Derechos de Exclusión de la CCPA: No Vender ni Compartir Mi Información Personal (2026)

Bajo la California Consumer Privacy Act (CCPA), los residentes de California tienen el derecho de indicar a las empresas que dejen de vender o compartir su información personal. Este derecho de exclusión es una de las protecciones más poderosas del consumidor bajo la ley, y las enmiendas de la CPRA (vigentes desde el 1 de enero de 2023) ampliaron significativamente su alcance. Las empresas que venden o comparten información personal con fines de publicidad conductual entre contextos deben respetar las solicitudes de exclusión y proporcionar mecanismos claros para que los consumidores ejerzan este derecho.

La Fiscalía General de California y la California Privacy Protection Agency (CPPA) hacen cumplir activamente los requisitos de exclusión, con acuerdos que alcanzan millones de dólares por incumplimiento.

El Derecho a Optar por No Participar en la Venta

La CCPA original (vigente desde el 1 de enero de 2020) otorgó a los consumidores el derecho de indicar a una empresa que dejara de vender su información personal. Bajo el Cal. Civ. Code 1798.120, una empresa que vende información personal a terceros debe dejar de hacerlo una vez que recibe una solicitud de exclusión válida.

Qué Cuenta Como una "Venta"

La CCPA define "venta" de manera amplia. Cubre vender, alquilar, divulgar, difundir, poner a disposición, transferir, o de otro modo comunicar la información personal de un consumidor a otra empresa o tercero a cambio de una contraprestación monetaria o de otro tipo de valor.

"Otra contraprestación de valor" es la frase clave. Una empresa no necesita recibir dinero en efectivo por una transferencia de datos para que califique como venta. Si una empresa proporciona información personal a un tercero y recibe algún beneficio a cambio (descuentos, servicios, análisis, funcionalidad mejorada), esa transferencia podría constituir una venta bajo la CCPA.

Excepciones a la Definición de Venta

No toda transferencia de datos es una venta. La CCPA excluye:

• Las transferencias a proveedores de servicios o contratistas bajo acuerdos escritos conformes
• Las transferencias a solicitud del consumidor (por ejemplo, el consumidor le pide a la empresa que comparta sus datos)
• Las transferencias a un tercero como parte de una fusión, adquisición u operación similar

La información disponible públicamente a veces se describe como una cuarta excepción a la "venta". No lo es. Bajo el Cal. Civ. Code 1798.140(v)(2), la información disponible públicamente queda excluida por completo de la definición de "información personal", lo que abarca la información lícitamente disponible en registros gubernamentales federales, estatales o locales, y la información que una empresa cree razonablemente que el consumidor puso lícitamente a disposición del público en general o que está disponible a través de medios de comunicación de amplia difusión. El resultado práctico es similar, pero el mecanismo importa: esa información queda fuera de lo que la CCPA protege desde un inicio, por lo que el derecho de exclusión nunca llega a aplicarse a ella.

El Derecho a Optar por No Participar en el Intercambio

La CPRA amplió los derechos de exclusión más allá de la "venta" para incluir el "intercambio". Bajo el estatuto modificado, el intercambio significa poner la información personal de un consumidor a disposición de un tercero con fines de publicidad conductual entre contextos, ya sea que se intercambie dinero o no.

Por Qué Se Agregó el "Intercambio"

Antes de la CPRA, muchas empresas argumentaban que sus transferencias de datos a empresas de tecnología publicitaria no eran "ventas" porque no había un pago monetario directo. Una empresa podía proporcionar datos de usuarios a una red publicitaria a cambio de servicios de publicidad dirigida en lugar de dinero en efectivo. Bajo la CCPA original, esto creaba una laguna: los consumidores no podían excluirse de las transferencias de datos que impulsaban precisamente los anuncios dirigidos que querían evitar.

La CPRA cerró esta brecha. Al definir el "intercambio" como un concepto separado que cubre las transferencias de datos con fines de publicidad conductual entre contextos, la ley captura prácticamente todos los flujos comunes de datos de publicidad en línea, sin importar la forma de la contraprestación.

Publicidad Conductual Entre Contextos

La publicidad conductual entre contextos significa dirigir anuncios a un consumidor basándose en información personal obtenida de la actividad del consumidor en empresas, sitios web con marca distinta, aplicaciones o servicios diferentes al que el consumidor está usando en ese momento.

En términos prácticos, esto cubre:

• Cookies de rastreo de terceros que siguen a un consumidor de un sitio a otro para crear perfiles publicitarios
• El intercambio de datos con redes publicitarias que usan datos conductuales para servir anuncios dirigidos en distintas plataformas
• La reorientación (retargeting) basada en el historial de navegación de un consumidor en los sitios web de múltiples empresas
• Los acuerdos de sala limpia de datos (data clean room) donde las empresas agrupan datos de consumidores con fines publicitarios

Cómo Pueden Excluirse los Consumidores

La CCPA ofrece múltiples mecanismos para que los consumidores ejerzan sus derechos de exclusión.

El Enlace "No Vender ni Compartir"

Toda empresa que venda o comparta información personal debe publicar un enlace claro y visible en la página de inicio de su sitio web. Las regulaciones de la CPPA especifican que este enlace debe:

• Estar titulado: "No Vender ni Compartir Mi Información Personal" (la CPRA actualizó el lenguaje del original "No Vender Mi Información Personal")
• Ser visible: Fácil de encontrar sin desplazarse extensamente ni navegar por múltiples páginas
• Ser funcional: Dirigir a una página o mecanismo donde el consumidor pueda realmente presentar una solicitud de exclusión
• No requerir cuenta: La empresa no puede exigir que los consumidores creen una cuenta para excluirse

El mecanismo de exclusión debe ser sencillo. El consumidor presenta la solicitud, y la empresa debe actuar sobre ella. A diferencia de las solicitudes de conocer o eliminar, las solicitudes de exclusión no requieren verificación de identidad, aunque la empresa puede hacer preguntas básicas para identificar qué información personal está asociada con el consumidor.

Señales de Preferencia de Exclusión

La CPRA codificó el requisito de que las empresas deben respetar las señales de exclusión basadas en tecnología enviadas por los navegadores o dispositivos de los consumidores. Las regulaciones de la CPPA definen una "señal de preferencia de exclusión" como una señal enviada por una plataforma, tecnología o mecanismo en nombre del consumidor que comunica la decisión del consumidor de excluirse de la venta e intercambio de información personal.

Las empresas deben tratar estas señales como solicitudes de exclusión válidas sin exigir ninguna acción adicional por parte del consumidor.

Global Privacy Control (GPC)

Global Privacy Control es la señal de preferencia de exclusión más reconocida. GPC está disponible como:

• Una función integrada del navegador en Mozilla Firefox, DuckDuckGo y Brave
• Una extensión de navegador para Chrome, Edge y otros navegadores
• Una configuración en ciertas aplicaciones móviles enfocadas en la privacidad

Cuando está activado, GPC envía un encabezado HTTP Sec-GPC: 1 con cada solicitud web. Las empresas que reciben esta señal deben tratarla como una solicitud de exclusión de la venta e intercambio de información personal asociada con ese navegador o dispositivo.

Historial de Cumplimiento de GPC

La Fiscalía General de California ha hecho del cumplimiento de GPC una prioridad:

• Sephora (2022): Llegó a un acuerdo de $1.2 millones, en parte por no procesar las señales de exclusión GPC. Esta fue la primera acción de cumplimiento importante dirigida específicamente al incumplimiento de GPC.
• Disney (2026): Llegó a un acuerdo de $2.75 millones, el mayor acuerdo de la CCPA en la historia de California, después de que los investigadores encontraron que los procesos de exclusión de la empresa no detenían completamente la venta e intercambio de datos incluso cuando los consumidores tenían la sesión iniciada en sus cuentas.
• Investigación Conjunta (2025): La CPPA, junto con los reguladores de Colorado y Connecticut, lanzó una investigación coordinada sobre empresas que se negaban a respetar las solicitudes de exclusión de los consumidores, incluyendo las señales GPC.

Enlace de Exclusión Alternativo

Cualquier empresa puede optar, a su propia discreción, por publicar un único enlace combinado en lugar de los dos enlaces separados de "No Vender ni Compartir Mi Información Personal" y "Limitar el Uso de Mi Información Personal Sensible". El Cal. Civ. Code 1798.135(a)(3) ofrece esta opción a toda empresa; no está condicionada a cómo la empresa maneje las señales de preferencia de exclusión. Las regulaciones de la CPPA exigen que el enlace alternativo se titule "Sus Opciones de Privacidad" o "Sus Opciones de Privacidad de California", que muestre el ícono oficial de exclusión junto a ese título, que se ubique en el encabezado o pie de página de la página de inicio, y que dirija a una página donde el consumidor pueda ejercer tanto el derecho de exclusión como el derecho de limitación.

Procesar las señales de preferencia de exclusión es una disposición separada, no un requisito previo. Bajo el Cal. Civ. Code 1798.135(b)(1), una empresa que permite a los consumidores excluirse de la venta y el intercambio, y limitar el uso de información personal sensible, mediante una señal de preferencia de exclusión, no está obligada a publicar los enlaces de la página de inicio en absoluto.

El Derecho a Limitar el Uso de Información Personal Sensible

La CPRA introdujo un derecho relacionado pero distinto: el derecho a limitar el uso y la divulgación que hace una empresa de la información personal sensible. Mientras que el derecho de exclusión cubre la venta e intercambio, el derecho de limitación restringe cómo una empresa usa internamente ciertas categorías de datos altamente sensibles.

Qué Es la Información Personal Sensible

Bajo la CCPA (modificada por la CPRA), la información personal sensible incluye:

• Números de Seguro Social, licencia de conducir, identificación estatal o pasaporte
• Credenciales de inicio de sesión de cuentas combinadas con códigos de seguridad o contraseñas requeridas
• Datos precisos de geolocalización
• Origen racial o étnico, estatus de ciudadanía o inmigración, creencias religiosas o filosóficas, o afiliación sindical
• Contenido de correo postal, correo electrónico y mensajes de texto (cuando la empresa no es el destinatario previsto)
• Datos genéticos
• Datos biométricos usados para identificar de manera única a un consumidor
• Información de salud, vida sexual o datos de orientación sexual
• Datos neuronales (agregados por la SB 1223, vigente desde 2025)

Cómo Funciona el Derecho de Limitación

Cuando un consumidor ejerce este derecho, la empresa debe limitar el uso de la información personal sensible a lo "razonablemente necesario y proporcional" para realizar los servicios o proporcionar los bienes que el consumidor solicitó. Específicamente, la empresa solo puede usar los datos sensibles para:

• Realizar el servicio o proporcionar los bienes que el consumidor espera
• Detectar incidentes de seguridad y protegerse contra amenazas
• Resistir actividades maliciosas, engañosas o ilegales
• Garantizar la seguridad física
• Uso transitorio de corto plazo (como mostrar contenido, donde los datos no se usan para crear un perfil)
• Realizar servicios en nombre de la empresa (investigación interna, depuración, control de calidad)
• Verificar o mantener la calidad de un servicio o dispositivo

Enlace "Limitar el Uso de Mi Información Personal Sensible"

Las empresas que usan o divulgan información personal sensible más allá de los propósitos permitidos enumerados anteriormente deben publicar un enlace "Limitar el Uso de Mi Información Personal Sensible" en su página de inicio. Este enlace funciona de manera similar al enlace "No Vender ni Compartir" pero aborda específicamente el uso de datos sensibles en lugar de la venta o el intercambio.

Proveedores de Servicios vs. Terceros: Por Qué Importa para la Exclusión

Entender la distinción entre proveedores de servicios, contratistas y terceros es fundamental para el cumplimiento de exclusión porque la CCPA trata las transferencias de datos a cada categoría de manera diferente.

Proveedores de Servicios y Contratistas

Cuando una empresa transfiere información personal a un proveedor de servicios o contratista bajo un acuerdo escrito conforme, esa transferencia no es una "venta" ni un "intercambio". El receptor de los datos está obligado por contrato a:

• Procesar los datos únicamente para los propósitos comerciales específicos identificados en el acuerdo
• No vender ni compartir la información personal
• No combinarla con información personal de otras fuentes (excepto para propósitos limitados)
• Ayudar a la empresa con las solicitudes de los consumidores

Debido a que estas transferencias no son ventas ni intercambios, las solicitudes de exclusión de los consumidores no se aplican a ellas.

Terceros

Un "tercero" bajo la CCPA es cualquier entidad que no es la empresa misma, un proveedor de servicios, o un contratista. Cuando la información personal va a un tercero, la transferencia probablemente sea una venta o un intercambio, y se aplica el derecho de exclusión del consumidor.

Los receptores terceros comunes incluyen:

• Empresas de tecnología publicitaria que reciben datos de consumidores para publicidad dirigida
• Corredores de datos que agregan y revenden información de consumidores
• Plataformas de redes sociales que reciben datos de consumidores para segmentación publicitaria o análisis
• Socios de marketing que reciben datos de consumidores para promoción cruzada

Impacto Práctico

Una empresa que quiere evitar el requisito de "No Vender ni Compartir" y las obligaciones de exclusión puede reestructurar sus relaciones de datos. Al asegurarse de que todos los socios que reciben datos califiquen como proveedores de servicios o contratistas bajo acuerdos escritos conformes, la empresa puede argumentar que no ocurre ninguna "venta" ni "intercambio". Los contratos deben ser genuinos, con restricciones reales sobre cómo el receptor usa los datos.

La Ley Delete y la Plataforma DROP

California llevó los derechos de exclusión un paso más allá con la Delete Act (SB 362), que creó la Delete Request and Opt-Out Platform (DROP). Lanzada el 1 de enero de 2026, la DROP permite a los consumidores:

• Enviar una única solicitud de eliminación a todos los corredores de datos registrados en California
• Si un corredor de datos no puede verificar una solicitud de eliminación, la ley estatal exige que la procese como una exclusión de la venta y el intercambio de la información personal de ese consumidor
• Recibir eliminación continua, con los corredores de datos registrados obligados a eliminar la información personal del consumidor al menos una vez cada 45 días

Los corredores de datos registrados ante la CPPA deben participar en DROP. La plataforma simplifica lo que antes era un proceso que consumía mucho tiempo, de presentar solicitudes de exclusión individuales a potencialmente cientos de corredores de datos.

La CPPA ya ha tomado medidas de cumplimiento contra corredores de datos que no se registran, incluyendo multar a una firma de marketing en diciembre de 2025 por vender audiencias personalizadas sin el registro adecuado como corredor de datos.

Qué Sucede Después de Que un Consumidor Se Excluye

Una vez que una empresa recibe una solicitud de exclusión válida (ya sea a través del enlace de la página de inicio, una señal GPC, o la plataforma DROP):

1. Dejar de vender o compartir la información personal del consumidor dentro de 15 días hábiles
2. Notificar a los terceros que recibieron la información personal del consumidor mediante una venta o un intercambio después de que se presentó la solicitud, indicarles que cumplan con la solicitud, y hacer que la reenvíen a cualquier otra persona a la que le hayan transferido los datos durante ese período
3. No pedir al consumidor que vuelva a dar su consentimiento durante al menos 12 meses
4. Continuar proporcionando un servicio equitativo (requisito de no discriminación)

Después de 12 meses, una empresa puede preguntarle al consumidor si le gustaría volver a participar. El proceso de reincorporación debe ser afirmativo e informado; la empresa no puede usar patrones oscuros ni lenguaje engañoso para presionar al consumidor.

Menores y el Estándar de Conocimiento Real

Para los consumidores menores de 16 años, la regla predeterminada se invierte, pero depende de lo que la empresa sepa. Bajo el Cal. Civ. Code 1798.120(c), una empresa no puede vender ni compartir la información personal de un consumidor si tiene conocimiento real de que el consumidor tiene menos de 16 años, a menos que el consumidor (si tiene al menos 13 años y menos de 16) o el padre o tutor del consumidor (si tiene menos de 13 años) haya autorizado afirmativamente la venta o el intercambio. Una empresa que ignora deliberadamente la edad de un consumidor se considera que tuvo conocimiento real de ella. Cuando se cumple ese estándar de conocimiento real, la empresa debe obtener autorización afirmativa antes de vender o compartir los datos del menor, incluso sin una solicitud de exclusión.

Sanciones por Infracciones de Exclusión

Las infracciones de los requisitos de exclusión conllevan las mismas sanciones administrativas que otras infracciones de la CCPA. A partir del ajuste del IPC de 2025:

Cada persona cuyo derecho de exclusión sea infringido puede representar una infracción separada. Para las empresas con millones de consumidores en California, las sanciones pueden acumularse rápidamente.

El mayor acuerdo de la CCPA hasta la fecha, el acuerdo de $2.75 millones con Disney, se centró específicamente en fallas de exclusión.

Temas Relacionados sobre Privacidad en California

• ¿Qué Es la CCPA? (resumen integral de la CCPA)
• CCPA vs CPRA: Diferencias Clave Explicadas
• Lista de Verificación de Cumplimiento de la CCPA
• Leyes de Privacidad de Datos de California (centro principal)
• Leyes de Privacidad Biométrica de California
• Leyes de Notificación de Filtraciones de Datos de California

Este artículo proporciona información legal general, no asesoría legal. Los requisitos de exclusión y las interpretaciones de cumplimiento continúan evolucionando. Consulte a un abogado para obtener asesoría específica sobre su situación.

Más Leyes de California

• Leyes de Grabación de Reuniones con IA de California
• Leyes de Pensión Alimenticia Conyugal de California
• Leyes de Empleo a Voluntad de California
• Leyes de Accidentes Automovilísticos de California
• Leyes de Asientos de Seguridad para Niños de California
• Leyes de Custodia de Menores de California
• Leyes de Manutención Infantil de California
• Leyes de Matrimonio de Hecho de California
• Leyes sobre Deepfakes de California
• Leyes de Divorcio de California
• Leyes sobre Mordeduras de Perro de California
• Leyes de Emancipación de California
• Leyes de Eliminación de Antecedentes Penales de California
• Leyes sobre Atropello y Fuga de California
• Leyes de Propietarios e Inquilinos de California
• Ley del Limón de California

Preguntas frecuentes

¿Qué es el derecho a excluirse bajo la CCPA?

La CCPA otorga a los residentes de California el derecho de indicar a cualquier empresa que deje de vender o compartir su información personal con terceros. Después de que las enmiendas de la CPRA entraron en vigor en 2023, el derecho de exclusión cubre tanto la 'venta' (transferencias a cambio de una contraprestación monetaria o de otro valor) como el 'intercambio' (transferencias con fines de publicidad conductual entre contextos).

¿Cuál es la diferencia entre 'vender' y 'compartir' información personal?

'Vender' cubre transferir información personal a cambio de una contraprestación monetaria o de otro valor. 'Compartir' cubre específicamente poner la información personal a disposición de terceros con fines de publicidad conductual entre contextos, incluso sin pago. La CPRA agregó 'compartir' para cerrar una laguna donde las empresas argumentaban que las transferencias de datos relacionadas con publicidad no eran 'ventas' porque no se intercambiaba dinero en efectivo.

¿Qué es Global Privacy Control (GPC)?

GPC es una señal basada en el navegador que le indica automáticamente a los sitios web que visita que desea excluirse de la venta e intercambio de su información personal. Está integrado en navegadores como Firefox, DuckDuckGo y Brave, y disponible como extensión para Chrome y Edge. Las empresas de California deben respetar las señales GPC como solicitudes de exclusión válidas bajo la CCPA.

¿Puede una empresa exigirme que cree una cuenta para excluirme?

No. La CCPA prohíbe que las empresas exijan a los consumidores crear una cuenta para presentar una solicitud de exclusión. El enlace 'No Vender ni Compartir Mi Información Personal' debe dirigir a un mecanismo que permita la exclusión sin crear una cuenta. Las empresas pueden hacer preguntas básicas para identificar los datos del consumidor pero no pueden agregar fricción innecesaria.

¿Qué es el enlace 'No Vender ni Compartir Mi Información Personal'?

Este es un enlace requerido en la página de inicio para cualquier empresa que venda o comparta la información personal de consumidores de California. Al hacer clic, debe dirigir a una página o mecanismo donde el consumidor pueda presentar una solicitud de exclusión. El enlace debe ser claro y visible. Cualquier empresa puede optar en su lugar por un único enlace combinado de 'Sus Opciones de Privacidad' que cubra tanto el derecho de exclusión como el derecho a limitar la información personal sensible, y una empresa que permite a los consumidores excluirse mediante una señal de preferencia de exclusión no está obligada a publicar los enlaces de la página de inicio en absoluto.

¿En qué se diferencia excluirse de limitar la información personal sensible?

Excluirse evita que una empresa venda o comparta su información personal con terceros. Limitar la información personal sensible restringe cómo la propia empresa usa ciertos datos altamente sensibles (como números de Seguro Social, geolocalización precisa o datos raciales) solo a los propósitos necesarios para proporcionar los bienes o servicios que usted solicitó.

¿Qué es la plataforma DROP?

La Delete Request and Opt-Out Platform (DROP) es un sistema operado por la CPPA lanzado el 1 de enero de 2026. Permite a los consumidores enviar una única solicitud de eliminación a todos los corredores de datos registrados en California a la vez. Si un corredor no puede verificar la solicitud de eliminación, la ley exige que la procese como una exclusión de venta en su lugar, y los corredores registrados también deben cumplir con la eliminación continua al menos una vez cada 45 días. Los corredores de datos deben registrarse ante la CPPA y participar en DROP.

¿Qué sanciones enfrentan las empresas por ignorar las solicitudes de exclusión?

Las empresas que no respeten las solicitudes de exclusión enfrentan sanciones administrativas de hasta $2,663 por infracción no intencional y $7,988 por infracción intencional o infracciones que involucren a menores (montos ajustados por el IPC de 2025). Cada consumidor afectado puede contar como una infracción separada, por lo que las sanciones pueden alcanzar millones. El acuerdo con Disney ($2.75 millones) es el mayor caso de la CCPA hasta la fecha, centrado en fallas de exclusión.