California
CCPA vs CPRA: Diferencias Clave Explicadas (2026)
La California Privacy Rights Act (CPRA) es la Proposición 24, la iniciativa electoral de noviembre de 2020 que modificó la California Consumer Privacy Act (CCPA), y sus cambios entraron en vigor el 1 de enero de 2023. Agregó el derecho a corregir información personal inexacta y el derecho a limitar el uso de información personal sensible, amplió la exclusión de la venta de datos a su intercambio con fines de publicidad conductual entre contextos y creó la California Privacy Protection Agency para hacer cumplir la ley.
La CPRA no reemplazó a la CCPA. Se construyó sobre ella. El estatuto oficial todavía se titula "California Consumer Privacy Act of 2018", pero sus disposiciones ahora incluyen todos los cambios que introdujo la CPRA. Entender qué cambió, y cuándo, es esencial para las empresas que navegan el cumplimiento de la privacidad en California en 2026.
Cronología: De la CCPA a la CPRA
Entender la cronología ayuda a aclarar qué disposiciones se aplican y cuándo entraron en vigor.
| Fecha | Evento |
|---|---|
| 28 de junio de 2018 | El Gobernador Brown firma la AB 375, la California Consumer Privacy Act |
| 1 de enero de 2020 | La CCPA entra en vigor |
| 1 de julio de 2020 | La Fiscalía General de California comienza a hacer cumplir la CCPA |
| 3 de noviembre de 2020 | Los votantes de California aprueban la Proposición 24 (CPRA) con el 56.2% de los votos |
| 1 de enero de 2023 | Las enmiendas de la CPRA a la CCPA entran en vigor; se aplican a los datos recolectados a partir del 1 de enero de 2022 |
| 29 de marzo de 2023 | La CPPA finaliza el primer conjunto de regulaciones de la CCPA |
| 1 de julio de 2023 | La CPPA comienza operaciones de cumplimiento, compartiendo autoridad con la Fiscalía General |
| 1 de enero de 2025 | Entran en vigor los montos de sanción ajustados por el IPC |
| 23 de septiembre de 2025 | La CPPA finaliza las regulaciones sobre auditorías de ciberseguridad, evaluaciones de riesgo y ADMT |
| 1 de enero de 2026 | Entran en vigor las nuevas regulaciones; se lanza la plataforma DROP |
| 1 de enero de 2027 | Los requisitos de ADMT se vuelven exigibles |
Comparación Lado a Lado: CCPA (Original) vs. Enmiendas de la CPRA
La siguiente tabla compara las disposiciones originales de la CCPA con lo que la CPRA modificó o agregó.
| Característica | CCPA (Original, 2020) | Después de las Enmiendas de la CPRA (2023+) |
|---|---|---|
| Umbral de aplicabilidad empresarial | 50,000+ consumidores, hogares o dispositivos anualmente | 100,000+ consumidores o hogares anualmente (ya no se cuentan los dispositivos) |
| Derecho del consumidor a saber | Sí | Sí (sin cambios) |
| Derecho a eliminar | Sí | Sí (sin cambios) |
| Derecho a excluirse de la venta | Solo venta | Venta E intercambio para publicidad conductual entre contextos |
| Derecho a corregir | No | Sí |
| Derecho a limitar el uso de información personal sensible | No | Sí |
| Derecho a acceder a información sobre ADMT | No | Sí (vigente desde 2027) |
| No discriminación | Sí | Sí (sin cambios) |
| Información personal sensible | No definida por separado | Definida como categoría distinta con protecciones especiales |
| Organismo de cumplimiento | Solo la Fiscalía General | Fiscalía General Y la CPPA |
| Montos de sanción | $2,500 / $7,500 por infracción | Ajustados bienalmente por el IPC ($2,663 / $7,988 a partir de 2025) |
| Derecho de acción privada (filtraciones de datos) | Filtración de información personal no cifrada y no editada, según se define en el Cal. Civ. Code Sec. 1798.81.5(d)(1)(A) | Igual, más la filtración de una dirección de correo electrónico combinada con una contraseña o pregunta y respuesta de seguridad que permitiera el acceso a la cuenta |
| Reglas de proveedores de servicios | Requisitos básicos | Obligaciones ampliadas para proveedores de servicios Y una nueva categoría de "contratista" |
| Evaluaciones de riesgo | No requeridas | Requeridas para el procesamiento de alto riesgo (regulaciones vigentes desde 2026) |
| Auditorías de ciberseguridad | No requeridas | Requeridas para ciertas empresas (regulaciones vigentes desde 2026) |
| Señales de preferencia de exclusión | No exigidas explícitamente | Las empresas deben respetar GPC y señales similares |
| Minimización de datos | No explícita | Las empresas solo pueden recolectar datos razonablemente necesarios para los propósitos divulgados |
| Período de subsanación (cumplimiento gubernamental) | Período de subsanación de 30 días antes del cumplimiento de la AG | Eliminado para el cumplimiento de la AG y la CPPA (el período de subsanación de 30 días separado para demandas privadas por filtraciones de datos bajo el Cal. Civ. Code Sec. 1798.150(b) no cambió) |
Nuevos Derechos del Consumidor Bajo la CPRA
La CPRA agregó dos derechos completamente nuevos y amplió uno existente.
Derecho a Corregir Información Personal Inexacta
Los consumidores ahora pueden solicitar que una empresa corrija información personal inexacta que mantiene. La empresa debe usar esfuerzos comercialmente razonables para corregir los datos después de recibir una solicitud verificada.
Este derecho no existía bajo la CCPA original. Refleja disposiciones similares en el Reglamento General de Protección de Datos de la Unión Europea (RGPD).
Derecho a Limitar el Uso de Información Personal Sensible
La CPRA creó el concepto de información personal sensible como una categoría legal distinta. Los consumidores pueden indicar a las empresas que limiten su uso de información personal sensible a lo estrictamente necesario para realizar los servicios o proporcionar los bienes que el consumidor solicitó.
La información personal sensible incluye:
- Identificadores gubernamentales (números de Seguro Social, números de licencia de conducir)
- Credenciales de cuentas financieras
- Geolocalización precisa
- Origen racial o étnico, estatus de ciudadanía o inmigración, creencias religiosas, afiliación sindical
- Contenido de comunicaciones privadas (correo postal, correo electrónico, mensajes de texto)
- Datos genéticos y biométricos
- Información de salud, vida sexual o datos de orientación sexual
- Datos neuronales (agregados por la SB 1223 en 2024)
Las empresas que usan o divulgan información personal sensible más allá de lo necesario deben publicar un enlace "Limitar el Uso de Mi Información Personal Sensible" en su página de inicio.
Exclusión Ampliada: Venta Y Intercambio
La CCPA original otorgó a los consumidores el derecho a excluirse de la "venta" de su información personal. La CPRA amplió esto para incluir el "intercambio", que el estatuto define como poner la información personal a disposición de un tercero con fines de publicidad conductual entre contextos.
Este cambio cerró una laguna importante. Bajo la CCPA original, algunas empresas argumentaban que transferir datos a socios publicitarios no era una "venta" porque no se intercambiaba dinero. La definición más amplia de "intercambio" de la CPRA captura estas transferencias de datos sin importar si hay contraprestación monetaria involucrada.
El enlace requerido en la página de inicio cambió de "No Vender Mi Información Personal" a "No Vender ni Compartir Mi Información Personal".
Para los corredores de datos, California también ofrece una solicitud única. Bajo la Delete Act (SB 362), la Delete Request and Opt-out Platform (DROP) de la CPPA, activa desde que sus regulaciones entraron en vigor el 1 de enero de 2026, permite que un consumidor pida a todos los corredores de datos registrados en el estado que eliminen su información personal no exenta mediante una sola solicitud a la agencia.
Datos de Empleados y B2B: Las Exenciones Temporales Expiraron
La CCPA original eximía temporalmente la información personal recolectada en el contexto laboral y en las transacciones entre empresas (B2B) de la mayoría de los derechos del consumidor. Esa excepción nunca fue extendida por la legislatura, y expiró el 31 de diciembre de 2022, según el Cal. Civ. Code Sec. 1798.145(m)-(n) y las propias Preguntas Frecuentes de la CCPA de la Fiscalía General de California.
Desde el 1 de enero de 2023, la misma fecha en que entraron en vigor el resto de las enmiendas de la CPRA, la información personal de empleados y solicitantes de empleo, así como la información personal B2B, están completamente sujetas a los derechos del consumidor y las obligaciones empresariales de la CCPA/CPRA, igual que los datos de cualquier otro consumidor.
Cómo Excluirse Más Allá de Una Empresa a la Vez
Los derechos de la CPRA descritos arriba son suyos para usarlos directamente: haga clic en el enlace No Vender ni Compartir de cada empresa, pídale que corrija o elimine sus datos y active Global Privacy Control, que las empresas de California deben respetar. Para los corredores de datos, una sola solicitud a DROP llega a todos los corredores registrados en el estado. Los planes de pago de Aura agregan la eliminación de su información personal de los sitios de corredores de datos y de búsqueda de personas, una opción si prefiere delegar el seguimiento de esos listados.
Vea Cómo Funciona la Eliminación de AuraDivulgación de afiliados: si se registra a través de este enlace, podemos ganar una comisión, sin costo adicional para usted. Más información
La CPPA: Una Nueva Agencia de Cumplimiento
Uno de los cambios estructurales más significativos de la CPRA fue la creación de la California Privacy Protection Agency, la primera agencia en Estados Unidos dedicada exclusivamente al cumplimiento de la privacidad de datos del consumidor.
CPPA vs. Cumplimiento por la Fiscalía General
| Aspecto | Fiscalía General | CPPA |
|---|---|---|
| Autoridad | Sanciones civiles mediante acción judicial | Multas administrativas mediante procedimientos de la CPPA |
| Período de subsanación | Originalmente tenía un período de subsanación de 30 días (eliminado por la CPRA) | Sin período de subsanación desde el inicio |
| Inicio del cumplimiento | 1 de julio de 2020 | 1 de julio de 2023 |
| Alcance | CCPA además de otras leyes de protección al consumidor | Cumplimiento específico de la CCPA además de elaboración de normas |
| Elaboración de normas | Adoptó las regulaciones iniciales de la CCPA | Ahora tiene la autoridad principal de elaboración de normas |
La CPPA ya ha demostrado un cumplimiento activo. En 2025, la agencia llegó a acuerdos contra American Honda Motor Co. ($632,500), Tractor Supply Company ($1.35 millones), y Todd Snyder, Inc. ($345,178).
Eliminación del Período de Subsanación de 30 Días para el Cumplimiento Gubernamental
Bajo la CCPA original, la Fiscalía General tenía que dar a las empresas un aviso de 30 días para "subsanar" las infracciones antes de emprender acciones de cumplimiento. La CPRA eliminó ese período de subsanación en la vía de cumplimiento gubernamental. La Fiscalía General y la CPPA ahora pueden imponer sanciones sin ofrecer primero la oportunidad de corregir el problema.
La CPRA no eliminó el período de subsanación que se aplica a las demandas privadas. El Cal. Civ. Code Sec. 1798.150(b) todavía exige que un consumidor, antes de iniciar cualquier acción contra una empresa por daños estatutarios de forma individual o colectiva, entregue a la empresa un "aviso escrito de 30 días que identifique las disposiciones específicas de este título que el consumidor alega que han sido o están siendo violadas". Cuando la subsanación es posible y la empresa la realiza dentro de esos 30 días y presenta una declaración escrita expresa de que las infracciones han sido corregidas y de que no ocurrirán más infracciones, no puede iniciarse una acción por daños estatutarios. No se requiere aviso previo cuando un consumidor demanda únicamente por daños pecuniarios reales.
El Derecho de Acción Privada por Filtraciones de Datos
La mayoría de las infracciones de la CCPA solo pueden ser aplicadas por la Fiscalía General o la CPPA. El Cal. Civ. Code Sec. 1798.150 es la excepción limitada: un consumidor puede demandar cuando información personal no cifrada y no editada es objeto de acceso no autorizado y exfiltración, robo o divulgación como resultado de que la empresa no implementó ni mantuvo procedimientos de seguridad razonables. La subdivisión (c) limita la demanda a las infracciones definidas en la subdivisión (a), por lo que no puede usarse para hacer cumplir ninguna otra sección de la ley.
La CPRA amplió esta acción. La Proposición 24 modificó la Sec. 1798.150(a)(1) para alcanzar a un consumidor "cuya dirección de correo electrónico, combinada con una contraseña o pregunta y respuesta de seguridad que permitiera el acceso a la cuenta" sea filtrada, un lenguaje que el estatuto original de 2018 no contenía. Los daños estatutarios se fijan entre $100 y $750 por consumidor por incidente, o los daños reales si son mayores, y el ajuste por el IPC de la CPPA elevó ese rango a entre $107 y $799 vigente desde el 1 de enero de 2025.
Obligaciones de los Contratistas: Una Nueva Categoría
La CCPA original regulaba a las "empresas" y a los "proveedores de servicios". La CPRA agregó una tercera categoría: "contratistas".
Proveedores de Servicios vs. Contratistas
| Característica | Proveedor de Servicios | Contratista |
|---|---|---|
| Relación | Procesa datos en nombre de la empresa | Recibe datos de la empresa mediante un contrato escrito |
| Requisito de contrato | Sí | Sí |
| Puede vender/compartir datos | No | No |
| Debe eliminar a solicitud | Sí | Sí |
| Requisito de certificación | Términos contractuales básicos | Debe certificar que comprende y cumplirá con las restricciones de la CCPA |
| Subprocesamiento | Puede contratar subprocesadores con protecciones equivalentes | Restricciones similares |
Las empresas deben incluir disposiciones específicas conformes con la CCPA en sus contratos tanto con proveedores de servicios como con contratistas, incluyendo prohibiciones de vender o compartir los datos, limitaciones de retención, y requisitos de asistencia con las solicitudes de derechos de los consumidores.
Evaluaciones de Riesgo y Auditorías de Ciberseguridad
La CPRA instruyó a la CPPA a desarrollar regulaciones que exigieran a ciertas empresas realizar evaluaciones de riesgo de privacidad y auditorías de ciberseguridad. La CPPA finalizó estas regulaciones en septiembre de 2025, vigentes desde el 1 de enero de 2026.
Requisitos de Evaluación de Riesgo
Las empresas deben realizar evaluaciones de riesgo para las actividades de procesamiento que presenten un "riesgo significativo" para la privacidad del consumidor. Esto incluye:
- Vender o compartir información personal
- Procesar información personal sensible
- Usar tecnología de toma de decisiones automatizada para decisiones significativas
- Procesar información personal de menores o consumidores que la empresa sepa que son menores de 16 años
Las evaluaciones de riesgo deben sopesar los beneficios del procesamiento frente a los riesgos potenciales para la privacidad del consumidor. Las empresas deben presentar certificaciones y resúmenes a la CPPA antes del 1 de abril de 2028.
Requisitos de Auditoría de Ciberseguridad
Ciertas empresas deben realizar auditorías anuales de ciberseguridad que evalúen si sus prácticas de seguridad son adecuadas para la naturaleza y el volumen de información personal que procesan. La auditoría debe evaluar la capacidad de la empresa para:
- Proteger la información personal del acceso, destrucción, uso, modificación o divulgación no autorizados
- Identificar y abordar brechas de seguridad
- Responder a incidentes de seguridad
Señales de Preferencia de Exclusión
La CPRA codificó el concepto de señales de preferencia de exclusión (OOPS, por sus siglas en inglés), exigiendo a las empresas tratar las señales de privacidad a nivel de navegador como solicitudes de exclusión válidas.
Global Privacy Control (GPC)
La señal de preferencia de exclusión más utilizada es Global Privacy Control (GPC), disponible como función integrada en navegadores como Mozilla Firefox, DuckDuckGo y Brave, o como extensión de navegador.
Cuando GPC está activado, envía automáticamente una señal a cada sitio web que visita el consumidor indicando que desea excluirse de la venta e intercambio de su información personal. Las empresas deben respetar esta señal de la misma manera en que respetarían a un consumidor que hace clic en el enlace "No Vender ni Compartir Mi Información Personal".
La acción de cumplimiento de la Fiscalía General contra Sephora en 2022 se basó en parte en el hecho de que la empresa no reconocía las señales GPC. En 2025, la AG y la CPPA lanzaron una investigación conjunta con Colorado y Connecticut para investigar a empresas que se negaban a respetar las señales de preferencia de exclusión.
Enlaces de Exclusión Alternativos
Las empresas que procesan señales de preferencia de exclusión pueden usar un único enlace combinado (como "Sus Opciones de Privacidad") en lugar de enlaces separados de "No Vender ni Compartir" y "Limitar el Uso de Mi Información Personal Sensible", siempre que la respuesta a la señal sea sin fricciones para el consumidor.
Tecnología de Toma de Decisiones Automatizada (ADMT)
La disposición más orientada al futuro de la CPRA aborda la tecnología de toma de decisiones automatizada. Bajo las regulaciones finalizadas en 2025:
- Las empresas que usan ADMT para tomar "decisiones significativas" sobre los consumidores deben proporcionar aviso previo al uso
- Los consumidores pueden solicitar información sobre cómo se usó ADMT en decisiones que los afectan
- Los consumidores pueden excluirse de ciertos usos de ADMT
- Estos requisitos entran en vigor el 1 de enero de 2027
Las decisiones significativas incluyen aquellas que producen efectos legales o de importancia similar en relación con el acceso a servicios financieros, vivienda, seguros, educación, empleo, atención médica, o bienes y servicios esenciales.
Minimización de Datos y Limitación de Propósito
La CPRA introdujo requisitos explícitos de minimización de datos que la CCPA original no tenía. Bajo el estatuto modificado, las empresas:
- Solo pueden recolectar información personal que sea "razonablemente necesaria y proporcional" para lograr los propósitos para los cuales se recolectó o procesó
- No pueden retener información personal más tiempo del razonablemente necesario para el propósito divulgado
- No pueden usar información personal para propósitos incompatibles con los divulgados al momento de la recolección sin proporcionar un nuevo aviso
Estos requisitos alinean más estrechamente la ley de California con los principios de minimización de datos del RGPD.
Impacto Práctico para las Empresas
El cambio de la CCPA original a la versión modificada por la CPRA afecta las operaciones diarias de varias maneras concretas:
- Las políticas de privacidad necesitan actualizarse para abordar los nuevos derechos (corrección, limitación de información personal sensible) y las nuevas categorías (contratistas)
- Los enlaces de la página de inicio cambiaron de "No Vender Mi Información Personal" a "No Vender ni Compartir Mi Información Personal" con un enlace opcional de "Limitar el Uso de Mi Información Personal Sensible"
- Los contratos con proveedores deben distinguir entre proveedores de servicios y contratistas con los términos apropiados de la CCPA
- La infraestructura técnica debe detectar y respetar las señales de preferencia de exclusión como GPC
- Los programas de evaluación de riesgo ahora son obligatorios para las empresas que procesan datos de maneras de alto riesgo
- La capacitación de empleados debe cubrir los nuevos derechos, las nuevas categorías de datos y las nuevas realidades de cumplimiento
Para una guía paso a paso sobre cómo cumplir con estos requisitos, consulte nuestra Lista de Verificación de Cumplimiento de la CCPA.
Temas Relacionados sobre Privacidad en California
- ¿Qué Es la CCPA? (resumen integral de la CCPA)
- Leyes de Privacidad de Datos de California (centro principal)
- Lista de Verificación de Cumplimiento de la CCPA
- Derechos de Exclusión de la CCPA
- Leyes de Privacidad Biométrica de California
- Leyes de Notificación de Filtraciones de Datos de California
Este artículo proporciona información legal general, no asesoría legal. Las regulaciones de privacidad evolucionan con frecuencia, y las interpretaciones de cumplimiento cambian. Consulte a un abogado para obtener asesoría específica sobre su situación.
Más Leyes de California
- Leyes de Grabación de Reuniones con IA de California
- Leyes de Pensión Alimenticia Conyugal de California
- Leyes de Empleo a Voluntad de California
- Leyes de Accidentes Automovilísticos de California
- Leyes de Asientos de Seguridad para Niños de California
- Leyes de Custodia de Menores de California
- Leyes de Manutención Infantil de California
- Leyes de Matrimonio de Hecho de California
- Leyes sobre Deepfakes de California
- Leyes de Divorcio de California
- Leyes sobre Mordeduras de Perro de California
- Leyes de Emancipación de California
- Leyes de Eliminación de Antecedentes Penales de California
- Leyes sobre Atropello y Fuga de California
- Leyes de Propietarios e Inquilinos de California
- Ley del Limón de California
Preguntas frecuentes
¿Es la CPRA una ley separada de la CCPA?
No. La CPRA (Proposición 24) modificó la CCPA existente en lugar de crear un nuevo estatuto. La ley oficial todavía se titula California Consumer Privacy Act of 2018. Las referencias a la 'CCPA' ahora incluyen todos los cambios que introdujo la CPRA, los cuales entraron en vigor el 1 de enero de 2023.
¿Cuándo entró en vigor la CPRA?
Las enmiendas de la CPRA a la CCPA entraron en vigor el 1 de enero de 2023, y se aplican a la información personal recolectada a partir del 1 de enero de 2022. La CPPA comenzó a hacer cumplir estas disposiciones el 1 de julio de 2023. Regulaciones adicionales que cubren auditorías de ciberseguridad, evaluaciones de riesgo y ADMT entraron en vigor el 1 de enero de 2026.
¿Qué nuevos derechos otorgó la CPRA a los consumidores?
La CPRA agregó el derecho a corregir información personal inexacta y el derecho a limitar el uso que hace una empresa de la información personal sensible. También amplió el derecho de exclusión existente para cubrir el 'intercambio' con fines de publicidad conductual entre contextos, no solo la 'venta' de información personal.
¿Qué es la California Privacy Protection Agency (CPPA)?
La CPPA es una agencia estatal creada por la CPRA para implementar, interpretar y hacer cumplir la CCPA. Es la primera agencia gubernamental en EE. UU. dedicada exclusivamente a la privacidad del consumidor. La CPPA comparte la autoridad de cumplimiento con la Fiscalía General de California y tiene la autoridad principal de elaboración de normas para las regulaciones de la CCPA.
¿Las empresas todavía tienen un período de subsanación de 30 días por infracciones?
Depende de quién presente la demanda. La CPRA eliminó el período de subsanación de 30 días para el cumplimiento gubernamental, por lo que la Fiscalía General y la CPPA pueden actuar e imponer multas sin darle primero a la empresa la oportunidad de corregir el problema. Un período de subsanación de 30 días todavía se aplica a las demandas privadas: bajo el Cal. Civ. Code Sec. 1798.150(b), un consumidor que demande por daños estatutarios después de una filtración de datos debe entregar primero a la empresa un aviso escrito de 30 días, y si la empresa subsana dentro de ese plazo y lo confirma por escrito, la demanda por daños estatutarios no puede proceder.
¿Qué son las señales de preferencia de exclusión bajo la CPRA?
Las señales de preferencia de exclusión son configuraciones basadas en el navegador (como Global Privacy Control) que comunican automáticamente la decisión de un consumidor de excluirse de la venta e intercambio de su información personal. Las empresas deben tratar estas señales como solicitudes de exclusión válidas, tal como lo harían con un consumidor que hace clic en el enlace 'No Vender ni Compartir'.
¿Cuál es la diferencia entre un proveedor de servicios y un contratista bajo la CCPA?
Ambos son entidades que procesan información personal en nombre de una empresa bajo un contrato escrito. La diferencia clave está en la relación contractual: los contratistas deben certificar que comprenden y cumplirán con las restricciones de la CCPA. A ambos se les prohíbe vender o compartir los datos y deben ayudar con las solicitudes de derechos de los consumidores.
¿Se requieren ahora auditorías de ciberseguridad bajo la CCPA?
Sí, para ciertas empresas. Las regulaciones finalizadas en septiembre de 2025 (vigentes desde el 1 de enero de 2026) exigen que las empresas cuyo procesamiento presente un riesgo significativo para la privacidad del consumidor realicen auditorías anuales de ciberseguridad y presenten certificaciones a la CPPA antes del 1 de abril de 2028.
Actualizaciones
Se corrigió el análisis del período de subsanación para aclarar que la CPRA lo eliminó solo para el cumplimiento de la Fiscalía General y la CPPA, y se agregó cobertura del derecho de acción privada por filtraciones de datos bajo el Cal. Civ. Code 1798.150, que aún conserva un requisito de aviso y subsanación de 30 días y que la CPRA amplió a credenciales de correo electrónico y contraseña filtradas.
La ley detrás de este artículo
Este artículo se apoya en las disposiciones legales a continuación, conservadas en nuestro propio registro jurídico y obtenidas de la fuente oficial. Toque una sección para leer el texto vigente.
California Civil Code
§ 1798.100Vigentecitada en 13 de nuestros artículos
General Duties of Businesses that Collect Personal Information (a) A business that controls the collection of a consumer’s personal information shall, at or before the point of collection, inform consumers of the following: (1) The categories of personal information to be collected and the purposes for which the categories of personal information are collected or used and whether that information is sold or shared. A business shall not collect additional categories of personal information or use personal information collected for additional purposes that are incompatible with the disclosed purpose for which the personal information was collected without providing the consumer with notice consistent with this section. (2) If the business collects sensitive personal information, the categories of sensitive personal information to be collected and the purposes for which the categories of sensitive personal information are collected or used, and whether that information is sold or shared.
Texto oficial (extracto) · verificado el 2026-08-31 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
Citada en 36 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2026
Resoluciones que citan esta sección en nuestra colección:
- Untitled California Attorney General Opinion (California Attorney General Reports 2022)“…ROUND The California Consumer Privacy Act of 2018 (Civil Code, §§ 1798.100 et seq.) is the first law of its kind i…”
- Troester v. Starbucks Corporation (California Supreme Court 2018, 235 Cal. Rptr. 3d 820)“…he consumer law context. (See Consumer Privacy Act of 2018, Civ. Code, § 1798.100 et seq. (added by Stats. 2018, ch. 55,…”
- Hajny v. Volkswagen Group of America CA1/1 (California Court of Appeal 2024)“…ions of the California Consumer Privacy Act of 2018 (CCPA), Civil Code section 1798.100 et seq. Shortly after Wynne filed…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
También citada en: Cómo solicitar sus datos personales: derechos por estado
§ 1798.145Vigentecitada en 2 de nuestros artículos
Exemptions (a) (1) The obligations imposed on businesses by this title shall not restrict a business’s ability to: (A) Comply with federal, state, or local laws or comply with a court order or subpoena to provide information. (B) Comply with a civil, criminal, or regulatory inquiry, investigation, subpoena, or summons by federal, state, or local authorities. Law enforcement agencies, including police and sheriff’s departments, may direct a business pursuant to a law enforcement agency-approved investigation with an active case number not to delete a consumer’s personal information, and, upon receipt of that direction, a business shall not delete the personal information for 90 days in order to allow the law enforcement agency to obtain a court-issued subpoena, order, or warrant to obtain a consumer’s personal information. For good cause and only to the extent necessary for investigatory purposes, a law enforcement agency may direct a business not to delete the consumer’s personal information for additional 90-day periods.
Texto oficial (extracto) · verificado el 2026-07-28 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
Citada en 3 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2023
Resoluciones que citan esta sección en nuestra colección:
- Untitled California Attorney General Opinion (California Attorney General Reports 2022)“…13(c)(4). 38 Civ. Code, § 1798.140, subd. (o). 39 Civ. Code, § 1798.145, subds. (c), (d), (e), (g). 40 Stats.…”
- Tate v. EyeMed Vision Care, LLC (District Court, S.D. Ohio 2023)“…256 (alleging that EyeMed is bound by HIPAA)); see also Cal. Civ. Code § 1798.145(c)(1)(A) (exempting entities covered b…”
- Florence v. Order Express, Inc. (District Court, N.D. Illinois 2023)“…This subdivision shall not apply to Section 1798.150. Cal. Civ. Code § 1798.145(e) (emphasis added). On its face, the e…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 1798.150Vigentecitada en 13 de nuestros artículos
Personal Information Security Breaches (a) (1) Any consumer whose nonencrypted and nonredacted personal information, as defined in subparagraph (A) of paragraph (1) of subdivision (d) of Section 1798.81.5, or whose email address in combination with a password or security question and answer that would permit access to the account is subject to an unauthorized access and exfiltration, theft, or disclosure as a result of the business’ violation of the duty to implement and maintain reasonable security procedures and practices appropriate to the nature of the information to protect the personal information may institute a civil action for any of the following: (A) To recover damages in an amount not less than one hundred dollars ($100) and not greater than seven hundred and fifty ($750) per consumer per incident or actual damages, whichever is greater. The amounts in this subdivision shall be adjusted pursuant to subdivision (d) of Section 1798.199.95. (B) Injunctive or declaratory relief. (C) Any other relief the court deems proper.
Texto oficial (extracto) · verificado el 2026-09-17 · Lea el texto completo en nuestra biblioteca legal · Verifique en leginfo.legislature.ca.gov
Citada en 41 resoluciones judiciales de nuestra colecciónResolución más reciente que la cita en nuestra colección: 2025
Resoluciones que citan esta sección en nuestra colección:
- Jarman v. HCR ManorCare, Inc. (California Supreme Court 2020, 267 Cal. Rptr. 3d 696)“…of the harm, as it has done in other contexts. (See, e.g., Civ. Code, § 1798.150, subd. (a)(2).) These deficiencie…”
- Untitled California Attorney General Opinion (California Attorney General Reports 2022)“…ubd. (c). 48 Civ. Code, § 1798.155, subd. (b). 49 Civ. Code, § 1798.150. 50 Initiative Measure (Prop. 24)…”
- Hajny v. Volkswagen Group of America CA1/1 (California Court of Appeal 2024)“…750 without having to prove causation and actual damages. (Civ. Code, § 1798.150, subd. (a)(1)(A).) No other state provi…”
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Fuentes y referencias
- Texto completo de la CCPA (Cal. Civ. Code 1798.100-1798.199.100)(leginfo.legislature.ca.gov).gov
- Portal de Leyes y Regulaciones de la CPPA(cppa.ca.gov).gov
- Resumen de la CCPA (Fiscalía General de California)(oag.ca.gov).gov
- Preguntas Frecuentes de la CPPA(cppa.ca.gov).gov
- Estatuto de la CCPA Vigente desde el 1 de Enero de 2026(cppa.ca.gov).gov
- Umbrales Monetarios Ajustados por el IPC(cppa.ca.gov).gov
- Actualizaciones de la CCPA: Auditorías de Ciberseguridad, Evaluaciones de Riesgo, ADMT(cppa.ca.gov).gov
- La CPPA Finaliza las Regulaciones de Privacidad (Sept. 2025)(cppa.ca.gov).gov
- Global Privacy Control (GPC)(oag.ca.gov).gov
- Acuerdo de la AG con Sephora ($1.2M)(oag.ca.gov).gov
- Acuerdo de la CPPA con Honda ($632,500)(cppa.ca.gov).gov
- Investigación Conjunta: CA, CO, CT (Cumplimiento de Exclusión)(cppa.ca.gov).gov
- Regulaciones de la CPPA sobre la Consumer Privacy Act(cppa.ca.gov).gov
- Ley Delete: Plataforma Drop(cppa.ca.gov).gov
- SB 1223 (Datos Neuronales)(leginfo.legislature.ca.gov).gov
- Cal. Civ. Code 1798.150 (Derecho de Acción Privada por Filtraciones de Datos)(leginfo.legislature.ca.gov).gov
- Proposición 24 (CPRA), Texto Oficial de la Ley Propuesta, SEC. 16 que modifica el Cal. Civ. Code 1798.150(vig.cdn.sos.ca.gov).gov
- AB 375 (2018), California Consumer Privacy Act promulgada (texto original del Cal. Civ. Code 1798.150)(leginfo.legislature.ca.gov).gov