GDPR y CCPA a la vez: qué cambia en la práctica

La diferencia práctica es el punto de partida: el GDPR exige una base legal antes de tratar datos, mientras que la CCPA presume el tratamiento lícito y concede derecho de exclusión. Eso cambia el consentimiento, los plazos de respuesta y el diseño de los formularios de derechos.

Escribimos esto desde una posición concreta: somos una entidad estadounidense con operación hispanohablante y clientes a ambos lados del Atlántico. Los dos regímenes no son una comparación teórica para nosotros; son dos columnas del mismo registro de tratamientos, con dos relojes distintos corriendo sobre las mismas solicitudes.

¿Cuál es la diferencia de fondo entre los dos regímenes?

El Reglamento (UE) 2016/679 parte de una prohibición con excepciones: tratar datos personales es ilícito salvo que exista una base legal —consentimiento, contrato, obligación legal, interés legítimo y algunas más— identificada antes de empezar. La California Consumer Privacy Act, tal como quedó tras la reforma de 2020, parte de lo contrario: el tratamiento es lícito, y lo que se concede al consumidor es la capacidad de saber, de borrar, de corregir y de excluirse de la venta o compartición de su información.

De ahí se derivan casi todas las diferencias operativas. En Europa se documenta la legitimación; en California se documenta la transparencia y la capacidad de salida.

¿A quién se aplica cada uno?

Criterio	GDPR	CCPA/CPRA
Vínculo territorial	Establecimiento en la UE, u ofrecer bienes o servicios a personas en la UE, o vigilar su comportamiento	Hacer negocios en California y tratar información personal de residentes
Umbral por tamaño	No hay umbral: se aplica a cualquier responsable	Solo a empresas que superan alguno de los umbrales fijados por la ley
Umbrales concretos	No aplica	Ingresos brutos anuales por encima de un umbral que se actualiza por inflación (25 millones de dólares en la redacción original); o tratar información de 100.000 consumidores u hogares; o obtener al menos la mitad de los ingresos de vender o compartir información personal
Personas protegidas	Cualquier interesado que esté en la UE	Residentes de California, incluidos empleados y contactos de empresa
Autoridad	Autoridad de control de cada Estado miembro	Fiscalía General de California y California Privacy Protection Agency

Una consecuencia que sorprende a muchas empresas europeas: la CCPA no distingue entre datos de consumidor y datos de contacto profesional. Un responsable de compras de una empresa californiana en tu CRM es un consumidor a estos efectos.

Y una que sorprende a las estadounidenses: el GDPR no tiene umbral de tamaño. Una empresa de seis personas que vende a residentes europeos está sujeta igual que una multinacional.

¿Qué cambia en el consentimiento y en el aviso de cookies?

Es la diferencia más visible y la que peor se resuelve con una plantilla única.

• En Europa, el consentimiento para cookies y tecnologías similares debe ser previo, informado, específico y tan fácil de retirar como de dar. La opción de rechazar tiene que estar al mismo nivel que la de aceptar. Un banner con "Aceptar" destacado y "Configurar" escondido no cumple.
• En California, el modelo es de exclusión. No se exige consentimiento previo para el uso general, pero sí un enlace claro y accesible para ejercer la salida de la venta o compartición de información personal, y para limitar el uso de la información sensible.

En la práctica, el diseño que funciona para ambos es el europeo con un añadido californiano: consentimiento previo por categorías para quien accede desde la UE, y un enlace permanente de exclusión visible en el pie para todos. Intentar servir el modelo californiano en Europa produce incumplimiento; servir el europeo en California no produce incumplimiento, pero deja fuera el enlace de exclusión que la ley exige por separado.

¿Qué plazos corren en cada régimen?

Momento	GDPR	CCPA/CPRA
Acuse de recibo	No exigido de forma expresa	Diez días hábiles
Respuesta	Un mes desde la recepción	Cuarenta y cinco días naturales
Prórroga	Dos meses adicionales en casos complejos, informando al interesado dentro del primer mes	Cuarenta y cinco días adicionales, comunicándolo al consumidor
Alcance temporal del acceso	Sin límite fijado por la norma	Doce meses previos, ampliable según el caso
Coste	Gratuito salvo solicitudes manifiestamente infundadas o excesivas	Gratuito salvo solicitudes manifiestamente infundadas o excesivas

El error operativo más común es fijar un único reloj interno de cuarenta y cinco días. Funciona para California y incumple sistemáticamente el plazo europeo. La configuración correcta es al revés: un reloj interno de treinta días para todo, con el acuse de recibo automático a diez días hábiles activado para todas las solicitudes. Cumples ambos y no tienes que decidir de qué régimen es cada solicitud antes de empezar a contar.

¿Sirve el mismo formulario para las dos leyes?

Sí, y conviene que así sea, siempre que se diseñe con tres capas.

Capa común —idéntica para todos—: datos de contacto del solicitante, relación con la organización, tipo de solicitud, canal de respuesta preferido, marca temporal y número de expediente.

Capa de ramificación: una pregunta sobre residencia habitual. No es una barrera, es lo que determina qué derechos se ofrecen y qué reloj arranca.

Capa específica:

Derecho	GDPR	CCPA/CPRA
Acceso a la información	Sí, incluida copia de los datos	Sí, saber qué se recoge, con qué fin y con quién se comparte
Supresión	Sí, con excepciones	Sí, con excepciones
Rectificación	Sí	Sí
Portabilidad	Sí, en formato estructurado y de uso común	Parcial, mediante entrega de la información
Oposición al tratamiento	Sí, con motivos relativos a la situación particular	No existe como tal
Exclusión de venta o compartición	No existe como tal	Sí, derecho central del régimen
Limitación del uso de información sensible	Vía restricción del tratamiento	Sí, derecho específico
No discriminación por ejercer derechos	Implícito	Expreso en la norma

Sobre la verificación de identidad hay un equilibrio que conviene escribir en el procedimiento: pedir documentación de más para verificar es, en sí mismo, un tratamiento adicional de datos. La regla razonable es verificar de forma proporcionada al riesgo de la solicitud —una supresión exige más verificación que un acceso a categorías generales— y no conservar la documentación de verificación más allá de lo necesario.

¿Qué es "venta o compartición" y por qué desconcierta a los europeos?

Porque no significa cobrar dinero. Bajo la CCPA, poner información personal a disposición de un tercero a cambio de una contraprestación valiosa entra en el concepto, y la reforma de 2020 añadió expresamente la "compartición" con fines de publicidad conductual entre contextos.

Traducido a la práctica: si tu web lleva píxeles de publicidad de terceros, probablemente estás compartiendo en el sentido de la norma, aunque nunca hayas vendido una base de datos. Ese es el motivo por el que el enlace de exclusión existe y por el que su ausencia es de las infracciones más fáciles de detectar desde fuera.

A eso se suma la señal automatizada de exclusión que los navegadores y extensiones pueden enviar, y que la normativa californiana obliga a atender. Es un requisito técnico, no de redacción: si tu web no la procesa, tener el enlace no basta.

¿Qué se puede unificar y qué no?

Elemento	Unificable	Motivo
Registro de tratamientos	Sí	Un único inventario con columnas por régimen
Formulario y flujo de derechos	Sí	Ramificado por residencia
Retención y borrado	Sí	Se aplica la política más estricta a todo
Contratos con proveedores	Parcial	Cláusulas comunes, anexos específicos por régimen
Aviso de privacidad	Parcial	Estructura común, secciones específicas obligatorias
Banner de cookies	No	Modelos opuestos: previo frente a exclusión
Base legal e interés legítimo	No	No tiene equivalente californiano
Notificación de brechas	No	Plazos, destinatarios y umbrales distintos

Los contratos con encargados y proveedores merecen atención propia: la parte común se redacta una vez y los anexos cambian por régimen, con el mismo criterio que aplicamos a las cláusulas de un contrato con proveedor de IA.

La estrategia que menos cuesta a medio plazo es una sola política de datos con el listón más alto y anexos jurisdiccionales. Mantener dos programas paralelos duplica el coste y, sobre todo, duplica las oportunidades de contradecirse: dos textos que dicen cosas distintas sobre la misma retención es un hallazgo que aparece en cualquier revisión seria.

¿Qué ha cambiado en California y qué conviene vigilar?

La California Privacy Protection Agency aprobó en 2025 un paquete de reglamentos que amplía el alcance operativo de la CCPA hacia terreno que en Europa reconocerás enseguida: evaluaciones de riesgo, auditorías de ciberseguridad y obligaciones sobre tecnología de decisión automatizada. Las reglas entraron en vigor en enero de 2026 con plazos escalonados, y las obligaciones sobre decisiones automatizadas se aplican en fases posteriores.

La consecuencia práctica es que la distancia entre ambos regímenes se está acortando por el lado americano. Quien ya hace evaluaciones de impacto por exigencia europea tiene la mitad del trabajo hecho; el enfoque es el mismo que describimos en la evaluación de impacto de sistemas de IA, aplicado a tratamientos de alto riesgo.

Si además operas en el mercado hispanohablante, conviene añadir la tercera columna desde el principio: el régimen mexicano tiene su propia lógica de aviso de privacidad y consentimiento, como explicamos en el aviso de privacidad exigido por la LFPDPPP.

Qué hacer ahora

1. Determina en qué papel estás en cada régimen y documéntalo. No lo dejes en una conversación.
2. Unifica el registro de tratamientos en una sola tabla, con columnas de base legal para Europa y de finalidad y compartición para California.
3. Configura un único reloj de treinta días, con acuse automático a diez días hábiles.
4. Rediseña el formulario de derechos en tres capas: común, ramificación por residencia y derechos específicos.
5. Revisa los píxeles de terceros de tu web, publica el enlace de exclusión y comprueba que la señal automatizada se procesa de verdad.
6. Si superas los umbrales californianos, incorpora las evaluaciones de riesgo al calendario del año en curso.

Montamos este trabajo como un solo programa con anexos por jurisdicción desde el pilar de compliance, y con especial atención al escenario de startups y fintech, donde el cumplimiento desde el día uno decide rondas de inversión. El estado real de cada marco que aplicamos está publicado en nuestro centro de confianza. Si quieres una revisión de en qué régimen estás incumpliendo sin saberlo, escríbenos en contacto.