Cumplimiento CCPA 2026: Navega las nuevas reglas de privacidad de California
California acaba de subir la apuesta en privacidad de datos. Otra vez.
Puntos clave
- Los datos neuronales ahora son información personal sensible. La definición de información personal sensible ahora incluye explícitamente los datos neuronales: información generada al medir la actividad en el sistema nervioso de un consumidor. Esto refleja la creciente preocupación por las interfaces cerebro-computadora y los dispositivos de neurotecnología que pueden revelar detalles íntimos sobre pensamientos, emociones y estados mentales de una persona.
- Todos los datos de menores requieren protecciones adicionales. Si tu empresa recopila información personal de cualquier persona menor de 16 años, esos datos ahora se clasifican automáticamente como información personal sensible. Solo este cambio podría requerir actualizaciones importantes en los avisos de privacidad y en las prácticas de manejo de datos para empresas que recolectan información de edad o fecha de nacimiento.
- El periodo de revisión de 12 meses desaparece. Ahora los consumidores pueden solicitar acceso a toda la información personal que una empresa haya recopilado sobre ellos, no solo la de los últimos 12 meses. Las empresas deben implementar sistemas para gestionar estas solicitudes ampliadas de cualquier dato recopilado desde el 1 de enero de 2022.
- Prohibición directa de los dark patterns. Las nuevas regulaciones ofrecen ejemplos específicos de lo que constituye un «dark pattern» en las interfaces de consentimiento: desde botones asimétricos hasta tácticas de urgencia falsa. Cerrar un popup de consentimiento sin hacer clic en aceptar ya no cuenta como consentimiento.
- La toma de decisiones automatizada tiene nuevas reglas. Para enero de 2027, las empresas que utilicen IA y sistemas automatizados para decisiones importantes en áreas como empleo, préstamos, vivienda y salud deberán proporcionar avisos previos y ofrecer a los consumidores el derecho a excluirse.
Si pensabas que tu empresa cumplía con la CCPA, la Agencia de Protección de la Privacidad de California quiere hablar contigo. Las nuevas regulaciones que entraron en vigor el 1 de enero de 2026 han cambiado fundamentalmente la forma en que las empresas deben manejar los datos de los consumidores, obtener consentimiento y desplegar tecnología de toma de decisiones automatizada. Y los plazos para requisitos adicionales—incluyendo auditorías de ciberseguridad obligatorias—ya están en marcha.
Aquí va la verdad incómoda: muchas empresas que creían estar cumpliendo las reglas ahora están técnicamente fuera de cumplimiento. La definición ampliada de información personal sensible, los requisitos más estrictos de consentimiento y las nuevas obligaciones en torno a la toma de decisiones automatizada significan que el programa de privacidad de ayer ya no es suficiente hoy.
Esta guía desglosa exactamente qué cambió, por qué importa y qué debe hacer tu empresa al respecto. Sin jerga legal, sin rodeos—solo información práctica que realmente puedes usar.
La visión general: por qué estos cambios importan ahora
California siempre ha estado a la vanguardia en regulación de privacidad. Estas actualizaciones de 2026 representan la respuesta de la Agencia de Protección de la Privacidad de California a la evolución tecnológica—y a cómo algunas empresas han manipulado el sistema.
Las nuevas regulaciones abordan tres problemas principales: tecnologías emergentes como las interfaces neuronales que crean nuevos riesgos de privacidad, empresas que usan «dark patterns» para manipular a los consumidores y el reconocimiento de que 12 meses de registros no reflejan realmente lo que las compañías saben sobre nosotros.
Para las empresas, el cumplimiento ya no es solo marcar casillas. La Agencia observa cómo funciona la privacidad en la experiencia real del usuario—no solo lo que dice una política de privacidad que nadie lee.
Entendiendo la definición ampliada de información personal sensible
La Agencia de Protección de la Privacidad de California no solo ajustó la definición de información personal sensible—la reescribió para la era de la neurotecnología y la mayor conciencia sobre la privacidad infantil.
Datos neuronales: la nueva frontera de la privacidad
Los datos neuronales se suman a la lista de categorías de información personal sensible, definidos como información generada al medir la actividad del sistema nervioso central o periférico de un consumidor. Esto abarca desde cascos EEG y interfaces cerebro-computadora hasta algunos wearables avanzados de fitness que rastrean señales neurológicas.
Los datos neuronales pueden revelar aspectos de una persona que ni siquiera ella conoce conscientemente—niveles de estrés, estados emocionales, función cognitiva. Si tu empresa recopila cualquier tipo de dato neuronal, ahora estás manejando información personal sensible, lo que activa requisitos adicionales de divulgación y limita cómo puedes usar esos datos.
La bomba de los datos de menores
Si recopilas información personal y sabes (o deberías saber razonablemente) que pertenece a alguien menor de 16 años, esos datos ahora son información personal sensible. Punto.
Piénsalo bien. Si tu sitio web pide fecha de nacimiento al crear una cuenta, podrías estar recopilando información personal sensible sin darte cuenta. Si tu plataforma de e-commerce vende productos a adolescentes, lo mismo. Las regulaciones no exigen intención—exigen conciencia.
Las empresas pueden necesitar implementar sistemas de verificación de edad, actualizar los avisos de privacidad para abordar específicamente los datos de menores y crear mecanismos de exclusión para información personal sensible asociada a usuarios menores de 16 años.
El fin de la limitación de 12 meses
Durante años, el «derecho a saber» de la CCPA tenía una limitación incorporada: los consumidores solo podían solicitar información sobre los datos personales recopilados en los 12 meses previos. Esa limitación ha desaparecido.
Si una empresa conserva la información personal de un consumidor por más de 12 meses, debe ofrecer una forma para que los consumidores soliciten acceso a toda esa información. La única excepción es para los datos recopilados antes del 1 de enero de 2022.
Para las empresas, esto genera nuevos retos. Necesitas sistemas capaces de recuperar datos históricos en respuesta a solicitudes de los consumidores y procesos para manejar especificaciones de rango de fechas. También es buen momento para auditar lo que realmente estás conservando—cada registro que guardas es una posible responsabilidad bajo estos derechos de acceso ampliados.
Consentimiento, dark patterns y el fin de la manipulación
Las nuevas regulaciones apuntan directamente a los trucos que algunas empresas han usado para fabricar un consentimiento que en realidad no es tal.
Qué cuenta como consentimiento (y qué no)
Un cambio clave: cerrar o salir de un popup de consentimiento—sin hacer clic afirmativamente en un botón de «aceptar»—no constituye consentimiento. Esto elimina la práctica común de tratar cualquier interacción con el popup como consentimiento implícito.
La lista negra de los dark patterns
La Agencia proporcionó ejemplos específicos de dark patterns prohibidos. Las opciones asimétricas quedan fuera. Si tu botón de «Sí» es más grande, más brillante o más visible que el de «No», es un dark pattern. Si tus únicas opciones son «Sí» y «Pregúntame después» sin una forma clara de decir que no, es un dark pattern. Si la opción de participar está seleccionada por defecto, es un dark pattern.
Las regulaciones también prohíben crear una falsa sensación de urgencia. Nada de temporizadores ni tácticas de presión. Y, lo más importante, la cantidad de pasos para optar por no participar debe ser igual o menor que la cantidad de pasos para participar.
El principio de fondo es la simetría—debe ser igual de fácil decir que no que decir que sí. Revisa tus flujos de consentimiento actuales. Cuenta los clics, mide el tamaño de los botones, examina los colores. Si hay algún desequilibrio que favorece tu opción preferida, tienes trabajo por hacer.
Nuevos requisitos de confirmación de exclusión
Las regulaciones ahora exigen que las empresas confirmen que las solicitudes de exclusión han sido procesadas—ya sea que la solicitud llegue a través de un banner de cookies, un enlace en el sitio web o una señal universal de exclusión como Global Privacy Control.
Una forma de cumplir con este requisito es mostrar un mensaje de «Solicitud de exclusión aceptada» inmediatamente después de la solicitud. Tus sistemas deben procesar las solicitudes de exclusión en tiempo real—los procesos por lotes que corren durante la noche ya no son válidos.
Momento del aviso: llegar al consumidor donde está
Los avisos de privacidad deben entregarse «antes o en el momento de la recopilación». Para smart TVs, smartwatches, dispositivos conectados para el hogar y aplicaciones de AR/VR, esto significa integrar los avisos de privacidad en la experiencia del dispositivo—no enterrarlos en términos de servicio aceptados meses atrás.
Para VR y AR, el aviso es obligatorio antes o en el momento en que el consumidor «entra o interactúa con la empresa dentro del entorno de realidad virtual». Esto obliga a las empresas a pensar la privacidad como parte del diseño de la experiencia de usuario, no solo como un requisito legal posterior.
Tecnología de toma de decisiones automatizada: el plazo de 2027
Las regulaciones establecen obligaciones importantes para las empresas que usan tecnología de toma de decisiones automatizada (ADMT)—con cumplimiento obligatorio a partir del 1 de enero de 2027.
Qué califica como ADMT
ADMT es tecnología que procesa información personal y utiliza cálculos para reemplazar o sustituir sustancialmente la toma de decisiones humana. Esto incluye herramientas de contratación impulsadas por IA, decisiones de crédito automatizadas y sistemas algorítmicos que afectan resultados importantes.
Dónde aplican las reglas
Los requisitos apuntan específicamente a ADMT utilizada en servicios financieros, préstamos, vivienda, educación, empleo y salud—ámbitos donde las decisiones automatizadas tienen mayor impacto en la vida de las personas.
Requisitos clave
- Antes de usar ADMT para decisiones importantes, las empresas deben proporcionar un aviso previo explicando los propósitos del uso de ADMT, el derecho del consumidor a excluirse y cómo puede solicitar información sobre el funcionamiento de la tecnología.
- Los consumidores tendrán derecho a excluirse del uso de ADMT para decisiones que los afecten significativamente, lo que puede requerir que las empresas mantengan procesos paralelos que no dependan de sistemas automatizados.
Auditorías de ciberseguridad: el cronograma de cumplimiento
A partir de 2028, las empresas cuyo procesamiento de datos implique riesgos significativos para la seguridad deberán realizar auditorías de ciberseguridad anuales. Los plazos dependen del tamaño: 1 de abril de 2028 para empresas con ingresos superiores a 100 millones de dólares; 1 de abril de 2029 para las de 50 a 100 millones; y 1 de abril de 2030 para empresas más pequeñas.
Las auditorías deben cubrir componentes del programa de ciberseguridad, mecanismos de autenticación, cifrado de datos en reposo y en tránsito, y controles de gestión de cuentas. No es un trámite en papel—empieza a evaluar tu postura de seguridad ahora.
Evaluaciones de riesgos: nuevos requisitos de reporte
Las empresas que realicen ciertas prácticas con datos—vender o compartir información personal, procesar información sensible o usar ADMT para decisiones importantes—deben realizar evaluaciones formales de riesgos y enviar reportes a la Agencia.
La mayoría de las empresas deberá presentar sus primeros reportes antes del 31 de diciembre de 2027 o el 1 de abril de 2028, y luego entregar reportes anuales. Estas evaluaciones deben analizar posibles daños a la privacidad y documentar las medidas de protección—cumplimiento proactivo que demuestre que has considerado las implicaciones de tus prácticas de datos.
Próximos pasos prácticos para el cumplimiento
El alcance de estos cambios requiere acción en varios frentes. Empieza auditando tus prácticas de datos: ¿qué información recopilas? ¿De quién? ¿Podrían algunos sujetos ser menores? ¿Estás recopilando datos neuronales? ¿Cuánto tiempo retienes los datos?
Examina tus interfaces de consentimiento respecto a las prohibiciones de dark patterns. ¿Tus opciones son simétricas? ¿Los botones tienen igual prominencia? ¿Optar por no participar es tan fácil como optar por participar?
Revisa tus procesos de exclusión—¿puedes confirmar solicitudes de inmediato? Si usas ADMT en contextos regulados, empieza a planificar para los requisitos de 2027. Y si cumples los umbrales de ingresos, prepárate para las auditorías de ciberseguridad.
Qué significa esto para tu empresa
Las regulaciones CCPA 2026 representan una expansión significativa de los derechos de privacidad del consumidor y de las obligaciones de cumplimiento para las empresas. Abordan tecnologías emergentes, cierran vacíos en las prácticas de consentimiento y establecen nuevos requisitos de transparencia para la toma de decisiones automatizada.
La Agencia de Protección de la Privacidad de California ha dejado claro que espera que la privacidad funcione en tiempo real—en las experiencias reales que los consumidores tienen con productos, servicios y sitios web. El cumplimiento en papel no basta. Las empresas deben examinar cómo funcionan realmente sus sistemas y si estos respetan de verdad la elección y autonomía del consumidor.
La buena noticia es que la mayoría de los requisitos más exigentes tienen plazos escalonados, lo que da tiempo a las empresas para prepararse. La mala noticia es que algunos requisitos—como la definición ampliada de información personal sensible y los nuevos estándares de consentimiento—ya están en vigor. Si no has empezado tu evaluación de cumplimiento, hoy es el día para hacerlo.
California sigue liderando en regulación de privacidad, y otros estados observan activamente y suelen seguir su ejemplo. Hacerlo bien no solo es evitar sanciones en California—es construir un programa de privacidad que beneficiará a tu empresa a medida que las expectativas de privacidad evolucionen a nivel nacional y potencialmente global.
Las empresas que vean estas regulaciones como una oportunidad y no como una carga estarán por delante. Las expectativas de los consumidores sobre privacidad de datos solo van en una dirección, y quienes se anticipen a esas expectativas tendrán una ventaja competitiva significativa sobre quienes intenten ponerse al día más adelante.
Preguntas frecuentes
Cualquier empresa que opere en California y cumpla ciertos umbrales debe cumplir con las regulaciones CCPA, incluidas las actualizaciones de 2026. Generalmente, esto incluye empresas con ingresos brutos anuales superiores a 25 millones de dólares, empresas que compran, venden o comparten información personal de 100,000 o más consumidores o hogares al año, o empresas que obtienen el 50% o más de sus ingresos anuales de vender o compartir información personal de consumidores. Los requisitos ampliados sobre auditorías de ciberseguridad y evaluaciones de riesgos tienen umbrales adicionales según el tamaño.
Si tu empresa recopila información que indica que un usuario es menor de 16 años—como fecha de nacimiento, edad o nivel escolar—la información personal de ese usuario ahora se clasifica como información personal sensible. Esta clasificación activa requisitos adicionales, incluyendo obligaciones de divulgación reforzadas en los avisos de privacidad y la necesidad de ofrecer mecanismos para que los consumidores limiten el uso o la recopilación de su información personal sensible. Las empresas que antes recopilaban datos de edad para fines rutinarios como la verificación de edad pueden necesitar revisar sus prácticas y actualizar sus programas de privacidad en consecuencia.
Un dark pattern es una elección de diseño de interfaz de usuario que socava o dificulta la autonomía, la toma de decisiones o la elección del consumidor. Bajo las regulaciones de 2026, ejemplos específicos incluyen interfaces de consentimiento donde el botón de aceptar es más grande o más visible que el de rechazar, arquitecturas de elección que solo presentan «Sí» y «Pregúntame después» sin una opción clara para rechazar, opciones preseleccionadas que favorecen la clasificación de datos o inscriben automáticamente a los consumidores en programas, y crear una falsa urgencia para presionar decisiones inmediatas. El principio fundamental es que optar por no participar debe ser tan fácil como participar, con igual prominencia visual e igual número de pasos.
Las empresas cuyo procesamiento de información personal de consumidores implique un riesgo significativo para la seguridad deben realizar auditorías de ciberseguridad anuales a partir de 2028. El plazo depende del tamaño de la empresa: 1 de abril de 2028 para empresas con más de 100 millones de dólares en ingresos brutos anuales; 1 de abril de 2029 para empresas entre 50 y 100 millones; y 1 de abril de 2030 para empresas más pequeñas. Las auditorías deben ser realizadas por auditores calificados (internos o externos) y evaluar los componentes del programa de ciberseguridad, las prácticas de autenticación, los protocolos de cifrado para datos en reposo y en tránsito, y los controles de gestión y acceso a cuentas.
A partir del 1 de enero de 2027, las empresas que utilicen ADMT en servicios financieros, préstamos, vivienda, educación, empleo o salud deberán proporcionar a los consumidores un aviso previo antes de que la tecnología se utilice para tomar o influir en decisiones importantes sobre ellos. Este aviso debe explicar los propósitos del uso de ADMT, describir el derecho del consumidor a excluirse de dicho procesamiento y explicar cómo pueden solicitar información adicional sobre el funcionamiento de la tecnología. Los consumidores tendrán derecho a excluirse del uso de ADMT para decisiones que los afecten significativamente, lo que puede requerir que las empresas mantengan procesos de toma de decisiones alternativos.
Las empresas ahora deben proporcionar a los consumidores acceso a toda la información personal recopilada sobre ellos, no solo la de los 12 meses previos. La única excepción es para la información personal recopilada antes del 1 de enero de 2022. Para cumplir, las empresas deben implementar métodos para que los consumidores especifiquen el rango de fechas de su solicitud de acceso o darles la opción de solicitar toda la información recopilada. Esto requiere que las empresas mantengan registros accesibles de la recopilación histórica de datos y tengan sistemas capaces de recuperar esos datos en respuesta a solicitudes de los consumidores.
Las empresas que realicen prácticas de datos que impliquen riesgos significativos para la privacidad—como vender o compartir información personal, procesar información sensible o usar ADMT para decisiones importantes sobre consumidores—deben realizar evaluaciones de riesgos y presentar reportes a la Agencia de Protección de la Privacidad de California. Dependiendo de cuándo comenzó la actividad que activa el requisito, los reportes iniciales deben presentarse antes del 31 de diciembre de 2027 o el 1 de abril de 2028. Tras la presentación inicial, las empresas deben entregar reportes de evaluación de riesgos actualizados anualmente. Estas evaluaciones deben analizar posibles daños a la privacidad y documentar las medidas de protección implementadas.