Abrir espacio

Guía · Ley estatal de EE. UU.

NDPA: la ley de Nebraska que no tiene umbral de volumen

La Nebraska Data Privacy Act rige desde el 1 de enero de 2025 y no usa umbrales de ingresos ni de número de consumidores. En esta guía entenderás quién debe cumplirla, la regla que alcanza incluso a pequeñas empresas, el opt-out mediante la configuración del navegador y qué cambia para un sitio con AdSense o Ad Manager.

Auditar mi sitio para EE. UU.Leer la guía
  • ✓Basado en la ley LB 1074 y en el sitio del fiscal general de Nebraska
  • ✓Ejemplos prácticos para sitios con anuncios
  • ✓Auditoría de solo lectura, sin modificar el sitio
30 díaspara corregir la falla después del aviso del fiscal general
US$ 7.500de multa civil máxima por infracción
45 díaspara responder a las solicitudes, con una prórroga de otros 45 días
60 díaspara responder a la apelación de un consumidor al que se le negó la solicitud

Qué es

Una ley estatal que cambia los números por el tamaño de la empresa

La Nebraska Data Privacy Act, o NDPA, es la ley general de privacidad de Nebraska. Se aprobó en 2024 mediante el proyecto LB 1074, está en las secciones 87-1101 a 87-1130 de las leyes del estado y rige desde el 1 de enero de 2025.

El texto sigue el modelo de Texas. En lugar de contar consumidores o mirar los ingresos, la ley se aplica a quien hace negocios en Nebraska u ofrece productos y servicios consumidos en el estado, trata o vende datos personales y no es una pequeña empresa según la definición federal estadounidense.

Los derechos del visitante son los mismos de las leyes más completas: acceso, corrección, eliminación, portabilidad y rechazo de la publicidad dirigida, de la venta y de los perfilados automatizados. Los datos sensibles exigen consentimiento.

Para un sitio con visitantes de Estados Unidos, esto significa que el volumen de tráfico de Nebraska no es la pregunta correcta. La pregunta es el tamaño de la empresa. Y aun una pequeña empresa necesita consentimiento para vender datos sensibles.

Lista de verificación

Lo que debes cumplir

Si tu empresa no es pequeña según la ley federal y tiene visitantes de Nebraska, esta es la lista básica.

  1. Publicar un aviso de privacidad completo

    El aviso tiene que ser claro y fácil de encontrar. Lista los datos tratados, las finalidades, cómo ejercer los derechos y apelar, los datos compartidos y las categorías de terceros.

    Ejemplo

    Enlace Política de privacidad en el pie de página de todas las páginas, que lleve al aviso completo.

  2. Decir que hay publicidad dirigida y cómo rechazar

    Quien vende datos o hace publicidad dirigida tiene que decirlo de forma clara y visible y explicar cómo rechazar.

    Ejemplo

    Enlace en el pie de página: Do Not Sell or Share My Personal Information.

  3. Pedir consentimiento para datos sensibles

    Datos sensibles solo con consentimiento. Hasta la pequeña empresa necesita consentimiento antes de vender esos datos. Los datos sensibles de niños siguen la COPPA.

  4. Aceptar el rechazo enviado por el navegador

    El visitante puede rechazar por medio de un agente autorizado, incluso con una configuración global del dispositivo. Atiéndelo cuando se pueda verificar la solicitud. La configuración no puede venir activada por defecto.

    Ejemplo

    Visitante con GPC activado: trátalo como si hubiera hecho clic en rechazar.

  5. Recibir solicitudes sin exigir una cuenta nueva

    Ofrece dos o más canales seguros y no exijas una cuenta nueva. Responde en un máximo de 45 días y responde la apelación por escrito en un máximo de 60 días.

  6. Hacer la evaluación de protección de datos

    La publicidad dirigida, la venta de datos y los datos sensibles exigen una evaluación registrada. Es confidencial, pero el fiscal general puede pedirla.

  7. Llevar el rechazo hasta Google

    Google no exige una CMP para los estados de EE. UU. Usa el mensaje de reglamentos estatales de EE. UU., en Privacidad y mensajes, o activa el procesamiento restringido de datos, el RDP, en la etiqueta para quien rechazó. Con GPP, Google lee la sección US National para Nebraska.

    Ejemplo

    AdSense o Ad Manager: Privacidad y mensajes, tarjeta Reglamentos estatales de EE. UU., Crear. Después elige los sitios y publica.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni GPP para las leyes estatales de EE. UU. Puedes usar el mensaje del propio Google o activar el RDP en la etiqueta.

Quién debe cumplirla

Sin umbral de ingresos y sin número mínimo de consumidores

La ley se aplica a quien cumple las tres condiciones siguientes, al mismo tiempo. No importa cuántos visitantes de Nebraska reciba el sitio.

Negocios vinculados a Nebraska

Hace negocios en Nebraska o produce un producto o servicio consumido por residentes del estado. Un sitio con público estadounidense suele encajar aquí.

Trata o vende datos

Trata datos personales o participa en la venta de esos datos. Las cookies y los identificadores de anuncios cuentan como datos personales.

No es una pequeña empresa

No es una pequeña empresa según la ley federal estadounidense de pequeñas empresas, en la versión del 1 de enero de 2024. Los criterios de esa ley varían por sector.

La pequeña empresa también tiene reglas

Incluso la pequeña empresa no puede vender datos sensibles sin consentimiento previo del consumidor, y puede ser multada si lo hace.

Definiciones

Las palabras de la ley, en lenguaje de quien tiene un sitio

Las definiciones están en la sección 2 de la LB 1074 y siguen las leyes de Texas y de Virginia.

Dato personal

Información vinculada o que pueda vincularse razonablemente a una persona identificada o identificable, incluidos los datos sensibles. En el sitio, entran las cookies, los identificadores de dispositivo, la IP y el correo electrónico.

Dato sensible

Origen racial o étnico, creencia religiosa, diagnóstico de salud, orientación sexual, situación migratoria, datos genéticos o biométricos que identifican a la persona, datos de un menor conocido y geolocalización precisa.

Venta

El intercambio de datos personales por dinero o por otra contraprestación de valor con un tercero. Quedan fuera las transferencias a encargados del tratamiento y a empresas del mismo grupo.

Publicidad dirigida

Anuncio elegido con datos de la actividad del visitante en sitios y apps de otras empresas. Los anuncios según el contexto de la búsqueda o de la visita actual no entran.

Derechos de las personas

Qué puede pedir el residente de Nebraska

La respuesta debe darse en un máximo de 45 días, con una prórroga de otros 45 si se avisa dentro del plazo inicial. La apelación contra una negativa debe resolverse en un máximo de 60 días.

Confirmar y acceder

Saber si la empresa trata sus datos y tener acceso a ellos.

Corregir

Pedir la corrección de datos erróneos.

Eliminar

Pedir la eliminación de los datos personales.

Portabilidad

Recibir una copia de los datos en un formato portátil.

Rechazar anuncios dirigidos y venta

Pedir que los datos no se usen para publicidad dirigida y no se vendan, incluso por medio de un agente autorizado.

Rechazar el perfilado automatizado

Rechazar perfilados que lleven a decisiones con efectos legales o de impacto similar.

Obligaciones del sitio

Lo que la empresa cubierta debe tener funcionando

  1. Aviso de privacidadEl aviso debe incluir las categorías de datos tratados, las finalidades, cómo ejercer los derechos y apelar, las categorías de datos compartidos con terceros y las categorías de esos terceros.
  2. Informar sobre la venta y los anuncios dirigidosSi el sitio vende datos o hace publicidad dirigida, debe decirlo de forma clara y visible y explicar cómo puede rechazarlo el visitante.
  3. Consentimiento para datos sensiblesDatos sensibles solo con consentimiento. Para la pequeña empresa, la regla se aplica a la venta de esos datos.
  4. Evaluación de protección de datosLa publicidad dirigida, la venta, los perfilados riesgosos, los datos sensibles y otros tratamientos de alto riesgo exigen una evaluación registrada. Es confidencial, pero el fiscal general puede pedirla.
  5. Aceptar al agente autorizadoEl consumidor puede designar a un agente para rechazar los anuncios dirigidos y la venta, incluso mediante la configuración del navegador. La empresa debe atenderlo cuando pueda verificar la solicitud con un esfuerzo comercialmente razonable.
  6. Contratos con encargadosLos proveedores que tratan datos en nombre de la empresa siguen sus instrucciones, bajo un contrato con las reglas del tratamiento.

Supervisión y multas

Quién supervisa y cuánto cuesta equivocarse

Solo el fiscal general de Nebraska supervisa la ley. El consumidor puede reclamar por los canales del fiscal general, pero no puede demandar a la empresa con base en la NDPA.

30 días para corregir

Antes de iniciar una acción, el fiscal general envía un aviso por escrito y da 30 días para corregir. La ley no prevé una fecha de vencimiento de este plazo.

Declaración por escrito

Para cerrar el caso, la empresa debe corregir, enviar una declaración por escrito y documentos que comprueben la corrección.

Hasta US$ 7.500 por infracción

Si la falla no se corrige en el plazo, o si la empresa incumple la declaración de corrección, la multa civil puede llegar a US$ 7.500 por infracción.

Canales de reclamación

El fiscal general recibe reclamaciones de privacidad por formulario en línea, correo electrónico, correo postal y teléfono.

Cronología

Las fechas de la NDPA

Nebraska aprobó la ley y dio pocos meses de preparación.

  1. 2024

    Ley aprobada

    La Legislatura de Nebraska aprueba el proyecto LB 1074, que crea la Data Privacy Act.

  2. 1 de enero de 2024

    Referencia para la pequeña empresa

    La ley usa la definición federal de pequeña empresa tal como existía en esta fecha.

  3. 1 de enero de 2025

    Entrada en vigor

    La ley entra en vigor, con supervisión del fiscal general y un plazo de corrección de 30 días.

  4. Septiembre de 2025

    Google actualiza el GPP

    Google pasa a aceptar la versión 2 de la sección US National del GPP, el camino que lee para el opt-out de estados como Nebraska.

Sitios con AdSense y Ad Manager

Opt-out desde el navegador y el camino hasta Google

Nebraska trata la señal universal de una manera propia. El consumidor puede designar a un agente autorizado para rechazar los anuncios dirigidos y la venta usando una tecnología, como un enlace, una configuración o extensión del navegador o una configuración general del dispositivo. La tecnología no puede venir activada por defecto y requiere una elección activa del consumidor.

La empresa debe atender la solicitud cuando puede verificarla con un esfuerzo comercialmente razonable. La ley enumera excepciones, por ejemplo cuando no es posible confirmar que el consumidor vive en Nebraska o cuando la empresa no atiende solicitudes similares de otros estados. Como el Global Privacy Control, o GPC, es una señal de este tipo, el camino más seguro es respetarlo para el tráfico de EE. UU.

Google ofrece en AdSense y Ad Manager un mensaje de normativas estatales de EE. UU., en Privacidad y mensajes, y Nebraska está entre los estados incluidos. El rechazo del visitante activa el procesamiento restringido de datos, llamado RDP. Google también dice que el socio puede activar el RDP al recibir un GPC de opt-out.

En el GPP existe una sección específica de Nebraska, pero no está en la lista de secciones aceptadas por Google. Para Google, el camino es la sección US National, o el RDP directamente en la etiqueta, con el parámetro restrictDataProcessing de GPT o el atributo data-restrict-data-processing de AdSense.

En la práctica

Qué se puede y qué no en Nebraska

Ejemplos para un sitio con visitantes de Nebraska que monetiza con anuncios programáticos.

Sí se puede

  • Mostrar anuncios contextuales a quien rechazó la publicidad dirigida
  • Aplicar el opt-out cuando el navegador del visitante envía el GPC
  • Usar el mensaje de normativas estatales de Google para ofrecer el enlace de opt-out
  • Llevar el opt-out a Google mediante la sección US National del GPP
  • Usar evaluaciones de protección de datos hechas para otros estados, si cubren el mismo tratamiento

No se puede

  • Concluir que está fuera de la ley solo porque tiene poco tráfico de Nebraska
  • Vender geolocalización precisa u otro dato sensible sin consentimiento, aunque se sea una pequeña empresa
  • Seguir con anuncios personalizados después de que el visitante rechazó
  • Dejar la página de privacidad sin explicar cómo rechazar la publicidad dirigida
  • Ignorar la apelación de un consumidor al que se le negó la solicitud

Errores comunes

Dónde tropiezan los sitios con la ley de Nebraska

La falta de números en la ley confunde a quienes están acostumbrados a contar visitantes por estado.

Contar visitantes en lugar de evaluar el tamaño

El sitio tiene pocos visitantes de Nebraska y se considera fuera. Pero la ley no tiene umbral de volumen: lo que importa es no ser una pequeña empresa.

Olvidar la regla de los datos sensibles

La empresa es pequeña, pero usa un socio que compra geolocalización precisa de los visitantes. Esa venta exige consentimiento.

Opt-out que no llega a los anuncios

El enlace existe, pero las solicitudes a Google siguen sin RDP y sin opt-out en el GPP.

Sección estatal sola en el GPP

La CMP envía solo la sección de Nebraska, que Google no lee. Sin la US National, Google no recibe el rechazo.

GPC tratado solo en California

La CMP aplica el GPC solo para California, y la señal enviada por los visitantes de Nebraska se ignora.

Política genérica

La página de privacidad no menciona categorías de datos, terceros, venta, publicidad dirigida ni cómo apelar.

En ConsentMode

Qué revisa la auditoría para Nebraska

  • Abre el sitio como visitante de Estados Unidos y busca el enlace de opt-out en el pie de página, en el menú y en el mensaje de privacidad.
  • Activa la señal GPC en el navegador de la auditoría y compara la página y las solicitudes de anuncios con la señal y sin ella.
  • Lee la cadena GPP, comprueba si existe la sección US National y registra el opt-out.
  • Identifica la CMP o el mensaje de normativas estatales de Google por el código de la página.
  • Comprueba si la página de privacidad menciona categorías de datos, terceros, venta, publicidad dirigida, derechos y apelación.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes

¿Cuántos visitantes de Nebraska necesito para que la ley se aplique?

Ningún número mínimo. La ley se aplica a quien hace negocios en el estado o tiene productos consumidos allí, trata o vende datos personales y no es una pequeña empresa según la definición federal estadounidense.

Mi empresa es pequeña. ¿Estoy libre?

Casi. La pequeña empresa queda fuera de la mayor parte de la ley, pero no puede vender datos sensibles sin consentimiento previo del consumidor. Los criterios de pequeña empresa varían por sector, así que conviene confirmarlo con un abogado.

¿Nebraska exige respetar el GPC?

La ley permite que el consumidor use una configuración del navegador como agente para rechazar los anuncios dirigidos y la venta, y la empresa debe atenderla cuando puede verificar la solicitud. En la práctica, respetar el GPC es el camino más seguro.

¿El plazo de 30 días para corregir va a terminar?

La ley no prevé una fecha para el fin de este plazo, a diferencia de estados como Minnesota y Nueva Jersey.

¿Google lee la sección de Nebraska en el GPP?

La lista de secciones aceptadas por Google no incluye Nebraska. Usa la sección US National, el mensaje de normativas estatales de Google o el RDP en la etiqueta.

¿ConsentMode deja mi sitio en cumplimiento?

ConsentMode no es una CMP ni un despacho de abogados. La auditoría muestra lo que el sitio realmente hace con el opt-out, el GPC, el GPP y la página de privacidad, para que lo corrijas con tu proveedor y tu abogado.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Descubre si el opt-out de tu sitio funciona en Nebraska

La auditoría abre el sitio como visitante de EE. UU., con y sin GPC, y muestra qué corregir, sin modificar nada.

Comenzar la auditoría