Abrir espacio

Guía · Ley estatal de EE. UU.

MODPA: la ley de Maryland, la más estricta de EE. UU.

La Maryland Online Data Privacy Act rige desde el 1 de octubre de 2025 y se considera la ley estatal más estricta del país. En esta guía entenderás la minimización estricta de datos, la prohibición de vender datos sensibles, las reglas para menores de 18 años y qué cambia para un sitio con AdSense o Ad Manager.

Auditar mi sitio para EE. UU.Leer la guía
  • ✓Basado en el texto de la ley y en el sitio del fiscal general de Maryland
  • ✓Ejemplos prácticos para sitios con anuncios
  • ✓Auditoría de solo lectura, sin modificar el sitio
35 milconsumidores de Maryland por año: el límite principal de la ley
10 milconsumidores bastan si más del 20% de los ingresos brutos proviene de la venta de datos
US$ 10 milde multa máxima por infracción
US$ 25 milde multa máxima por infracción repetida

Qué es

Una ley que cambia la pregunta de puede rechazar a necesita recopilar

La Maryland Online Data Privacy Act, o MODPA, es la ley general de privacidad de Maryland. Se aprobó en 2024 y entró en vigor el 1 de octubre de 2025. La propia ley dice que no alcanza a las actividades de tratamiento de datos anteriores al 1 de abril de 2026, fecha a partir de la cual la fiscalización cobra fuerza.

Los derechos del visitante se parecen a los de otros estados: acceso, corrección, eliminación, portabilidad y rechazo de la publicidad dirigida, de la venta y de los perfiles. La diferencia está en las obligaciones de la empresa. En la mayoría de los estados, el sitio puede usar los datos hasta que el visitante rechace. En Maryland, la recopilación debe ser necesaria para el servicio que el visitante pidió.

La ley también prohíbe la venta de datos sensibles, sin excepción por consentimiento, y limita el tratamiento de esos datos a lo estrictamente necesario. Para los jóvenes menores de 18 años, la publicidad dirigida está prohibida cuando la empresa sabía o debía saber la edad.

Para un sitio con anuncios, Maryland es el estado que más exige una revisión. Los scripts de terceros, los datos que reciben y la forma en que los sitios de salud, finanzas o comunidad tratan la información sensible deben mirarse con cuidado.

Lista de verificación

Lo que debes cumplir

Si tu sitio supera los límites de la MODPA, estos puntos tienen que estar funcionando.

  1. Recopilar solo lo necesario

    La recopilación de datos tiene que ser razonablemente necesaria y proporcional al producto o servicio que pidió el visitante.

    Ejemplo

    Antes de instalar un script de anuncios, anota qué datos recibe y por qué el sitio los necesita.

  2. Nunca vender datos sensibles

    La venta de datos sensibles está prohibida. Recopilar o compartir esos datos solo vale cuando sea estrictamente necesario para el servicio pedido.

  3. Sin anuncios dirigidos a menores de 18

    Si sabías o debías saber que el visitante tiene de 13 a 17 años, no puedes usar sus datos para publicidad dirigida. Vender esos datos exige consentimiento.

  4. Respetar la señal universal de opt-out

    Desde el 1 de octubre de 2025, el visitante puede rechazar la publicidad dirigida con una señal de preferencia, como el GPC, y el sitio tiene que respetarla.

    Ejemplo

    Visitante con GPC activado: el sitio activa el procesamiento restringido de datos de Google solo para él.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  5. Decir de forma clara que hay anuncios dirigidos

    Si el sitio vende datos o hace publicidad dirigida, tiene que decirlo de forma clara y visible y explicar cómo rechazar.

    Ejemplo

    Usamos tus datos para anuncios dirigidos. Para rechazarlo, haz clic en Do Not Sell or Share My Personal Information.

  6. Política con las frases que Google exige

    AdSense exige que la política de privacidad avise sobre las cookies de anuncios de Google y de otros proveedores. También tiene que decir cómo rechaza el visitante los anuncios personalizados.

    Ejemplo

    Proveedores terceros, incluido Google, usan cookies para mostrar anuncios según visitas anteriores a tu sitio o a otros sitios. Puedes desactivar la publicidad personalizada en la Configuración de anuncios de Google.

  7. Canal seguro para solicitudes

    Ofrece un medio seguro y confiable para las solicitudes de derechos. No exijas que el visitante cree una cuenta nueva.

  8. Evaluación de riesgo

    Antes de tratamientos de alto riesgo, como publicidad dirigida, venta y datos sensibles, haz una evaluación. Cada algoritmo de riesgo también tiene que evaluarse.

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni GPP para Maryland, así que puedes usar el mensaje del propio Google o una CMP con GPP.

Quién debe cumplir y definiciones

Los límites de la MODPA y las palabras clave de la ley

La ley rige para quienes hacen negocios en Maryland u ofrecen productos y servicios dirigidos a los residentes del estado y, en el año calendario anterior, superaron uno de los límites siguientes. Las entidades sin fines de lucro no tienen una exención general, y los encargados que trabajan para empresas cubiertas también tienen deberes.

35 mil consumidores

Controló o trató datos de al menos 35 mil consumidores de Maryland. Los datos usados solo para completar un pago no cuentan.

10 mil y venta de datos

Controló o trató datos de al menos 10 mil consumidores y obtuvo más del 20% de sus ingresos brutos de la venta de datos personales.

Dato sensible

Origen racial o étnico, creencia religiosa, datos de salud del consumidor, vida y orientación sexual, condición de persona trans o no binaria, origen nacional, situación migratoria, datos genéticos o biométricos, datos de niños y geolocalización precisa.

Dato de salud del consumidor

Dato personal usado para identificar la condición de salud física o mental de la persona, incluidos los datos vinculados a la atención de afirmación de género y a la salud reproductiva o sexual.

Venta

El intercambio de datos personales por dinero o por otra contraprestación de valor. Las transferencias a encargados y las hechas a pedido del consumidor quedan fuera.

Publicidad dirigida

Anuncio elegido con datos obtenidos o deducidos de la actividad del visitante en sitios y apps de otras empresas. Los anuncios contextuales, los anuncios en el propio sitio y la medición del rendimiento no entran.

Minimización estricta

Solo lo necesario para lo que pidió el visitante

La regla central de la MODPA es la minimización. La empresa solo puede recopilar datos personales en la medida razonablemente necesaria y proporcional para ofrecer o mantener un producto o servicio específico que el consumidor pidió. No basta con informar la finalidad en la política de privacidad, como en otros estados.

Para los datos sensibles, el estándar sube. Recopilar, tratar o compartir datos sensibles solo se permite cuando es estrictamente necesario para ofrecer o mantener el producto o servicio pedido. Y vender datos sensibles está prohibido, incluso con consentimiento. El fiscal general de Maryland repite las dos reglas en su página sobre la ley.

Para los menores de 18 años, la ley prohíbe usar los datos para publicidad dirigida cuando la empresa sabía o debía saber la edad, y también restringe la venta de los datos de esos jóvenes. La prueba de debía saber es más amplia que la del conocimiento real usada en otros estados.

En la práctica, un sitio de salud que deja que los scripts de anuncios lean el tema de cada artículo y lo transmitan a socios, o un sitio de finanzas que transmite las respuestas de un simulador, debe reevaluar ese flujo. Los anuncios contextuales y la medición sin perfiles siguen siendo posibles.

Derechos de las personas

Lo que puede pedir el residente de Maryland

La respuesta debe salir en un máximo de 45 días, con una prórroga de 45 más si se avisa dentro del plazo inicial. La primera solicitud en cada período de 12 meses es gratuita, y la apelación requiere una respuesta por escrito en un máximo de 60 días.

Confirmar y acceder

Saber si la empresa trata sus datos y tener acceso a ellos.

Corregir y eliminar

Corregir datos erróneos y pedir la eliminación de los datos personales, con las excepciones de la ley.

Portabilidad

Recibir una copia portátil de los datos tratados de forma automatizada.

Lista de terceros

Recibir la lista de las categorías de terceros que recibieron sus datos, o los de todos los consumidores, si la empresa no registra por persona.

Rechazar anuncios dirigidos y venta

Pedir que los datos no se usen para publicidad dirigida y no se vendan, incluso mediante una señal universal como el GPC o por un agente autorizado.

Rechazar perfiles y retirar el consentimiento

Rechazar ciertos perfiles automatizados y retirar un consentimiento dado. Después de la retirada, la empresa tiene hasta 30 días para detenerse.

Obligaciones del sitio

Lo que el sitio cubierto debe tener funcionando

  1. Aviso de privacidad completoEl aviso debe incluir las categorías de datos tratados, incluidos los sensibles, las finalidades, cómo ejercer los derechos, apelar y retirar el consentimiento, las categorías de terceros y el tipo de negocio de cada uno, las categorías de datos compartidos y un correo electrónico activo u otro contacto en línea.
  2. Informar sobre la venta y los anuncios dirigidosSi el sitio vende datos, hace publicidad dirigida o ciertos perfiles, debe decirlo de forma clara y visible y explicar cómo rechazar.
  3. Aceptar la señal universalDesde el 1 de octubre de 2025, el opt-out de venta y de publicidad dirigida enviado por una señal de preferencia, como el GPC, debe aceptarse.
  4. Canal seguro para solicitudesLa empresa ofrece un medio seguro y confiable para las solicitudes y no puede exigir que el consumidor cree una cuenta nueva.
  5. Evaluación para cada algoritmoLos tratamientos de riesgo elevado, como la publicidad dirigida, la venta, los datos sensibles y ciertos perfiles, exigen una evaluación periódica. La ley pide también la evaluación de cada algoritmo usado. La regla rige para los tratamientos a partir del 1 de octubre de 2025.
  6. Contratos con encargadosLos proveedores que tratan datos necesitan un contrato con instrucciones, tipo de dato, duración, confidencialidad, seguridad, eliminación o devolución y cooperación en las evaluaciones.

Supervisión y multas

Quién supervisa y cuánto cuesta equivocarse

La ley es fiscalizada por la División de Protección al Consumidor del fiscal general de Maryland. La infracción se trata como una práctica comercial desleal, abusiva o engañosa según la ley de protección al consumidor del estado.

Hasta US$ 10 mil por infracción

La multa puede llegar a US$ 10 mil por infracción.

Hasta US$ 25 mil en la reincidencia

Las infracciones repetidas pueden costar hasta US$ 25 mil cada una. El fiscal general también puede pedir una orden judicial, restitución y la devolución de las ganancias.

Plazo de corrección opcional

Para las infracciones hasta el 1 de abril de 2027, la División puede avisar y dar al menos 60 días para corregir, si hay solución. Es una decisión suya, no una garantía.

Criterios de la División

Para decidir sobre el plazo, la División considera el número de infracciones, el tamaño de la empresa y si la falla fue humana o técnica, entre otros factores.

Cronología

Las fechas de la MODPA

En noviembre de 2026, la ley está en vigor, alcanza los tratamientos desde abril de 2026 y todavía tiene el plazo de corrección opcional.

  1. 2024

    Ley aprobada

    Maryland aprueba la Online Data Privacy Act.

  2. 1 de octubre de 2025

    Entrada en vigor

    La ley empieza a regir, con señal universal obligatoria y evaluaciones para los tratamientos iniciados a partir de esta fecha.

  3. 1 de abril de 2026

    Tratamientos alcanzados

    La ley no alcanza a las actividades de tratamiento anteriores a esta fecha, que marca el inicio efectivo de la fiscalización.

  4. 1 de abril de 2027

    Fin del plazo opcional de corrección

    Termina el período en que la División puede dar al menos 60 días para corregir antes de actuar.

Sitios con AdSense y Ad Manager

GPC obligatorio y el camino del opt-out hasta Google

Desde el 1 de octubre de 2025, el sitio cubierto debe aceptar el opt-out de venta y de publicidad dirigida enviado por una señal de preferencia, como el Global Privacy Control, o GPC. El mecanismo no puede venir activado por defecto y debe permitir confirmar que el visitante vive en el estado.

Google ofrece en AdSense y en Ad Manager un mensaje de reglamentos estatales de EE. UU., en Privacidad y mensajes, y Maryland está entre los estados atendidos. El mensaje muestra el enlace Do Not Sell or Share. El rechazo activa el procesamiento restringido de datos, llamado RDP, y Google deja de usar el comportamiento anterior para elegir anuncios.

Sobre el GPC, Google dice que el socio que implementó la señal puede elegir activar el RDP al recibir un GPC de opt-out. La configuración queda a cargo del sitio o de la CMP, y puede hacerse en la etiqueta, con el parámetro restrictDataProcessing de GPT o el atributo data-restrict-data-processing de AdSense.

IAB Tech Lab ya publicó una sección de la GPP específica de Maryland, pero no está en la lista de secciones aceptadas por Google. Para Google, el camino es la sección US National. Recuerda que el opt-out es solo una parte: en Maryland, la minimización y la prohibición de vender datos sensibles rigen incluso para quien nunca rechazó nada.

En la práctica

Qué se puede y qué no se puede en Maryland

Ejemplos para un sitio con tráfico de Maryland que monetiza con anuncios programáticos.

Sí se puede

  • Mostrar anuncios contextuales, elegidos según el tema de la página
  • Aplicar el opt-out cuando el navegador del visitante envía el GPC
  • Llevar el opt-out a Google mediante la sección US National de la GPP o el mensaje de Google
  • Usar datos de salud informados por el visitante para entregar el servicio que pidió, si es estrictamente necesario
  • Enumerar en la política el tipo de negocio de cada categoría de tercero, como red de anuncios o medición

No se puede

  • Vender geolocalización precisa o datos de salud, incluso con consentimiento
  • Mostrar publicidad dirigida a quien sabes o deberías saber que tiene menos de 18 años
  • Transmitir a socios de anuncios el tema de salud que leyó cada visitante
  • Recopilar datos extra en formularios solo porque pueden ser útiles algún día
  • Ignorar el GPC y seguir pidiendo anuncios personalizados

Errores comunes

Dónde tropiezan los sitios con la MODPA

Las configuraciones que bastan en otros estados pueden no bastar en Maryland.

Creer que el opt-out lo resuelve todo

El sitio ofrece opt-out, pero sigue recopilando datos que no son necesarios para el servicio pedido. En Maryland, la minimización rige para todos.

Píxeles en páginas de salud

Los scripts de anuncios y medición reciben la dirección de artículos sobre enfermedades o embarazo. Esto puede revelar un dato de salud del consumidor.

Venta de datos sensibles con consentimiento

El sitio pide consentimiento para transferir geolocalización precisa a socios. En Maryland, esa venta está prohibida incluso con consentimiento.

Ignorar las señales de edad

El sitio tiene contenido dirigido a adolescentes, pero muestra publicidad dirigida a todos. La prueba de debía saber puede pesar en contra.

GPC solo en California

La CMP aplica el GPC solo para California e ignora la señal de los visitantes de Maryland.

Sección estatal sola en el GPP

La CMP envía solo la sección de Maryland, que Google no lee. Sin la US National, el opt-out no llega a Google.

En ConsentMode

Qué revisa la auditoría para Maryland

  • Abre el sitio como visitante de Estados Unidos y busca el enlace de opt-out en el pie de página, en el menú y en el mensaje de privacidad.
  • Activa la señal GPC en el navegador de la auditoría y compara la página y las solicitudes de anuncios con la señal y sin ella.
  • Lee la cadena GPP, comprueba si existe la sección US National y registra el opt-out.
  • Enumera los scripts y socios que cargan en páginas de temas sensibles, como salud y finanzas, y muestra qué se les envía.
  • Comprueba si la página de privacidad incluye categorías de datos, finalidades, tipos de terceros, derechos, apelación, retiro del consentimiento y contacto.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes

¿Por qué se dice que Maryland tiene la ley más estricta?

Porque, además del opt-out, limita la recopilación a lo necesario para el servicio pedido, prohíbe vender datos sensibles incluso con consentimiento y prohíbe la publicidad dirigida a menores de 18 años cuando la empresa sabía o debía saber la edad.

¿Puedo seguir con anuncios personalizados en Maryland?

La ley no prohíbe la publicidad dirigida a adultos. El visitante puede rechazar, incluso mediante el GPC, y la recopilación debe respetar la minimización. Para los menores de 18 años, la publicidad dirigida está prohibida cuando la empresa sabía o debía saber la edad.

¿Estoy obligado a respetar el GPC?

Sí, si la ley se aplica a tu sitio. Desde el 1 de octubre de 2025, el opt-out enviado por una señal de preferencia debe aceptarse.

¿Cuándo empezó realmente la fiscalización?

La ley rige desde el 1 de octubre de 2025, pero no alcanza a las actividades de tratamiento anteriores al 1 de abril de 2026. Hasta el 1 de abril de 2027, la División todavía puede ofrecer un plazo de corrección, si quiere.

Mi asociación no tiene fines de lucro. ¿Estoy fuera?

No necesariamente. Maryland solo exime a las entidades sin fines de lucro que tratan datos exclusivamente para ayudar a la policía en fraudes de seguros o a los socorristas en catástrofes.

¿ConsentMode deja mi sitio en cumplimiento?

ConsentMode no es una CMP ni un estudio jurídico. La auditoría muestra lo que el sitio hace de verdad con el opt-out, el GPC, la GPP, los scripts de terceros y la página de privacidad, para que lo corrijas con tu proveedor y tu abogado.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Mira qué entrega tu sitio a los socios en Maryland

La auditoría abre el sitio como visitante de EE. UU., con y sin GPC, y muestra qué corregir, sin modificar nada.

Comenzar la auditoría