Una guía práctica de Cuándo se aplica el CCPA

La respuesta corta a cuándo se aplica el CCPA es que basta con operar en California, recoger datos de residentes y superar un umbral legal.

¿Cuándo se aplica el CCPA? La respuesta corta es: cuando una empresa con fines de lucro cubierta hace negocios en California, recopila información personal de los residentes de California y cumple al menos un umbral legal.

La respuesta más larga es importante porque las prácticas analíticas y publicitarias de rutina pueden contribuir al análisis. No es necesario que una empresa tenga su sede en California para tener obligaciones de privacidad en California.

La prueba de aplicabilidad básica

Las preguntas frecuentes de la Agencia de Protección de la Privacidad de California enumeran los principales umbrales para una empresa cubierta. A partir de las preguntas frecuentes públicas actuales de la CPPA, la ley se aplica a las empresas con fines de lucro que realizan negocios en California y recopilan información personal de los residentes de California y cumplen al menos una de estas condiciones:

• Ingresos anuales brutos de $26,625 millones o más para el año calendario anterior, a partir del 1 de enero de 2025.
• Comprar, vender o compartir la información personal de 100.000 o más residentes u hogares de California.
• Obtener el 50% o más de los ingresos anuales vendiendo o compartiendo información personal de los residentes de California.

Debido a que la cifra de ingresos se ajusta a la inflación, verifique la cifra actual con la CPPA en lugar de copiar el antiguo lenguaje de "$25 millones". La agencia publica umbrales monetarios actualizados y preguntas frecuentes (Actualización del umbral CPPA, Preguntas frecuentes sobre la CPPA).

"Hacer negocios en California" es más amplio que tener una oficina

Una empresa fuera de California aún puede estar dentro del alcance si hace negocios en el estado, recopila información personal de los residentes de California y cumple con un umbral. Para las empresas web, los usuarios de California llegan a través de búsquedas, anuncios pagados, redes sociales, registros de SaaS, pedidos de comercio electrónico, boletines informativos o cuentas de aplicaciones.

Los indicadores prácticos incluyen:

• Vender productos o suscripciones a residentes de California.
• Orientación de anuncios a California.
• Tener clientes o usuarios de California.
• Envío de mercancías a California.
• Ofreciendo servicios disponibles para los residentes de California.
• Recopilación de datos analíticos de visitantes de California a escala.

Si está cerca de un umbral, obtenga asesoramiento legal. Las decisiones de alcance pueden afectar los avisos de privacidad, los enlaces de exclusión voluntaria, los contratos y los flujos de trabajo de derechos de datos.

¿Qué se considera información personal?

La definición CCPA es amplia. La información personal puede incluir identificadores, identificadores en línea, direcciones IP, historial de navegación, historial de búsqueda, datos de geolocalización, información comercial e inferencias. La página CCPA del Fiscal General de California resume los derechos del consumidor y enlaces al marco legal (Fiscalía General de California).

Para los equipos de análisis, esto significa que la información personal incluye:

• Identificadores de cookies.
• Identificadores de dispositivos.
• Ubicación derivada de IP.
• Historiales de páginas vistas.
• Parámetros de campaña.
• Eventos de productos vinculados a cuentas.
• Datos publicitarios multicontexto.

Un panel agregado no significa que la canalización de datos subyacente evite la información personal.

Cómo la analítica puede afectar los umbrales

El umbral de 100.000 consumidores o hogares es el que muchos equipos digitales pasan por alto. Los sitios web con mucho tráfico pueden alcanzar ese número mediante visitas normales. Si los administradores de análisis, píxeles o etiquetas recopilan información personal de los residentes de California, esos visitantes cuentan para el análisis del volumen de datos.

El umbral de venta/acciones también es importante. "Compartir" según CPRA está vinculado a la publicidad conductual entre contextos. Si divulga información personal a plataformas publicitarias para reorientación o creación de audiencia, tiene obligaciones de exclusión voluntaria incluso si el dinero no cambia de manos.

Exenciones y límites comunes

El CCPA no se aplica a todas las organizaciones ni a todos los tipos de datos. Las agencias gubernamentales y muchas organizaciones sin fines de lucro quedan fuera de la definición de negocio principal. Parte de la información regulada por leyes sectoriales específicas está exenta o recibe un tratamiento diferente. Los contextos de empleo y contacto comercial han cambiado según la CPRA y deben revisarse cuidadosamente en lugar de asumirse como exentos.

No confíe en una lista de exenciones genérica sin verificar la ley vigente y el flujo de datos específico.

Lista de verificación del alcance del propietario de un sitio web

Utilice esta evaluación:

1. ¿Somos una entidad con fines de lucro?
2. ¿Hacemos negocios en California?
3. ¿Recopilamos información personal de los residentes de California?
4. ¿Estamos por encima del umbral de ingresos actual?
5. ¿Compramos, vendemos o compartimos información personal de 100.000 o más residentes u hogares de California?
6. ¿Obtenemos un 50% o más de ingresos vendiendo o compartiendo información personal?
7. ¿Nuestras herramientas de análisis o publicidad revelan datos a terceros?
8. ¿Utilizamos publicidad conductual multicontexto?
9. ¿Respetamos las señales de preferencia de exclusión voluntaria cuando sea necesario?
10. ¿Están vigentes nuestra política de privacidad y nuestros contratos?

Por qué ayuda el análisis de privacidad primero

Si su configuración de análisis evita cookies, identificadores persistentes, almacenamiento completo de IP, creación de perfiles entre sitios e intercambio de datos publicitarios, el análisis CCPA se vuelve más simple. Otras operaciones aún pueden convertirlo en una empresa cubierta, pero el sistema de análisis en sí crea menos obligaciones y menos casos extremos de derechos de usuario.

Para las empresas en crecimiento, ese es el punto estratégico. Diseñe análisis para que responda preguntas comerciales sin acercarlo a umbrales de privacidad evitables o complejidad de "venta/compartición".

Cómo estimar los umbrales de visitantes

No espere hasta fin de año para estimar si el umbral de 100.000 consumidores o hogares se aplica a su caso. Utilice una revisión mensual conservadora para el tráfico de California. Combine análisis web, registros de servidores, registros de cuentas, registros de boletines y audiencias de plataformas publicitarias cuando sea relevante. Deduplicar sólo cuando tenga un método defendible; la deduplicación excesivamente confiada puede ocultar el riesgo.

También separe la recogida de la compartición. Un sitio con mucho tráfico que utiliza análisis agregados propios tiene un perfil de obligación diferente al de un sitio con poco tráfico que envía identificadores a redes publicitarias para publicidad conductual en contextos cruzados. Mantenga una nota simple al lado de cada rastreador principal: recopila información personal, la comparte con fines publicitarios, respeta la exclusión voluntaria y admite la eliminación. Eso hace que el análisis del alcance sea mucho más fácil cuando el negocio crece.

Lista de verificación de revisión del alcance CCPA

Revise la pregunta de alcance trimestralmente si el tráfico, la inversión publicitaria, los ingresos o el tamaño de la audiencia de California están creciendo. Consulte la página de umbrales de la CPPA actual, calcule de manera conservadora a los consumidores o hogares de California y separe la recaudación ordinaria de la venta o el intercambio para publicidad conductual en contextos cruzados.

Para análisis, revise los píxeles publicitarios, los destinos del administrador de etiquetas, la conversión del lado del servidor APIs, los proveedores de enriquecimiento, las propiedades de eventos, los enlaces de exclusión voluntaria, el manejo del control de privacidad global, los límites de datos confidenciales, los contratos de proveedores y la retención. Si el análisis agregado responde a la pregunta comercial, utilícelo en lugar de compartirlo a nivel de visitante.

Preguntas frecuentes

¿Se aplica la CCPA si mi empresa no tiene oficina en California?

Sí, si hace negocios en California, recopila información personal de residentes de California y cumple uno de los umbrales. Los indicadores prácticos incluyen vender a residentes de California, dirigir anuncios allí o enviar productos al estado. La ubicación de su sede no cambia el análisis.

¿Cuál es el umbral de ingresos actual para la CCPA?

El umbral de ingresos brutos anuales es de $26.625 million o más para el año calendario anterior, vigente desde el 1 de enero de 2025. Como la cifra se ajusta por inflación, confirme el número actual con la CPPA en lugar de basarse en referencias antiguas de "$25 millones".

¿Cuántos residentes de California activan el umbral de volumen de datos de la CCPA?

Comprar, vender o compartir la información personal de 100,000 o más residentes u hogares de California cumple ese umbral. Los sitios web de alto tráfico pueden alcanzar esa cifra con visitas ordinarias cuando las etiquetas de análisis recopilan información personal a gran escala.

¿Cuenta la venta de publicidad para el umbral de ingresos de la CCPA?

El tercer umbral de la CCPA analiza si una empresa obtiene el 50% o más de sus ingresos anuales de la venta o el intercambio de información personal de residentes de California. Esto es independiente del umbral de ingresos fijo y se aplica incluso a empresas más pequeñas cuando esa proporción de ingresos es alta.

¿Se considera la dirección IP información personal según la CCPA?

Las direcciones IP y la ubicación derivada de la IP entran en la amplia definición de información personal de la CCPA, junto con identificadores, identificadores en línea, historial de navegación e inferencias. Los sistemas de análisis que procesan datos de IP manejan información personal aunque los paneles solo muestren cifras agregadas.

¿Se aplica la CCPA a las organizaciones sin fines de lucro?

Las agencias gubernamentales y muchas organizaciones sin fines de lucro quedan fuera de la definición central de negocio. Algunos datos de sectores específicos también están exentos o se tratan de forma distinta bajo otras leyes. No asuma una exención sin revisar la ley actual frente a su flujo de datos específico.

¿Qué cuenta como "compartir" información personal bajo la CPRA?

El "sharing" está ligado a la publicidad conductual entre contextos, como divulgar información personal a plataformas publicitarias para retargeting o construcción de audiencias. Esa divulgación puede generar obligaciones de exclusión (opt-out) aunque no medie dinero.

¿Con qué frecuencia debe una empresa en crecimiento revisar su alcance bajo la CCPA?

Revise el alcance trimestralmente si el tráfico de California, el gasto publicitario, los ingresos o el tamaño de la audiencia están creciendo. Consulte la página de umbrales vigente de la CPPA, estime de forma conservadora los consumidores u hogares de California y separe la recopilación ordinaria de la venta o el intercambio ligado a publicidad entre contextos.

¿Puede el análisis centrado en la privacidad reducir las obligaciones de la CCPA?

Evitar cookies, identificadores persistentes, almacenamiento completo de IP, perfilado entre sitios y el intercambio de datos publicitarios simplifica bastante el análisis de la CCPA. Otras operaciones aún pueden convertir a una empresa en empresa cubierta, pero el propio sistema de análisis genera menos obligaciones y menos casos límite de derechos del usuario.

¿Qué se debe registrar para cada herramienta de análisis o publicidad?

Mantenga una nota simple junto a cada rastreador importante sobre si recopila información personal, comparte datos para publicidad, respeta el opt-out y admite la eliminación. Ese registro facilita mucho el análisis de alcance a medida que la empresa crece, sobre todo junto a píxeles, destinos del gestor de etiquetas y APIs de conversión del lado del servidor.