CCPA vs RGPD: diferencias clave

CCPA vs RGPD: la respuesta corta

La principal diferencia entre el RGPD y la CCPA es el modelo de consentimiento. El Reglamento General de Protección de Datos de la UE (RGPD, en inglés GDPR) es de opt-in: necesita una base jurídica, a menudo el consentimiento, antes de tratar datos personales, y un consentimiento previo antes de instalar cookies no esenciales. La California Consumer Privacy Act (CCPA), modificada por la CPRA, es de opt-out: una empresa puede recopilar información personal tras informar, pero debe permitir a los consumidores oponerse a la venta o a la compartición de esa información.

El ámbito de aplicación es la segunda gran diferencia. El RGPD se aplica a casi cualquier organización que trate datos personales de personas en la UE, sea cual sea su tamaño. La CCPA solo se aplica a empresas con ánimo de lucro que operan en California y superan un umbral de facturación o de volumen de datos.

RGPD vs CCPA: tabla comparativa

Principales diferencias explicadas

1. Quién debe cumplir

El RGPD no tiene umbral de tamaño. Una tienda online de dos personas en Berlín y una app estadounidense con usuarios en Francia están igualmente sujetas. La CCPA se centra en empresas grandes o con uso intensivo de datos. La cifra de ingresos se ajusta a la inflación cada dos años; la California Privacy Protection Agency la elevó de 25.000.000 $ a 26.625.000 $ el 1 de enero de 2025. Desde 2023 la CCPA también cubre datos de empleados y de relaciones entre empresas, así que no se limita a los visitantes del sitio web.

2. Opt-in frente a opt-out

Con el RGPD necesita una base legal antes de empezar a tratar datos. Para las cookies y rastreadores similares que no son estrictamente necesarios, la normativa de la UE exige primero el consentimiento, de modo que el banner de cookies debe bloquear las etiquetas hasta que el visitante acepte, y rechazar debe ser tan fácil como aceptar.

Con la CCPA, informa a las personas en el momento de la recogida o antes y después respeta sus decisiones. Si vende información personal o la comparte para publicidad conductual entre contextos, debe ofrecer un enlace "Do Not Sell or Share My Personal Information" (o el enlace alternativo "Your Privacy Choices") y dejar de vender o compartir cuando el consumidor ejerza el opt-out.

3. Global Privacy Control

Los reglamentos de la CCPA obligan a las empresas a tratar la señal Global Privacy Control (GPC) como una solicitud válida de oposición a la venta y la compartición. El Fiscal General de California incluye un control global de privacidad activado por el usuario entre los métodos de opt-out que las empresas deben respetar. El RGPD no tiene una obligación equivalente sobre señales, aunque el visitante siempre puede retirar su consentimiento.

4. Derechos y plazos

Ambas leyes otorgan el derecho de acceso y de supresión, pero los detalles difieren. Las solicitudes del RGPD deben responderse en un mes. Las solicitudes de la CCPA para conocer, eliminar y corregir, en 45 días naturales, y las de opt-out, en 15 días hábiles. Un portal de privacidad le ayuda a recibir y gestionar las solicitudes de los interesados con ambos plazos.

5. Sanciones y aplicación

Las multas del RGPD pueden alcanzar 20 millones de EUR o el 4 % del volumen de negocio anual mundial. Las multas de la CCPA se calculan por infracción, por lo que se acumulan rápidamente cuando hay muchos consumidores afectados: 2.663 $ por infracción y 7.988 $ por infracción intencionada o que afecte a un menor de 16 años. Además, tras ciertas brechas de datos los consumidores pueden presentar demandas colectivas, con indemnizaciones legales de 107 $ a 799 $ por consumidor e incidente.

¿Es la CCPA más estricta que el RGPD?

En conjunto, no. El RGPD es más estricto porque cubre casi cualquier organización, exige una base jurídica para cada tratamiento, requiere consentimiento opt-in para las cookies y restringe las transferencias fuera de la UE. La CCPA es más estricta en algunos puntos: exige un enlace de opt-out visible, hace obligatorio respetar GPC y concede a los consumidores indemnizaciones legales por brechas de datos sin necesidad de probar un perjuicio real.

Cómo cambió la CPRA a la CCPA

La California Privacy Rights Act (CPRA), aprobada por los votantes en noviembre de 2020, modificó la CCPA desde el 1 de enero de 2023 y la acercó al RGPD. Consulte nuestra guía de la CPRA para más detalles. Los cambios principales:

• Creó la California Privacy Protection Agency, un regulador específico de privacidad.
• Añadió la "compartición" para publicidad conductual entre contextos junto a la "venta".
• Añadió los derechos a corregir y a limitar el uso de la información personal sensible.
• Añadió normas de minimización de datos y limitación de la finalidad.
• Previó evaluaciones de riesgo y auditorías de ciberseguridad, ahora desarrolladas en los reglamentos de la CPPA vigentes desde el 1 de enero de 2026.
• Elevó el umbral de 50.000 a 100.000 consumidores u hogares.

California no es la única. Muchos otros estados de EE. UU. tienen ya leyes de privacidad con modelos de opt-out similares; consulte nuestro resumen de leyes de privacidad de los estados de EE. UU. y la lista de leyes de privacidad globales.

Cómo cumplir a la vez con el RGPD y la CCPA

Use esta lista de comprobación si tiene visitantes o clientes en Europa y en California:

1. Mapee sus datos: registre qué datos personales recoge, por qué, adónde van y qué proveedores los reciben.
2. Escanee su sitio web: realice un escaneo de cookies para encontrar todas las cookies y rastreadores y clasificarlos por categorías.
3. Muestre el banner adecuado en cada región: un banner opt-in para visitantes de la UE, el EEE y el Reino Unido y un aviso de opt-out de la CCPA para visitantes de California.
4. Bloquee etiquetas antes del consentimiento en Europa: cargue las etiquetas de analítica y publicidad solo tras el consentimiento RGPD.
5. Añada el enlace de opt-out en California: coloque un enlace "Do Not Sell or Share My Personal Information" o "Your Privacy Choices" en el pie de página.
6. Respete GPC: trate Global Privacy Control como un opt-out válido para visitantes de California.
7. Transmita las señales a sus socios publicitarios: envíe cadenas IAB TCF en Europa y cadenas IAB GPP en EE. UU., además de Google Consent Mode v2.
8. Actualice su política de privacidad: incluya las bases jurídicas y los derechos del RGPD y las categorías de información personal, finalidades y derechos de la CCPA. Nuestro generador de políticas de privacidad puede ayudarle.
9. Organice la gestión de solicitudes: un único proceso con plazo de un mes para el RGPD y de 45 días para la CCPA.
10. Conserve registros: guarde los registros de consentimiento y de opt-out como prueba y revise los contratos con proveedores, como los contratos de encargo del tratamiento.

Cómo aplica UniConsent el banner correcto en cada región

UniConsent es una plataforma de gestión del consentimiento certificada por Google y registrada en el IAB TCF. Con una sola etiqueta en su sitio, detecta la región del visitante y aplica las reglas adecuadas:

• Europa y Reino Unido: un banner de cookies opt-in conforme al RGPD con botones de aceptar y rechazar, bloqueo previo de etiquetas, señales IAB TCF y Google Consent Mode v2.
• California y otros estados de EE. UU.: un aviso de opt-out de la CCPA con enlace Do Not Sell or Share, enlace Your Privacy Choices, detección automática de GPC y señales IAB GPP para sus socios publicitarios.
• En todas partes: escaneo de cookies, registros de consentimiento y opt-out, un portal de privacidad para solicitudes y soporte multilingüe.

Cree una cuenta gratuita de UniConsent y configure el cumplimiento del RGPD y la CCPA en un mismo sitio en minutos.

Preguntas frecuentes

¿Cuál es la principal diferencia entre el RGPD y la CCPA?

El RGPD es de opt-in: necesita una base jurídica, a menudo el consentimiento, antes de tratar datos personales, y un consentimiento previo para las cookies no esenciales. La CCPA es de opt-out: las empresas pueden recopilar información personal tras informar, pero deben permitir a los consumidores oponerse a su venta o compartición. Además, el RGPD se aplica a casi todas las organizaciones, mientras que la CCPA solo se aplica a empresas con ánimo de lucro que superan sus umbrales.

¿Es la CCPA más estricta que el RGPD?

En conjunto, el RGPD es más estricto: cubre casi cualquier organización, exige una base jurídica para el tratamiento, requiere consentimiento opt-in para las cookies y permite multas de hasta 20 millones de EUR o el 4 % del volumen de negocio mundial. La CCPA es más estricta en algunos aspectos, como el enlace de opt-out obligatorio, el soporte obligatorio de Global Privacy Control y las indemnizaciones legales por brechas de datos.

¿Exige la CCPA consentimiento de cookies como el RGPD?

No. La CCPA no exige un banner de cookies opt-in para adultos. Exige un aviso en el momento de la recogida y una forma de oponerse a la venta o compartición de información personal, lo que incluye las cookies publicitarias usadas para publicidad conductual entre contextos. El opt-in solo es obligatorio para consumidores que la empresa sabe que tienen menos de 16 años.

Si cumplo con el RGPD, ¿cumplo con la CCPA?

No automáticamente. Cumplir el RGPD cubre gran parte de la base, pero la CCPA exige además un enlace Do Not Sell or Share o Your Privacy Choices, soporte de Global Privacy Control, información específica de la CCPA en la política de privacidad, un proceso de solicitudes de 45 días y el derecho a limitar el uso de la información personal sensible.

¿Quién aplica el RGPD y la CCPA?

El RGPD lo aplica la autoridad nacional de protección de datos de cada país de la UE, con una autoridad principal para las organizaciones que operan en varios países. La CCPA la aplican la California Privacy Protection Agency (CPPA) y el Fiscal General de California.

¿Cuáles son las sanciones de la CCPA frente al RGPD?

Las multas del RGPD pueden alcanzar 20 millones de EUR o el 4 % del volumen de negocio anual mundial, la cifra que sea mayor. Desde el 1 de enero de 2025, las multas de la CCPA llegan a 2.663 $ por infracción y 7.988 $ por infracción intencionada o que afecte a menores de 16 años, y los consumidores pueden reclamar de 107 $ a 799 $ por incidente tras ciertas brechas de datos.