Guía · Ley estatal de EE. UU.

NJDPA: la ley de Nueva Jersey explicada sin jerga jurídica

La New Jersey Data Privacy Act rige desde el 15 de enero de 2025 y exige que el sitio respete el GPC desde julio de 2025. En esta guía entenderás quién debe cumplirla, qué cuenta como dato sensible, las multas, la situación de la reglamentación y qué cambia para un sitio con AdSense o Ad Manager.

Auditar mi sitio para EE. UU.Leer la guía

✓Basado en las preguntas frecuentes de la División de Asuntos del Consumidor
✓Ejemplos prácticos para sitios con anuncios
✓Auditoría de solo lectura, sin modificar el sitio

100 milconsumidores de Nueva Jersey por año: el umbral principal de la ley

25 milconsumidores bastan si la empresa gana dinero con la venta de datos personales

US$ 10 milde multa máxima por la primera infracción

US$ 20 milde multa máxima por infracción repetida

Qué es

Una ley de privacidad sin exención para quienes no tienen fines de lucro

La New Jersey Data Privacy Act, o NJDPA, es la ley general de privacidad de Nueva Jersey. Se sancionó en enero de 2024 y entró en vigor el 15 de enero de 2025. Las empresas cubiertas y los encargados que trabajan para ellas deben cumplir la ley desde esa fecha.

El modelo sigue el de Connecticut, con algunos puntos más estrictos. Los datos financieros y la condición de persona trans o no binaria son datos sensibles. Las entidades sin fines de lucro y las pequeñas empresas no están exentas si superan los umbrales. Y el sitio debe respetar las señales universales de opt-out, como el GPC, desde el 15 de julio de 2025.

La ley manda a la División de Asuntos del Consumidor crear una reglamentación, y llegó a presentarse una propuesta de reglas para comentarios públicos. Pero la obligación de cumplir la ley no depende de esas reglas: las empresas y los encargados deben cumplir desde el 15 de enero de 2025. Antes de seguir cualquier detalle de la reglamentación, comprueba en el sitio de la División qué está realmente en vigor.

Para un sitio con visitantes de Estados Unidos, Nueva Jersey pesa por el tamaño de su público. El estado es muy poblado, así que un portal con tráfico estadounidense relevante puede superar los 100 mil consumidores sin darse cuenta.

Lista de verificación

Lo que debes cumplir

Si tu sitio supera los límites de la NJDPA, estos puntos tienen que estar funcionando.

1
Respetar el GPC
Desde el 15 de julio de 2025, el sitio tiene que aceptar señales universales de opt-out, como el GPC. Quien llega con la señal activada debe ser tratado como quien rechazó la venta y los anuncios dirigidos.
Ejemplo
Visitante con GPC activado: el sitio activa el procesamiento restringido de datos de Google solo para él, sin pedir otro clic.
```

<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});
```
Mostrar un camino claro para rechazar
Quien vende datos o hace publicidad dirigida tiene que ofrecer una forma clara de rechazar. El aviso de privacidad debe explicar cómo usa el visitante ese derecho.
Ejemplo
El mensaje de reglamentos estatales de Google muestra el enlace Do Not Sell or Share My Personal Information.
Aviso de privacidad completo
El aviso dice qué datos trata el sitio, para qué, con quién los comparte y cómo el visitante pide acceso, corrección, eliminación o apela.
Ejemplo
Para pedir el acceso, la corrección o la eliminación de tus datos, escribe a privacidad@tusitio.com.
Política con las frases que Google exige
AdSense exige que la política de privacidad avise sobre las cookies de anuncios de Google y de otros proveedores. También tiene que decir cómo rechaza el visitante los anuncios personalizados.
Ejemplo
Proveedores terceros, incluido Google, usan cookies para mostrar anuncios según visitas anteriores a tu sitio o a otros sitios. Puedes desactivar la publicidad personalizada en la Configuración de anuncios de Google.
Consentimiento para datos sensibles
Los datos sensibles solo pueden tratarse con consentimiento. En Nueva Jersey, la lista incluye información financiera.
Ejemplo
Un simulador de crédito pregunta antes: ¿Podemos usar tus respuestas para mostrar ofertas? Sí o No.
Consentimiento de adolescentes
Si sabes o deberías saber que el visitante tiene de 13 a 16 años, la División dice que se necesita su consentimiento antes de tratar los datos personales.
Evaluación de protección de datos
Al tratar datos sensibles o hacer actividades de alto riesgo, registra por escrito una evaluación de riesgos y beneficios.

En la práctica

Lo correcto y lo incorrecto

IncorrectoEl sitio ignora el GPC y sigue pidiendo anuncios personalizados para ese visitante.
CorrectoEl navegador manda el GPC y el sitio trata la señal como rechazo de venta y de anuncios dirigidos.
IncorrectoEl sitio hace publicidad dirigida y no ofrece ningún camino para rechazar.
CorrectoEl pie de página muestra el enlace Do Not Sell or Share My Personal Information y el rechazo cambia la solicitud de anuncios.
IncorrectoUn simulador pasa los ingresos del visitante a los socios de anuncios sin preguntar.
CorrectoEl sitio pide consentimiento antes de usar datos financieros que el visitante escribió.
IncorrectoLa política es vaga y no dice cómo pedir la eliminación ni cómo rechazar la venta.
CorrectoLa política explica datos, finalidades, terceros y derechos, con un enlace fácil de encontrar.

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni GPP para Nueva Jersey, así que puedes usar el mensaje del propio Google o una CMP con GPP.

Quién debe cumplirla

Los umbrales que colocan tu sitio dentro de la NJDPA

La ley se aplica a quien hace negocios en Nueva Jersey u ofrece productos y servicios dirigidos a los residentes del estado y, en un año calendario, supera uno de los umbrales siguientes.

100 mil consumidores

Controla o trata datos personales de al menos 100 mil consumidores de Nueva Jersey durante el año.

25 mil y venta de datos

Controla o trata datos de al menos 25 mil consumidores y gana dinero con la venta de datos personales, en palabras de la División de Asuntos del Consumidor.

También sin fines de lucro

Las entidades sin fines de lucro y las pequeñas empresas no están excluidas. Si superan los umbrales, deben cumplir la ley.

También los encargados

Los proveedores que tratan datos en nombre de una empresa cubierta también tienen deberes, como seguir las instrucciones y el contrato.

Definiciones

Las palabras de la ley, en lenguaje de quien tiene un sitio

Las definiciones de Nueva Jersey se parecen a las de Connecticut, con una lista de datos sensibles más amplia.

Dato personal

Información que identifica o puede identificar a una persona específica. En el sitio, entran las cookies, los identificadores de dispositivo, la IP y el correo electrónico del boletín.

Dato sensible

Origen racial o étnico, creencia religiosa, condición de salud, información financiera, vida y orientación sexual, situación migratoria, condición de persona trans o no binaria, datos genéticos o biométricos, geolocalización precisa y datos de menores.

Venta

El intercambio de datos personales por dinero o por otra contraprestación de valor con un tercero. Las transferencias a encargados quedan fuera.

Publicidad dirigida

Anuncio elegido con datos de la actividad del visitante a lo largo del tiempo en sitios y apps de otras empresas. El anuncio según el contexto de la página no entra.

Derechos de las personas

Qué puede pedir el residente de Nueva Jersey

El consumidor no puede demandar a la empresa con base en esta ley, pero puede reclamar ante la División de Asuntos del Consumidor. La empresa debe responder a las solicitudes y ofrecer apelación.

Confirmar y acceder

Saber si la empresa trata sus datos y tener acceso a ellos.

Corregir

Pedir la corrección de datos erróneos.

Eliminar

Pedir la eliminación de los datos personales.

Portabilidad

Recibir una copia de los datos en un formato que pueda llevar a otro servicio.

Rechazar anuncios dirigidos y venta

Pedir que los datos no se usen para publicidad dirigida y no se vendan, incluso mediante una señal universal como el GPC.

Rechazar el perfilado automatizado

Rechazar perfilados que lleven a decisiones con efectos legales o de impacto similar.

Obligaciones del sitio

Lo que el sitio cubierto debe tener funcionando

Aviso de privacidad completoEl aviso debe explicar qué categorías de datos se tratan, para qué, cómo ejercer los derechos y apelar, qué datos van a terceros y qué tipos de terceros reciben esos datos.
Opt-out claro y GPCQuien vende datos o hace publicidad dirigida debe mostrar un camino claro para rechazar y, desde el 15 de julio de 2025, aceptar señales universales de opt-out, como el GPC.
Consentimiento para datos sensiblesLos datos sensibles, incluida la información financiera, solo pueden tratarse con el consentimiento del visitante.
Protección para adolescentesPara los consumidores de 13 a 16 años, la empresa necesita consentimiento antes de usar los datos para publicidad dirigida, venta o perfilados. Para los menores de 13, rige la ley federal COPPA.
Evaluación de protección de datosAntes de tratamientos de riesgo elevado, como la venta de datos, los datos sensibles y los perfilados que puedan causar un trato injusto o daño, la empresa debe evaluar por escrito los riesgos y beneficios.
Contratos con encargadosLos proveedores que tratan datos en nombre de la empresa siguen sus instrucciones, bajo un contrato con las reglas del tratamiento.

Supervisión y multas

Multas por infracción y fin del plazo de corrección

La ley es supervisada por la Fiscalía General de Nueva Jersey y por la División de Asuntos del Consumidor, con las herramientas de la ley estatal contra el fraude al consumidor.

US$ 10 mil la primera vez

La multa puede llegar a US$ 10 mil por la primera infracción.

US$ 20 mil en las siguientes

Las infracciones repetidas pueden costar hasta US$ 20 mil cada una. La Fiscalía también puede pedir una orden judicial e indemnización para las víctimas.

El plazo de corrección terminó

Hasta el 1 de julio de 2026, la División avisaba a la empresa y daba 30 días para corregir las fallas que tenían solución. Ese período terminó.

Reclamación del consumidor

El consumidor presenta la reclamación en el sitio de la División de Asuntos del Consumidor. No puede demandar a la empresa con base en esta ley.

Cronología

Las fechas de la NJDPA

En noviembre de 2026, la ley está en vigor, el GPC es obligatorio, el plazo de corrección terminó y la reglamentación todavía debe comprobarse en el sitio de la División.

Enero de 2024
Sanción
Nueva Jersey aprueba la ley general de privacidad.
15 de enero de 2025
Entrada en vigor
Las empresas cubiertas y los encargados pasan a cumplir la ley.
2025
Propuesta de reglamentación
La División de Asuntos del Consumidor presenta una propuesta de reglas para comentarios públicos. La ley ya rige independientemente de ella.
15 de julio de 2025
GPC obligatorio
El sitio cubierto debe respetar las señales universales de opt-out, como el Global Privacy Control.
1 de julio de 2026
Fin del plazo de corrección
Termina el período en que la División daba 30 días para corregir antes de actuar.

Sitios con AdSense y Ad Manager

GPC obligatorio y el camino del opt-out hasta Google

Desde el 15 de julio de 2025, el sitio cubierto debe respetar las señales universales de opt-out. Las propias preguntas frecuentes de la División citan el Global Privacy Control, o GPC, como ejemplo. Para el visitante que llega con el GPC activado, el sitio debe actuar como si hubiera hecho clic en el enlace de opt-out.

Google ofrece en AdSense y Ad Manager un mensaje de normativas estatales de EE. UU., en Privacidad y mensajes, y Nueva Jersey está entre los estados incluidos. El mensaje muestra el enlace Do Not Sell or Share. El rechazo activa el procesamiento restringido de datos, llamado RDP, y Google deja de usar el comportamiento anterior para elegir los anuncios.

Sobre el GPC, Google dice que el socio que implementó la señal puede elegir activar el RDP al recibir un GPC de opt-out. La configuración queda a cargo del sitio o de la CMP, y puede hacerse en la etiqueta, con el parámetro restrictDataProcessing de GPT o el atributo data-restrict-data-processing de AdSense.

En el GPP existe una sección específica de Nueva Jersey, pero no está en la lista de secciones aceptadas por Google. Para Google, el camino es la sección US National, en la que el rechazo de la venta, el uso compartido o la publicidad dirigida activa el RDP.

En la práctica

Qué se puede y qué no en Nueva Jersey

Ejemplos para un sitio con tráfico de Nueva Jersey que monetiza con anuncios programáticos.

Sí se puede

Mostrar anuncios contextuales a quien rechazó o llegó con el GPC activado
Usar el mensaje de normativas estatales de Google para ofrecer el enlace de opt-out
Llevar el opt-out a Google mediante la sección US National del GPP
Aplicar el GPC a todo el tráfico de EE. UU., para simplificar la configuración
Seguir cumpliendo la ley aunque no haya reglamentación adoptada, con base en el texto legal

No se puede

Ignorar el GPC y seguir solicitando anuncios personalizados para ese visitante
Tratar información financiera del visitante, como los datos de un simulador de crédito, sin consentimiento
Usar datos de adolescentes de 13 a 16 años para anuncios dirigidos sin consentimiento
Creer que tu ONG o asociación está fuera solo por no tener fines de lucro
Contar con 30 días para corregir después de un aviso: ese período terminó en julio de 2026

Errores comunes

Dónde tropiezan los sitios con la NJDPA

Estos problemas aparecen en sitios que configuraron la privacidad de EE. UU. mirando solo a California.

Olvidar los datos financieros

Los sitios de finanzas recopilan ingresos o deudas en formularios y calculadoras y los transfieren a socios. En Nueva Jersey, eso es un dato sensible y exige consentimiento.

GPC solo en California

La CMP aplica el GPC solo para California, y la señal de los visitantes de Nueva Jersey se ignora.

Esperar la reglamentación

La empresa pospuso los ajustes esperando las reglas finales. La ley rige desde enero de 2025, con o sin reglamentación.

Opt-out que no cambia los anuncios

El visitante rechaza, pero las solicitudes de anuncios siguen sin RDP y sin opt-out en la cadena GPP.

Sección estatal sola en el GPP

La CMP envía solo la sección de Nueva Jersey, que Google no lee. Sin la US National, el opt-out no llega a Google.

Política sin terceros

La página de privacidad no dice qué tipos de terceros, como redes de anuncios y socios de medición, reciben los datos.

En ConsentMode

Qué revisa la auditoría para Nueva Jersey

Abre el sitio como visitante de Estados Unidos y busca el enlace de opt-out en el pie de página, en el menú y en el mensaje de privacidad.
Activa la señal GPC en el navegador de la auditoría y compara la página y las solicitudes de anuncios con la señal y sin ella.
Lee la cadena GPP, comprueba si existe la sección US National y registra el opt-out.
Identifica la CMP o el mensaje de normativas estatales de Google por el código de la página.
Comprueba si la página de privacidad incluye categorías de datos, finalidades, terceros, derechos y apelación.

Hacer una auditoría Ver todo lo que se revisa

GPC ignorado para visitantes de EE. UU.Privacidad en EE. UU. · todas las páginas

Grave

✓CMP identificadaok

✕Opt-out aplicado cuando el navegador envía el GPCausente

!Sección US National en la cadena GPPrevisar

✓Enlace de opt-out visible en el pie de páginaok

Cómo corregirlo: activa la lectura del GPC en la CMP para todo el tráfico de EE. UU. y comprueba que el opt-out active el procesamiento restringido de datos en las solicitudes a Google.

Preguntas frecuentes

¿La reglamentación de Nueva Jersey ya está vigente?

Se presentó una propuesta de reglas para comentarios públicos, pero comprueba en el sitio de la División de Asuntos del Consumidor si hay reglas finales en vigor antes de seguir cualquier detalle de ellas. La ley en sí rige desde el 15 de enero de 2025, con o sin reglamentación.

¿Estoy obligado a respetar el GPC?

Sí, si la ley se aplica a tu sitio. Desde el 15 de julio de 2025, deben respetarse las señales universales de opt-out, como el GPC.

Mi asociación no tiene fines de lucro. ¿Estoy fuera?

No. En Nueva Jersey, las entidades sin fines de lucro y las pequeñas empresas deben cumplir la ley si superan los umbrales.

¿Vender datos en pequeña cantidad ya me pone en el umbral de 25 mil?

Puede ponerte. Según la División de Asuntos del Consumidor, el segundo umbral se aplica a quien trata datos de al menos 25 mil consumidores y gana dinero con la venta de datos personales. La División no menciona un valor mínimo de ingresos, así que conviene confirmar tu caso con un abogado.

¿Todavía tengo plazo para corregir después de un aviso?

El plazo de 30 días regía hasta el 1 de julio de 2026. Después de eso, la División puede actuar sin dar ese plazo.

¿ConsentMode deja mi sitio en cumplimiento?

ConsentMode no es una CMP ni un despacho de abogados. La auditoría muestra lo que el sitio realmente hace con el opt-out, el GPC, el GPP y la página de privacidad, para que lo corrijas con tu proveedor y tu abogado.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Comprueba si tu sitio respeta el GPC en Nueva Jersey

La auditoría abre el sitio como visitante de EE. UU., con y sin GPC, y muestra qué corregir, sin modificar nada.

Comenzar la auditoría