El Reglamento General de Protección de Datos (GDPR) y la California Consumer Privacy Act (CCPA), modificada por la California Privacy Rights Act (CPRA), son dos de los marcos de privacidad más influyentes para las organizaciones que operan a escala internacional. Aunque ambos otorgan a las personas un mayor control sobre su información personal, difieren considerablemente en su ámbito de aplicación, sus fundamentos jurídicos, los requisitos de consentimiento, los derechos de los consumidores, las obligaciones en caso de brecha, los mecanismos de aplicación y las responsabilidades de cumplimiento. Esta guía compara los requisitos del GDPR y de la CCPA para ayudar a las organizaciones a comprender dónde se solapan los marcos, dónde difieren y cómo construir un programa de privacidad que aborde ambos.
Comparativa: GDPR frente a CCPA
| Dimensión | 🇪🇺 GDPR | 🇺🇸 CCPA |
|---|---|---|
| Jurisdicción | Marco de la Unión Europea / EEE | California, Estados Unidos |
| Ley principal | Reglamento (UE) 2016/679 | California Consumer Privacy Act, en su versión modificada |
| Fecha de entrada en vigor | 25 de mayo de 2018 | 1 de enero de 2020; principales modificaciones de la CPRA en vigor desde el 1 de enero de 2023 |
| Modelo regulatorio | Reglamento integral de protección de datos | Ley de privacidad del consumidor y protección de datos |
| Regulador principal | Autoridades de control de la UE/EEE y EDPB | California Privacy Protection Agency y California Attorney General |
| ¿A quién se aplica? | Responsables/encargados del tratamiento que cumplan los criterios territoriales o de establecimiento del GDPR | Empresas que cumplan los requisitos de aplicabilidad de la CCPA |
| Base jurídica | Se requiere una base jurídica para el tratamiento | Sin un marco equivalente de seis bases |
| Consentimiento | Una de varias bases jurídicas; requisitos más estrictos en situaciones específicas | Relevante sobre todo para determinados requisitos de consentimiento previo (opt-in) y usos específicos |
| Exclusión voluntaria de la venta/el intercambio | Sin un marco directo de venta/intercambio al estilo de la CCPA | Los consumidores pueden oponerse a la venta o al intercambio |
| Información sensible | Los datos de categorías especiales reciben una protección reforzada | La información personal sensible está sujeta a controles adicionales |
| Derechos de los interesados/consumidores | Derechos amplios, entre ellos acceso, rectificación, supresión y portabilidad | Derechos como los de conocer, eliminar, corregir, excluirse, limitar y no ser discriminado |
| Notificación de brechas | Notificación a la autoridad de control, por lo general en un plazo de 72 horas, cuando proceda | Las leyes de California sobre brechas exigen, por lo general, la notificación sin demora injustificada / en el plazo más breve posible |
| DPO | Obligatorio en determinadas circunstancias | Sin una exigencia general de DPO en la CCPA |
| Representante local | Puede exigirse un representante del artículo 27 a determinadas organizaciones de fuera de la UE | Sin equivalente general en la CCPA |
| Transferencias transfronterizas | Sujetas a los requisitos del capítulo V del GDPR | Sin un mecanismo integral de transferencia equivalente en la CCPA |
| Acciones judiciales privadas | Los interesados pueden reclamar una indemnización en virtud del artículo 82 del GDPR | El derecho de acción privada está vinculado principalmente a determinadas brechas de datos |
| Multa administrativa máxima del GDPR | Hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial, si esta cifra es superior, por determinadas infracciones | Las sanciones administrativas y las indemnizaciones legales dependen de la disposición aplicable y de las circunstancias |
¿Qué es el GDPR?
El Reglamento General de Protección de Datos (GDPR) es el marco integral de protección de datos de la Unión Europea. Regula el tratamiento de los datos personales y establece obligaciones para las organizaciones que actúan como responsables y encargados del tratamiento.
El GDPR puede aplicarse a organizaciones de fuera de la UE cuando se cumplan los requisitos de su ámbito territorial, incluidas determinadas actividades que implican la oferta de bienes o servicios a personas en la UE o el seguimiento de su comportamiento.
El GDPR se articula en torno a principios como la licitud, la lealtad y la transparencia, la limitación de la finalidad, la minimización de datos, la exactitud, la limitación del plazo de conservación, la seguridad y la responsabilidad proactiva.
¿Qué es la CCPA?
La California Consumer Privacy Act (CCPA) otorga a los consumidores de California derechos específicos sobre su información personal e impone obligaciones a las empresas incluidas en su ámbito de aplicación.
La CCPA fue modificada por la California Privacy Rights Act (CPRA), que introdujo derechos adicionales para los consumidores y creó la California Privacy Protection Agency (CPPA).
El marco actual de la CCPA incluye requisitos relativos a la transparencia, las solicitudes de los consumidores, la venta y el intercambio de información personal, la información personal sensible, las señales de preferencia de exclusión y otros controles de privacidad.
La normativa vigente de la CPPA incluye requisitos en vigor desde el 1 de enero de 2026, entre ellos normas actualizadas de la CCPA y requisitos relativos a las evaluaciones de riesgos, las auditorías de ciberseguridad y la tecnología de toma de decisiones automatizada para determinadas empresas sujetas.
GDPR frente a CCPA: diferencias clave
1. Ámbito territorial
GDPR
El GDPR puede aplicarse a organizaciones establecidas dentro o fuera de la UE cuando se cumplan las condiciones del artículo 3.
Esto puede incluir a organizaciones de fuera de la UE que:
- Ofrezcan bienes o servicios a personas en la UE
- Realicen un seguimiento del comportamiento de personas en la UE
- Operen a través de un establecimiento en la UE
Por tanto, el análisis de aplicabilidad debe basarse en las actividades de la organización y en los requisitos del ámbito territorial del GDPR.
CCPA
La CCPA se aplica a las empresas que se ajustan a la definición legal y a los umbrales aplicables. No es una ley general de privacidad aplicable a toda organización que trate información sobre residentes en California.
La aplicabilidad depende de factores como las actividades empresariales de la organización, sus ingresos y el volumen o la naturaleza de la información personal de consumidores de California.
Diferencia clave: El GDPR se estructura en torno a la aplicabilidad territorial y a figuras como el responsable y el encargado del tratamiento, mientras que la aplicabilidad de la CCPA se centra en las empresas sujetas y en los umbrales legales.
2. Base jurídica del tratamiento
Una de las mayores diferencias entre el GDPR y la CCPA es el concepto de tratamiento lícito.
GDPR
Las organizaciones deben identificar una base jurídica adecuada para cada actividad de tratamiento conforme al artículo 6, como:
- Consentimiento
- Contrato
- Obligación legal
- Intereses vitales
- Misión de interés público
- Intereses legítimos
Cuando se tratan datos de categorías especiales se aplican condiciones adicionales.
CCPA
La CCPA no utiliza el modelo de seis bases jurídicas del GDPR.
En su lugar, se centra en gran medida en la transparencia, los derechos de los consumidores, las restricciones a determinados usos y comunicaciones, y la posibilidad de excluirse de actividades como la venta o el intercambio de información personal.
3. Consentimiento y exclusión voluntaria
GDPR
El consentimiento es una de las bases jurídicas posibles, pero no se exige automáticamente para todas las actividades de tratamiento.
Cuando se recurre al consentimiento, este debe cumplir los requisitos del GDPR, entre ellos ser libre, específico, informado e inequívoco.
CCPA
La CCPA pone especial énfasis en la capacidad de elección del consumidor y en los derechos de exclusión voluntaria.
Los consumidores pueden tener derecho a oponerse a:
- La venta de información personal
- El intercambio de información personal para publicidad comportamental entre contextos
- Determinados usos de la información personal sensible
- Determinadas actividades de toma de decisiones automatizada, cuando proceda
El marco de California también reconoce las señales de preferencia de exclusión, como Global Privacy Control (GPC), en las circunstancias aplicables.
4. Derechos de los consumidores y de los interesados
Ambos marcos otorgan a las personas derechos de privacidad sustanciales, pero la terminología y los mecanismos difieren.
Derechos del GDPR
Según las circunstancias, las personas pueden tener derecho a:
- Acceder a los datos personales
- Rectificar los datos inexactos
- Suprimir los datos personales
- Limitar el tratamiento
- Oponerse al tratamiento
- La portabilidad de los datos
- Retirar el consentimiento
- Derechos relativos a las decisiones automatizadas y a la elaboración de perfiles
Derechos de la CCPA
Los consumidores de California pueden tener, entre otros, los siguientes derechos:
- Derecho a conocer
- Derecho a eliminar
- Derecho a corregir
- Derecho a oponerse a la venta o al intercambio
- Derecho a limitar determinados usos y comunicaciones de la información personal sensible
- Derecho a excluirse de determinadas actividades de toma de decisiones automatizada, cuando proceda
- Derecho a la no discriminación
El California Attorney General confirma que la CCPA otorga a los consumidores derechos relativos al acceso a la información, la eliminación, la exclusión de la venta o el intercambio y la no discriminación.
5. Información personal sensible
GDPR
El artículo 9 del GDPR establece una protección reforzada para las categorías especiales de datos personales, incluida la información relativa a ámbitos como la salud, los datos biométricos utilizados para la identificación, los datos genéticos, las opiniones políticas y las convicciones religiosas o filosóficas.
El tratamiento requiere, por lo general, tanto una base jurídica del artículo 6 como una condición aplicable del artículo 9.
CCPA
La CCPA define por separado la información personal sensible y otorga a los consumidores derechos sobre determinados usos y comunicaciones de dicha información.
Por tanto, el marco de California aborda la información sensible de forma distinta al modelo de datos de categorías especiales del GDPR.
6. Notificación de brechas de datos
GDPR
Cuando sea probable que una violación de seguridad de los datos personales constituya un riesgo para los derechos y libertades de las personas, el responsable del tratamiento debe, por lo general, notificarla a la autoridad de control competente sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que tenga constancia de ella.
Cuando sea probable que una brecha entrañe un alto riesgo para las personas, también puede ser necesario informar a las personas afectadas.
CCPA / legislación de California sobre brechas
Los requisitos de notificación de brechas de California operan a través del marco californiano de notificación de brechas de datos y de las disposiciones de privacidad relacionadas, y no mediante una regla universal de 72 horas de la CCPA.
Las organizaciones sujetas deben evaluar el incidente conforme a los requisitos de California aplicables y efectuar la notificación dentro del plazo legalmente exigido.
Diferencia clave: El GDPR establece un marco específico de notificación a la autoridad de control en 72 horas para las brechas que cumplan los criterios; California utiliza un marco legal de notificación de brechas diferente.
7. DPO
GDPR
El DPO puede ser obligatorio en las circunstancias especificadas en el artículo 37, que incluyen a determinadas organizaciones cuyas actividades principales implican una observación habitual y sistemática a gran escala o el tratamiento a gran escala de categorías especiales de datos.
CCPA
La CCPA no impone a todas las empresas sujetas una exigencia general de designar un DPO al estilo del GDPR.
No obstante, las organizaciones pueden necesitar funciones adecuadas de privacidad, seguridad, evaluación de riesgos y gobernanza en función de sus actividades y obligaciones.
8. Representantes de privacidad
GDPR
Determinadas organizaciones situadas fuera de la UE pueden tener que designar un representante en la UE en virtud del artículo 27, cuando este resulte aplicable.
El representante puede servir de punto de contacto para las autoridades de control y las personas en relación con las actividades de tratamiento.
CCPA
La CCPA no tiene un equivalente directo a la exigencia de representante del artículo 27 del GDPR.
No obstante, las empresas internacionales pueden seguir necesitando una gobernanza adecuada de la privacidad en California, la gestión de las solicitudes de los consumidores y la coordinación regulatoria.
9. Transferencias transfronterizas de datos
GDPR
Las transferencias internacionales de datos personales fuera de la UE/EEE se rigen por el capítulo V del GDPR.
En función del destino y de las circunstancias, las organizaciones pueden recurrir a mecanismos como:
- Decisiones de adecuación
- Cláusulas contractuales tipo
- Normas corporativas vinculantes
- Excepciones específicas cuando proceda
CCPA
La CCPA no establece un régimen integral de transferencias transfronterizas equivalente al capítulo V del GDPR.
No obstante, las organizaciones deben seguir teniendo en cuenta los requisitos contractuales, de seguridad, de transparencia, de gestión de proveedores y otros requisitos legales aplicables cuando la información personal se transfiera o sea objeto de acceso a escala internacional.
10. Avisos de privacidad y transparencia
Tanto el GDPR como la CCPA exigen a las organizaciones facilitar información significativa sobre sus actividades de tratamiento.
GDPR
Los avisos de privacidad del GDPR suelen abordar:
- La identidad y los datos de contacto del responsable del tratamiento
- Los fines del tratamiento
- Las bases jurídicas
- Las categorías de datos personales
- Los destinatarios
- Las transferencias internacionales
- Los plazos de conservación
- Los derechos de los interesados
- El derecho a presentar una reclamación
- Las decisiones automatizadas, cuando proceda
CCPA
La información de privacidad exigida por la CCPA suele abordar:
- Las categorías de información personal recogida
- Las finalidades de la recogida y del uso
- Las categorías de fuentes
- Las categorías de destinatarios
- Los derechos de los consumidores
- La información sobre venta/intercambio
- La información sobre la información personal sensible
- Los mecanismos de exclusión voluntaria
11. Sanciones y aplicación
GDPR
Para determinadas infracciones graves, las multas administrativas del GDPR pueden alcanzar los 20 millones de euros o el 4 % del volumen de negocio total anual mundial del ejercicio financiero anterior, si esta cifra es superior.
La aplicación corresponde a las autoridades de control nacionales, coordinadas a través del Comité Europeo de Protección de Datos.
CCPA
La aplicación de la CCPA corresponde a la California Privacy Protection Agency (CPPA) y al California Attorney General.
La CCPA contiene disposiciones sobre sanciones administrativas y un derecho de acción privada limitado para determinadas brechas de datos. Los importes de las sanciones y las indemnizaciones legales dependen de la disposición aplicable y de las circunstancias.
La CPPA publica actualmente el marco de la CCPA, la normativa y los umbrales monetarios, incluidos los umbrales en vigor desde 2025 y las actualizaciones regulatorias posteriores.
GDPR frente a CCPA: ¿cuál es más estricto?
No siempre es exacto describir uno de los marcos como universalmente «más estricto».
El GDPR impone, por lo general, un marco de responsabilidad proactiva más amplio, que incluye:
- Análisis de la base jurídica
- Registros de tratamiento
- Evaluaciones de impacto relativas a la protección de datos en los casos aplicables
- DPO en circunstancias definidas
- Requisitos para las transferencias internacionales
- Obligaciones detalladas para responsables y encargados del tratamiento
- Supervisión por parte de las autoridades de control
La CCPA, por su parte, se centra especialmente en la transparencia hacia el consumidor, la exclusión de la venta/el intercambio, la información personal sensible, las solicitudes de los consumidores y los controles de privacidad específicos de California.
Por tanto, las organizaciones que operan a escala internacional deben evaluar ambos marcos, en lugar de dar por sentado que el cumplimiento de uno satisface automáticamente el otro.
GDPR frente a CCPA: ¿puede un único programa de privacidad cubrir ambos?
Sí, pero el programa debe diseñarse en torno a un marco común de controles de privacidad al que se superpongan los requisitos específicos de cada jurisdicción.
Un programa unificado puede incluir:
Inventario de datos
Identifique:
- Qué información personal se recoge
- Dónde se almacena
- Por qué se trata
- Quién la recibe
- Durante cuánto tiempo se conserva
- Adónde se transfiere
Gestión de los derechos de privacidad
Cree un proceso central para gestionar:
- Las solicitudes de los interesados conforme al GDPR
- Las solicitudes de los consumidores de California
- La verificación de la identidad
- El seguimiento de las solicitudes
- Los plazos de respuesta
- Las excepciones y las retenciones legales
Gestión del consentimiento y las preferencias
Gestione:
- Los requisitos de consentimiento del GDPR
- Las preferencias de cookies y seguimiento
- Las exclusiones de la venta/el intercambio conforme a la CCPA
- Las señales de Global Privacy Control
- Las preferencias sobre información sensible
Gestión de proveedores y terceros
Mapee:
- Encargados del tratamiento
- Proveedores de servicios
- Contratistas
- Socios publicitarios
- Proveedores de analítica
- Relaciones de intercambio de datos
Respuesta ante incidentes
Desarrolle un proceso unificado de respuesta ante brechas que identifique:
- La jurisdicción aplicable
- El umbral de notificación
- Los requisitos de notificación al regulador
- Los requisitos de notificación a los consumidores
- Los requisitos de evidencias y documentación
Monitorización regulatoria
Los programas de privacidad deben seguir de forma continua los cambios en los requisitos tanto de la UE como de California.
El marco regulatorio vigente de la CPPA incluye actualizaciones en vigor desde el 1 de enero de 2026, lo que hace que la monitorización regulatoria continua sea especialmente importante para las organizaciones sujetas a la ley de privacidad de California.
Preguntas frecuentes
¿Debo cumplir tanto el GDPR como la CCPA?
Es posible que deba cumplir ambos si su organización reúne los requisitos del ámbito territorial del GDPR y es además una empresa sujeta a la CCPA. Los dos marcos se solapan en ámbitos como la transparencia, el acceso y la supresión, pero sus requisitos no son idénticos.
¿Es la CCPA lo mismo que el GDPR?
No. Ambos son marcos de privacidad integrales con conceptos que se solapan, pero utilizan estructuras regulatorias diferentes. El GDPR se basa en principios de protección de datos, bases jurídicas y obligaciones de responsables y encargados, mientras que la CCPA se centra en gran medida en los derechos de los consumidores de California, la transparencia y los mecanismos de exclusión voluntaria.
¿Exige la CCPA el consentimiento como el GDPR?
Por lo general, no. La CCPA no utiliza el marco de bases jurídicas del GDPR. No obstante, determinados requisitos específicos de la CCPA pueden exigir el consentimiento o mecanismos de consentimiento previo (opt-in) en circunstancias concretas, incluidos ciertos requisitos relativos a los menores.
¿Tiene la CCPA una regla de notificación de brechas en 72 horas?
No. No debe presentarse la CCPA como si tuviera un plazo universal de 72 horas para la notificación de brechas equivalente al del artículo 33 del GDPR. Los requisitos de notificación de brechas de California operan conforme a la legislación californiana aplicable y deben evaluarse en función de la naturaleza y las circunstancias del incidente.
¿Exige la CCPA un DPO?
Ninguna disposición general de la CCPA exige a todas las empresas sujetas designar un DPO al estilo del GDPR. No obstante, las organizaciones deben establecer funciones adecuadas de gobernanza de la privacidad y de responsabilidad proactiva en función de sus obligaciones y su perfil de riesgo.
¿Exige la CCPA un representante del artículo 27?
No. La CCPA no contiene un equivalente directo a la exigencia de representante en la UE del artículo 27 del GDPR.
¿Puede el cumplimiento del GDPR ayudar al cumplimiento de la CCPA?
Sí. Un programa maduro de GDPR puede ofrecer una base sólida para el cumplimiento de la CCPA, porque ambos marcos exigen transparencia, gestión de los derechos de privacidad, gobernanza de datos y responsabilidad proactiva. No obstante, se requieren controles adicionales específicos de California.
¿Qué empresas deberían plantearse una evaluación de cumplimiento del GDPR y la CCPA?
Una evaluación combinada puede resultar especialmente valiosa para empresas de SaaS, empresas tecnológicas, negocios de comercio electrónico, plataformas de publicidad y marketing, empresas de IA, proveedores de tecnología sanitaria, empresas de tecnología financiera, minoristas globales, plataformas digitales y empresas que tratan datos de consumidores en múltiples jurisdicciones.
Cumplimiento del GDPR y la CCPA con RegulatoryBridge
Gestionar por separado los requisitos del GDPR y de la CCPA puede generar procesos duplicados, avisos de privacidad incoherentes y flujos de trabajo de solicitudes de consumidores fragmentados.
RegulatoryBridge ayuda a las organizaciones a construir un programa global de privacidad coordinado entre jurisdicciones.
Nuestro apoyo puede incluir:
- Evaluaciones de cumplimiento del GDPR
- Evaluaciones de cumplimiento de la CCPA / CPRA
- Mapeo e inventario de datos
- Revisión de avisos de privacidad
- Flujos de trabajo para solicitudes de interesados y consumidores
- Gestión del consentimiento y las preferencias
- Cumplimiento en materia de cookies y seguimiento
- Evaluaciones de proveedores y encargados del tratamiento
- Evaluaciones de transferencias internacionales de datos
- Planificación de la respuesta ante brechas
- Gobernanza de la privacidad y responsabilidad proactiva
- Monitorización regulatoria
- Representación de privacidad transfronteriza
- Apoyo continuo al cumplimiento
Cubre GDPR y CCPA con un solo programa.
Mapea los controles una vez y cumple dos veces. RegulatoryBridge te ofrece un único flujo de DSAR, un único DPO y un único manual de respuesta ante brechas, abarcando ambos marcos.