Guía · Ley estatal de EE. UU.

MTCDPA: la ley de Montana se volvió más estricta en 2025

La Montana Consumer Data Privacy Act rige desde el 1 de octubre de 2024 y fue reforzada por una enmienda que entró en vigor el 1 de octubre de 2025. En esta guía entenderás los nuevos umbrales, el fin del plazo de corrección, la señal universal de opt-out y qué cambia para un sitio con AdSense o Ad Manager.

Auditar mi sitio para EE. UU.Leer la guía

✓Basado en el Código de Montana y en el Departamento de Justicia del estado
✓Ejemplos prácticos para sitios con anuncios
✓Auditoría de solo lectura, sin modificar el sitio

25 milconsumidores de Montana por año: el umbral desde la enmienda de 2025

15 milconsumidores bastan si más del 25% de los ingresos brutos proviene de la venta de datos

45 díaspara responder a las solicitudes, con una prórroga de otros 45 días

US$ 7.500de multa civil máxima por infracción, incluida por la enmienda de 2025

Qué es

Una ley de privacidad que ya pasó por una reforma

La Montana Consumer Data Privacy Act, o MTCDPA, es la ley general de privacidad de Montana. Se aprobó en 2023, está en el Título 30, capítulo 14, parte 28 del Código de Montana y entró en vigor el 1 de octubre de 2024.

El modelo sigue el de Connecticut. El visitante puede acceder a sus datos, corregirlos, borrarlos y llevárselos, y puede rechazar la venta, la publicidad dirigida y ciertos perfilados automatizados. Los datos sensibles solo pueden usarse con consentimiento. Y el sitio cubierto debe aceptar señales universales de opt-out, como el GPC.

En 2025, el estado aprobó la enmienda SB 297, sancionada en mayo de 2025 y en vigor desde el 1 de octubre de 2025. Bajó los umbrales de aplicación, eliminó el plazo de corrección antes de la supervisión, fijó una multa de hasta US$ 7.500 por infracción y creó reglas nuevas para menores de 18 años.

Para un sitio con visitantes de Estados Unidos, Montana pasó a ser un estado de atención. Con 25 mil consumidores por año ya es posible estar dentro de la ley, y ya no hay un aviso previo garantizado antes de una acción del fiscal general.

Lista de verificación

Lo que debes cumplir

Si el sitio supera los límites de la MTCDPA, esta es la lista básica, de lo más urgente a lo menos.

Poner el aviso en la página principal con la palabra privacy
El aviso de privacidad necesita un enlace visible en la página principal que use la palabra privacy.
Ejemplo
Pie de la página principal: Privacy Policy.
Tener un camino de rechazo fuera del aviso
Quien vende datos o hace publicidad dirigida necesita un camino claro de rechazo fuera del aviso de privacidad.
Ejemplo
Enlace en el pie de página: Your Opt-Out Rights o Your Privacy Rights.
Aceptar la señal de preferencia del navegador
Desde el 1 de enero de 2025, el sitio tiene que aceptar el rechazo enviado por una señal de preferencia. Si la señal contradice una elección anterior, vale la señal.
Ejemplo
Visitante con GPC activado: detén la venta y la publicidad dirigida para él.
Pedir consentimiento para datos sensibles y adolescentes
Datos sensibles solo con consentimiento. Si la empresa sabe, o ignora a propósito, que el visitante tiene de 13 a 15 años, la publicidad dirigida y la venta también exigen consentimiento.
Mantener el aviso completo y actualizado
El aviso lista datos, finalidades, terceros, derechos y un correo activo, con la fecha de la última actualización. Tiene que existir en cada idioma en que el sitio ofrece el servicio.
Ejemplo
Al inicio del aviso: Última actualización el 3 de noviembre de 2026.
No exigir cuenta y facilitar la retirada
No se puede obligar al visitante a crear una cuenta nueva para ejercer sus derechos. Retirar el consentimiento tiene que ser tan fácil como darlo.
Hacer la evaluación de protección de datos
La publicidad dirigida, la venta, los perfiles de riesgo y los datos sensibles exigen una evaluación registrada, que el fiscal general puede pedir.
8
Llevar el rechazo hasta Google
Google no exige una CMP para los estados de EE. UU. Usa el mensaje de reglamentos estatales de EE. UU., en Privacidad y mensajes, o activa el procesamiento restringido de datos, el RDP, en la etiqueta para quien rechazó. Con GPP, Google lee la sección US National para Montana.
Ejemplo
AdSense o Ad Manager: Privacidad y mensajes, tarjeta Reglamentos estatales de EE. UU., Crear. Después elige los sitios y publica.
```
// Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});
```

En la práctica

Lo correcto y lo incorrecto

IncorrectoEl rechazo solo aparece en medio del texto de la política.
CorrectoEnlace Your Opt-Out Rights visible en el pie de página, fuera del aviso de privacidad.
IncorrectoEl sitio mantiene la elección antigua e ignora la señal.
CorrectoEl navegador manda el GPC y el sitio lo trata como rechazo, aunque el visitante haya aceptado antes.
IncorrectoAnuncio personalizado para un adolescente que el sitio sabe que tiene 14 años.
CorrectoSin publicidad dirigida para visitantes de 13 a 15 años sin consentimiento.
IncorrectoPolítica sin fecha, solo en inglés en un sitio en español, y sin enlace en la página principal.
CorrectoEnlace con la palabra privacy en la página principal y fecha de la última actualización en el aviso.

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni GPP para las leyes estatales de EE. UU. Puedes usar el mensaje del propio Google o activar el RDP en la etiqueta.

Quién debe cumplirla

Los umbrales después de la enmienda de 2025

La ley se aplica a quien hace negocios en Montana u ofrece productos y servicios dirigidos a los residentes del estado y supera uno de los umbrales siguientes.

25 mil consumidores

Controla o trata datos de al menos 25 mil consumidores de Montana. Los datos usados solo para completar un pago no cuentan. Antes de la enmienda, el umbral era de 50 mil.

15 mil y venta de datos

Controla o trata datos de al menos 15 mil consumidores y obtiene más del 25% de sus ingresos brutos de la venta de datos personales. Antes, eran 25 mil consumidores.

Reglas de menores sin umbral

Las reglas de protección de menores se aplican a cualquier empresa que haga negocios en Montana o apunte a sus residentes, sin exigencia de volumen mínimo.

Exenciones más estrechas

La enmienda limitó la exención de las entidades sin fines de lucro a las que combaten el fraude de seguros y cambió la exención amplia de las instituciones financieras por exenciones específicas para bancos, cooperativas de crédito y aseguradoras.

Definiciones

Las palabras de la ley, en lenguaje de quien tiene un sitio

Las definiciones están en la sección 30-14-2802 del Código de Montana.

Consumidor y menor

Consumidor es el residente de Montana fuera del contexto comercial o laboral. Adulto es quien tiene 18 años o más. Menor es el consumidor de menos de 18 años.

Dato sensible

Origen racial o étnico, religión, salud física o mental, vida sexual, orientación sexual, situación migratoria, datos genéticos o biométricos que identifican a la persona, datos de un menor conocido y geolocalización precisa.

Venta

El intercambio de datos personales por dinero o por otra contraprestación de valor con un tercero. Quedan fuera las transferencias a encargados, a empresas del mismo grupo y en fusiones.

Publicidad dirigida

Anuncio elegido con datos obtenidos o deducidos de la actividad del visitante a lo largo del tiempo en sitios y apps de otras empresas. Los anuncios según el contexto de la búsqueda o de la visita no entran.

Derechos de las personas

Qué puede pedir el residente de Montana

La respuesta debe darse en un máximo de 45 días, con una prórroga de otros 45 si es necesaria y se avisa en el plazo inicial. Si la deniega, la empresa ofrece apelación y responde por escrito en un máximo de 60 días.

Confirmar y acceder

Saber si la empresa trata sus datos y tener acceso a ellos, sin que la empresa tenga que revelar secretos comerciales.

Corregir

Pedir la corrección de datos erróneos.

Eliminar

Pedir la eliminación de los datos personales sobre él.

Portabilidad

Recibir en un formato portátil los datos que proporcionó, cuando el tratamiento sea automatizado.

Rechazar anuncios dirigidos y venta

Pedir que los datos no se usen para publicidad dirigida y no se vendan. Puede hacerse mediante una señal universal, como el GPC.

Rechazar el perfilado automatizado

Rechazar perfilados que lleven a decisiones con efectos legales o de impacto similar.

Obligaciones del sitio

Lo que el sitio cubierto debe tener funcionando

Aviso de privacidad completoEl aviso debe incluir las categorías de datos tratados, las finalidades, las categorías de datos vendidos o compartidos, las categorías de terceros, un correo electrónico activo u otro contacto, la explicación de los derechos y de la apelación, y la fecha de la última actualización.
Enlace con la palabra privacyDespués de la enmienda, el aviso debe estar vinculado en la página de inicio mediante un enlace visible con la palabra privacy y estar disponible en cada idioma en que el sitio ofrezca sus servicios.
Opt-out fuera del avisoQuien vende datos o hace publicidad dirigida debe ofrecer un camino claro de rechazo fuera del aviso de privacidad, como un enlace llamado your opt-out rights o your privacy rights.
Consentimiento para datos sensibles y adolescentesLos datos sensibles solo con consentimiento. Si la empresa sabe, o ignora a propósito, que el visitante tiene entre 13 y 15 años, también necesita consentimiento para la publicidad dirigida y la venta.
Cuidado con los menores de 18Los servicios en línea usados por menores conocidos requieren un cuidado razonable para evitar un riesgo elevado de daño y evaluaciones específicas de ese riesgo.
Evaluación de protección de datosLa publicidad dirigida, la venta, los perfilados riesgosos y los datos sensibles exigen una evaluación registrada, que el fiscal general puede pedir en una investigación.

Supervisión y multas

Sin plazo de corrección desde octubre de 2025

Solo el fiscal general de Montana supervisa la ley. El consumidor no puede demandar a la empresa con base en ella, pero puede reclamar por el canal del Departamento de Justicia.

Fin del plazo de corrección

La ley original daba 60 días para corregir antes de una acción. La enmienda de 2025 eliminó esa garantía, que habría terminado recién en 2026.

Hasta US$ 7.500 por infracción

La enmienda fijó una multa civil de hasta US$ 7.500 por infracción. El fiscal general también puede pedir una orden judicial y el reembolso de costos.

Investigación con evaluaciones

En una investigación, el fiscal general puede pedir documentos y las evaluaciones de protección de datos de la empresa.

Canal de reclamación

La ley obliga al fiscal general a publicar información sobre los deberes de las empresas y un canal en línea para reclamaciones.

Cronología

Las fechas de la MTCDPA

En poco más de dos años, Montana aprobó, puso en vigor y reformó su propia ley.

2023
Ley aprobada
Montana aprueba la Consumer Data Privacy Act.
1 de octubre de 2024
Entrada en vigor
La ley entra en vigor, con umbrales de 50 mil consumidores, o 25 mil con venta de datos, y un plazo de corrección de 60 días.
1 de enero de 2025
Señal universal obligatoria
El sitio cubierto debe aceptar el opt-out de venta y de publicidad dirigida enviado mediante una señal de preferencia, como el GPC.
Mayo de 2025
Enmienda sancionada
El gobernador sanciona la SB 297, que reforma la ley.
1 de octubre de 2025
Enmienda en vigor
Rigen los umbrales de 25 mil y 15 mil consumidores, las reglas para menores, la multa de US$ 7.500 y el fin del plazo de corrección.

Sitios con AdSense y Ad Manager

GPC obligatorio y el camino del opt-out hasta Google

Desde el 1 de enero de 2025, el sitio cubierto debe aceptar el opt-out de venta y de publicidad dirigida enviado mediante una señal de preferencia, con el consentimiento del visitante. El ejemplo más conocido es el Global Privacy Control, o GPC. Si la señal entra en conflicto con una configuración anterior del visitante, vale la señal.

Google ofrece en AdSense y Ad Manager un mensaje de normativas estatales de EE. UU., en Privacidad y mensajes, y Montana está entre los estados incluidos. El mensaje muestra el enlace Do Not Sell or Share, y el rechazo activa el procesamiento restringido de datos, llamado RDP, que impide los anuncios basados en el comportamiento anterior.

Sobre el GPC, Google dice que el socio que implementó la señal puede elegir activar el RDP al recibir un GPC de opt-out. La configuración queda a cargo del sitio o de la CMP. Una forma directa es la etiqueta: el parámetro restrictDataProcessing de GPT o el atributo data-restrict-data-processing de AdSense.

En el GPP de IAB Tech Lab existe una sección específica de Montana, pero no está en la lista de secciones aceptadas por Google. Para Google, el camino es la sección US National, en la que el rechazo de la venta, el uso compartido o la publicidad dirigida activa el RDP.

En la práctica

Qué se puede y qué no en Montana

Ejemplos para un sitio con tráfico de Montana que monetiza con anuncios programáticos.

Sí se puede

Mostrar anuncios contextuales a quien rechazó o llegó con el GPC activado
Usar un enlace en el pie de página llamado your privacy rights para el opt-out, separado de la política
Usar la sección US National del GPP para llevar el opt-out a Google
Mantener un único aviso de privacidad para EE. UU., con la fecha de actualización visible
Pedir confirmación al visitante cuando el GPC entra en conflicto con una elección anterior, sin dejar de aplicar la señal

No se puede

Ignorar el GPC y seguir solicitando anuncios personalizados para ese visitante
Esconder el opt-out dentro del texto de la política de privacidad
Usar datos de adolescentes de 13 a 15 años para anuncios dirigidos sin consentimiento
Publicar la política solo en inglés si el sitio se ofrece también en otro idioma
Esperar un aviso de 60 días antes de corregir: esa garantía terminó en octubre de 2025

Errores comunes

Dónde tropiezan los sitios con la ley de Montana

La enmienda de 2025 sorprendió a muchos sitios con configuraciones hechas para la versión antigua de la ley.

Usar los umbrales antiguos

El sitio se creía fuera por tener menos de 50 mil consumidores de Montana. Con el nuevo umbral de 25 mil, puede estar dentro.

GPC ignorado

La CMP lee el GPC solo para California. Montana exige lo mismo desde enero de 2025.

Política sin fecha

La página de privacidad no muestra cuándo se actualizó, un elemento que la enmienda hizo obligatorio.

Enlace sin la palabra privacy

La política queda escondida en un enlace genérico como términos o legal, sin la palabra privacy en la página de inicio.

Sección estatal que Google no lee

La CMP envía solo la sección de Montana en el GPP y deja fuera la US National. El opt-out no llega a Google.

Opt-out que no cambia los anuncios

El visitante rechaza, pero las solicitudes de anuncios siguen sin RDP y sin opt-out en la cadena GPP.

En ConsentMode

Qué revisa la auditoría para Montana

Abre el sitio como visitante de Estados Unidos y busca el enlace de opt-out y el enlace con la palabra privacy en la página de inicio.
Activa la señal GPC en el navegador de la auditoría y compara la página y las solicitudes de anuncios con la señal y sin ella.
Lee la cadena GPP, comprueba si existe la sección US National y registra el opt-out.
Identifica la CMP o el mensaje de normativas estatales de Google por el código de la página.
Comprueba si la página de privacidad incluye categorías de datos, terceros, derechos, apelación, contacto y fecha de la última actualización.

Hacer una auditoría Ver todo lo que se revisa

Política sin elementos exigidos en MontanaPrivacidad en EE. UU. · página de inicio y política

Moderado

✓Enlace con la palabra privacy en la página de iniciook

✕Fecha de la última actualización en la políticaausente

!Opt-out solo dentro del texto de la políticarevisar

✓GPC aplicado a las solicitudes de anunciosok

Cómo corregirlo: incluye la fecha de actualización en la política y crea un enlace de opt-out separado, por ejemplo your privacy rights, en el pie de página de todas las páginas.

Preguntas frecuentes

¿Qué cambió en Montana en 2025?

La enmienda SB 297, en vigor desde el 1 de octubre de 2025, bajó los umbrales a 25 mil consumidores, o 15 mil con más del 25% de los ingresos provenientes de la venta de datos, eliminó el plazo de corrección, fijó una multa de hasta US$ 7.500 por infracción, exigió más elementos en el aviso de privacidad y creó reglas para menores de 18 años.

¿Estoy obligado a respetar el GPC en Montana?

Sí, si la ley se aplica a tu sitio. Desde el 1 de enero de 2025, debe aceptarse el opt-out de venta y de publicidad dirigida enviado mediante una señal de preferencia.

¿Todavía tengo 60 días para corregir después de un aviso?

No. La enmienda quitó al fiscal general la obligación de ofrecer un plazo de corrección. Puede actuar directamente.

Mi sitio no es para niños. ¿Me afectan las reglas de menores?

Pueden afectarte si sabes, o ignoras a propósito, que un visitante es menor. Para los adolescentes de 13 a 15 años, la publicidad dirigida y la venta exigen consentimiento. Las reglas de menores se aplican sin umbral de volumen.

¿Google lee la sección de Montana en el GPP?

La lista de secciones aceptadas por Google no incluye Montana. Para llevar el opt-out a Google, usa la sección US National, el mensaje de normativas estatales de Google o el RDP en la etiqueta.

¿ConsentMode deja mi sitio en cumplimiento?

ConsentMode no es una CMP ni un despacho de abogados. La auditoría muestra lo que el sitio realmente hace con el opt-out, el GPC, el GPP y la página de privacidad, para que lo corrijas con tu proveedor y tu abogado.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Comprueba si tu sitio está listo para la nueva ley de Montana

La auditoría abre el sitio como visitante de EE. UU., con y sin GPC, y muestra qué corregir, sin modificar nada.

Comenzar la auditoría