SB 923: California amplía el derecho de eliminación del CCPA - qué hacer antes de 2027

California ha cambiado las reglas de uno de los derechos de los consumidores más importantes del CCPA.

El 27 de septiembre de 2026, el gobernador Gavin Newsom firmó el Senate Bill 923, el Expanding Privacy Rights Act (Ley de ampliación de los derechos de privacidad). Amplía el derecho de eliminación del CCPA para que los consumidores puedan pedir a una empresa que elimine la información personal que tenga sobre ellos, tanto si la empresa la recopiló directamente del consumidor como si la obtuvo de un tercero. También exige a determinadas empresas exclusivamente online ofrecer una forma online de presentar solicitudes de privacidad. La ley entra en vigor el 1 de enero de 2027.

Eso deja unos meses para revisar cómo se presentan, verifican, supervisan, atienden y documentan las solicitudes de privacidad. Esta guía explica qué cambia con SB 923, quién debe prestarle atención y qué hacer antes de la fecha límite, incluida la implantación de un formulario web de solicitudes de privacidad conforme.

La California Privacy Protection Agency (Agencia de Protección de la Privacidad de California), CalPrivacy, confirma ambas fechas. SB 923 no es un cambio de banner ni de política de privacidad: cambia el proceso operativo que utilizas para gestionar las solicitudes de los consumidores. La lista de comprobación de abajo explica qué hacer antes de enero.

SB 923 modifica las Sections 1798.105 y 1798.130 del California Civil Code. Hay dos cambios especialmente importantes para las empresas.

1. El derecho de eliminación cubre información recopilada del consumidor o sobre él

Hasta ahora, el derecho de eliminación del CCPA cubría la información personal que la empresa había recopilado del consumidor. La Section 1798.105 modificada da a los consumidores el derecho a solicitar la eliminación de cualquier información personal que la empresa haya recopilado “del consumidor o sobre él”.

Pensemos en un perfil de cliente típico: datos enviados mediante un formulario web, historial de compras, registros de atención al cliente y datos de enriquecimiento adquiridos a un proveedor de datos. Con el derecho ampliado, el hecho de que parte de esa información proceda de un tercero ya no la excluye de una solicitud de eliminación. CalPrivacy describe el cambio como el cierre de una laguna que permitía a las empresas conservar información personal obtenida de terceros.

Esto afecta especialmente a las empresas que enriquecen registros de clientes o clientes potenciales con fuentes externas, para CRM, marketing, personalización, analítica, enriquecimiento de leads o prevención del fraude. La pregunta que plantea una solicitud de eliminación ya no es “¿qué nos dio este consumidor?”, sino “¿qué información tenemos sobre este consumidor y cuál de ella está sujeta a eliminación?”

2. Las empresas exclusivamente online necesitan un método de solicitud online

Las empresas que operan exclusivamente online y tienen una relación directa con sus consumidores actualmente solo tienen que proporcionar una dirección de correo electrónico para las solicitudes de privacidad. A partir del 1 de enero de 2027 también deberán ofrecer un método online, como un formulario web o portal. La sección sobre el requisito del formulario web explica a quién se aplica.

Trata una solicitud de eliminación como un ciclo completo, no como un simple correo que llega a una bandeja de entrada. Debes estar preparado para:

1. Recibir la solicitud.
2. Verificar la identidad del consumidor.
3. Determinar qué información personal cubre la solicitud y qué excepciones se aplican.
4. Localizar esa información en tus sistemas y eliminarla o tratarla de otro modo según corresponda.
5. Coordinarte con proveedores de servicios, contratistas y terceros relevantes.
6. Conservar los registros que permita la ley para evitar que la información vuelva a aparecer.
7. Documentar el resultado y tu respuesta.

SB 923 exige a los proveedores de servicios y contratistas cooperar con la empresa a la hora de responder, y establece reglas específicas para la información obtenida de fuentes distintas del consumidor.

El plazo de respuesta no ha cambiado. Según la Section 1798.130, una empresa debe responder a una solicitud verificable del consumidor en un plazo de 45 días desde su recepción, prorrogable una vez por otros 45 días cuando sea razonablemente necesario, siempre que se informe al consumidor dentro de los primeros 45 días. Una solicitud que llega a una bandeja de entrada de correo no estructurada es difícil de verificar, asignar, supervisar y completar dentro de ese plazo.

La parte de SB 923 que requiere una actuación más inmediata es el requisito de presentación online. Se aplica a empresas que:

A partir del 1 de enero de 2027, estas empresas deberán proporcionar una dirección de correo electrónico y un método online, como un formulario web o portal online, para las solicitudes de acceso, eliminación y corrección. Si tu empresa entra en esta categoría, una dirección de correo de privacidad ya no será suficiente por sí sola.

Un formulario web de solicitudes de privacidad ofrece a los consumidores una forma estructurada de presentar esas solicitudes. En lugar de obligarlos a averiguar qué deben incluir en un correo electrónico, los guía durante el proceso y estandariza la información que recopilas al recibir la solicitud.

Qué debería incluir el formulario web

Un formulario genérico de “Contacto” no sirve. Un formulario web útil para solicitudes de privacidad está diseñado en torno al flujo de trabajo de la solicitud:

Para muchas empresas, la parte más difícil no será el formulario web. Será encontrar toda la información personal relevante. Si la información puede entrar en tu organización desde varias fuentes, tu proceso de eliminación debe tener en cuenta cada una de ellas.

SB 923 no exige eliminar indiscriminadamente todos los datos. La norma mantiene sus excepciones cuando la conservación sea razonablemente necesaria, incluidas determinadas finalidades contractuales, de seguridad, depuración, legales y de investigación, así que haz que profesionales jurídicos y de privacidad revisen tus obligaciones concretas.

Datos de terceros: una eliminación que se mantiene

Si una empresa obtuvo información personal sobre un consumidor de una fuente distinta del propio consumidor, puede cumplir una solicitud de eliminación conservando un registro de la solicitud y los datos mínimos necesarios para garantizar que la información permanezca eliminada y no se utilice para ningún otro fin. También puede conservar un registro confidencial de las solicitudes de eliminación únicamente para evitar que la información del consumidor sea vendida, cumplir las leyes o para otros fines permitidos por el CCPA.

En la práctica, eliminar no significa olvidar que la solicitud existió. Sin un registro limitado de supresión, la información eliminada simplemente vuelve a aparecer la próxima vez que un proveedor de datos la envía.

El proceso debe encontrar la información con independencia de cómo haya entrado en la empresa.

Utiliza esta lista para prepararte para el 1 de enero de 2027.

Eliminación y datos

Recepción de solicitudes

Gestión de solicitudes

Sitio web y aviso de privacidad

Para el resto de tus obligaciones del CCPA, consulta nuestra lista de comprobación de cumplimiento del CCPA.

Para una empresa que recibe una solicitud ocasional, el correo electrónico puede parecer suficiente. A medida que aumenta el volumen, o aumenta el alcance de cada solicitud, que es exactamente lo que hace SB 923, la diferencia se vuelve significativa.

La Delete Request and Opt-out Platform (Plataforma de solicitudes de eliminación y exclusión voluntaria, DROP) de California ofrece a los consumidores un único lugar para enviar solicitudes de eliminación a los corredores de datos registrados, que tienen sus propias obligaciones conforme al California Delete Act (Ley de Eliminación de California): desde el 1 de agosto de 2026, los corredores de datos registrados deben acceder a DROP al menos una vez cada 45 días para descargar y tramitar solicitudes de eliminación.

SB 923 cubre una relación distinta, las solicitudes que los consumidores presentan directamente a empresas sujetas al CCPA, pero la dirección es la misma. Las solicitudes de privacidad de los consumidores son cada vez más estructuradas, accesibles y relevantes desde el punto de vista operativo. Para una visión general de los demás derechos, consulta qué derechos otorga el CCPA a los consumidores.

No necesitas un gran departamento de privacidad para prepararte para SB 923, pero sí necesitas un proceso repetible. Empieza por cinco preguntas:

1. ¿Dónde pueden los consumidores presentar una solicitud? Si se te aplica el requisito de presentación online, ten un método online conforme antes del 1 de enero.
2. ¿Quién recibe la solicitud? No dejes que las solicitudes desaparezcan en una bandeja de entrada genérica.
3. ¿Cómo verificas al consumidor? Documenta un proceso de verificación razonable adecuado para la información implicada.
4. ¿Dónde están los datos del consumidor? Mapea tu CRM, plataforma ecommerce, sistemas de marketing, herramientas de soporte, bases de datos y terceros relevantes.
5. ¿Cómo demuestras qué ocurrió? Conserva registros de cuándo llegó cada solicitud, cómo se gestionó, qué se hizo y cuándo respondiste.

La plataforma CookieHub DSAR Management ofrece a las empresas online que cumplan los requisitos el formulario web de solicitudes de privacidad que exige SB 923, y gestiona lo que ocurre después de la presentación:

Es una forma práctica de añadir un canal online para solicitudes de privacidad sin tener que desarrollar internamente un sistema DSAR.

SB 923 amplía de forma sustancial el derecho de eliminación del CCPA y da a las empresas una fecha límite clara: el 1 de enero de 2027. Los consumidores podrán solicitar la eliminación de información personal recopilada de ellos o sobre ellos, incluida información obtenida de terceros, sujeta a las excepciones de la norma. Las empresas exclusivamente online con una relación directa con el consumidor también deberán ofrecer un método de presentación online, como un formulario web de solicitudes de privacidad.

Implanta el proceso ahora en lugar de esperar a la fecha límite: revisa tus canales de recepción, verificación, fuentes de datos, flujos de eliminación, coordinación con terceros y registros de auditoría, y ten preparado tu formulario web de solicitudes de privacidad antes del 1 de enero de 2027.