Abrir espacio

Guía · Ley estatal de EE. UU.

Florida Digital Bill of Rights explicada para quienes viven de los anuncios

La ley de privacidad de Florida rige desde el 1 de julio de 2024, pero la mayoría de sus reglas solo alcanza a empresas gigantes. En esta guía entenderás ese alcance estrecho, la regla de datos sensibles que se aplica a muchas más empresas y qué hace Google con el opt-out de quienes visitan tu sitio desde Florida.

Auditar mi sitio para EE. UU.Leer la guía
  • ✓Basado en el texto de las Florida Statutes, secciones 501.701 a 501.722
  • ✓Ejemplos prácticos para sitios con anuncios
  • ✓Auditoría de solo lectura, sin modificar el sitio
US$ 1.000 millonesde ingresos brutos anuales globales: el límite para ser controlador según la ley
50%o más de los ingresos provenientes de la venta de anuncios en línea: una de las tres puertas de entrada
US$ 50 milde multa civil máxima por infracción, que puede triplicarse en ciertos casos
45 díaspara responder a las solicitudes de los consumidores, con una prórroga de 15 días

Qué es

Una ley de privacidad hecha para las mayores empresas de tecnología

El Florida Digital Bill of Rights, o FDBR, es la ley de privacidad de Florida. Fue sancionada el 6 de junio de 2023 y entró en vigor el 1 de julio de 2024. La ley está en la parte V del capítulo 501 de las Florida Statutes, en las secciones 501.701 a 501.722.

Los derechos que se dan al consumidor son parecidos a los de otros estados: acceso, rectificación, eliminación, portabilidad y rechazo de la publicidad dirigida, de la venta y de la elaboración automatizada de perfiles. Florida añade derechos propios, como rechazar la recopilación de datos por reconocimiento de voz o de rostro.

Lo que hace diferente a la ley es su alcance. La mayoría de las obligaciones solo rige para controladores con ingresos globales superiores a US$ 1.000 millones que además encajen en uno de tres perfiles muy específicos. En la práctica, apunta a grandes plataformas de anuncios, asistentes de voz y tiendas de aplicaciones.

Aun así, un sitio pequeño no debe ignorar la ley. Una regla sobre la venta de datos sensibles se aplica a cualquier empresa con fines de lucro que hace negocios en Florida y recopila datos. Y los socios de anuncios que reciben datos de tu sitio pueden estar dentro de la ley.

Lista de verificación

Lo que debes cumplir

La mayor parte de la ley solo vale para responsables gigantes, pero la regla de los datos sensibles alcanza a muchos más sitios.

  1. No vender datos sensibles sin consentimiento

    La regla vale para una empresa con fines de lucro que hace negocios en Florida y recopila datos, sin el límite de US$ 1000 millones. La venta de datos sensibles exige consentimiento previo.

    Ejemplo

    Antes de pasar datos de salud a un socio, pide permiso con las opciones Permitir y No permitir.

  2. Publicar la frase exacta si vendes datos sensibles

    Quien vende datos sensibles tiene que publicar un aviso con texto fijo, en inglés.

    Ejemplo

    NOTICE: This website may sell your sensitive personal data.

  3. Cuidar los datos sensibles de menores

    Si el dato sensible es de un menor conocido de entre 13 y 18 años, la venta exige su autorización. Por debajo de los 13 años, rige la ley federal COPPA, con consentimiento de los padres.

  4. Si eres responsable: aviso revisado cada año

    El aviso tiene que ser claro y listar datos, finalidades, terceros, derechos, apelación y canales de solicitud. Debe actualizarse al menos una vez al año.

  5. Si eres responsable: frase para datos biométricos

    Quien vende datos biométricos también publica un aviso con texto fijo, en inglés.

    Ejemplo

    NOTICE: This website may sell your biometric personal data.

  6. Si eres responsable: decir cómo rechazar

    Quien vende datos o hace publicidad dirigida tiene que decirlo de forma clara y visible y explicar cómo rechazar.

    Ejemplo

    Enlace en el pie de página: Do Not Sell or Share My Personal Information.

  7. Llevar el rechazo hasta Google

    Google no exige una CMP para los estados de EE. UU. Usa el mensaje de reglamentos estatales de EE. UU., en Privacidad y mensajes, o activa el procesamiento restringido de datos, el RDP, en la etiqueta para quien rechazó. Florida tiene una sección propia en el GPP, y Google acepta esa sección.

    Ejemplo

    AdSense o Ad Manager: Privacidad y mensajes, tarjeta Reglamentos estatales de EE. UU., Crear. Después elige los sitios y publica.

    <!-- Só para o visitante que recusou -->
<ins class="adsbygoogle"
  data-ad-client="ca-pub-0000000000000000"
  data-ad-slot="0000000000"
  data-restrict-data-processing="1"></ins>

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni GPP para las leyes estatales de EE. UU. Puedes usar el mensaje del propio Google o activar el RDP en la etiqueta. Florida es uno de los pocos estados con una sección propia en el GPP aceptada por Google.

Quién debe cumplirla

El alcance estrecho del controlador en Florida

Para ser controlador, la empresa debe tener fines de lucro, hacer negocios en Florida, recopilar datos de consumidores, decidir cómo se usan esos datos, tener ingresos globales superiores a US$ 1.000 millones y encajar en al menos uno de los perfiles siguientes.

Ingresos provenientes de anuncios

La mitad o más de los ingresos brutos anuales globales proviene de la venta de anuncios en línea, incluida la publicidad dirigida.

Asistente de voz

Opera un altavoz inteligente o un servicio de comando de voz con asistente virtual conectado a la nube y activado sin las manos. Los sistemas de fabricantes de vehículos quedan fuera.

Tienda de aplicaciones

Opera una tienda de aplicaciones o plataforma de distribución digital con al menos 250 mil aplicaciones diferentes.

Empresas vinculadas

Las empresas que controlan a un controlador, o son controladas por él, también entran en la definición.

La regla de datos sensibles vale para más gente

La prohibición de vender datos sensibles sin consentimiento alcanza a cualquier empresa con fines de lucro que haga negocios en Florida y recopile datos, sin el límite de US$ 1.000 millones.

Quién es consumidor

Residente o domiciliado en Florida que actúa como persona física o en un contexto doméstico. Quien actúa en un contexto comercial o laboral queda fuera.

Definiciones

Las palabras de la ley, en lenguaje de quien tiene un sitio

Las definiciones están en la sección 501.702 y siguen de cerca el modelo de las otras leyes estatales.

Dato personal

Cualquier información vinculada, o que pueda vincularse razonablemente, a una persona identificada o identificable, incluidos los datos seudónimos cuando pueden vincularse a la persona con información adicional. Los datos desidentificados y los públicos quedan fuera.

Dato sensible

Origen racial o étnico, creencia religiosa, diagnóstico de salud, orientación sexual, situación migratoria, datos genéticos o biométricos que identifican a la persona, datos de un menor conocido y geolocalización precisa.

Venta

Compartir, divulgar o transferir datos personales a un tercero a cambio de dinero o de otra contraprestación de valor. Las transferencias a encargados y las hechas a pedido del consumidor quedan fuera.

Publicidad dirigida

Anuncio elegido con base en la actividad del consumidor a lo largo del tiempo en varios sitios y apps. El anuncio según el contexto de una búsqueda en el propio sitio no entra.

Derechos de las personas

Lo que puede pedir el consumidor de Florida

El controlador responde en un máximo de 45 días y puede prorrogar una vez por 15 días más, avisando al consumidor dentro del plazo inicial. También debe ofrecer una vía de apelación.

Acceder

Saber si la empresa trata sus datos y ver esos datos.

Corregir y eliminar

Corregir datos erróneos y pedir la eliminación de una parte o de todos los datos personales.

Portabilidad

Recibir una copia de los datos en un formato que pueda usarse en otro servicio, cuando sea viable.

Rechazar anuncios dirigidos, venta y perfiles

Rechazar la publicidad dirigida, la venta de los datos y los perfiles que lleven a decisiones con efectos legales o similares.

Rechazar datos sensibles

Rechazar la recopilación o el tratamiento de datos sensibles, incluida la geolocalización precisa.

Rechazar voz y rostro

Rechazar la recopilación de datos mediante funciones de reconocimiento de voz o de reconocimiento facial.

Obligaciones

Lo que el controlador debe tener funcionando

  1. Aviso de privacidad revisado cada añoEl aviso debe ser accesible y claro, y enumerar las categorías de datos tratados, incluidos los sensibles, la finalidad, cómo ejercer los derechos y apelar, las categorías de datos compartidos, las categorías de terceros y los canales para enviar solicitudes. Debe actualizarse al menos una vez al año.
  2. Avisos estandarizados de ventaQuien vende datos sensibles debe publicar el aviso NOTICE: This website may sell your sensitive personal data. Quien vende datos biométricos debe publicar NOTICE: This website may sell your biometric personal data.
  3. Divulgación de venta y de anuncios dirigidosSi el controlador vende datos o hace publicidad dirigida, debe decirlo de forma clara y visible y explicar cómo puede rechazarlo el consumidor.
  4. Evaluación de protección de datosLa ley exige evaluaciones registradas para los tratamientos de mayor riesgo, como la publicidad dirigida, la venta de datos, los perfiles y los datos sensibles.
  5. Contrato con encargadosLos proveedores que tratan datos en nombre del controlador siguen sus instrucciones y necesitan un contrato con las reglas del tratamiento.
  6. Consentimiento para datos sensiblesNinguna empresa cubierta por la regla puede vender datos sensibles sin el consentimiento previo del consumidor. Para los niños, rigen reglas propias y la ley federal COPPA.

Supervisión y multas

Las multas más altas entre las leyes estatales

Quien fiscaliza es el Department of Legal Affairs, vinculado al fiscal general de Florida. La ley dice de forma expresa que no crea una acción privada para el consumidor.

Hasta US$ 50 mil por infracción

El valor máximo de la multa civil es de US$ 50 mil por infracción, además de otras medidas previstas en la ley de prácticas comerciales de Florida.

Multa triplicada

El valor puede triplicarse cuando involucra a un niño conocido, cuando la empresa no borra o corrige datos tras una solicitud válida, o cuando sigue vendiendo datos después del opt-out.

45 días para corregir, si el organismo quiere

El organismo puede dar 45 días a la empresa para corregir la falla, pero es una decisión suya, no un derecho de la empresa. Las infracciones que involucran a niños no tienen este plazo.

Informe público anual

Cada año, hasta el 1 de febrero, el organismo publica un informe con las reclamaciones, acciones y multas aplicadas y recibidas.

Cronología

Las fechas del FDBR

La ley tuvo un año de preparación entre la sanción y la entrada en vigor.

  1. 6 de junio de 2023

    Sanción

    El gobernador aprueba el proyecto SB 262, que crea el Florida Digital Bill of Rights.

  2. 1 de julio de 2024

    Entrada en vigor

    La ley comienza a regir. Los controladores deben responder solicitudes, ofrecer opt-out y publicar el aviso de privacidad.

  3. Cada 1 de febrero

    Informe de fiscalización

    El Department of Legal Affairs publica en su sitio el balance anual de reclamaciones, acciones y multas.

  4. Septiembre de 2025

    Google actualiza el GPP

    Google pasa a aceptar la versión 2 de la sección US National de la GPP, y mantiene también la sección específica de Florida entre las aceptadas.

Sitios con AdSense y Ad Manager

Cómo llega el opt-out de Florida a Google

El FDBR no obliga al sitio a reconocer señales universales de opt-out, como el Global Privacy Control, o GPC. El visitante debe usar la vía que ofrece el sitio. Aun así, respetar el GPC es una buena práctica y vale para los estados donde es obligatorio.

Google ofrece un mensaje de reglamentos estatales de EE. UU. en AdSense y en Ad Manager, en Privacidad y mensajes. Florida está en la lista de estados atendidos. El mensaje muestra el enlace Do Not Sell or Share, y el rechazo del visitante activa el procesamiento restringido de datos, llamado RDP, que impide los anuncios basados en el comportamiento anterior.

Para quienes usan una CMP propia, Florida es uno de los pocos estados con sección propia en la GPP que Google acepta. En esa sección, el rechazo de la venta o de la publicidad dirigida activa el RDP. La sección US National también se acepta y funciona igual para la venta, el uso compartido y la publicidad dirigida.

Existe además la vía por la propia etiqueta: el parámetro restrictDataProcessing de GPT o el atributo data-restrict-data-processing de AdSense, usados solo para quienes pidieron el opt-out. Sea cual sea la vía, la prueba es la misma: la solicitud de anuncio debe cambiar después del rechazo.

En la práctica

Qué se puede y qué no se puede en Florida

Ejemplos para un sitio que recibe visitantes de Florida y se monetiza con anuncios programáticos.

Sí se puede

  • Mostrar anuncios contextuales a quien rechazó la publicidad dirigida
  • Usar la sección de Florida o la sección US National de la GPP para avisar a Google del opt-out
  • Usar el mensaje de normativas estatales de Google para ofrecer el enlace de opt-out
  • Mantener un único aviso de privacidad para EE. UU., siempre que incluya lo que pide Florida
  • Revisar y actualizar la página de privacidad al menos una vez al año

No se puede

  • Vender datos sensibles, como la geolocalización precisa, sin consentimiento previo, aunque sea una empresa pequeña
  • Vender datos sensibles sin publicar el aviso estandarizado que exige la ley
  • Seguir vendiendo o compartiendo datos después del opt-out, el caso que puede triplicar la multa
  • Dejar el enlace de opt-out escondido en una página que nadie encuentra
  • Suponer que el socio de anuncios está fuera de la ley solo porque tu sitio es pequeño

Errores comunes

Dónde tropiezan los sitios con la ley de Florida

El alcance estrecho de la ley hace que mucha gente crea que no necesita hacer nada. Estos son los descuidos más comunes.

Ignorar la regla de los datos sensibles

El sitio usa un SDK o script que recopila geolocalización precisa y la pasa a socios. Esa venta exige consentimiento, incluso sin el límite de US$ 1.000 millones.

Política de privacidad estancada

La página de privacidad no cambia desde hace años. La ley pide una actualización al menos anual a quien es controlador.

Mensaje sin Florida

El mensaje de opt-out de Google se activó solo para California, y el tráfico de Florida nunca ve el enlace.

Sección estatal equivocada en la GPP

La CMP envía una sección que Google no acepta y deja fuera la de Florida y la US National. El opt-out no llega a los anuncios.

Opt-out que no detiene la venta

El visitante hace clic, pero las solicitudes de anuncio siguen con datos de personalización. En Florida, esto puede triplicar la multa.

Olvidar a los menores de edad

Las infracciones que involucran a un niño conocido no tienen plazo de corrección y pueden tener una multa triplicada.

En ConsentMode

Qué revisa la auditoría para Florida

  • Abre el sitio como visitante de Estados Unidos y busca el enlace de opt-out en el pie de página, en el menú y en el mensaje de privacidad.
  • Identifica la CMP o el mensaje de normativas estatales de Google por el código de la página.
  • Lee la cadena GPP e indica si incluye la sección de Florida o la sección US National, y si cambia después del opt-out.
  • Activa la señal GPC en el navegador de la auditoría y muestra si la página y las solicitudes de anuncio reaccionan.
  • Comprueba si la página de privacidad menciona la venta, la publicidad dirigida, los derechos, la apelación y los avisos de venta de datos sensibles cuando corresponda.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes

Mi sitio es pequeño. ¿Me afecta la ley de Florida?

La mayoría de las obligaciones no, porque el controlador debe tener ingresos globales superiores a US$ 1.000 millones y encajar en uno de los tres perfiles de la ley. Pero la regla que prohíbe vender datos sensibles sin consentimiento se aplica a cualquier empresa con fines de lucro que haga negocios en Florida y recopile datos.

Entonces, ¿por qué preocuparme por el opt-out de Florida?

Porque los socios que compran y entregan anuncios en tu sitio pueden ser controladores según la ley, y porque otros estados con límites más bajos pueden alcanzar a tu negocio. Ofrecer el opt-out a todo el tráfico de EE. UU. simplifica la operación.

¿Florida exige que respete el GPC?

No. La ley no prevé señales universales de opt-out. Aun así, muchas CMP tratan el GPC en todos los estados, lo que ayuda con las leyes que sí lo exigen.

¿Google lee la sección de Florida en la GPP?

Sí. Florida está en la lista de secciones aceptadas por Google, junto con US National, California, Colorado, Connecticut y Virginia. El rechazo de la venta o de la publicidad dirigida en esa sección activa el procesamiento restringido de datos.

¿Qué es el aviso NOTICE que pide la ley?

Es un texto estandarizado en inglés que deben publicar quienes venden datos sensibles o biométricos. Avisa que el sitio puede vender ese tipo de datos. La mayoría de los sitios con anuncios no vende ese tipo de datos y no necesita el aviso.

¿ConsentMode hace que mi sitio cumpla la ley de Florida?

ConsentMode no es una CMP ni un estudio jurídico. La auditoría muestra, con capturas, lo que hace el sitio con el opt-out, la GPP y la página de privacidad, para que lo corrijas con tu proveedor y tu abogado.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Descubre si el opt-out de Florida llega a tus anuncios

La auditoría abre el sitio como visitante de EE. UU. y muestra qué corregir, sin modificar nada.

Comenzar la auditoría