Si tiene un sitio de WordPress con visitantes en California, "CCPA" es probablemente la ley que ya conoce.

Generalmente funciona con un modelo de exclusión voluntaria. Las empresas cubiertas pueden recopilar datos con el aviso adecuado, siempre que cumplan con las solicitudes de exclusión voluntaria. La actividad judicial reciente sugiere que la CIPA también se aplica.

Solo esta semana, hemos visto un aumento en las conversaciones de soporte de WPConsent que mencionan cartas de demanda que citan una ley completamente diferente: la Ley de Privacidad de California (CIPA), escrita en 1967 para detener las escuchas telefónicas.

Los abogados demandantes ahora la aplican a los sitios web, argumentando que un script de seguimiento que se ejecuta antes de que un visitante tome una decisión es la versión digital de escuchar una llamada.

Esta no es una ley establecida.

Los tribunales no están de acuerdo entre sí, y un proyecto de ley que se está tramitando en la legislatura de California ahora mismo, cubierto con más detalle a continuación, podría cambiar parte del panorama antes de que termine el año.

Esto es lo que realmente está sucediendo, lo que significa para un sitio de WordPress y dónde WPConsent ayuda y dónde no.

¿Cuál es la diferencia entre CCPA y CIPA?

Bajo la CCPA, el modelo es de exclusión voluntaria.

Las empresas cubiertas pueden recopilar datos siempre que proporcionen el aviso adecuado y cumplan con las solicitudes de exclusión voluntaria, generalmente a través de un enlace "No vender ni compartir mi información personal".

Ese es el modelo en el que se basaron la mayoría de los complementos de cookies de WordPress.

Las reclamaciones de la CIPA eluden ese modelo por completo.

La discusión no se trata de divulgación; se trata de interceptación. Un enlace de exclusión voluntaria que aparece después de que ya se disparó un script no deshace la interceptación que ya ocurrió, según esta teoría.

Dos leyes diferentes, dos preguntas diferentes.

Un sitio puede estar haciendo todo lo que pide la CCPA y aun así ser un objetivo bajo esta teoría, porque la CCPA nunca se diseñó para responder a la pregunta de tiempo que plantean las reclamaciones de la CIPA.

Si tus visitantes no solo están en California, las reglas cambian de nuevo fuera de EE. UU. Esta guía cubre los cambios bajo el RGPD, que adopta un enfoque de consentimiento previo más estricto en general.

¿Qué pregunta se hacen los tribunales sobre las reclamaciones CIPA?

Elimine la terminología legal y casi todos estos casos se reducen a una pregunta: ¿recibió un tercero los datos de un visitante antes de que ese visitante tuviera la oportunidad de elegir?

Si el momento fue el correcto, la reclamación generalmente falla. Si no lo fue, la herramienta se convierte en un objetivo, independientemente de lo que diga su política de privacidad al respecto.

Estas reclamaciones no provienen todas de la misma parte de CIPA, y saber cuál se aplica cambia contra qué te estás defendiendo realmente.

¿Qué parte de la CIPA están utilizando realmente?

CIPA es una ley extensa, y las reclamaciones de sitios web extraen de dos secciones diferentes que piden cosas distintas.

Sección 631(a):

• La disposición sobre interceptación y escucha requiere que alguien lea o conozca el "contenido" de una comunicación sin el consentimiento de todos los involucrados.
• Esta es la sección detrás de Javier v. Assurance IQ y Mikulsky v. Bloomingdale’s, ambos sobre software de repetición de sesión que grababa lo que un visitante escribía y hacía clic.
• Los widgets de chat y los formularios que capturan lo que alguien escribe también entran en esta categoría.

Sección 638.51:

• La disposición de registro de terminales y rastreo es sobre información de enrutamiento, no contenido: cosas como direcciones IP e identificadores de dispositivos.
• Esta es la sección detrás de la ola de casos contra los píxeles de seguimiento y los beacons de análisis, incluidos Sanchez v. Cars.com y Aviles v. LiveRamp.

La distinción es importante porque los tribunales han tratado las dos de manera muy diferente.

Los tribunales estatales de California han estado desestimando las reclamaciones de registro de terminales 638.51 contra herramientas de análisis ordinarias de manera bastante consistente. Las reclamaciones de interceptación 631(a), las que están detrás de la repetición de sesión y la captura de chat, están más genuinamente divididas.

¿Por qué están aumentando las demandas CIPA en este momento?

CIPA permite a un demandante reclamar una suma fija de 5.000 $ por infracción sin tener que demostrar que realmente ha sufrido daños.

Esa estructura se aplica tanto a las demandas colectivas como a las individuales, por lo que el número por visitante puede multiplicarse entre todas las personas rastreadas de la misma manera en un sitio de alto tráfico.

Las presentaciones vinculadas a una campaña nacional de un solo demandante han crecido de aproximadamente 600 a más de 4,000 desde que comenzó.

Los tribunales aún están decidiendo si las teorías legales subyacentes se sostienen.

Y los resultados van en ambos sentidos dependiendo del tribunal y de qué sección de CIPA se basa una reclamación, como muestra la tabla de casos a continuación.

¿Qué apunta realmente la CIPA en su sitio y por qué?

Las letras no son aleatorias.

Nombran herramientas específicas y comunes, y la teoría que se aplica depende de lo que la herramienta hace realmente: mover datos de enrutamiento o capturar contenido.

Ninguna de estas herramientas es inusual. La mayoría de los sitios de WordPress utilizan al menos una de cada columna.

Para los más comunes, hemos escrito guías individuales:

• Incrustaciones de Google Maps
• Vídeos de YouTube
• Scripts personalizados o iframes

¿Cuál es la postura actual de los tribunales sobre las reclamaciones CIPA?

Los resultados son genuinamente mixtos en las sentencias recientes:

Algunas sentencias explican la división en un lenguaje claro.

• En Sanchez contra Cars.com, el tribunal calificó el seguimiento rutinario como “una función básica del acceso a Internet”.
• En Aviles contra LiveRamp, el tribunal dictaminó que el demandante “no ha alegado nada más allá de cómo funciona Internet normalmente”.
• En Blaker contra Netscout Systems, el tribunal concluyó claramente que la ley de registro de comunicaciones telefónicas “se aplica a las comunicaciones telefónicas y no al software de un sitio web comercial”.

La verdadera contrapesa se encuentra en el lado de la interceptación de comunicaciones.

El Noveno Circuito permitió que las reclamaciones de grabación de sesiones continuaran en Mikulsky v. Bloomingdale’s y Javier v. Assurance IQ, razón por la cual la 631(a) es la teoría que todavía se considera incierta a nivel federal de apelación.

Incluso allí, los casos de interceptación de comunicaciones no favorecen a todos los demandantes.

En Gutierrez v. Converse, el Noveno Circuito confirmó el juicio sumario a favor de la defensa, y un juez concurrente cuestionó si la cláusula de interceptación de comunicaciones de CIPA alcanza a Internet en absoluto.

Ese juez lo expresó sin rodeos: "California no ha actualizado la Sección 631(a) para tener en cuenta los avances tecnológicos desde 1967".

Incluso una victoria de la defensa, en otras palabras, señaló lo mal que encaja la ley de 1967 en la web moderna. Mientras tanto, los tribunales estatales de California se muestran cada vez más escépticos ante la teoría del registro de llamadas.

¿Qué sucede si una reclamación CIPA tiene éxito?

Las indemnizaciones legales bajo CIPA ascienden a 5.000 $ por infracción, o tres veces los daños reales, lo que sea mayor, y un demandante no tiene que probar un daño real para cobrar.

En un sitio de alto tráfico, esos cálculos se convierten rápidamente en exposición a demandas colectivas.

Si un tribunal permite que esos visitantes demanden como un solo grupo, el número por visitante se multiplica por todos los que forman parte de él.

Un juez federal aprobó un acuerdo colectivo de 3,85 millones de dólares contra el Los Angeles Times en junio de 2026 por prácticas de seguimiento similares a las descritas anteriormente.

No todos los casos alcanzan ese tamaño, y la mayoría de las cartas de demanda nunca se convierten en una demanda judicial presentada.

¿Por qué es importante una plataforma de gestión de consentimiento en este caso?

Una plataforma de gestión de consentimiento, o CMP, es la pieza de software que realmente controla la temporización.

Retiene los scripts de seguimiento hasta que un visitante toma una decisión y luego solo libera aquellos con los que el visitante estuvo de acuerdo.

Eso es diferente de un aviso de cookies, que solo muestra un mensaje mientras todo lo que está debajo sigue funcionando sin importar nada.

Una CMP por sí sola no gana un litigio y no garantiza el cumplimiento de nada.

Lo que hace es abordar la cuestión de la temporización en la que se basan la mayoría de estas sentencias: si algo se ejecutó antes del consentimiento.

Si aciertas esto, estas reclamaciones tienen mucho menos con lo que trabajar, independientemente de la sección a la que recurra el bufete del demandante.

Una advertencia antes de cambiar California a la opción de exclusión voluntaria

La opción de aceptar, bloqueando todas las herramientas no esenciales hasta que un visitante haga clic activamente en aceptar, es la respuesta más sólida al argumento central de CIPA: que un visitante tiene que aceptar antes de que algo capture su actividad.

Pero es más estricto de lo que CCPA realmente requiere, y en la práctica reduce drásticamente los datos de seguimiento que recopilas, porque la mayoría de los visitantes nunca hacen clic en aceptar.

Si tus herramientas de publicidad y análisis se implementan tras el consentimiento y pocas personas dan su consentimiento, esas herramientas rara vez se activan.

En términos sencillos, la opción de aceptar reduce la mayor parte de tu seguimiento en California. Es una compensación a sopesar antes de realizar el cambio.

La forma en que la mayoría de los sitios dividen la diferencia es geográfica: aplican la exclusión voluntaria específicamente a los visitantes donde la exposición es real, típicamente California, y dejan su configuración como está en todas partes.

Eso contiene el coste de los datos de seguimiento para el tráfico donde realmente importa, en lugar de asumir el golpe en todo el sitio. Consulta este artículo sobre cómo configurar el consentimiento de cookies basado en la ubicación para conocer los pasos prácticos.

Eso cubre de qué tratan la ley, las demandas y las cartas de reclamación. Esto es lo que realmente puedes hacer al respecto, empezando por tu propio sitio.

¿Qué deberías comprobar en tu sitio de WordPress?

Lista de verificación de auditoría de WordPress: Comprobación del tiempo de ejecución de tus scripts

Así es como puedes comprobar tu situación. Abre tu sitio en una ventana de navegador privada, como si fueras un visitante por primera vez de California, y comprueba lo siguiente antes de hacer clic en aceptar nada.

• Realiza un escaneo completo del sitio para ver qué se activa antes del consentimiento. Un escaneo rastrea todas las páginas en busca de scripts y cookies a la vez, más rápido que revisarlas página por página. Así funciona una auditoría completa del sitio. ¿Quieres verificar una página en tiempo real en su lugar? Abre la pestaña de Red de tu navegador y recarga; si aparece una solicitud de Google Analytics, Meta Pixel o un widget de chat antes de haber hecho clic en nada, esa es la exposición.

  💡 Consejo de WPConsent: El Inspector de Cookies hace esto por ti automáticamente. Recorre tu sitio como un visitante nuevo, rastrea cada cookie en tiempo real y marca cualquier cosa que se cargó antes del consentimiento como una infracción, sin necesidad de DevTools. Encuéntralo en WPConsent » Scanner » Inspector.

• Confirma que tu banner realmente bloquea, no solo muestra. Un banner que muestra una opción mientras los scripts se ejecutan en segundo plano debajo de él no restringe nada. El elemento visual y el bloqueo real deben ser el mismo mecanismo.
• Comprueba qué hacen tu barra de búsqueda y tus formularios con la entrada escrita. Si un campo de búsqueda envía cada pulsación de tecla a un punto final de análisis, ese es un objetivo real en las cartas actuales. Confirma si eso está sucediendo antes de asumir que no lo está.
• Compara tu Política de Privacidad con lo que realmente encontraste. Si la política enumera herramientas que ya no utilizas, u omite las que sí, corrige la discrepancia. Una política que no coincide con la realidad crea su propio problema, separado de la CIPA.

  💡 Consejo de WPConsent: WPConsent puede generar una página de política de cookies nueva directamente a partir de los resultados de tu escaneo, a un clic del panel, en lugar de que compares texto a mano.

• Comprueba si estás respetando el Control de Privacidad Global (GPC). GPC es una señal a nivel de navegador que algunos visitantes envían automáticamente diciendo "no me rastrees". Si tu sitio ignora esa señal y rastrea de todos modos, esa es otra brecha a la que puede apuntar la misma categoría de reclamaciones.
• Prueba como visitante recurrente, no solo como uno nuevo. Recarga la página después de haber tomado una decisión. Confirma que el sitio recuerda lo que elegiste en lugar de volver a preguntar, o peor aún, empezar a rastrear silenciosamente sin importar lo que hiciste clic la primera vez.

La imagen a continuación es una lista de verificación simple de lo que acabamos de comentar. Dado que es una imagen, puedes descargarla y revisarla cuando te convenga.

Nada de esto requiere adivinar.

Es una auditoría de quince minutos con herramientas ya integradas en tu navegador, realizada desde una sesión limpia para que veas lo que ve un visitante real por primera vez, no una versión en caché de tu propio sitio.

¿Qué debe hacer antes de que llegue una carta de demanda CIPA?

Esperar a que llegue una carta es la forma cara de hacerlo. Algunas cosas merecen la pena tenerlas listas ahora, antes de que una fecha límite fuerce la decisión.

• Confirma que tu banner realmente bloquea por defecto. Realiza la auditoría anterior hoy en lugar de asumir que tu configuración todavía funciona como lo hacía cuando la instalaste por primera vez. Este tutorial sobre cómo configurar un banner de bloqueo cubre lo que realmente significa "bloqueo".
• Conoce qué se está ejecutando en tu sitio ahora mismo. Un escáner que lista todos los scripts es mejor que intentar recordar de memoria lo que añadiste hace meses o años.
• Alinea tu Política de Privacidad con lo que realmente encontraste. Una política que enumera herramientas que ya no utilizas, u omite las que sí, crea un problema separado y fácil de solucionar.
• Mantén un registro de cuándo cambió tu configuración de rastreo. Las notas fechadas permiten mostrar exactamente cuándo se implementó una corrección, si ese momento es relevante.
• Decide tu enfoque de exclusión voluntaria de California en tu propio plazo. Evalúa la contrapartida de datos de rastreo descrita anteriormente antes de decidirla bajo un plazo de 30 días.

WPConsent puede ayudar con todo lo de las dos listas de verificación anteriores, bloqueando scripts por defecto, generando tu política y registrando el consentimiento.

Si quieres ver cómo se sostiene en la práctica, lo sometimos a una revisión completa.

¿Qué debe hacer si recibe una carta de demanda CIPA?

Una carta de demanda sigue un patrón predecible, y saber qué es (y qué no es) da forma a tu respuesta.

1. Espera un rastreador con nombre y una fecha límite. La mayoría de las cartas citan los daños legales de la CIPA y piden una respuesta o un acuerdo dentro de un plazo establecido, a menudo 30 días.
2. Reconócela como una demanda privada, no como una notificación gubernamental. Proviene de un bufete de abogados que representa a un particular, enviada antes de que se presente ninguna demanda.
3. No la trates como prueba de que infringiste la ley. Estas reclamaciones se basan en una teoría legal que aún se está debatiendo en los tribunales, como muestra la tabla de casos anterior.
4. No te conformes con un acuerdo por pánico debido a la fecha límite. Un número y un plazo corto no hacen que la reclamación subyacente sea automáticamente válida.

Dicho esto, tampoco la ignores.

Preserva todo, no solo la letra.

Mantén un registro de la configuración actual de tu sitio, los rastreadores en ejecución y tus registros antes de cambiar nada, porque el estado de tu sitio cuando llegó la carta es lo que importa.

Llévalo entonces a un abogado que conozca esta área específica del derecho de privacidad y deja que dirija la investigación de los hechos. Esto incluye si el rastreador mencionado estaba realmente en tu sitio y cuándo se activó en relación con el consentimiento.

Si usas WPConsent, el Registro de Consentimiento proporciona a tu abogado registros con marcas de tiempo de cuándo se registró el consentimiento en tu sitio, una parte de la línea de tiempo que necesitarán.

Dónde encaja WPConsent

No vamos a decirte que un plugin de consentimiento de cookies haga desaparecer una demanda. No lo hace.

Lo que WPConsent hace en realidad es arreglar el tiempo. Ese es el único mecanismo en el que se basa cada sentencia de este artículo.

Las tres primeras filas están en la versión gratuita de WPConsent, instalada en más de 100.000 sitios de WordPress.

Las Reglas de Visualización de Geolocalización y el Registro de Consentimiento se encuentran en WPConsent Pro, y son las dos piezas que convierten "creemos que estábamos bien" en una respuesta documentada si una carta alguna vez nombra su sitio.

Eso es todo. Hemos cubierto qué es la CIPA, a qué se dirige y qué hacer al respecto. Todavía vale la pena responder directamente a algunas preguntas específicas.

Preguntas frecuentes

¿Es CIPA una ley nueva?

No. La Ley de Invasión de la Privacidad de California data de 1967 y fue escrita para la interceptación telefónica. Los abogados demandantes están aplicando dos de sus secciones, 631(a) y 638.51, al seguimiento de sitios web a través de teorías legales que aún se están probando en los tribunales, no a través de una nueva ley aprobada para este propósito.

¿Son todas las reclamaciones de CIPA para sitios web la misma teoría?

No, y esa es una idea errónea común. Las reclamaciones de la Sección 631(a) se refieren a herramientas que capturan el contenido de la comunicación, como los widgets de grabación de sesiones y chat. Las reclamaciones de la Sección 638.51 se refieren a herramientas que envían datos de enrutamiento como direcciones IP, principalmente píxeles de seguimiento y análisis. Los tribunales estatales de California han estado desestimando las reclamaciones 638.51 de manera bastante consistente. Las reclamaciones 631(a) están más genuinamente sin resolver.

¿El cumplimiento de la CCPA me protege de una reclamación de CIPA?

No según los demandantes que presentan estas reclamaciones. Su argumento es que el modelo de exclusión voluntaria de la CCPA asume que el seguimiento puede comenzar antes de que un visitante tome una decisión, que es exactamente a lo que se dirigen ambas teorías de la CIPA.

¿Esto se aplica solo a las empresas con sede en California?

No. El factor relevante suele ser la ubicación de los visitantes de su sitio web, no dónde está registrada su empresa. Se puede nombrar un sitio basado en cualquier lugar si tiene visitantes de California y ejecuta rastreadores de la manera que describen estas reclamaciones.

¿Es suficiente un banner de cookies por sí solo?

Solo si realmente bloquea scripts no esenciales hasta que un visitante acepta. Un banner que muestra una opción mientras los rastreadores se ejecutan en segundo plano no cambia el problema de tiempo en el que se basan estas reclamaciones.

¿Qué es la SB 690 y soluciona esto?

SB 690 es un proyecto de ley de California que limitaría las disposiciones de registro de pen y trap-and-trace de la CIPA, Secciones 638.50 y 638.51, al eliminar la capacidad de los individuos para demandar por esas reclamaciones y dejar la aplicación al Fiscal General del estado. Una enmienda del 2 de julio de 2026 lo redujo a solo esas disposiciones. Tal como está redactado actualmente, entraría en vigor el 1 de enero de 2027 y se aplicaría retroactivamente a las reclamaciones de registro de pen que cumplan los requisitos y se presenten a partir del 1 de enero de 2025, pero aún no es ley y todavía tiene que ser aprobada por la Asamblea. No afectaría a las reclamaciones de interceptación de la Sección 631(a) detrás de Javier y Mikulsky, la teoría más cercana a un argumento de "necesitas optar por participar". Por lo tanto, la distinción entre registro de pen e interceptación es importante para su propia carta: una demanda basada en la teoría del registro de pen podría verse afectada por la SB 690, mientras que una demanda de interceptación no lo haría. Esa es una de las cosas que sopesa un abogado. No asuma que la aprobación de la SB 690 pondría fin a este riesgo.

¿Qué debo hacer primero si recibo una carta de demanda?

No lo ignore, y tampoco responda ni llegue a un acuerdo de inmediato. Primero preserve todo: la carta, la configuración actual de su sitio y sus registros, antes de cambiar nada. Luego, llévelo a un abogado con experiencia en CIPA y deje que dirija la investigación de los hechos, incluido si el rastreador mencionado estaba realmente en su sitio y cuándo se activó en relación con el consentimiento.

Soluciona el tiempo de tu sitio WordPress: bloquea antes del consentimiento, no después

La solución aquí comienza con el tiempo.

Nada debería activarse antes de que un visitante haya tomado una decisión real, y usted debería poder demostrarlo si alguien alguna vez pregunta.

Instala WPConsent y el escáner lista lo que se está ejecutando en tu sitio. El banner empieza a bloquear scripts no esenciales por defecto una vez que está activo.

Si el tráfico de California representa una parte significativa de sus visitantes, o si ya ha recibido una carta, las Reglas de Visualización Geográfica y el Registro de Consentimiento en WPConsent Pro están diseñados exactamente para esta situación.

Obtén WPConsent gratis →
Ver precios de WPConsent →

---

Recursos adicionales

Estas tres guías profundizan en las partes que este artículo cubre a nivel de resumen.

• Guía para principiantes de WordPress y cumplimiento de CCPA: el modelo de exclusión voluntaria contra el que contrasta este artículo, explicado en su totalidad.
• Requisitos de WordPress para el consentimiento de cookies por país: si sus visitantes no solo están en California, esto es lo que cambia en otros lugares.
• ¿Qué es el consentimiento de cookies? Una guía para principiantes: los fundamentos sobre los que se basa este artículo, si está empezando desde cero.

---