los $26.625 millones en el año calendario anterior
• Umbral de volumen de datos: Compra, vende o comparte información personal de 100,000 o más residentes u hogares de California
• Umbral de ingresos por datos: Obtiene el 50% o más de los ingresos anuales de la venta o el intercambio de información personal de residentes de California

La CCPA se aplica únicamente a empresas con fines de lucro. Las organizaciones sin fines de lucro y las agencias gubernamentales generalmente están exentas. La empresa también debe recolectar información personal de residentes de California (o hacer que otros la recolecten en su nombre) y determinar los propósitos y medios de procesamiento de esa información.

Si su empresa no cumple con ningún umbral hoy, monitoree su crecimiento. Cruzar un umbral a mitad de año activa obligaciones de cumplimiento.

Paso 2: Mapee Sus Datos

El mapeo de datos es la base de todos los demás pasos de cumplimiento. No puede cumplir con las solicitudes de los consumidores, escribir una política de privacidad precisa, ni realizar evaluaciones de riesgo sin saber qué datos recolecta, a dónde van y cuánto tiempo los conserva.

Qué Documentar

Para cada categoría de información personal que su empresa recolecta:

• Fuente: De dónde provienen los datos (directamente de los consumidores, de terceros, recolección automatizada)
• Categorías recolectadas: Identificadores, información comercial, actividad en internet, geolocalización, datos biométricos, información personal sensible, etc.
• Propósito: La razón comercial de recolectar y procesar estos datos
• Destinatarios: Proveedores de servicios, contratistas y terceros que reciben los datos
• Período de retención: Cuánto tiempo conserva los datos antes de eliminarlos
• Venta o intercambio: Si los datos se venden o comparten con fines de publicidad conductual entre contextos

Información Personal Sensible

Marque cualquier categoría que califique como información personal sensible bajo la CPRA: identificadores gubernamentales, credenciales financieras, geolocalización precisa, origen racial o étnico, creencias religiosas, datos genéticos, datos biométricos, datos de salud, datos de orientación sexual, contenido de comunicaciones privadas y datos neuronales.

La información personal sensible activa obligaciones adicionales, incluyendo el derecho del consumidor a limitar su uso y posibles requisitos de evaluación de riesgo.

Paso 3: Actualice Su Política de Privacidad

La CCPA exige que las empresas cubiertas mantengan una política de privacidad actualizada al menos cada 12 meses. La política debe divulgar información específica en un lenguaje claro y comprensible.

Divulgaciones Requeridas en la Política de Privacidad

Su política de privacidad debe incluir:

1. Categorías de información personal recolectada en los 12 meses anteriores
2. Categorías de fuentes de las que se recolecta la información personal
3. Propósitos comerciales de recolectar, vender o compartir información personal
4. Categorías de terceros a quienes se divulga la información personal
5. Categorías de información personal vendida o compartida en los 12 meses anteriores (o una declaración de que la empresa no ha vendido ni compartido información personal)
6. Categorías de información personal divulgada con fines comerciales en los 12 meses anteriores
7. Períodos de retención para cada categoría de información personal (agregado por la CPRA)
8. Una descripción de cada derecho del consumidor e instrucciones sobre cómo presentar solicitudes
9. Métodos para presentar solicitudes: Como mínimo, un número de teléfono gratuito y una dirección de sitio web (para empresas que operan en línea, una dirección de correo electrónico y un formulario web)
10. Fecha de la última actualización

Divulgación de Información Personal Sensible

Si su empresa recolecta información personal sensible, la política de privacidad debe identificar por separado esas categorías y explicar cómo la empresa las usa y divulga.

Accesibilidad

La política de privacidad debe estar disponible en los idiomas en los que la empresa proporciona contratos, avisos legales, anuncios de venta y otra información a los consumidores de California. También debe ser accesible para consumidores con discapacidades.

Paso 4: Implemente los Enlaces Requeridos del Sitio Web

Dependiendo de sus prácticas de datos, la CCPA exige enlaces específicos en la página de inicio de su sitio web.

"No Vender ni Compartir Mi Información Personal"

Si su empresa vende o comparte información personal, debe publicar un enlace claro y visible titulado "No Vender ni Compartir Mi Información Personal" en su página de inicio. Este enlace debe dirigir a una página donde los consumidores puedan presentar una solicitud de exclusión sin crear una cuenta ni proporcionar información personal innecesaria.

"Limitar el Uso de Mi Información Personal Sensible"

Si su empresa usa o divulga información personal sensible más allá de lo necesario para proporcionar los bienes o servicios solicitados por el consumidor, también debe publicar un enlace "Limitar el Uso de Mi Información Personal Sensible".

Opción de Enlace Combinado

Las empresas que respetan las señales de preferencia de exclusión (como Global Privacy Control) pueden usar un único enlace combinado (por ejemplo, "Sus Opciones de Privacidad") en lugar de enlaces separados, siempre que ofrezcan una experiencia sin fricciones para los consumidores que usan esas señales.

Paso 5: Construya un Proceso de Manejo de Solicitudes de Consumidores

La CCPA otorga a los consumidores varios derechos que requieren que las empresas tengan procesos operativos establecidos. Construir estos procesos antes de que lleguen las solicitudes evita apuros de último momento y plazos incumplidos.

Tipos de Solicitudes a Manejar

Canales de Recepción

Proporcione al menos dos métodos para que los consumidores presenten solicitudes. Para las empresas que operan principalmente en línea, las regulaciones de la CPPA exigen:

• Un formulario web interactivo
• Una dirección de correo electrónico, número gratuito o dirección postal

Las solicitudes de exclusión deben poder presentarse sin exigir que el consumidor cree una cuenta.

Proceso de Verificación

Antes de cumplir con una solicitud de conocer, eliminar o corregir información personal, debe verificar la identidad del solicitante. El nivel de verificación debe corresponder a la sensibilidad de la información involucrada:

• Para el acceso a categorías de datos: Coincidir al menos dos puntos de datos que el consumidor proporciona con la información que ya mantiene
• Para el acceso a información específica: Coincidir al menos tres puntos de datos y obtener una declaración firmada bajo pena de perjurio
• Para las solicitudes de eliminación: Coincidir al menos dos puntos de datos

No puede solicitar más información personal de la necesaria para la verificación. Cualquier información recolectada con fines de verificación solo puede usarse para ese propósito.

Cronograma de Respuesta

1. Confirme la recepción dentro de 10 días hábiles, informando al consumidor sobre el proceso de verificación
2. Complete la solicitud dentro de 45 días calendario desde su recepción
3. Si se necesita más tiempo, notifique al consumidor sobre la extensión y la razón antes de que expire el plazo de 45 días
4. Período máximo de respuesta: 90 días calendario desde la recepción

Si deniega una solicitud (total o parcialmente), explique la razón e informe al consumidor sobre su derecho a presentar una queja.

Paso 6: Respete las Señales de Preferencia de Exclusión

Las empresas deben detectar y respetar las señales de preferencia de exclusión enviadas por los navegadores o dispositivos de los consumidores. La señal más común es Global Privacy Control (GPC).

Implementación Técnica

• Configure su sitio web para detectar la señal GPC (el encabezado HTTP Sec-GPC: 1)
• Cuando se detecte, trate la señal como una solicitud válida de exclusión de venta e intercambio
• No muestre una ventana emergente pidiendo al consumidor que confirme la señal
• No exija que el consumidor realice pasos adicionales

El acuerdo de la Fiscalía General con Sephora en 2022 estableció que la falta de respeto a las señales GPC constituye una infracción de la CCPA. La investigación conjunta de California, Colorado y Connecticut de 2025 señala además que el cumplimiento en torno a las señales de preferencia de exclusión es una prioridad.

Paso 7: Revise y Actualice los Contratos con Proveedores

La CCPA exige términos contractuales específicos con toda entidad que procese información personal en su nombre.

Acuerdos con Proveedores de Servicios

Los contratos con proveedores de servicios deben:

• Identificar los propósitos comerciales específicos para los que el proveedor de servicios procesa información personal
• Prohibir que el proveedor de servicios venda o comparta la información personal
• Prohibir el uso de los datos para cualquier propósito distinto de los propósitos comerciales contratados
• Exigir que el proveedor de servicios le notifique si ya no puede cumplir con sus obligaciones bajo la CCPA
• Exigir cooperación con las solicitudes de derechos de los consumidores (eliminación, acceso, corrección)
• Incluir requisitos de retención y eliminación de datos

Acuerdos con Contratistas

Los contratos con contratistas deben incluir las mismas disposiciones que los acuerdos con proveedores de servicios, además de:

• Una certificación de que el contratista comprende las restricciones de la CCPA y las cumplirá
• Una concesión de derechos a la empresa para tomar medidas razonables que aseguren que el contratista use la información personal de manera consistente con las obligaciones de la empresa bajo la CCPA

Divulgaciones a Terceros

Si vende o comparte información personal con terceros, sus acuerdos deben especificar los propósitos para los que el tercero puede usar la información y exigir que el tercero cumpla con la CCPA.

Paso 8: Implemente Capacitación para Empleados

Las personas responsables de atender las consultas de los consumidores sobre sus prácticas de privacidad deben estar capacitadas en los requisitos de la CCPA. La página de la CCPA de la Fiscalía General de California especifica que esta capacitación debe cubrir:

• Cómo orientar a los consumidores para ejercer sus derechos
• Cómo procesar y responder a cada tipo de solicitud del consumidor
• Procedimientos de verificación
• Plazos y requisitos de documentación
• Cómo escalar solicitudes inusuales o complejas

Documente su programa de capacitación, incluyendo quién fue capacitado, cuándo y sobre qué temas. Esta documentación puede servir como evidencia de cumplimiento de buena fe en caso de una investigación.

Paso 9: Realice Evaluaciones de Riesgo (Requisito de 2026)

Bajo las regulaciones finalizadas en septiembre de 2025, las empresas deben realizar evaluaciones de riesgo para las actividades de procesamiento que presenten un riesgo significativo para la privacidad del consumidor.

Cuándo Se Requieren las Evaluaciones de Riesgo

• Vender o compartir información personal
• Procesar información personal sensible
• Usar tecnología de toma de decisiones automatizada (ADMT) para decisiones significativas
• Procesar información personal de menores o consumidores que se sepa que son menores de 16 años
• Procesar información personal de maneras que presenten un riesgo significativo para la privacidad o seguridad del consumidor

Qué Debe Incluir una Evaluación de Riesgo

Cada evaluación de riesgo debe:

• Identificar la actividad de procesamiento y la información personal involucrada
• Describir los propósitos y beneficios del procesamiento
• Identificar los riesgos potenciales para la privacidad de los consumidores
• Sopesar los beneficios frente a los riesgos
• Documentar las salvaguardas que la empresa ha implementado para mitigar los riesgos identificados

Las empresas deben presentar a la CPPA una certificación de que completaron todas las evaluaciones de riesgo requeridas y un resumen de sus conclusiones antes del 1 de abril de 2028.

Paso 10: Cumpla con los Requisitos de Derechos del Consumidor para ADMT (Requisito de 2026)

Las mismas regulaciones finalizadas en septiembre de 2025 crean obligaciones independientes de derechos del consumidor para las empresas que usan tecnología de toma de decisiones automatizada (ADMT) para tomar una decisión significativa sobre un consumidor, como decisiones que afectan el empleo, el crédito, la vivienda, la atención médica o la educación. Una empresa que use ADMT para una decisión significativa antes del 1 de enero de 2027 debe cumplir con estos requisitos para esa fecha.

Requisitos de ADMT a Implementar

• Aviso previo al uso: Antes de usar ADMT para tomar una decisión significativa, brinde a los consumidores un aviso en lenguaje sencillo que describa el propósito específico de la ADMT y sus derechos a excluirse, acceder o apelar.
• Derecho a excluirse: Proporcione al menos dos métodos para que los consumidores se excluyan del uso de ADMT por parte de la empresa para una decisión significativa, salvo que aplique una excepción regulatoria.
• Derecho de acceso: Dé a los consumidores una forma de solicitar información sobre cómo la empresa usó ADMT para tomar una decisión significativa que les concierne.
• Derecho a apelar (como alternativa a la exclusión): Cuando no se ofrezca la exclusión porque la empresa se basa en la excepción de revisión humana, proporcione un método para que los consumidores apelen una decisión basada en ADMT ante un revisor humano que pueda considerar su información y tenga la autoridad para cambiar la decisión.

Paso 11: Realice Auditorías de Ciberseguridad (Requisito de 2026)

El mismo paquete regulatorio de 2026 exige que ciertas empresas realicen auditorías anuales de ciberseguridad.

Quién Debe Realizar Auditorías

El procesamiento de información personal de una empresa presenta un "riesgo significativo para la seguridad de los consumidores", lo que activa el requisito de auditoría, si la empresa obtiene el 50% o más de sus ingresos anuales de la venta o el intercambio de información personal, o si cumple con el umbral general de ingresos de la CCPA (actualmente $26.625 millones) y además procesó la información personal de 250,000 o más consumidores u hogares de California, o procesó la información personal sensible de 50,000 o más consumidores de California, en el año calendario anterior.

Las empresas deben completar su primer informe de auditoría de ciberseguridad según un plazo escalonado basado en los ingresos: 1 de abril de 2028 para las empresas con más de $100 millones en ingresos brutos anuales de 2026; 1 de abril de 2029 para las empresas con $50 millones a $100 millones en ingresos anuales de 2027; y 1 de abril de 2030 para las empresas con menos de $50 millones en ingresos anuales de 2028. Después de la primera auditoría, las empresas que califiquen deben completar una auditoría cada 12 meses.

Alcance de la Auditoría

La auditoría de ciberseguridad debe evaluar si las prácticas de seguridad de la empresa son adecuadas dado la naturaleza, el alcance y el propósito del procesamiento de datos. La auditoría debe evaluar:

• Salvaguardas contra el acceso, destrucción, uso, modificación o divulgación no autorizados
• Proceso para identificar y abordar vulnerabilidades
• Capacidades de respuesta a incidentes
• Capacitación y concientización de los empleados en materia de seguridad
• Controles de acceso físicos y técnicos

Las empresas deben presentar una certificación a la CPPA confirmando la finalización de la auditoría y resumiendo los hallazgos.

Paso 12: Establezca un Monitoreo Continuo

El cumplimiento de la CCPA no es un proyecto único. Cree procesos de monitoreo y actualización continuos.

Tareas Anuales

• Actualizar la política de privacidad al menos cada 12 meses
• Revisar el mapeo de datos para identificar nuevas categorías de recolección, nuevos proveedores o propósitos modificados
• Auditar los contratos con proveedores para verificar las disposiciones requeridas por la CCPA
• Realizar la auditoría de ciberseguridad (si aplica bajo las regulaciones de 2026)
• Completar las evaluaciones de riesgo para nuevas actividades de procesamiento de alto riesgo
• Renovar la capacitación de empleados anualmente

Actualizaciones Activadas por Eventos

• Al cruzar un nuevo umbral de aplicabilidad
• Al agregar una nueva categoría de recolección de información personal
• Al contratar a un nuevo proveedor de servicios, contratista o tercero
• Al recibir un aviso o consulta de cumplimiento de la CPPA
• Cuando se modifica una regulación relevante

Errores Comunes de Cumplimiento

Según las acciones de cumplimiento y los avisos de la CPPA, las fallas de cumplimiento más frecuentes incluyen:

1. No respetar las señales GPC: El acuerdo con Sephora estableció que ignorar las señales de exclusión a nivel de navegador infringe la CCPA
2. Mecanismos de exclusión incompletos: El acuerdo con Disney reveló que algunos procesos de exclusión no detenían completamente la venta y el intercambio de datos
3. Vender datos sin divulgación: Las empresas que comparten datos con socios de publicidad a menudo no logran reconocer ni divulgar estas transferencias como "ventas" o "intercambios"
4. Enlaces faltantes o escondidos en la página de inicio: El enlace "No Vender ni Compartir" debe ser claro y visible, no oculto en un menú de pie de página
5. Verificación inadecuada de solicitudes: Solicitar demasiada o muy poca información para verificar la identidad del consumidor
6. Políticas de privacidad desactualizadas: No actualizar la política de privacidad anualmente o después de cambios importantes

Recursos Relacionados sobre Privacidad en California

• ¿Qué Es la CCPA? (resumen integral de la CCPA)
• CCPA vs CPRA: Diferencias Clave Explicadas
• Leyes de Privacidad de Datos de California (centro principal)
• Derechos de Exclusión de la CCPA
• Leyes de Privacidad Biométrica de California
• Leyes de Notificación de Filtraciones de Datos de California

Este artículo proporciona información legal general, no asesoría legal. Las regulaciones de la CCPA continúan evolucionando, y los requisitos pueden cambiar. Consulte a un abogado para obtener asesoría específica sobre su situación.

Más Leyes de California

• Leyes de Grabación de Reuniones con IA de California
• Leyes de Pensión Alimenticia Conyugal de California
• Leyes de Empleo a Voluntad de California
• Leyes de Accidentes Automovilísticos de California
• Leyes de Asientos de Seguridad para Niños de California
• Leyes de Custodia de Menores de California
• Leyes de Manutención Infantil de California
• Leyes de Matrimonio de Hecho de California
• Leyes sobre Deepfakes de California
• Leyes de Divorcio de California
• Leyes sobre Mordeduras de Perro de California
• Leyes de Emancipación de California
• Leyes de Eliminación de Antecedentes Penales de California
• Leyes sobre Atropello y Fuga de California
• Leyes de Propietarios e Inquilinos de California
• Ley del Limón de California

Preguntas frecuentes

¿Cuál es el primer paso en el cumplimiento de la CCPA?

Determine si la CCPA se aplica a su empresa verificando los tres umbrales de aplicabilidad: ingresos brutos anuales superiores a $26.625 millones, compra/venta/intercambio de datos de 100,000 o más residentes de California, o derivar el 50% o más de los ingresos de la venta o el intercambio de datos. Si cumple con cualquiera de estos umbrales, la CCPA se aplica.

¿Con qué frecuencia debe actualizarse una política de privacidad de la CCPA?

La CCPA exige que las empresas actualicen su política de privacidad al menos cada 12 meses. La política debe reflejar cualquier cambio en las prácticas de recolección de datos, los procesos de derechos del consumidor o las categorías de información personal recolectada, vendida o compartida durante el año anterior.

¿Cuál es el plazo de respuesta de la CCPA para las solicitudes de los consumidores?

Las empresas deben confirmar la recepción de una solicitud del consumidor dentro de 10 días hábiles y cumplirla dentro de 45 días calendario. Si se necesita más tiempo, la empresa puede extender el plazo por otros 45 días (90 días en total desde la recepción) notificando al consumidor antes de que expire el período inicial de 45 días.

¿Necesito un enlace de 'No Vender' en mi sitio web?

Si su empresa vende o comparte información personal con terceros (incluyendo compartir datos para publicidad dirigida), debe publicar un enlace claro y visible de 'No Vender ni Compartir Mi Información Personal' en su página de inicio. Las empresas que respeten las señales de preferencia de exclusión como GPC pueden usar un enlace combinado en su lugar.

¿Qué contratos necesito con mis proveedores bajo la CCPA?

La CCPA exige acuerdos escritos con proveedores de servicios y contratistas que especifiquen el propósito comercial del procesamiento de datos, prohíban vender o compartir los datos, restrinjan su uso a los propósitos contratados, exijan cooperación con las solicitudes de los consumidores, e incluyan términos de retención y eliminación de datos. Los acuerdos con contratistas también deben incluir una certificación de cumplimiento de la CCPA.

¿Se requieren evaluaciones de riesgo bajo la CCPA?

Sí, bajo las regulaciones vigentes desde el 1 de enero de 2026. Las empresas deben realizar evaluaciones de riesgo para las actividades de procesamiento que presenten un riesgo significativo para la privacidad del consumidor, incluyendo vender o compartir datos, procesar información personal sensible, usar tecnología de toma de decisiones automatizada, o procesar datos de menores. Las certificaciones deben presentarse a la CPPA antes del 1 de abril de 2028.

¿Qué sucede si mi empresa no cumple con la CCPA?

La CPPA o la Fiscalía General pueden imponer multas administrativas de hasta $2,663 por infracción no intencional y $7,988 por infracción intencional (montos de 2025 ajustados por el IPC). Para las filtraciones de datos causadas por seguridad inadecuada, los consumidores pueden presentar demandas privadas por $107 a $799 por consumidor por incidente (también ajustados por el IPC para 2025), pero solo después de dar a la empresa un aviso escrito de 30 días sobre la infracción; si la empresa la subsana dentro de ese plazo y lo confirma por escrito, el reclamo de daños legales queda impedido (Civ. Code 1798.150(b)). Esa oportunidad de subsanación se aplica únicamente al derecho de acción privado. Las multas administrativas de la CPPA/Fiscalía General, descritas anteriormente, no tienen período de subsanación.

¿Cómo verifico la identidad del consumidor para las solicitudes de la CCPA?

Haga coincidir al menos dos puntos de datos que el consumidor proporciona con la información que ya tiene para las solicitudes de eliminación y de acceso a nivel de categoría. Para las solicitudes de información personal específica, haga coincidir al menos tres puntos de datos y obtenga una declaración firmada bajo pena de perjurio. Solo recolecte la información necesaria para la verificación.