Abrir espacio

Guía · Ley estatal de EE. UU.

TDPSA: la ley de Texas explicada para quienes tienen anuncios

La ley de Texas no usa un número de visitantes para decidir quién debe cumplirla. Mira si la empresa es pequeña según los criterios federales. En esta guía entenderás esa regla, qué puede rechazar el visitante y cómo el fiscal general de Texas ha venido supervisando.

Auditar mi sitio para TexasLeer la guía
  • ✓Basado en la ley y en la página del fiscal general de Texas
  • ✓Ejemplos pensados para sitios con AdSense y Ad Manager
  • ✓Auditoría de solo lectura, sin modificar el sitio
2avisos con texto obligatorio para quienes venden datos sensibles o biométricos
30 díasplazo para corregir una falla después del aviso del fiscal general, antes de la acción
US$ 7.500multa civil máxima por infracción
45 díasplazo para responder a las solicitudes de los consumidores, prorrogable por otros 45

Qué es

Una ley estatal de amplio alcance y supervisión activa

La Texas Data Privacy and Security Act, o TDPSA, está en el capítulo 541 del Código de Negocios y Comercio de Texas. Se aprobó en 2023 y entró en vigor el 1 de julio de 2024.

La estructura se parece a la de Virginia: derechos del consumidor, opt-out de publicidad dirigida y de venta, consentimiento para datos sensibles y evaluaciones de protección de datos. La gran diferencia está en quién debe cumplirla.

En lugar de exigir un número mínimo de visitantes, la TDPSA se aplica a quien hace negocios en Texas o tiene productos o servicios consumidos por texanos, trata datos personales y no es una pequeña empresa según los criterios de la agencia federal de pequeñas empresas, la SBA.

Para un sitio con anuncios, esto significa que el tamaño de la empresa importa más que el tráfico. Y el fiscal general de Texas ya mostró que usa la ley: en enero de 2025 demandó a la aseguradora Allstate y a la empresa de datos Arity con base en ella.

Lista de verificación

Lo que debes cumplir

Si tu empresa no es pequeña según los criterios de la SBA y tiene visitantes de Texas, esta es la lista básica.

  1. Publicar un aviso de privacidad completo

    El aviso tiene que ser claro y fácil de encontrar. Lista los datos tratados, las finalidades, los datos compartidos, las categorías de terceros, los canales de solicitud y cómo apelar.

    Ejemplo

    Enlace Política de privacidad en el pie de página de todas las páginas, que lleve al aviso completo.

  2. Decir que hay publicidad dirigida y cómo rechazar

    Quien vende datos o hace publicidad dirigida tiene que decirlo de forma clara y visible. Junto con eso, tiene que explicar cómo rechaza el visitante.

    Ejemplo

    Frase en el aviso: usamos tus datos para publicidad dirigida. Para rechazarlo, usa el enlace Do Not Sell or Share My Personal Information.

  3. Usar la frase exacta si vendes datos sensibles

    La ley manda publicar un aviso con texto fijo, en inglés, a quien vende datos sensibles o biométricos.

    Ejemplo

    NOTICE: We may sell your sensitive personal data. Para datos biométricos: NOTICE: We may sell your biometric personal data.

  4. Pedir consentimiento para datos sensibles

    Los datos sensibles solo pueden tratarse con consentimiento. Hasta la pequeña empresa necesita consentimiento antes de vender esos datos.

    Ejemplo

    Antes de usar la ubicación precisa del visitante, muestra una pregunta con las opciones Permitir y No permitir.

  5. Aceptar el rechazo enviado por el navegador

    Desde el 1 de enero de 2025, el visitante puede rechazar con una configuración global del navegador o del dispositivo. Atiéndelo cuando se pueda verificar la solicitud.

    Ejemplo

    Visitante con GPC activado: trátalo como si hubiera hecho clic en rechazar.

  6. Recibir solicitudes sin exigir una cuenta nueva

    Ofrece al menos dos canales seguros para solicitudes y no exijas una cuenta nueva. Responde en un máximo de 45 días, prorrogables por otros 45, y ten un camino de apelación.

    Ejemplo

    Según el fiscal general, el negocio solo en línea con relación directa con el consumidor puede ofrecer solo un correo electrónico, como privacidad@tusitio.com.

  7. Hacer la evaluación de protección de datos

    La publicidad dirigida, la venta de datos y los datos sensibles exigen una evaluación escrita de riesgos y beneficios. El fiscal general puede pedir ese documento.

  8. Llevar el rechazo hasta Google

    Google no exige una CMP para los estados de EE. UU. Usa el mensaje de reglamentos estatales de EE. UU., en Privacidad y mensajes, o activa el procesamiento restringido de datos, el RDP, en la etiqueta para quien rechazó. Con GPP, Google lee la sección US National para Texas.

    Ejemplo

    AdSense o Ad Manager: Privacidad y mensajes, tarjeta Reglamentos estatales de EE. UU., Crear. Después elige los sitios y publica.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada ni GPP para las leyes estatales de EE. UU. Puedes usar el mensaje del propio Google o activar el RDP en la etiqueta.

A quién se aplica

La regla de la pequeña empresa

La TDPSA no tiene un umbral propio de visitantes ni de facturación. La pregunta principal es si tu empresa es pequeña según los criterios de la SBA.

Negocios vinculados a Texas

Hacer negocios en Texas o tener productos y servicios consumidos por residentes del estado. Un sitio con público texano puede encajar.

Tratar o vender datos

Procesar datos personales o vender esos datos. Las cookies y los identificadores de anuncios son datos personales.

No ser una pequeña empresa

La SBA define la pequeña empresa por sector, con base en la facturación o el número de empleados. Quien supera ese tamaño entra en la ley.

Excepción que vale para todos

Incluso la pequeña empresa necesita el consentimiento del consumidor antes de vender sus datos sensibles.

Definiciones

Los términos que importan para quien vende anuncios

Texas define la venta de forma amplia, incluidos los intercambios que no involucran dinero.

Dato personal

Información vinculada o que pueda vincularse razonablemente a una persona identificada o identificable. Los datos anonimizados y públicos quedan fuera.

Dato sensible

Origen racial o étnico, religión, salud mental o física, sexualidad, situación migratoria, datos genéticos y biométricos, datos de un menor conocido y ubicación precisa.

Venta

Compartir, divulgar o transferir datos personales a un tercero a cambio de dinero o de otro valor. Las alianzas de datos a cambio de un servicio pueden contar.

Publicidad dirigida

Anuncio elegido con base en datos de las actividades de la persona a lo largo del tiempo en sitios y apps de otras empresas. El anuncio contextual no entra.

Obligaciones del sitio

Aviso de privacidad con frases obligatorias

La empresa necesita un aviso de privacidad claro y accesible. Enumera las categorías de datos tratados, las finalidades, cómo ejercer los derechos y apelar, las categorías de datos transferidos a terceros y las categorías de esos terceros.

Texas exige textos exactos en dos casos. Quien vende datos sensibles debe incluir en el aviso la frase NOTICE: We may sell your sensitive personal data. Quien vende datos biométricos debe incluir NOTICE: We may sell your biometric personal data. Los avisos aparecen en inglés, como exige la ley.

Quien vende datos o hace publicidad dirigida también debe mostrarlo de forma clara y visible, junto con el camino para rechazar. El rechazo no puede exigir la creación de una cuenta nueva.

Los datos sensibles solo pueden tratarse con consentimiento. Para un menor conocido, de menos de 13 años, rige la ley federal COPPA, con consentimiento de los padres.

Derechos, opt-out y evaluaciones

Derechos del visitante, rechazo desde el navegador y evaluaciones

El visitante de Texas puede saber si la empresa trata sus datos, acceder a ellos, llevarse una copia, corregirlos, eliminarlos y rechazar la publicidad dirigida, la venta y ciertos perfilados, sin sufrir represalias. La empresa responde en un máximo de 45 días, prorrogables por otros 45, y debe ofrecer apelación a quien vea denegada su solicitud.

Desde el 1 de enero de 2025, la ley permite que el visitante rechace la publicidad dirigida y la venta de datos mediante una tecnología, como una configuración global del navegador o del dispositivo, que funciona como un agente autorizado. La empresa debe atenderla cuando pueda verificar la identidad y la autorización. La ley no menciona el Global Privacy Control por su nombre, pero el GPC es el ejemplo más conocido de este tipo de configuración.

En la práctica, el camino más seguro es que la CMP detecte el GPC, marque al visitante como rechazado y transmita ese rechazo a todos los socios de anuncios antes de la primera solicitud.

La empresa también debe hacer evaluaciones de protección de datos para la publicidad dirigida, la venta de datos, los datos sensibles y ciertos perfilados. La evaluación compara beneficios y riesgos y el fiscal general puede pedirla en una investigación.

Cronología

Las fechas de la ley de Texas

Fechas confirmadas en la página del fiscal general de Texas y en comunicados oficiales.

  1. 2023

    Ley aprobada

    Texas aprueba la TDPSA, que entra en el capítulo 541 del Código de Negocios y Comercio.

  2. 1 de julio de 2024

    Entrada en vigor

    Entran en vigor los derechos, los avisos obligatorios, el opt-out y las evaluaciones.

  3. 1 de enero de 2025

    Rechazo desde el navegador

    Entra en vigor el rechazo mediante una configuración global del navegador o del dispositivo.

  4. enero de 2025

    Demanda contra Allstate

    El fiscal general demanda a Allstate y a Arity por el uso de datos de ubicación sin aviso ni consentimiento.

Supervisión y multas

Fiscal general con poder exclusivo y plazo de 30 días

El fiscal general de Texas tiene competencia exclusiva para aplicar la TDPSA. Puede exigir documentos, pedir una orden judicial, cobrar multas y honorarios. El ciudadano no puede demandar a la empresa, pero puede presentar una queja en el sitio del fiscal general.

Antes de presentar la acción, el fiscal general debe avisar por escrito. La empresa tiene 30 días para corregir y enviar una declaración escrita con documentos que demuestren la corrección, incluidos los cambios en las políticas internas. Este plazo no tiene fecha de vencimiento.

Quien no corrige en el plazo o incumple la declaración enviada queda sujeto a una multa civil de hasta US$ 7.500 por infracción.

En enero de 2025, el fiscal general acusó a Allstate y a Arity de recopilar y vender la ubicación precisa de conductores mediante aplicaciones, sin el aviso y el consentimiento exigidos para los datos sensibles.

AdSense y Ad Manager

Cómo trata Google al visitante de Texas

IAB Tech Lab tiene una sección de Texas en la cadena GPP, pero Google no la incluye entre las secciones aceptadas por AdSense. Para Texas, Google lee la sección US National.

Cuando la US National indica un rechazo de la venta, del uso compartido o de la publicidad dirigida, Google activa el procesamiento restringido de datos, el RDP, y muestra solo anuncios no personalizados.

El mensaje de normativas estatales de EE. UU., en AdSense y Ad Manager, incluye Texas y guarda la elección en la sección US National. Con otra CMP, comprueba que envíe la US National a los visitantes texanos y que marque el rechazo cuando el GPC está activado.

Otra opción es activar el RDP directamente en la etiqueta de anuncios, por ejemplo con restrictDataProcessing en GPT, para quien rechazó. El rechazo también debe llegar al header bidding, al video y a los píxeles.

En la práctica

Qué se puede y qué no en Texas

Ejemplos para un sitio con anuncios que está dentro de la ley.

Sí se puede

  • Mostrar anuncios personalizados a adultos sin pedir permiso antes, con un enlace de rechazo visible
  • Tratar el GPC y otras configuraciones globales como un rechazo de la publicidad dirigida
  • Guardar el rechazo en la sección US National de la GPP
  • Mostrar anuncios contextuales a quien rechazó
  • Corregir la falla y enviar la declaración escrita dentro de los 30 días posteriores a una notificación

No se puede

  • Vender datos sensibles sin consentimiento, aunque se sea una pequeña empresa
  • Vender datos sensibles sin la frase de aviso obligatoria en la política
  • Exigir la creación de una cuenta para rechazar la publicidad dirigida
  • Ignorar una configuración global de rechazo porque el visitante no hizo clic en el banner
  • Recopilar ubicación precisa mediante una app sin aviso ni consentimiento

Errores comunes

Dónde suelen equivocarse los sitios con Texas

La ausencia de un umbral de visitantes confunde a mucha gente.

Buscar un número de visitantes

La empresa busca un umbral de 100 mil visitantes que no existe en Texas y no comprueba si es una pequeña empresa según la SBA.

Sección estatal sin US National

La CMP envía solo la sección de Texas, que AdSense no acepta, y los anuncios siguen siendo personalizados.

Configuración global ignorada

El sitio respeta el GPC solo para California y olvida que, desde 2025, la ley de Texas prevé el rechazo mediante una configuración global del navegador.

Política sin el aviso exigido

La empresa vende datos sensibles, pero la política no incluye la frase obligatoria.

En ConsentMode

Qué revisa la auditoría sobre la TDPSA

  • Abre el sitio como visitante de Texas con el GPC desactivado y activado y compara las solicitudes de anuncios.
  • Lee la cadena GPP y muestra si la sección US National está presente e indica el rechazo.
  • Busca el enlace de rechazo en un lugar visible y comprueba si lleva a una pantalla de elección, sin registro.
  • Identifica la CMP y comprueba si las etiquetas de anuncios y de header bidding esperan su respuesta.
  • Lee la política de privacidad y señala si faltan los derechos, los terceros, la publicidad dirigida y las frases obligatorias cuando hay venta de datos sensibles.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes sobre la ley de Texas

Mi sitio es pequeño. ¿Me aplica la TDPSA?

Si la empresa es pequeña según los criterios de la SBA, la mayor parte de la ley no se aplica. La excepción es la venta de datos sensibles, que exige consentimiento a cualquier empresa. Los criterios de la SBA cambian por sector, así que conviene consultarlo con tu contador o abogado.

¿Necesito un banner de consentimiento para Texas?

Para los anuncios personalizados a adultos, no. La ley pide opt-out. El consentimiento se exige para los datos sensibles.

¿Texas obliga a respetar el GPC?

Desde el 1 de enero de 2025, la ley manda atender los rechazos enviados mediante una configuración global del navegador o del dispositivo, cuando sea posible verificar la identidad y la autorización. La ley no menciona el GPC por su nombre, pero es el ejemplo más conocido, y respetarlo es el camino más seguro.

¿Qué sección de la GPP debo enviar para Texas?

Para Google, la US National. La sección de Texas existe en el estándar de IAB, pero AdSense no la incluye como aceptada.

¿ConsentMode me dice si soy una pequeña empresa?

No. Ese es un análisis jurídico y contable. ConsentMode audita el sitio desde fuera y muestra si el enlace, las señales y la política están en su lugar.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Comprueba si el rechazo de Texas llega a los anuncios

La auditoría abre el sitio como visitante de Texas, con y sin GPC, y muestra qué corregir sin modificar nada.

Comenzar la auditoría