Si tiene un sitio de WordPress con visitantes en California, "CCPA" es probablemente la ley que ya conoce. Le permite rastrear visitantes por defecto y darles una forma de excluirse más tarde. La actividad judicial reciente sugiere que la CIPA también puede aplicarse.

Solo esta semana, hemos visto un aumento en las conversaciones de soporte de WPConsent que mencionan cartas de demanda que citan una ley completamente diferente: la Ley de Invasión de la Privacidad de California (CIPA), escrita en 1967 para detener las escuchas telefónicas.

Los abogados demandantes ahora la aplican a los sitios web, argumentando que un script de seguimiento que se ejecuta antes de que un visitante tome una decisión es la versión digital de escuchar una llamada.

Esta no es una ley establecida.

Los tribunales no están de acuerdo entre sí, y un proyecto de ley que se está tramitando en la legislatura de California ahora mismo, cubierto con más detalle a continuación, podría cambiar parte del panorama antes de que termine el año.

Esto es lo que realmente está sucediendo, lo que significa para un sitio de WordPress y dónde WPConsent ayuda y dónde no.

Para ayudarle a navegar rápidamente por este artículo, utilice la tabla de contenido a continuación para saltar a cualquier sección que desee.

¿Cuál es la diferencia entre CCPA y CIPA?

Según la CCPA, puedes recopilar datos por defecto.

Tu trabajo es la divulgación: informa a los visitantes qué estás recopilando y proporciónales un enlace para que se excluyan, normalmente "No Vender ni Compartir Mi Información Personal". Ese es el modelo en el que se basaron la mayoría de los plugins de cookies de WordPress.

Las reclamaciones de la CIPA eluden ese modelo por completo.

La discusión no trata sobre la divulgación; trata sobre la intercepción.

Según esta teoría, un enlace de exclusión que aparece después de que un script ya se ha ejecutado no deshace la intercepción que ya ocurrió.

Dos leyes diferentes, dos preguntas diferentes.

Un sitio puede estar cumpliendo todo lo que pide la CCPA y aun así ser un objetivo según esta teoría, porque la CCPA no se diseñó para responder a la pregunta de tiempo que la CIPA afirma plantear.

Si tus visitantes no solo están en California, las reglas cambian de nuevo fuera de EE. UU. Esta guía cubre los cambios bajo el RGPD, que adopta un enfoque de consentimiento previo más estricto en general.

¿Qué pregunta se hacen los tribunales sobre las reclamaciones CIPA?

Elimina la terminología legal y casi todos estos casos se reducen a una pregunta: ¿un tercero recibió los datos de un visitante antes de que este tuviera la oportunidad de elegir?

Si el momento fuera el adecuado, la reclamación normalmente fracasa. Si no lo fuera, la herramienta se convierte en un objetivo, independientemente de lo que diga su política de privacidad al respecto.

Estas reclamaciones no provienen todas de la misma parte de CIPA, y saber cuál se aplica cambia contra qué te estás defendiendo realmente.

¿Qué parte de la CIPA están utilizando realmente?

CIPA es una ley extensa, y las reclamaciones de sitios web extraen de dos secciones diferentes que piden cosas distintas.

Sección 631(a):

• La disposición sobre interceptación y escucha requiere que alguien lea o conozca el "contenido" de una comunicación sin el consentimiento de todos los involucrados.
• Esta es la sección detrás de Javier v. Assurance IQ y Mikulsky v. Bloomingdale’s, ambas sobre software de repetición de sesión que registraba lo que un visitante escribía y hacía clic.
• Los widgets de chat y los formularios que capturan lo que alguien escribe también entran en esta categoría.

Sección 638.51:

• La disposición de registro de terminales y rastreo es sobre información de enrutamiento, no contenido: cosas como direcciones IP e identificadores de dispositivos.
• Esta es la sección detrás de la ola de casos contra píxeles de seguimiento y balizas de análisis, incluyendo Sanchez v. Cars.com y Aviles v. LiveRamp.

La distinción es importante porque los tribunales han tratado las dos de manera muy diferente.

Los tribunales estatales de California han estado desestimando las reclamaciones de registro de terminales 638.51 contra herramientas de análisis ordinarias de manera bastante consistente. Las reclamaciones de interceptación 631(a), las que están detrás de la repetición de sesión y la captura de chat, están más genuinamente divididas.

¿Por qué están aumentando las demandas CIPA en este momento?

CIPA permite daños legales de $5,000 por violación sin que el demandante tenga que probar un daño real.

Esa estructura se aplica tanto a las acciones colectivas como a las reclamaciones individuales. Por lo tanto, el número por visitante puede multiplicarse por todas las personas rastreadas de la misma manera en un sitio de alto tráfico.

Las presentaciones vinculadas a una campaña nacional de un solo demandante han crecido de aproximadamente 600 a más de 4,000 desde que comenzó.

Los tribunales todavía están decidiendo si las teorías legales subyacentes se sostienen. Y los resultados van en ambos sentidos dependiendo del tribunal y de qué sección de CIPA se basa una reclamación, como muestra la tabla de casos a continuación.

¿Qué apunta realmente la CIPA en su sitio y por qué?

Las letras no son aleatorias.

Nombran herramientas específicas y comunes, y la teoría que se aplica depende de lo que la herramienta hace realmente: mover datos de enrutamiento o capturar contenido.

Ninguna de estas herramientas es inusual. La mayoría de los sitios de WordPress ejecutan al menos una de cada columna. Para las más comunes, hemos escrito guías individuales:

• Incrustaciones de Google Maps
• Vídeos de YouTube
• Scripts personalizados o iframes

¿Cuál es la postura actual de los tribunales sobre las reclamaciones CIPA?

Los resultados son genuinamente mixtos en las sentencias recientes:

Algunas sentencias explican la división en un lenguaje claro.

• En Sanchez contra Cars.com, el tribunal calificó el seguimiento rutinario como “una función básica del acceso a Internet”.
• En Aviles contra LiveRamp, el tribunal dictaminó que el demandante “no ha alegado nada más allá de cómo funciona Internet normalmente”.
• En Blaker contra Netscout Systems, el tribunal concluyó claramente que la ley de registro de comunicaciones telefónicas “se aplica a las comunicaciones telefónicas y no al software de un sitio web comercial”.

Por otro lado, en Gutierrez contra Converse, el Noveno Circuito señaló que “California no ha actualizado la sección 631(a) para tener en cuenta los avances tecnológicos desde 1967”.

Los tribunales estatales de California se muestran cada vez más escépticos ante la teoría del registro de comunicaciones. La teoría de la interceptación telefónica según la sección 631(a) sigue sin resolverse a nivel de apelación federal.

¿Qué sucede si una reclamación CIPA tiene éxito?

Los daños legales según la CIPA ascienden a 5.000 $ por infracción, o tres veces los daños reales, lo que sea mayor.

Y un demandante no tiene que probar un daño real para cobrar.

En un sitio con mucho tráfico, ese cálculo se convierte rápidamente en una exposición a demandas colectivas. Si un tribunal certifica una clase de visitantes que fueron rastreados de la misma manera, el número por visitante se multiplica por todos los que forman parte de ella.

Un juez federal aprobó un acuerdo colectivo de 3,85 millones de dólares contra el Los Angeles Times en junio de 2026 por prácticas de seguimiento similares a las descritas anteriormente.

No todos los casos alcanzan ese tamaño y, tal como está, la mayoría de las cartas de demanda nunca se convierten en una demanda judicial.

¿Por qué es importante una plataforma de gestión de consentimiento en este caso?

Una plataforma de gestión de consentimiento, o CMP, es un software que controla el momento del consentimiento.

Retiene los scripts de seguimiento hasta que un visitante toma una decisión y luego solo libera aquellos con los que el visitante estuvo de acuerdo.

Eso es diferente de un aviso de cookies, que muestra un mensaje mientras todo lo que está debajo sigue funcionando independientemente.

Una CMP por sí sola no gana un litigio y no garantiza el cumplimiento de nada.

Lo que hace es abordar la cuestión del momento en que se basan la mayoría de estas sentencias: si algo se ejecutó antes del consentimiento. Si se hace bien, estas reclamaciones tienen mucho menos con lo que trabajar, independientemente de la sección que la firma del demandante elija.

Una advertencia antes de cambiar California a la opción de exclusión voluntaria

La opción de exclusión voluntaria, que bloquea todas las herramientas no esenciales hasta que un visitante hace clic activamente en aceptar, es la respuesta más sólida a la teoría de consentimiento de todas las partes detrás de la CIPA.

Pero es más estricto de lo que la CCPA realmente requiere.

En la práctica, reduce drásticamente los datos de seguimiento que recopila, porque algunos visitantes nunca hacen clic en aceptar.

Si sus herramientas de publicidad y análisis se ejecutan después del consentimiento y pocas personas dan su consentimiento, esas herramientas rara vez se activan. En términos sencillos, la opción de exclusión voluntaria reduce la mayor parte de su seguimiento en California.

Esa es una compensación a sopesar antes de hacer el cambio.

Lo que puedes hacer

La forma en que la mayoría de los sitios dividen la diferencia es geográfica: aplican la exclusión voluntaria específicamente a los visitantes donde la exposición es real, típicamente California, y dejan su configuración como está en todas partes.

Eso cubre el costo de los datos de seguimiento para el tráfico donde realmente importa, en lugar de asumir el impacto en todo el sitio. Consulta este artículo sobre cómo configurar el consentimiento de cookies basado en la ubicación si quieres ver cómo se ve eso en la práctica.

Eso cubre de qué tratan la ley, las demandas y las cartas de reclamación. Esto es lo que realmente puedes hacer al respecto, empezando por tu propio sitio.

¿Qué debe comprobar en su sitio de WordPress? (Lista de verificación de cumplimiento CIPA)

Así es como puedes comprobar tu situación con la CIPA.

Abre tu sitio en una ventana de navegador privada, como si fueras un visitante nuevo de California, y comprueba lo siguiente antes de aceptar nada.

• Realiza un escaneo completo del sitio para ver qué se activa antes del consentimiento. Un escaneo rastrea todas las páginas en busca de scripts y cookies a la vez, más rápido que revisarlas página por página. Así funciona una auditoría completa del sitio. ¿Quieres verificar una página en tiempo real en su lugar? Abre la pestaña de Red de tu navegador y recarga; si aparece una solicitud de Google Analytics, Meta Pixel o un widget de chat antes de haber hecho clic en nada, esa es la exposición.
  💡 Consejo de WPConsent: El Inspector de Cookies hace esto automáticamente por ti. Recorre tu sitio como un visitante nuevo, rastrea cada cookie en tiempo real y marca cualquier cosa que se cargó antes del consentimiento como una infracción, sin necesidad de DevTools. Encuéntralo en WPConsent » Scanner » Inspector.
• Confirma que tu banner realmente bloquea, no solo muestra. Un banner que muestra una opción mientras los scripts se ejecutan en segundo plano debajo de él no restringe nada. El elemento visual y el bloqueo real deben ser el mismo mecanismo.
• Comprueba qué hacen tu barra de búsqueda y tus formularios con la entrada escrita. Si un campo de búsqueda envía cada pulsación de tecla a un punto final de análisis, ese es un objetivo real en las cartas actuales. Confirma si eso está sucediendo antes de asumir que no lo está.
• Compara tu Política de Privacidad con lo que realmente encontraste. Si la política enumera herramientas que ya no utilizas, u omite las que sí, corrige la discrepancia. Una política que no coincide con la realidad crea su propio problema, separado de la CIPA.
  💡 Consejo de WPConsent: WPConsent puede generar una página de política de cookies nueva directamente a partir de los resultados de tu escaneo, a un clic del panel, en lugar de que compares texto a mano.
• Comprueba si estás respetando el Control de Privacidad Global (GPC). GPC es una señal a nivel de navegador que algunos visitantes envían automáticamente diciendo "no me rastrees". Si tu sitio ignora esa señal y rastrea de todos modos, esa es otra brecha a la que puede apuntar la misma categoría de reclamaciones.
• Prueba como visitante recurrente, no solo como uno nuevo. Recarga la página después de haber tomado una decisión. Confirma que el sitio recuerda lo que elegiste en lugar de volver a preguntar, o peor aún, empezar a rastrear silenciosamente sin importar lo que hiciste clic la primera vez.

La imagen a continuación es una lista de verificación simple de lo que acabamos de comentar. Dado que es una imagen, puedes descargarla y revisarla cuando te convenga.

Nada de esto requiere adivinar. Es una auditoría de quince minutos con herramientas ya integradas en tu navegador, realizada desde una sesión limpia para que veas lo que ve un visitante real por primera vez, no una versión en caché de tu propio sitio.

¿Qué debe hacer antes de que llegue una carta de demanda CIPA?

Esperar a que llegue una carta es la forma cara de hacerlo. Algunas cosas merecen la pena tenerlas listas ahora, antes de que una fecha límite fuerce la decisión.

• Confirma que tu banner realmente bloquea por defecto. Realiza la auditoría anterior hoy en lugar de asumir que tu configuración todavía funciona como lo hacía cuando la instalaste por primera vez. Este tutorial sobre cómo configurar un banner de bloqueo cubre lo que realmente significa "bloqueo".
• Conoce qué se está ejecutando en tu sitio ahora mismo. Un escáner que lista todos los scripts es mejor que intentar recordar de memoria lo que añadiste hace meses o años.
• Alinea tu Política de Privacidad con lo que realmente encontraste. Una política que enumera herramientas que ya no utilizas, u omite las que sí, crea un problema separado y fácil de solucionar.
• Mantén un registro de cuándo cambió tu configuración de rastreo. Las notas fechadas permiten mostrar exactamente cuándo se implementó una corrección, si ese momento es relevante.
• Decide tu enfoque de exclusión voluntaria de California en tu propio plazo. Evalúa la contrapartida de datos de rastreo descrita anteriormente antes de decidirla bajo un plazo de 30 días.

WPConsent puede ayudar con todo lo de ambas listas de verificación anteriores, bloqueando scripts por defecto, generando tu política y registrando el consentimiento. Si quieres ver cómo se defiende realmente, lo hemos sometido a una revisión completa.

¿Qué debe hacer si recibe una carta de demanda CIPA?

Una carta de demanda sigue un patrón predecible, y saber qué es (y qué no es) da forma a tu respuesta.

1. Espera un rastreador con nombre y una fecha límite. La mayoría de las cartas citan los daños legales de la CIPA y piden una respuesta o un acuerdo dentro de un plazo establecido, a menudo 30 días.
2. Reconócela como una demanda privada, no como una notificación gubernamental. Proviene de un bufete de abogados que representa a un particular, enviada antes de que se presente ninguna demanda.
3. No la trates como prueba de que infringiste la ley. Estas reclamaciones se basan en una teoría legal que aún se está debatiendo en los tribunales, como muestra la tabla de casos anterior.
4. No te conformes con un acuerdo por pánico debido a la fecha límite. Un número y un plazo corto no hacen que la reclamación subyacente sea automáticamente válida.

Dicho esto, tampoco la ignores.

Conserva la carta y cualquier cosa que la acompañe.

Comprueba si el rastreador mencionado en la carta estaba presente en tu sitio y si se activó antes o después del consentimiento.

Si usas WPConsent, comprueba si el Registro de Consentimiento Autohospedado ya estaba en funcionamiento en ese momento. Te proporciona un registro con marca de tiempo para verificar.

Utiliza la misma teoría bajo la que está presentado (631(a) o 638.51) para saber qué buscar. Luego, habla con un abogado que conozca esta área antes de responder.

Consulta este artículo sobre cómo ver y gestionar tus registros de consentimiento.

Dónde encaja WPConsent en el cumplimiento de la CIPA

No vamos a decirte que un plugin de consentimiento de cookies hace desaparecer una demanda. No lo hace.

Lo que WPConsent realmente hace es corregir la sincronización. Ese es el único mecanismo en el que se basa cada sentencia de este artículo. Consulta la tabla a continuación para obtener más información.

Las tres primeras filas están en la versión gratuita de WPConsent, instalada en más de 100.000 sitios de WordPress.

Las Reglas de Visualización Geográfica y el Registro de Consentimiento forman parte de WPConsent Pro, y son las dos piezas que convierten "creemos que estábamos bien" en una respuesta documentada si una carta menciona tu sitio.

Eso es todo. Hemos cubierto qué es CIPA, qué persigue y qué hacer al respecto. Si todavía tienes preguntas, consulta las preguntas frecuentes a continuación.

Preguntas frecuentes: Cartas de demanda CIPA en California: Qué significan para tu sitio de WordPress 

¿Es CIPA una ley nueva?

No. La Ley de Invasión de la Privacidad de California data de 1967 y fue escrita para la interceptación telefónica. Los abogados demandantes están aplicando dos de sus secciones, 631(a) y 638.51, al seguimiento de sitios web a través de teorías legales que aún se están probando en los tribunales, no a través de una nueva ley aprobada para este propósito.

¿Son todas las reclamaciones de CIPA para sitios web la misma teoría?

No, y esa es una idea errónea común. Las reclamaciones de la Sección 631(a) se refieren a herramientas que capturan el contenido de la comunicación, como los widgets de grabación de sesiones y chat. Las reclamaciones de la Sección 638.51 se refieren a herramientas que envían datos de enrutamiento como direcciones IP, principalmente píxeles de seguimiento y análisis. Los tribunales estatales de California han estado desestimando las reclamaciones 638.51 de manera bastante consistente. Las reclamaciones 631(a) están más genuinamente sin resolver.

¿El cumplimiento de la CCPA me protege de una reclamación de CIPA?

No por sí solo. El modelo de exclusión de la CCPA asume que el seguimiento puede comenzar antes de que un visitante tome una decisión, que es exactamente lo que ambas teorías de CIPA persiguen. Las leyes hacen preguntas diferentes.

¿Esto se aplica solo a las empresas con sede en California?

No. El factor relevante suele ser la ubicación de los visitantes de su sitio web, no dónde está registrada su empresa. Se puede nombrar un sitio basado en cualquier lugar si tiene visitantes de California y ejecuta rastreadores de la manera que describen estas reclamaciones.

¿Es suficiente un banner de cookies por sí solo?

Solo si realmente bloquea scripts no esenciales hasta que un visitante acepta. Un banner que muestra una opción mientras los rastreadores se ejecutan en segundo plano no cambia el problema de tiempo en el que se basan estas reclamaciones.

¿Qué es la SB 690 y soluciona esto?

La SB 690 es un proyecto de ley de California que limitaría la disposición de derecho de acción privada de la CIPA, la Sección 638.51, al eliminar el derecho de acción privada para esas reclamaciones específicas. Una enmienda del 1 de julio de 2026 la redujo aún más y, al momento de escribir esto, aún no ha sido aprobada por la legislatura, necesitando pasar por el pleno de la Asamblea y regresar al Senado antes de la fecha límite del 31 de agosto de 2026. Incluso si se aprueba, no afectaría las reclamaciones de interceptación de comunicaciones de la Sección 631(a), la teoría detrás de Javier y Mikulsky y la que está más cerca de un argumento de “necesitas consentimiento previo”. No asuma que la aprobación de la SB 690 pondría fin a este riesgo.

¿Qué debo hacer primero si recibo una carta de demanda?

No la ignore, y tampoco responda ni llegue a un acuerdo de inmediato. Conserve la carta y verifique si el rastreador que nombra estaba realmente presente en su sitio y si se activó antes o después de que un visitante diera su consentimiento. Luego, llévelo a un abogado con experiencia en CIPA antes de responder. Lo que encuentre en esa primera verificación a menudo cambia lo que su abogado le recomienda.

Soluciona el tiempo de tu sitio WordPress: bloquea antes del consentimiento, no después

Como se mencionó, la solución es el tiempo.

Nada debería activarse antes de que un visitante haya tomado una decisión real, y usted debería poder demostrarlo si alguien alguna vez pregunta.

Instale WPConsent y el escáner enumera lo que se está ejecutando en su sitio. El banner comienza a bloquear scripts no esenciales por defecto una vez que está activo.

Vea cómo instalar WPConsent para más detalles.

Si el tráfico de California representa una parte significativa de sus visitantes, o si ya ha recibido una carta, las Reglas de Visualización Geográfica y el Registro de Consentimiento en WPConsent Pro están diseñados exactamente para esta situación.

Obtén WPConsent gratis →
Ver precios de WPConsent →

---

Recursos adicionales

Estas tres guías profundizan en las partes que este artículo cubre a nivel de resumen.

• Guía para principiantes de WordPress y cumplimiento de CCPA: el modelo de exclusión voluntaria contra el que contrasta este artículo, explicado en su totalidad.
• Requisitos de WordPress para el consentimiento de cookies por país: si sus visitantes no solo están en California, esto es lo que cambia en otros lugares.
• ¿Qué es el consentimiento de cookies? Una guía para principiantes: los fundamentos sobre los que se basa este artículo, si está empezando desde cero.

---