Abrir espacio

Guía · Ley estatal de EE. UU.

ICDPA: la ley de privacidad de Iowa, la más compacta de EE. UU.

La Iowa Consumer Data Protection Act rige desde el 1 de enero de 2025 y es conocida por dar menos derechos que las otras leyes estatales. En esta guía entenderás quién debe cumplir, qué puede pedir el visitante, cómo queda la publicidad dirigida y qué cambia para un sitio con AdSense o Ad Manager.

Auditar mi sitio para EE. UU.Leer la guía
  • ✓Basado en el capítulo 715D del Código de Iowa
  • ✓Ejemplos prácticos para sitios con anuncios
  • ✓Auditoría de solo lectura, sin modificar el sitio
100 milconsumidores de Iowa por año: el límite principal de la ley
90 díaspara responder a las solicitudes, el plazo más largo entre las leyes estatales
90 díaspara corregir la falla después del aviso del fiscal general
US$ 7.500de multa civil máxima por infracción

Qué es

Una ley de privacidad con el mínimo de obligaciones

La Iowa Consumer Data Protection Act, o ICDPA, es la ley general de privacidad de Iowa. Se sancionó en 2023, está en el capítulo 715D del Código de Iowa y entró en vigor el 1 de enero de 2025.

La ley sigue el modelo de Virginia, pero recortó varias piezas. No hay derecho a corregir datos. No hay exigencia de evaluación de protección de datos. No hay obligación de aceptar señales universales de opt-out. Y los datos sensibles funcionan con el modelo de aviso y rechazo, no de consentimiento previo.

Eso no significa que la ley sea inofensiva para los sitios con anuncios. Quien supera los límites debe decir, de forma clara y visible, si vende datos o hace publicidad dirigida, y debe explicar cómo puede el visitante rechazar esas actividades.

Para quienes tienen visitantes de varios estados, Iowa rara vez es el estado más exigente. Pero conviene conocer las diferencias para no prometer en la página de privacidad derechos que tu proceso no cumple, ni olvidar lo que la ley realmente pide.

Lista de verificación

Lo que debes cumplir

Si el sitio supera los límites de la ICDPA, esta es la lista básica. Iowa pide menos que otros estados.

  1. Decir que hay venta o publicidad dirigida

    Quien vende datos o hace publicidad dirigida tiene que decirlo de forma clara y visible y explicar cómo rechaza el visitante.

    Ejemplo

    Enlace en el pie de página: Do Not Sell or Share My Personal Information, que lleve a una pantalla de rechazo.

  2. Publicar un aviso de privacidad completo

    El aviso tiene que ser claro y fácil de encontrar. Lista los datos tratados, las finalidades, los derechos, cómo apelar, los datos compartidos y las categorías de terceros.

    Ejemplo

    Incluye en el aviso los canales para solicitudes, como un formulario y un correo electrónico.

  3. Avisar antes de usar datos sensibles

    Iowa no pide consentimiento para datos sensibles. Pide un aviso claro y la posibilidad de rechazar antes del uso. Los datos sensibles de niños siguen la COPPA.

    Ejemplo

    Antes de usar la ubicación precisa, muestra un aviso con la opción No usar mi ubicación.

  4. Responder solicitudes en un máximo de 90 días

    Responde en un máximo de 90 días, con una prórroga de otros 45 si avisas el motivo. No exijas una cuenta nueva para la solicitud.

  5. Tener un proceso de apelación

    Quien vio negada su solicitud puede apelar. Responde la apelación por escrito en un máximo de 60 días y, si la niegas, indica un camino en línea para hablar con el fiscal general.

  6. Mantener la seguridad de los datos

    La ley pide prácticas razonables de seguridad administrativa, técnica y física para los datos personales.

  7. Llevar el rechazo hasta Google

    Google no exige una CMP para los estados de EE. UU. Usa el mensaje de reglamentos estatales de EE. UU., en Privacidad y mensajes, o activa el procesamiento restringido de datos, el RDP, en la etiqueta para quien rechazó. Con GPP, Google lee la sección US National para Iowa.

    Ejemplo

    AdSense o Ad Manager: Privacidad y mensajes, tarjeta Reglamentos estatales de EE. UU., Crear. Después elige los sitios y publica.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni GPP para las leyes estatales de EE. UU. Puedes usar el mensaje del propio Google o activar el RDP en la etiqueta.

Quién debe cumplir y definiciones

Los límites de la ICDPA y las palabras clave de la ley

La ley rige para quienes hacen negocios en Iowa u ofrecen productos y servicios dirigidos a los residentes del estado y, en un año calendario, superan uno de los dos límites siguientes. Consumidor es el residente de Iowa que actúa como persona física, fuera de un contexto comercial o laboral. Las definiciones están en la sección 715D.1.

100 mil consumidores

Controla o trata datos personales de al menos 100 mil consumidores de Iowa.

25 mil y venta de datos

Controla o trata datos de al menos 25 mil consumidores y obtiene más del 50% de los ingresos brutos de la venta de datos personales.

Dato personal

Información vinculada, o que pueda vincularse razonablemente, a una persona física identificada o identificable. Los datos desidentificados, agregados y públicos quedan fuera.

Dato sensible

Origen racial o étnico, creencia religiosa, diagnóstico de salud, orientación sexual, situación migratoria, datos genéticos o biométricos que identifican a la persona, datos de un menor conocido y geolocalización precisa.

Venta

Solo el intercambio de datos personales por dinero con un tercero. Otras contraprestaciones de valor no cuentan, y las transferencias a encargados, a empresas del mismo grupo o a pedido del consumidor quedan fuera.

Publicidad dirigida

Anuncio elegido con datos de la actividad del visitante a lo largo del tiempo en sitios y apps de otras empresas. Los anuncios contextuales, los anuncios propios y la medición del rendimiento quedan fuera.

Derechos de las personas

Lo que puede pedir el residente de Iowa, y lo que no

La lista de derechos de Iowa es la más corta entre las leyes estatales. La respuesta puede tardar hasta 90 días, con una prórroga de 45 días más si es necesaria y se avisa dentro del plazo inicial. Dos solicitudes por año son gratuitas.

Confirmar y acceder

Saber si la empresa trata sus datos y tener acceso a ellos.

Eliminar lo que proporcionó

Pedir la eliminación de los datos que el propio consumidor proporcionó. Los datos obtenidos de otras fuentes no están en el texto de ese derecho.

Portabilidad

Recibir una copia de los datos que proporcionó, en un formato portátil, cuando el tratamiento sea automatizado.

Rechazar la venta

Pedir que los datos no se vendan. Es el único derecho de rechazo que aparece en la lista de derechos de la ley.

Sin derecho de corrección

Iowa no da al consumidor el derecho de pedir la corrección de datos erróneos, a diferencia de la mayoría de los estados.

Apelación

Si la solicitud se niega, el consumidor puede apelar. La empresa responde por escrito en un máximo de 60 días y, si niega de nuevo, indica cómo reclamar ante el fiscal general.

Publicidad dirigida

No está en la lista de derechos, pero el opt-out debe existir

Una duda común sobre Iowa es si el visitante puede rechazar la publicidad dirigida. La lista de derechos de la sección 715D.3 incluye solo el rechazo de la venta de datos. No hay un derecho separado de rechazar los anuncios dirigidos, como existe en Virginia o Colorado.

Pero la sección 715D.4 crea un deber para la empresa: quien vende datos personales a terceros o hace publicidad dirigida debe divulgarlo de forma clara y visible, y también la manera en que el consumidor puede rechazar esa actividad. En la práctica, el sitio cubierto debe mostrar el camino de opt-out para los anuncios dirigidos.

Los datos sensibles siguen la misma lógica de aviso y rechazo. Antes de tratar datos sensibles para una finalidad no exenta, la empresa debe dar un aviso claro y la oportunidad de rechazar. Los datos de niños conocidos siguen la ley federal COPPA.

Por eso, la configuración práctica de un sitio con anuncios queda parecida a la de otros estados: enlace de opt-out visible, página de privacidad que explique el uso de datos para anuncios y un rechazo que realmente desactive la personalización.

Obligaciones del sitio

Lo que la empresa cubierta debe tener funcionando

  1. Aviso de privacidadEl aviso debe incluir las categorías de datos tratados, la finalidad, cómo ejercer los derechos y apelar, las categorías de datos compartidos con terceros y las categorías de esos terceros.
  2. Informar sobre la venta y los anuncios dirigidosSi el sitio vende datos o hace publicidad dirigida, debe decirlo de forma clara y visible y explicar cómo puede rechazarlo el visitante.
  3. Canal seguro para solicitudesLa empresa debe ofrecer uno o más medios seguros y confiables para las solicitudes, sin exigir que el consumidor cree una cuenta nueva.
  4. Aviso antes de los datos sensiblesTratar datos sensibles exige un aviso claro y la oportunidad de rechazar, y los datos de niños siguen la COPPA.
  5. Seguridad y no discriminaciónLa empresa debe mantener prácticas de seguridad razonables y no puede tratar peor a quien ejerce sus derechos.
  6. Contratos con encargadosLos proveedores que tratan datos en nombre de la empresa siguen sus instrucciones, bajo un contrato con las reglas del tratamiento.

Supervisión y multas

El plazo de corrección más largo del país

Solo el fiscal general de Iowa puede fiscalizar la ley. El consumidor no puede demandar a la empresa con base en ella.

90 días para corregir

Antes de cualquier acción, el fiscal general envía un aviso por escrito que señala las infracciones. La empresa tiene 90 días para corregir.

Declaración por escrito

Para cerrar el caso, la empresa debe corregir y declarar por escrito que corrigió y que la falla no se repetirá.

Hasta US$ 7.500 por infracción

Si la falla continúa, el fiscal general puede pedir una orden judicial y una multa civil de hasta US$ 7.500 por infracción.

Investigación

El fiscal general puede exigir documentos e información a la empresa durante la investigación.

Cronología

Las fechas de la ICDPA

Iowa dio casi dos años de preparación entre la sanción y la entrada en vigor.

  1. 2023

    Sanción

    Iowa se convierte en uno de los primeros estados, después de California, Virginia, Colorado, Utah y Connecticut, en aprobar una ley general de privacidad.

  2. 1 de enero de 2025

    Entrada en vigor

    La ley empieza a regir, con la fiscalización exclusiva del fiscal general.

  3. Septiembre de 2025

    Google actualiza el GPP

    Google pasa a aceptar la versión 2 de la sección US National de la GPP, el camino que lee para el opt-out de estados como Iowa.

Sitios con AdSense y Ad Manager

Cómo llega el opt-out de Iowa a Google

Iowa no obliga al sitio a reconocer señales universales de opt-out, como el Global Privacy Control, o GPC. Aun así, respetar el GPC para todo el tráfico de EE. UU. es una buena práctica, porque varios estados lo exigen y porque simplifica la configuración de la CMP.

Google ofrece en AdSense y en Ad Manager un mensaje de reglamentos estatales de EE. UU., en Privacidad y mensajes, y Iowa está entre los estados atendidos. El mensaje muestra el enlace Do Not Sell or Share. Cuando el visitante rechaza, Google activa el procesamiento restringido de datos, llamado RDP, y deja de usar el comportamiento anterior para elegir anuncios.

Existe una sección específica de Iowa en la GPP de IAB Tech Lab, pero no está en la lista de secciones aceptadas por Google. Para Google, el camino es la sección US National: el rechazo de la venta, el uso compartido o la publicidad dirigida en esa sección activa el RDP.

Otra opción es activar el RDP en la propia etiqueta, con el parámetro restrictDataProcessing de GPT o el atributo data-restrict-data-processing de AdSense, solo para quienes pidieron el opt-out. La prueba final es siempre la misma: la solicitud de anuncio debe cambiar después del rechazo.

En la práctica

Qué se puede y qué no se puede en Iowa

Ejemplos para una empresa que supera los límites de la ley y monetiza con anuncios programáticos.

Sí se puede

  • Mostrar anuncios contextuales a quien rechazó la venta o la publicidad dirigida
  • Usar el mensaje de normativas estatales de Google para ofrecer el enlace de opt-out
  • Responder solicitudes en un máximo de 90 días, avisando antes si necesitas 45 más
  • Cobrar por solicitudes repetitivas o claramente infundadas, demostrando que son abusivas
  • Aplicar la misma política de opt-out y GPC a todo el tráfico de EE. UU.

No se puede

  • Hacer publicidad dirigida sin decirlo en la página de privacidad y sin explicar cómo rechazar
  • Exigir la creación de una cuenta para que el visitante pida acceso o eliminación
  • Tratar datos sensibles sin un aviso claro y sin oportunidad de rechazo
  • Ignorar la apelación de un consumidor al que se le negó la solicitud
  • Prometer en la política derechos que Iowa no da y que tu proceso no cumple

Errores comunes

Dónde tropiezan los sitios con la ley de Iowa

La ley más compacta también tiene trampas, sobre todo para quien lee solo la lista de derechos.

Creer que no hay opt-out de anuncios

Como el derecho no aparece en la lista, el sitio no ofrece rechazo de la publicidad dirigida. Pero el deber de divulgar y explicar cómo rechazar existe.

Política sin anuncios dirigidos

La página de privacidad habla de cookies en general, pero no dice que los datos se usan para publicidad dirigida.

Mensaje solo para California

El mensaje de opt-out de Google se configuró solo para California, y el tráfico de Iowa nunca ve el enlace.

Sección de Iowa sola en la GPP

La CMP envía solo la sección estatal de Iowa, que Google no lee. Sin la US National, el opt-out no llega a los anuncios de Google.

Enlace de opt-out que no cambia nada

El visitante hace clic, pero las solicitudes de anuncio siguen igual, sin RDP y sin opt-out en la GPP.

Contar mal el volumen

El sitio considera solo a los registrados. Las cookies y los identificadores de anuncios también identifican personas y entran en el conteo.

En ConsentMode

Qué revisa la auditoría para Iowa

  • Abre el sitio como visitante de Estados Unidos y busca el enlace de opt-out en el pie de página, en el menú y en el mensaje de privacidad.
  • Identifica la CMP o el mensaje de normativas estatales de Google por el código de la página.
  • Lee la cadena GPP y comprueba si la sección US National existe y registra el opt-out después del clic.
  • Activa la señal GPC en el navegador de la auditoría y muestra si la página y las solicitudes de anuncio reaccionan.
  • Comprueba si la página de privacidad dice que hay publicidad dirigida o venta de datos y explica cómo rechazar.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes

¿En Iowa el visitante puede rechazar la publicidad dirigida?

La lista de derechos de Iowa incluye solo el rechazo de la venta. Pero la ley exige que quien hace publicidad dirigida lo divulgue de forma clara y explique cómo puede el consumidor rechazar esa actividad. En la práctica, el sitio cubierto debe ofrecer ese camino.

¿Iowa exige que respete el GPC?

No. La ley no prevé señales universales de opt-out. Pero otros estados sí lo exigen, y la mayoría de las CMP trata el GPC para todo el tráfico de EE. UU.

¿Necesito hacer una evaluación de protección de datos para Iowa?

No. La ley de Iowa no exige evaluaciones de protección de datos. Si estás en otros estados que sí las exigen, la evaluación hecha para ellos sigue siendo necesaria.

¿Cuánto tiempo tengo para responder una solicitud?

Hasta 90 días, con una prórroga de 45 días más si es necesaria y se avisa dentro del plazo inicial. Dos solicitudes por año de cada consumidor deben ser gratuitas.

¿Iowa exige un banner de consentimiento?

No. La ley usa el modelo de opt-out incluso para los datos sensibles, con aviso y oportunidad de rechazo. Para los niños, rige la ley federal COPPA.

¿ConsentMode resuelve el cumplimiento con Iowa?

ConsentMode no es una CMP ni un estudio jurídico. La auditoría muestra lo que el sitio hace de verdad con el enlace de opt-out, la GPP y la página de privacidad, para que lo corrijas con tu proveedor y tu abogado.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Comprueba si el opt-out de tu sitio funciona para Iowa

La auditoría abre el sitio como visitante de EE. UU. y muestra qué corregir, sin modificar nada.

Comenzar la auditoría