Saltar al contenido principal

Leyes estatales de privacidad de EE. UU. (CCPA/CPRA y otras)

No es asesoramiento jurídico

La ley tal como la entendemos a 5 de noviembre de 2026. Qué ley se le aplica depende de unos umbrales (ingresos, número de consumidores) que varían de un estado a otro. En el resumen se explica qué son estas páginas y qué no son.

Qué exige la ley​

Las leyes estatales de EE. UU. no exigen consentimiento antes de que se ejecuten las cookies. Lo que exigen es aviso y derecho de exclusión: informar a los visitantes de lo que se recoge, permitirles excluirse de la «venta» o el «intercambio» de su información personal y de la publicidad dirigida, y pedir consentimiento previo (opt-in) solo para los datos sensibles y para los menores.

California (CCPA, modificada por la CPRA)​

  • Aviso en el momento de la recogida, cuando se recogen los datos o antes.
  • Un enlace «Do Not Sell or Share My Personal Information» (no vender ni compartir mi información personal) y, cuando proceda, un enlace «Limit the Use of My Sensitive Personal Information» (limitar el uso de mi información personal sensible); o bien, en lugar de ambos, un único enlace «Your Privacy Choices» (sus opciones de privacidad) con el icono de exclusión.
  • Señales de preferencia de exclusión. Una empresa que vende o comparte datos debe tratar una señal del navegador como Global Privacy Control como una exclusión válida para ese navegador, sin pedir nada más. Desde el 1 de enero de 2026, la empresa también debe mostrar si ha procesado la señal (por ejemplo, «Opt-Out Request Honored», es decir, solicitud de exclusión atendida).
  • Simetría en la elección: la opción que protege la privacidad no debe ser más larga ni más difícil que la otra; el consentimiento obtenido mediante patrones oscuros no es consentimiento.
  • Después de una exclusión, hay que esperar 12 meses antes de pedir a la persona que vuelva a aceptar.

La Agencia de Protección de la Privacidad de California y el fiscal general son quienes sancionan; las multas llegan hasta 2663 dólares por infracción y 7988 dólares por infracción intencionada (importes de 2025).

Los demás estados​

Hay leyes integrales de privacidad en vigor en una veintena de estados, entre ellos Virginia, Colorado, Connecticut, Utah, Texas, Oregón, Montana, Iowa, Delaware, Nebraska, Nuevo Hampshire, Nueva Jersey, Tennessee, Minnesota y Maryland, a los que se suman Indiana, Kentucky y Rhode Island desde el 1 de enero de 2026. Difieren en los detalles, pero todas comparten la exclusión de la venta y de la publicidad dirigida.

Doce estados exigen respetar señales universales de exclusión como Global Privacy Control: California, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, Nuevo Hampshire, Nueva Jersey, Oregón y Texas, con fechas de inicio entre 2024 y 2026. Colorado es el único estado que mantiene una lista oficial, y GPC es el único mecanismo que figura en ella.

IAB GPP​

Las tecnologías publicitarias leen las elecciones de exclusión de EE. UU. en la Global Privacy Platform de IAB (__gpp). Su sección US National (usnat), procedente del Multi-State Privacy Agreement, reúne en una sola cadena las exclusiones y un indicador de Global Privacy Control.

Cómo lo resuelve ConnectWiz​

ConnectWiz recibe a los visitantes de EE. UU. igual que a todos los demás —todo denegado hasta que eligen—, algo que todas las leyes de EE. UU. permiten. Si vende a clientes de EE. UU. y quiere el modelo de aviso y exclusión, active Usar el modelo de las leyes estatales de EE. UU. (exclusión) en Valor predeterminado antes de elegir, por región (consulte Visitantes de EE. UU.):

La normaEn ConnectWiz
Aviso en el momento de la recogidaLos visitantes de EE. UU. ven el banner una vez, como aviso, en su idioma.
«Do Not Sell or Share»El aviso tiene tres botones iguales: Aceptar, No vender ni compartir mi información personal (desactiva marketing y mantiene el resto) y Preferencias.
Enlace «Your Privacy Choices»El botón de cookies se llama Tus opciones de privacidad; cualquier elemento con data-cwz-privacy-choices en el pie de página de su sitio abre las mismas opciones.
Global Privacy ControlSe respeta en todos los sitios, con o sin el modelo de EE. UU.: un navegador que envía la señal nunca empieza con marketing activado, y el aviso indica que se aplicó. Solo la propia elección del visitante puede volver a activar marketing.
12 meses tras una exclusiónUna elección que desactiva marketing se conserva al menos 12 meses.
PruebaCada registro indica que se hizo con el modelo de exclusión y si el navegador envió GPC.
IAB GPPCon Enviar también señales IAB GPP (US National) activado, la página responde a __gpp con una cadena usnat que incluye la subsección de GPC. Consulte Señales IAB GPP.

El modelo se aplica a todo Estados Unidos: el estado de un visitante no se puede deducir de su dirección, y el aviso y la exclusión no causan ningún perjuicio allí donde un estado no tiene ley.

Qué le queda por hacer​

  • Su política de privacidad debe describir qué recoge, las categorías que vende o comparte y cómo excluirse; el aviso del banner no la sustituye.
  • Los datos sensibles y los menores requieren consentimiento previo (opt-in); si su sitio recoge esos datos, el modelo de exclusión no basta para esas finalidades.
  • Las solicitudes por correo electrónico o formulario (acceso, supresión, exclusión para datos no vinculados a un navegador) las atiende usted; ConnectWiz registra las elecciones hechas en el navegador.
  • Compruebe si alguna ley se le aplica: los umbrales varían de un estado a otro.

Fuentes​