Abrir espacio

Guía · Ley estatal de EE. UU.

TIPA: la ley de privacidad de Tennessee sin jerga jurídica

La Tennessee Information Protection Act rige desde el 1 de julio de 2025 y alcanza solo a las empresas grandes. En esta guía entenderás quién debe cumplirla, qué derechos ganó el visitante, cómo funciona la defensa basada en el NIST y qué cambia para un sitio con AdSense o Ad Manager.

Auditar mi sitio para EE. UU.Leer la guía
  • ✓Basado en el texto de la ley y en el resumen del fiscal general de Tennessee
  • ✓Ejemplos prácticos para sitios con anuncios
  • ✓Auditoría de solo lectura, sin modificar el sitio
US$ 25 millonesde ingresos anuales: por debajo de eso la empresa queda fuera de la ley
175 milconsumidores de Tennessee por año: el principal umbral de volumen
60 díasde plazo para corregir después del aviso del fiscal general, sin fecha de vencimiento
45 díaspara responder a las solicitudes de los consumidores, con explicación y apelación cuando haya una negativa

Qué es

Una ley estatal de privacidad centrada en las empresas grandes

La TIPA es la ley general de privacidad del estado de Tennessee, en Estados Unidos. Se aprobó en 2023 y entró en vigor el 1 de julio de 2025. La ley da a los residentes del estado derechos sobre sus datos y crea deberes para las empresas que usan esos datos.

El modelo sigue el de las leyes de Virginia y Colorado. El visitante puede pedir acceso, corrección y eliminación de los datos y puede rechazar la venta de los datos, la publicidad dirigida y ciertos tipos de perfilado automatizado. Los datos sensibles solo pueden usarse con consentimiento.

Dos cosas hacen diferente a la TIPA. La primera es el umbral alto: solo entran en la ley las empresas con ingresos anuales superiores a US$ 25 millones. La segunda es la defensa basada en el NIST: la empresa que mantiene un programa de privacidad escrito, alineado con el Privacy Framework del NIST, puede usarlo como defensa en un proceso.

Para el dueño de un sitio brasileño con visitantes en Estados Unidos, la pregunta práctica es simple: ¿tu negocio supera los umbrales? Si los supera, el sitio necesita un aviso de privacidad completo, un camino claro para el opt-out y cuidado con lo que hacen los socios de anuncios con los datos.

Lista de verificación

Lo que debes cumplir

Si tu empresa supera los límites de la TIPA, estos puntos tienen que estar funcionando.

  1. Camino para rechazar la venta y los anuncios

    El residente de Tennessee puede rechazar la publicidad dirigida, la venta de los datos y ciertos perfiles. El sitio tiene que ofrecer ese camino y hacer que el rechazo cambie la solicitud de anuncios.

    Ejemplo

    El mensaje de reglamentos estatales de Google muestra el enlace Do Not Sell or Share My Personal Information para visitantes de Tennessee.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Aviso de privacidad accesible

    La empresa necesita un aviso de privacidad razonablemente accesible. Explica cómo ejerce el visitante sus derechos y cómo apela una respuesta negativa.

    Ejemplo

    Un enlace Privacidad en el pie de página de todas las páginas, que lleve al aviso completo.

  3. Política con las frases que Google exige

    AdSense exige que la política de privacidad avise sobre las cookies de anuncios de Google y de otros proveedores. También tiene que decir cómo rechaza el visitante los anuncios personalizados.

    Ejemplo

    Proveedores terceros, incluido Google, usan cookies para mostrar anuncios según visitas anteriores a tu sitio o a otros sitios. Puedes desactivar la publicidad personalizada en la Configuración de anuncios de Google.

  4. Respuesta en un máximo de 45 días

    Las solicitudes de acceso, corrección, eliminación, portabilidad y opt-out necesitan respuesta en un máximo de 45 días desde que se reciben.

    Ejemplo

    Un correo de privacidad con control de la fecha de llegada de cada solicitud.

  5. Consentimiento para datos sensibles

    Los datos sensibles solo pueden tratarse con el consentimiento del visitante.

    Ejemplo

    Un sitio de salud pregunta antes de usar el tema leído para elegir anuncios: ¿Aceptas? Sí o No.

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni GPP para Tennessee, así que puedes usar el mensaje del propio Google o una CMP con GPP.

Quién debe cumplirla

Los umbrales que colocan a una empresa dentro de la TIPA

La ley se aplica a quien hace negocios en Tennessee u ofrece productos y servicios dirigidos a los residentes del estado. Pero solo si la empresa supera los dos filtros siguientes.

Ingresos superiores a US$ 25 millones

Es el primer filtro y es obligatorio. Una empresa con ingresos anuales menores a esa cifra queda fuera de la TIPA, aunque tenga muchos visitantes de Tennessee.

175 mil consumidores

Además de los ingresos, la empresa debe controlar o tratar datos de al menos 175 mil consumidores de Tennessee en un año calendario.

O 25 mil y venta de datos

La otra puerta de entrada: datos de al menos 25 mil consumidores y la mitad o más de los ingresos brutos provenientes de la venta de información personal.

Quién queda fuera

Los organismos públicos, las instituciones financieras, las entidades de salud cubiertas por la HIPAA, las organizaciones sin fines de lucro y las instituciones de educación superior están exentos.

Definiciones

Las palabras de la ley, en lenguaje de quien tiene un sitio

La TIPA usa el término información personal en lugar de dato personal. El sentido es el mismo que en las otras leyes estatales, con una diferencia importante en la definición de venta.

Información personal

Cualquier información vinculada o que pueda vincularse a una persona identificada o identificable. En el día a día de un sitio, esto incluye cookies, identificadores de anuncios, dirección IP y correo electrónico del boletín.

Información sensible

Origen racial o étnico, creencia religiosa, diagnóstico de salud, orientación sexual, situación migratoria, datos genéticos y biométricos, datos de menores y geolocalización precisa, en un radio de 1.750 pies.

Venta

En la TIPA, la venta es el intercambio de información personal por dinero con un tercero. La ley no habla de otra contraprestación de valor, como sí lo hacen estados como Delaware y Montana.

Publicidad dirigida

Anuncio elegido con base en el comportamiento del visitante a lo largo del tiempo en sitios y apps de otras empresas. El anuncio según el contexto de la página no entra en esta definición.

Derechos de las personas

Qué puede pedir a tu sitio el residente de Tennessee

Las solicitudes deben responderse en un máximo de 45 días. Si la empresa las deniega, debe explicar el motivo y ofrecer un camino de apelación.

Confirmar y acceder

Saber si la empresa trata sus datos y recibir acceso a ellos.

Corregir

Pedir la corrección de datos erróneos, teniendo en cuenta el tipo de dato y la finalidad del uso.

Eliminar

Pedir que los datos proporcionados por él o obtenidos sobre él se borren. Los datos agregados o desidentificados quedan fuera.

Portabilidad

Recibir una copia de los datos en un formato que pueda llevarse a otro servicio, cuando sea técnicamente posible.

Rechazar anuncios dirigidos y venta

Pedir que los datos no se usen para publicidad dirigida y no se vendan. Es el derecho que más afecta a los sitios con anuncios.

Rechazar el perfilado automatizado

Rechazar el uso de los datos en perfilados que lleven a decisiones con efectos legales o de impacto similar, como crédito, vivienda o empleo.

Obligaciones del sitio

Lo que la empresa cubierta debe tener funcionando

  1. Aviso de privacidad completoEl aviso debe decir para qué se usan los datos, qué categorías se tratan, qué categorías se venden a terceros, cómo ejercer los derechos y cómo apelar una respuesta negativa. También debe explicar el derecho a rechazar la venta.
  2. Recopilar solo lo necesarioLa recopilación debe limitarse a lo razonablemente necesario para las finalidades informadas. Usar los datos para otra finalidad exige consentimiento.
  3. Consentimiento para datos sensiblesLos datos sensibles solo pueden tratarse con consentimiento. Los datos de niños menores de 13 años siguen las reglas de la ley federal COPPA.
  4. Evaluación de protección de datosAntes de usar datos para publicidad dirigida, venta, perfilados riesgosos o datos sensibles, la empresa debe registrar una evaluación de riesgos y beneficios. La regla se aplica a las actividades creadas o generadas a partir del 1 de julio de 2024.
  5. Contratos con encargadosLos proveedores que tratan datos en nombre de la empresa necesitan un contrato escrito con confidencialidad, devolución o eliminación de los datos, ayuda en las evaluaciones y las mismas reglas para los subcontratados.
  6. Seguridad razonableLa empresa debe mantener prácticas de seguridad adecuadas al volumen y a la sensibilidad de los datos, y no puede tratar datos de forma que viole las leyes contra la discriminación.

Supervisión y defensa mediante el NIST

Quién supervisa, el plazo de corrección y el programa que puede servir de defensa

Solo el fiscal general de Tennessee puede supervisar la TIPA, y el consumidor no puede demandar a la empresa con base en esta ley. Antes de iniciar una acción, el fiscal general debe enviar un aviso por escrito y dar 60 días a la empresa para corregir. Si la empresa corrige e informa por escrito, el caso se detiene, a menos que la falla se repita. A diferencia de otros estados, este plazo no tiene fecha de vencimiento.

Si la falla no se corrige en el plazo, el fiscal general puede llevar el caso a los tribunales y pedir las sanciones civiles previstas en la ley. El fiscal general puede actuar a partir de investigaciones propias o de reclamaciones de consumidores, que pueden enviarse por el sitio, por correo electrónico o por correo postal. Los valores exactos de las multas están en el texto de la ley, y conviene comprobarlos con un abogado.

La TIPA también incluye una defensa afirmativa. La empresa que mantiene y sigue un programa de privacidad escrito, razonablemente de acuerdo con el Privacy Framework del NIST, el instituto estadounidense de estándares y tecnología, o con un modelo comparable, puede usarlo como defensa. El programa debe dar al consumidor los derechos de la ley y actualizarse en un máximo de dos años después de cada nueva versión del framework. La certificación Global CBPR también puede tenerse en cuenta.

No basta con tener un documento guardado en un cajón. El alcance del programa se mide por el tamaño de la empresa, el tipo de actividad y la sensibilidad de los datos. Para quien vive de los anuncios, documentar qué datos recopila el sitio, qué socios reciben esos datos y cómo funciona el opt-out ya es el comienzo de ese programa.

Cronología

Las fechas de la TIPA

La ley tuvo un largo plazo de adaptación. En noviembre de 2026 ya lleva más de un año en vigor.

  1. 2023

    Ley aprobada

    Tennessee aprueba la Tennessee Information Protection Act y entra en la lista de estados con ley general de privacidad.

  2. 1 de julio de 2024

    Hito de las evaluaciones

    Las actividades de tratamiento creadas o generadas a partir de esta fecha entran en la regla de las evaluaciones de protección de datos. Las actividades anteriores no quedan alcanzadas.

  3. 1 de julio de 2025

    Entrada en vigor

    La TIPA entra en vigor. Las empresas cubiertas deben responder solicitudes, ofrecer opt-out y mantener el aviso de privacidad completo.

  4. 2025

    Material del fiscal general

    El fiscal general publica un resumen de la ley, preguntas frecuentes para consumidores y empresas y un canal para reclamaciones sobre privacidad.

Sitios con AdSense y Ad Manager

Cómo llega a Google el opt-out de Tennessee

La TIPA no obliga a la empresa a reconocer señales universales de opt-out, como el Global Privacy Control, o GPC, que envían algunos navegadores. El visitante debe usar el camino que ofrece el sitio. Aun así, respetar el GPC es una buena práctica y evita problemas con estados donde es obligatorio.

Google ofrece un mensaje de normativas estatales de EE. UU. en AdSense y Ad Manager, en el área Privacidad y mensajes. Incluye a Tennessee entre los estados cubiertos y muestra el enlace Do Not Sell or Share. Cuando el visitante rechaza, Google activa el procesamiento restringido de datos, llamado RDP, y pasa a entregar anuncios que no usan el historial de comportamiento.

Quien usa una CMP propia puede transmitir la elección mediante el GPP, el protocolo de IAB Tech Lab. Existe una sección específica de Tennessee en el GPP, pero la lista de secciones aceptadas por Google no la incluye. Para Google, el camino es la sección US National: el rechazo de la venta, del uso compartido o de la publicidad dirigida en esa sección activa el RDP.

También es posible activar el RDP directamente en la etiqueta, con el parámetro restrictDataProcessing de GPT o el atributo data-restrict-data-processing de AdSense, solo para quien pidió el opt-out. Lo importante es que el rechazo del visitante realmente cambie la solicitud de anuncio.

En la práctica

Qué se puede y qué no con la TIPA

Ejemplos para una empresa que supera los umbrales de la ley y monetiza sitios con anuncios programáticos.

Sí se puede

  • Mostrar anuncios contextuales, elegidos según el tema de la página, a quien pidió el opt-out
  • Usar el mensaje de normativas estatales de Google para ofrecer el enlace Do Not Sell or Share
  • Mantener un único aviso de privacidad para todos los estados, siempre que cubra lo que pide la TIPA
  • Aprovechar evaluaciones de riesgo hechas para otras leyes estatales, si son comparables
  • Usar el programa de privacidad basado en el NIST como defensa, si está escrito y actualizado

No se puede

  • Seguir enviando datos para anuncios personalizados después de que el visitante rechazó
  • Recopilar geolocalización precisa para anuncios sin consentimiento
  • Dejar la página de privacidad sin decir cómo apelar una solicitud denegada
  • Exigir que el visitante cree una cuenta para pedir eliminación o opt-out
  • Tratar el NIST como un sello: sin un programa realmente seguido, no hay defensa

Errores comunes

Dónde tropiezan los sitios con la TIPA

Estos problemas aparecen con frecuencia en sitios que ya cuidan el GDPR y California, pero se olvidan de Tennessee.

Mensaje solo para California

El mensaje de opt-out se configuró hace años solo para California. Los visitantes de Tennessee nunca ven el enlace.

Enlace que no hace nada

El pie de página tiene el enlace de opt-out, pero lleva a una página de texto. La solicitud de anuncio sigue igual después del clic.

Aviso sin venta ni anuncios

La política de privacidad habla de cookies, pero no dice que los datos se usan para publicidad dirigida ni cómo rechazarla.

GPP sin la sección US National

La CMP genera solo secciones estatales que Google no lee. El opt-out existe, pero no llega a los anuncios de Google.

Evaluación nunca realizada

La empresa usa datos para anuncios dirigidos desde 2024, pero no tiene ninguna evaluación de protección de datos registrada.

Creer que es demasiado pequeña

El grupo suma varios sitios y supera los US$ 25 millones de ingresos, pero cada sitio se trata como si estuviera fuera de la ley.

En ConsentMode

Qué revisa la auditoría para Tennessee

  • Abre el sitio como visitante de Estados Unidos y busca el enlace de opt-out en el pie de página, en el menú y en el mensaje de privacidad.
  • Identifica la CMP o el mensaje de Google por el código de la página.
  • Lee la cadena GPP en las solicitudes de anuncios y comprueba si la sección US National existe y cambia después del opt-out.
  • Activa la señal GPC en el navegador de la auditoría y muestra si cambia el comportamiento de la página y de las solicitudes de anuncios.
  • Comprueba si la página de privacidad menciona venta, publicidad dirigida, derechos, apelación y forma de contacto.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes

Mi sitio brasileño tiene visitantes de Tennessee. ¿Debo cumplir la TIPA?

Solo si tu empresa supera los umbrales: ingresos anuales superiores a US$ 25 millones y datos de al menos 175 mil consumidores del estado, o 25 mil consumidores con la mitad o más de los ingresos provenientes de la venta de datos. La mayoría de los sitios pequeños queda fuera. Aun así, estados con umbrales menores, como Delaware, Maryland y Nebraska, pueden alcanzar tu negocio, así que conviene ofrecer el opt-out para todo el tráfico de EE. UU.

¿La TIPA obliga a respetar el GPC?

No. La ley no exige el reconocimiento de señales universales de opt-out. Pero varios otros estados sí lo exigen, así que la mayoría de las CMP ya trata el GPC para todo el tráfico de EE. UU.

¿Qué pasa con los ingresos cuando el visitante rechaza?

Google pasa a usar el procesamiento restringido de datos y entrega anuncios que no usan el historial del visitante. Los ingresos por mil impresiones suelen ser menores para ese público, pero el anuncio sigue apareciendo.

¿La TIPA exige un banner de cookies?

No. La ley funciona con el modelo de opt-out: el sitio puede usar datos para anuncios hasta que el visitante rechace. La excepción son los datos sensibles, que exigen consentimiento previo.

¿Necesito un programa NIST para cumplir la ley?

No. El programa basado en el NIST es una defensa opcional. Ayuda si hay una investigación, pero la empresa debe cumplir la ley de todas formas.

¿ConsentMode resuelve el cumplimiento de la TIPA?

ConsentMode no es un despacho de abogados ni una CMP. La auditoría muestra lo que el sitio realmente hace con el opt-out, el GPP y la página de privacidad, para que lo corrijas con tu proveedor y tu abogado.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Comprueba si el opt-out de tu sitio llega a los anuncios

La auditoría abre el sitio como visitante de EE. UU. y muestra qué corregir, sin modificar nada.

Comenzar la auditoría