Abrir espacio

Guía · Ley estatal de EE. UU.

DPDPA: la ley de Delaware que alcanza incluso a sitios medianos

La Delaware Personal Data Privacy Act rige desde el 1 de enero de 2025 y tiene uno de los umbrales más bajos del país. En esta guía entenderás quién debe cumplirla, por qué también entran las entidades sin fines de lucro, cómo funciona la señal universal de exclusión (opt-out) y qué cambia en 2027.

Auditar mi sitio para EE. UU.Leer la guía
  • ✓Basado en el Código de Delaware y en el portal del Departamento de Justicia
  • ✓Ejemplos prácticos para sitios con anuncios
  • ✓Auditoría de solo lectura, sin modificar el sitio
35 milconsumidores de Delaware por año: el umbral principal hasta fines de 2026
10 milconsumidores bastan si más del 20% de los ingresos brutos proviene de la venta de datos
100 milconsumidores: a partir de ahí la empresa debe hacer evaluaciones de protección de datos
US$ 10 milde multa civil máxima por infracción intencional, según la ley de fraude al consumidor

Qué es

Una ley pequeña en el nombre y grande en alcance

La Delaware Personal Data Privacy Act, o DPDPA, es la ley general de privacidad de Delaware. Se aprobó en 2023, está en el Título 6, capítulo 12D del Código de Delaware, y empezó a aplicarse el 1 de enero de 2025 por el Departamento de Justicia del estado.

El modelo se parece al de Connecticut. El visitante puede acceder a sus datos, corregirlos, borrarlos y llevárselos, y puede rechazar la venta, la publicidad dirigida y ciertos perfilados automatizados. Los datos sensibles solo pueden usarse con consentimiento.

Lo que llama la atención es el alcance. Delaware es un estado pequeño, así que el legislador eligió umbrales bajos: bastan los datos de 35 mil consumidores por año. Y, a diferencia de muchos estados, las entidades sin fines de lucro no están exentas.

Para un sitio de contenido con visitantes de Estados Unidos, esto cambia las cuentas. Un portal de noticias, un blog de finanzas o una asociación con mucho tráfico de Delaware puede superar el umbral sin darse cuenta, porque cada cookie de anuncios cuenta como dato personal.

Lista de verificación

Lo que debes cumplir

Si el sitio supera los límites de la DPDPA, esta es la lista básica, de lo más urgente a lo menos.

  1. Tener un enlace de rechazo claro y visible

    El sitio necesita un enlace claro y visible a una página donde el visitante rechace la publicidad dirigida y la venta.

    Ejemplo

    Enlace en el pie de página: Do Not Sell or Share My Personal Information, que lleve a una pantalla de rechazo.

  2. Aceptar la señal de preferencia del navegador

    Desde el 1 de enero de 2026, el sitio tiene que aceptar el rechazo enviado por una señal de preferencia, como el GPC. La señal no puede venir activada por defecto.

    Ejemplo

    Visitante con GPC activado: trátalo como si hubiera hecho clic en el enlace de rechazo.

  3. Pedir un consentimiento real para datos sensibles

    Datos sensibles solo con consentimiento. Un consentimiento obtenido con un diseño engañoso no vale, y retirarlo tiene que ser tan fácil como darlo.

    Ejemplo

    Si el visitante retira el consentimiento, detén el tratamiento en un máximo de 15 días.

  4. Proteger a los adolescentes de 13 a 17 años

    Si la empresa sabe, o ignora a propósito, que el visitante tiene de 13 a 17 años, no puede usar sus datos para publicidad dirigida ni venderlos sin consentimiento.

  5. Publicar un aviso de privacidad completo

    El aviso lista los datos tratados, las finalidades, cómo ejercer los derechos y apelar, los datos compartidos y las categorías de terceros, con un contacto activo.

    Ejemplo

    Incluye un correo activo, como privacidad@tusitio.com, al final del aviso.

  6. Responder solicitudes sin exigir una cuenta nueva

    Responde en un máximo de 45 días, con una prórroga de otros 45 si avisas. No exijas una cuenta nueva y ten un proceso de apelación.

  7. Hacer la evaluación de protección de datos

    Quien trata datos de al menos 100 mil consumidores evalúa por escrito los riesgos de la publicidad dirigida, la venta y los datos sensibles. En 2027, el límite baja a 50 mil.

  8. Llevar el rechazo hasta Google

    Google no exige una CMP para los estados de EE. UU. Usa el mensaje de reglamentos estatales de EE. UU., en Privacidad y mensajes, o activa el procesamiento restringido de datos, el RDP, en la etiqueta para quien rechazó. Con GPP, Google lee la sección US National para Delaware.

    Ejemplo

    AdSense o Ad Manager: Privacidad y mensajes, tarjeta Reglamentos estatales de EE. UU., Crear. Después elige los sitios y publica.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni GPP para las leyes estatales de EE. UU. Puedes usar el mensaje del propio Google o activar el RDP en la etiqueta.

Quién debe cumplirla

Los umbrales que ponen tu sitio dentro de la DPDPA

La ley se aplica a quienes hacen negocios en Delaware u ofrecen productos y servicios dirigidos a los residentes del estado y, en el año calendario anterior, superaron uno de los umbrales siguientes.

35 mil consumidores

Controló o trató datos de al menos 35 mil consumidores de Delaware. Los datos usados solo para completar un pago no cuentan.

10 mil y venta de datos

Controló o trató datos de al menos 10 mil consumidores y obtuvo más del 20% de sus ingresos brutos de la venta de datos personales.

También sin fines de lucro

La ley se aplica a empresas y a entidades sin fines de lucro. La única entidad de este tipo que está exenta es la dedicada a combatir el fraude de seguros.

Exenciones por tipo de dato

Hay excepciones para datos financieros y de salud regulados por leyes federales. El propio Departamento de Justicia recomienda consultar con un abogado si alguna se aplica.

Umbrales menores en 2027

Una ley aprobada en 2026, la HB 380, baja los umbrales a partir del 1 de enero de 2027: 10 mil consumidores, o 5 mil si más del 20% de los ingresos viene de la venta de datos.

Terceros que compran datos

También a partir de 2027, quedan cubiertos los terceros que adquieren datos personales de un responsable, sin umbral numérico.

Definiciones

Las palabras de la ley, en lenguaje de quien tiene un sitio

Las definiciones están en la sección 12D-102 y se parecen a las de Connecticut y Oregón, con una lista de datos sensibles más larga.

Dato personal

Todo dato vinculado o que pueda vincularse a una persona: nombre, dirección, correo electrónico, identificadores de dispositivo, ubicación precisa e identificadores únicos, como los que usan las cookies de anuncios.

Dato sensible

Origen racial o étnico, creencia religiosa, condición de salud, incluido el embarazo, vida sexual, orientación sexual, condición de persona trans o no binaria, situación migratoria, datos genéticos y biométricos, datos de menores y geolocalización precisa.

Venta

El intercambio de datos personales por dinero o por otra contraprestación de valor con un tercero. Quedan fuera las transferencias a encargados del tratamiento y a empresas del mismo grupo.

Publicidad dirigida

Anuncio elegido a partir de datos obtenidos o deducidos de las actividades del visitante a lo largo del tiempo en sitios y apps de otras empresas. El anuncio según el contexto de una búsqueda no entra.

Derechos de las personas

Qué puede pedir un residente de Delaware

La respuesta debe darse en un máximo de 45 días, con una prórroga de otros 45 días si es necesaria y se avisa dentro del plazo inicial. La empresa debe tener un proceso de apelación.

Confirmar y acceder

Saber si la empresa trata sus datos y tener acceso a ellos.

Corregir y eliminar

Corregir datos erróneos y pedir la eliminación de los datos personales.

Portabilidad

Recibir una copia de los datos en un formato fácil de llevar a otro servicio.

Lista de terceros

Recibir la lista de las categorías de terceros que recibieron los datos. A partir de 2027, la lista pasa a ser de los terceros específicos, con algunas excepciones.

Rechazar anuncios dirigidos y venta

Pedir que los datos no se usen para publicidad dirigida y no se vendan. Es el derecho que más pesa para los sitios con anuncios.

Rechazar el perfilado automatizado

Rechazar perfiles hechos solo por máquinas que lleven a decisiones con efectos legales o de impacto similar.

Obligaciones del sitio

Lo que el sitio cubierto debe tener funcionando

  1. Aviso de privacidad completoEl aviso debe enumerar las categorías de datos tratados, las finalidades, cómo ejercer los derechos y apelar, las categorías de datos compartidos con terceros, las categorías de esos terceros y un correo electrónico activo u otro contacto en línea.
  2. Informar sobre la venta y los anuncios dirigidosSi el sitio vende datos o los usa para publicidad dirigida, debe decirlo de forma clara y visible y explicar cómo rechazarlo.
  3. Recopilar solo lo necesarioLa recopilación debe ser adecuada, relevante y razonablemente necesaria para las finalidades informadas al visitante.
  4. Consentimiento para datos sensiblesDatos sensibles solo con consentimiento, que el visitante puede retirar tan fácilmente como lo dio.
  5. Protección para adolescentesSi la empresa sabe, o ignora a propósito, que el visitante tiene entre 13 y 17 años, no puede usar sus datos para publicidad dirigida ni venderlos sin consentimiento.
  6. Evaluación de protección de datosQuien controla o trata datos de al menos 100 mil consumidores debe evaluar por escrito los riesgos de la publicidad dirigida, la venta, los perfilados y los datos sensibles. En 2027 este umbral baja a 50 mil en ciertos casos.

Supervisión y multas

Quién supervisa y qué cambió en el plazo de corrección

Solo el Departamento de Justicia de Delaware supervisa la DPDPA. El consumidor no puede demandar a la empresa con base en esta ley.

Terminó el plazo obligatorio

En 2025, el Departamento debía avisar a la empresa y darle 60 días para corregir antes de actuar. Ese plazo obligatorio terminó el 31 de diciembre de 2025.

Ahora es decisión del organismo

Desde 2026, dar o no un plazo de corrección es una decisión del Departamento, que considera el número de infracciones, el tamaño de la empresa, el riesgo para el público y si el error fue humano o técnico.

Práctica comercial ilegal

La infracción de la DPDPA se trata como práctica ilegal según la ley de fraude al consumidor de Delaware, con las herramientas de investigación de esa ley.

Hasta US$ 10 mil por infracción

Si el tribunal concluye que la infracción fue intencional, la multa civil puede llegar a US$ 10 mil por infracción.

Cronología

Las fechas de la DPDPA

Delaware ya modificó su propia ley una vez. En noviembre de 2026, las reglas de 2025 están vigentes y las de 2027 están en camino.

  1. 2023

    Ley aprobada

    Delaware aprueba la Personal Data Privacy Act.

  2. 1 de enero de 2025

    Inicio de la supervisión

    El Departamento de Justicia comienza a supervisar la ley, con un plazo obligatorio de 60 días para corregir.

  3. 31 de diciembre de 2025

    Fin del plazo obligatorio

    Termina el período en que el Departamento estaba obligado a avisar y esperar 60 días antes de actuar.

  4. 1 de enero de 2026

    Señal universal obligatoria

    El sitio debe aceptar el opt-out de venta y de publicidad dirigida enviado mediante una señal de preferencia, como el GPC.

  5. 2026

    HB 380 aprobada

    Delaware aprueba cambios que bajan los umbrales, amplían los datos sensibles y exigen la lista de los terceros específicos.

  6. 1 de enero de 2027

    Entran en vigor las nuevas reglas

    Entran en vigor los umbrales de 10 mil y 5 mil consumidores y los demás cambios de la HB 380.

Sitios con AdSense y Ad Manager

GPC obligatorio y el camino del opt-out hasta Google

Desde el 1 de enero de 2026, el sitio cubierto por la DPDPA debe aceptar el opt-out enviado mediante una señal de preferencia, con el consentimiento del visitante. El ejemplo más común es el Global Privacy Control, o GPC, que envían algunos navegadores y extensiones. Para el visitante con el GPC activado, el sitio debe actuar como si hubiera hecho clic en el enlace de opt-out.

Google ofrece en AdSense y Ad Manager un mensaje de normativas estatales de EE. UU., en Privacidad y mensajes, y Delaware está entre los estados incluidos. El mensaje muestra el enlace Do Not Sell or Share. Cuando el visitante rechaza, Google activa el procesamiento restringido de datos, llamado RDP, y deja de usar el comportamiento anterior para elegir los anuncios.

Sobre el GPC, Google dice que el socio que implementó la señal puede elegir activar el RDP cuando recibe un GPC de opt-out. Es decir, la decisión y la configuración quedan a cargo del sitio o de la CMP. Una forma es la etiqueta: el parámetro restrictDataProcessing de GPT o el atributo data-restrict-data-processing de AdSense.

Quien usa GPP debe saber que existe una sección específica de Delaware, pero no está en la lista de secciones aceptadas por Google. Para Google, el camino es la sección US National, en la que el rechazo de la venta, el uso compartido o la publicidad dirigida activa el RDP.

En la práctica

Qué se puede y qué no en Delaware

Ejemplos para un sitio con tráfico de Delaware que monetiza con anuncios programáticos.

Sí se puede

  • Mostrar anuncios contextuales a quien rechazó o llegó con el GPC activado
  • Usar el mensaje de normativas estatales de Google para ofrecer el enlace de opt-out
  • Aplicar el mismo trato de GPC a todo el tráfico de EE. UU., para simplificar
  • Usar la sección US National del GPP para avisar a Google del opt-out
  • Mantener un único aviso de privacidad para EE. UU., siempre que incluya el correo de contacto y todo lo que pide Delaware

No se puede

  • Ignorar el GPC y seguir solicitando anuncios personalizados para ese visitante
  • Creer que tu asociación u ONG está fuera solo por no tener fines de lucro
  • Usar datos de adolescentes de 13 a 17 años para anuncios dirigidos sin consentimiento
  • Publicar una política de privacidad sin correo ni formulario de contacto activo
  • Contar con un plazo automático de 60 días para corregir: terminó en 2025

Errores comunes

Dónde tropiezan los sitios con la DPDPA

El umbral bajo hace que Delaware alcance a sitios que nunca pensaron en las leyes estatales de EE. UU.

Subestimar el volumen

El sitio cuenta solo los usuarios registrados. Pero las cookies y los identificadores de anuncios de visitantes anónimos también son datos personales y entran en la cuenta de los 35 mil.

GPC ignorado

La CMP no lee el GPC o solo lo lee para California. Desde 2026, Delaware también exige que se respete la señal.

Opt-out que no cambia los anuncios

El visitante rechaza, pero las solicitudes de anuncios siguen sin el RDP y sin el opt-out en la cadena GPP.

Política sin lista de terceros

La página de privacidad no dice qué categorías de terceros, como redes de anuncios y socios de medición, reciben los datos.

Sección estatal que Google no lee

La CMP envía solo la sección de Delaware en el GPP y deja fuera la US National. Google no recibe el opt-out.

Olvidar 2027

La empresa queda por debajo de 35 mil consumidores y se relaja, pero con los nuevos umbrales de 2027 pasa a estar dentro de la ley.

En ConsentMode

Qué revisa la auditoría para Delaware

  • Abre el sitio como visitante de Estados Unidos y busca el enlace de opt-out en el pie de página, en el menú y en el mensaje de privacidad.
  • Activa la señal GPC en el navegador de la auditoría y compara la página y las solicitudes de anuncios con la señal y sin ella.
  • Lee la cadena GPP, comprueba si existe la sección US National y registra el opt-out.
  • Identifica la CMP o el mensaje de Google por el código de la página.
  • Comprueba si la página de privacidad incluye categorías de datos, finalidades, terceros, derechos, apelación y correo de contacto.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes

¿Cómo sé si supero los 35 mil consumidores de Delaware?

Mira el informe de geografía de Analytics o de Ad Manager y cuenta los visitantes únicos de Delaware del año calendario anterior. Como las cookies y los identificadores de anuncios son datos personales, los visitantes anónimos también cuentan. Los datos usados solo para pagos quedan fuera.

Mi entidad no tiene fines de lucro. ¿Estoy fuera?

No necesariamente. En Delaware, las entidades sin fines de lucro deben cumplir la ley si superan los umbrales. La única excepción de este tipo es para las entidades dedicadas a combatir el fraude de seguros.

¿Estoy obligado a respetar el GPC?

Sí, si la ley se aplica a tu sitio. Desde el 1 de enero de 2026, debe aceptarse el opt-out de venta y de publicidad dirigida enviado mediante una señal de preferencia.

¿Qué cambia en 2027?

La HB 380 baja los umbrales a 10 mil consumidores, o 5 mil si más del 20% de los ingresos viene de la venta de datos, amplía la lista de datos sensibles y da al consumidor el derecho de saber qué terceros específicos recibieron los datos.

¿Necesito un banner de cookies para Delaware?

La ley funciona con el modelo de opt-out, por lo que no exige pedir consentimiento antes de los anuncios comunes. La excepción son los datos sensibles y los adolescentes de 13 a 17 años, que sí exigen consentimiento.

¿ConsentMode deja mi sitio en cumplimiento?

ConsentMode no es una CMP ni un despacho de abogados. La auditoría muestra lo que el sitio realmente hace con el enlace de opt-out, el GPC, el GPP y la página de privacidad, para que lo corrijas con tu proveedor y tu abogado.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Comprueba si tu sitio respeta el GPC en Delaware

La auditoría abre el sitio como visitante de EE. UU., con y sin GPC, y muestra qué corregir, sin modificar nada.

Comenzar la auditoría