Abrir espacio

Guía · Estados Unidos

Privacidad en EE. UU.: lo que debe saber un sitio con anuncios

En Estados Unidos no existe una única ley federal de privacidad. Cada estado ha ido creando la suya, casi todas con el modelo de opt-out: los anuncios pueden mostrarse, pero el visitante tiene derecho a decir que no. Esta guía explica ese modelo, California, las señales GPC y GPP y cómo trata Google a los estados estadounidenses.

Auditar mi sitio ahoraLeer la guía
  • ✓Basado en las fuentes oficiales de California, Colorado, Connecticut y Virginia
  • ✓Visión general con enlaces a las guías de cada estado
  • ✓Lectura del sitio sin modificar nada
45 díasplazo de Virginia para responder a las solicitudes, prorrogable una vez
100 milconsumidores u hogares, uno de los límites de la ley de California
US$ 7.988multa máxima por infracción intencional en California en 2025
2023año en que empezaron a regir las primeras leyes estatales después de California

Visión general

Un mosaico, y no una ley única

Estados Unidos no tiene una ley federal general de privacidad como el GDPR o la LGPD. A nivel federal existen leyes por sector y por público. Las más importantes para un sitio con anuncios son la ley de la Comisión Federal de Comercio (FTC Act), que prohíbe las prácticas engañosas y desleales, y la COPPA, que protege los datos de los niños menores de 13 años.

En la práctica, esto significa que la política de privacidad debe decir la verdad. Si el sitio dice que no comparte datos y los pasa a redes de anuncios, la FTC puede tratarlo como una práctica engañosa. Y si el contenido está dirigido a niños, los anuncios personalizados quedan fuera.

El espacio que dejó el nivel federal lo ocuparon los estados. California abrió el camino con la CCPA, y desde 2023 una lista creciente de estados aprobó leyes integrales de privacidad del consumidor. Cada ley tiene sus propios límites de aplicación, plazos y detalles, pero casi todas siguen el mismo diseño.

Lista de verificación

Lo que debes cumplir

Cada estado tiene detalles propios, pero estas obligaciones aparecen en la mayoría de las leyes y en las reglas de Google.

  1. Ofrece un camino fácil para rechazar

    Quien hace publicidad dirigida o vende datos tiene que mostrar de forma clara cómo rechaza el visitante. En California, el enlace va en el encabezado o en el pie de la página principal.

    Ejemplo

    Pie de página de todas las páginas: Do Not Sell or Share My Personal Information

  2. Trata el GPC como rechazo

    California, Colorado desde el 1 de julio de 2024 y Connecticut desde el 1 de enero de 2025 exigen aceptar el Global Privacy Control como solicitud de rechazo. El visitante no tiene que hacer clic en nada.

  3. Pasa el rechazo a Google

    Google activa el procesamiento restringido de datos, el RDP, cuando recibe el rechazo por la string GPP o por la propia etiqueta. Con el RDP, esa visita recibe solo anuncios no personalizados.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

  4. Mantén completa la política de privacidad

    Virginia, Utah y Colorado piden que la política diga qué datos tratas, para qué, con qué tipos de terceros y cómo el visitante ejerce sus derechos.

    Ejemplo

    Usamos cookies de socios de anuncios para mostrar anuncios según tu navegación. Para rechazarlo, usa el enlace Do Not Sell or Share My Personal Information del pie de página.

  5. Pide permiso antes de usar datos sensibles

    Virginia, Colorado y Connecticut exigen consentimiento para datos como salud, religión y orientación sexual. En Utah, hace falta un aviso claro y la posibilidad de rechazar antes.

  6. Responde las solicitudes a tiempo

    Las solicitudes de acceso, corrección o eliminación se responden en un máximo de 45 días en California, Virginia, Colorado, Connecticut y Utah, con una prórroga de otros 45. En California, el rechazo debe atenderse en un máximo de 15 días hábiles.

  7. Cuida a los menores de edad

    En California, vender o compartir datos de quien sabes que tiene menos de 16 años exige autorización previa. Por debajo de los 13 años, la autorización viene de los padres.

  8. Revisa los socios de anuncios

    En AdSense y en Ad Manager, el control Revisar tus socios de anuncios, en Privacidad y mensajes, define qué compradores pueden mostrar anuncios en los estados con ley.

    Ejemplo

    Privacidad y mensajes > Reglamentos estatales de EE. UU. > ícono de configuración > Revisar tus socios de anuncios

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada para los estados de EE. UU. Dice que usar GPP o una CMP no es obligatorio, pero el rechazo del visitante tiene que llegar a los anuncios. Estos son los caminos oficiales.

El modelo estatal

Opt-out: se puede mostrar, pero la persona puede decir que no

En Europa, lo habitual es pedir permiso antes. En los estados de EE. UU., lo habitual es permitir y dar al visitante una forma fácil de rechazar.

Publicidad dirigida

El visitante puede rechazar que sus datos se usen para anuncios basados en lo que hace en otros sitios y apps.

Venta o uso compartido

El visitante puede rechazar la venta de sus datos. En California, esto incluye el uso compartido para publicidad conductual entre contextos.

Datos sensibles

La salud, el origen racial, la religión, la orientación sexual y la ubicación precisa tienen protección adicional. En varios estados exigen consentimiento, y en California el visitante puede limitar el uso.

Señal automática del navegador

California, Colorado y Connecticut, entre otros, exigen respetar las señales de opt-out enviadas por el navegador, como el Global Privacy Control.

California

CCPA y CPRA: la ley que sirve de referencia

La Ley de Privacidad del Consumidor de California (CCPA) fue ampliada por la Proposición 24, aprobada en noviembre de 2020, conocida como CPRA. Rige para las empresas con fines de lucro que hacen negocios en California y alcanzan al menos uno de estos límites.

Facturación

Ingresos brutos anuales a partir de US$ 26.625.000 en el año anterior, valor ajustado por inflación desde el 1 de enero de 2025.

Volumen de personas

Comprar, vender o compartir datos de 100 mil o más residentes u hogares de California. Un sitio con mucho tráfico estadounidense puede llegar a ese punto.

Ingresos por datos

Obtener el 50% o más de los ingresos anuales de la venta o el uso compartido de datos personales de residentes de California.

Enlace de opt-out

Quien vende o comparte necesita un enlace claro, por lo general en el pie de página, con el texto Do Not Sell or Share My Personal Information, Your Privacy Choices o Your California Privacy Choices.

Los otros estados

Qué estados ya tienen leyes integrales

Después de California, las primeras leyes en entrar en vigor fueron las de Virginia, el 1 de enero de 2023, y las de Colorado y Connecticut, el 1 de julio de 2023. Utah vino después, con una ley más acotada.

La lista continuó con Texas, Oregón, Montana, Iowa, Delaware, Nebraska, New Hampshire, Nueva Jersey, Tennessee, Minnesota y Maryland. Las leyes de Indiana, Kentucky y Rhode Island empezaron a regir el 1 de enero de 2026.

Los límites cambian de un estado a otro. En Virginia, por ejemplo, la ley alcanza a quien trata datos de al menos 100 mil consumidores al año, o de 25 mil consumidores con más de la mitad de los ingresos provenientes de la venta de datos. En Colorado, el límite es de 100 mil consumidores, o ingresos por la venta de datos de 25 mil o más.

Como cada estado tiene sus propios detalles, ConsentMode tiene guías separadas para los principales. Esta página da la visión de conjunto. La regla práctica es configurar el sitio una sola vez según el modelo más exigente y aplicar el opt-out en todos los estados con una ley vigente.

Derechos

Los derechos que se repiten en casi todas las leyes

Los nombres varían, pero el conjunto de derechos es bastante parecido de un estado a otro.

Saber y acceder

Preguntar qué datos tiene la empresa y para qué los usa.

Corregir

Pedir la corrección de datos erróneos.

Borrar

Pedir la eliminación de los datos, con algunas excepciones previstas en la ley.

Portabilidad

Recibir una copia de los datos en un formato que se pueda llevar a otro servicio.

Rechazar (opt-out)

Decir no a la publicidad dirigida, a la venta de datos y a ciertos tipos de perfiles.

Apelar

En varios estados, impugnar la respuesta negativa de la empresa y pedir un nuevo análisis. Los plazos de respuesta son cortos: en Virginia, 45 días para atender las solicitudes, prorrogables una vez.

Señales

GPC y GPP: las dos señales que el sitio debe entender

El Global Privacy Control (GPC) es una señal que envía el propio navegador, en navegadores como Firefox, Brave y DuckDuckGo o mediante una extensión. Funciona como un botón de dejar de vender o compartir mis datos. California exige que las empresas respeten esta señal como una solicitud válida de opt-out.

En Colorado, aceptar mecanismos universales de opt-out pasó a ser obligatorio el 1 de julio de 2024, y el GPC fue el primero reconocido por el estado. En Connecticut, la obligación rige desde el 1 de enero de 2025. Es decir: un visitante con el GPC activado debe ser tratado como si hubiera hecho clic en el enlace de opt-out.

El Global Privacy Platform (GPP) es otra cosa. Es el formato creado por IAB Tech Lab para que la CMP transmita la elección del visitante a todos los socios de anuncios, con secciones para los estados de EE. UU. Reemplaza a la antigua cadena US Privacy, que IAB dejó de usar en enero de 2024.

Resumen: el GPC es la solicitud que llega del navegador. La GPP es la forma en que la CMP avisa a Google y a las otras redes de lo que el visitante eligió.

Cronología

Cómo se fue formando el mapa estadounidense

Fechas confirmadas en las fuentes oficiales de cada estado.

  1. Noviembre de 2020

    Proposición 24 en California

    Los votantes aprueban la CPRA, que amplía la CCPA y crea la agencia estatal de privacidad (CPPA).

  2. 1 de enero de 2023

    CPRA y Virginia

    Empiezan a regir las nuevas protecciones de California y la ley de Virginia. Google amplía el procesamiento restringido de datos a las leyes estatales.

  3. 1 de julio de 2023

    Colorado y Connecticut

    Las dos leyes entran en vigor con derecho de opt-out de la publicidad dirigida.

  4. Enero de 2024

    Fin de la cadena US Privacy

    IAB deja de usar la cadena US Privacy en favor de la GPP.

  5. 1 de julio de 2024

    Opt-out universal en Colorado

    Las empresas pasan a tener que aceptar señales como el GPC.

  6. 1 de enero de 2025

    Connecticut y nuevos valores en California

    Connecticut pasa a exigir el respeto de las señales de opt-out. California ajusta por inflación los límites y las multas.

  7. 1 de enero de 2026

    Indiana, Kentucky y Rhode Island

    Tres nuevas leyes estatales empiezan a regir. En California, entran en vigor reglas sobre decisiones automatizadas, evaluaciones de riesgo y auditorías.

AdSense y Ad Manager

Cómo trata Google a los estados de EE. UU.

Google ofrece el procesamiento restringido de datos (RDP) desde 2019, creado para la CCPA, y lo amplió en enero de 2023 a las leyes estatales. Con el RDP activado, Google limita el uso de identificadores y solo sirve anuncios no personalizados para esa visita.

El RDP puede activarse de tres formas: mediante una CMP que envía la señal GPP, mediante una configuración en cada solicitud de anuncio en la etiqueta del sitio, o para todo el tráfico de los estados aplicables en la configuración de Privacidad y mensajes. La configuración por solicitud combina bien con un enlace de opt-out en el pie de página.

En AdSense y en Ad Manager también existe el control Revisar tus socios de anuncios, en Reglamentos de los estados de EE. UU., para elegir qué compradores pueden servir anuncios a los usuarios de esos estados. Google recomienda migrar de la cadena US Privacy a la GPP, aunque todavía lee la cadena antigua por compatibilidad.

A diferencia de Europa, Google no exige una CMP certificada para Estados Unidos. Pero el editor sigue siendo responsable de ofrecer el opt-out que exigen las leyes estatales y de mantener correcta la política de privacidad.

Qué hacer

Cómo configurar un sitio con tráfico estadounidense

  1. Mide el tráfico por estadoMira en Analytics cuántos visitantes vienen de California y de los otros estados con ley. Eso ayuda a saber qué límites puede alcanzar el sitio.
  2. Actualiza la política de privacidadExplica qué datos usan los anuncios, qué socios los reciben, qué derechos tiene el visitante y cómo ejercerlos, citando las leyes estatales aplicables.
  3. Pon el enlace de opt-out en el pie de páginaUsa un texto aceptado, como Do Not Sell or Share My Personal Information o Your Privacy Choices, que lleve a una página o mensaje que funcione de verdad.
  4. Respeta el GPCConfigura la CMP o el sitio para tratar la señal GPC como un opt-out automático, sin pedir nada más al visitante.
  5. Transmite la elección a GoogleUsa la GPP mediante la CMP, el RDP por solicitud o el mensaje de estados de EE. UU. en Privacidad y mensajes.
  6. Revisa a los sociosEn AdSense o en Ad Manager, comprueba en Reglamentos de los estados de EE. UU. qué socios pueden servir anuncios en esos estados.

En la práctica

Qué se puede y qué no se puede para visitantes estadounidenses

Ejemplos basados en el modelo de opt-out de las leyes estatales.

Sí se puede

  • Mostrar anuncios personalizados por defecto, ofreciendo un opt-out claro
  • Usar un enlace Your Privacy Choices en el pie de página de todas las páginas
  • Activar el RDP de Google solo para quienes hicieron opt-out o para los estados con ley
  • Tratar el GPC como opt-out sin abrir ningún banner
  • Usar la misma página de opt-out para todos los estados con ley
  • Enviar la elección a los socios mediante la cadena GPP

No se puede

  • Enlace de opt-out que lleva a una página sin ninguna acción real
  • Pedir registro o inicio de sesión para que el visitante haga el opt-out
  • Ignorar la señal GPC de visitantes de California
  • Seguir enviando datos para remarketing después del opt-out
  • Mostrar el mensaje europeo del TCF al público estadounidense
  • Dirigir anuncios personalizados en contenido para niños menores de 13 años

En ConsentMode

Qué revisa la auditoría para visitantes de EE. UU.

  • Abre el sitio como visitante de California y muestra en una captura si aparece el enlace de opt-out y adónde lleva.
  • Repite la visita con la señal GPC activada y comprueba si el sitio y las etiquetas cambian de comportamiento.
  • Lee la cadena GPP o la antigua US Privacy en el código de la página e identifica la CMP.
  • Comprueba si las solicitudes de anuncio llevan la señal de procesamiento restringido después del opt-out.
  • Lee la política de privacidad y señala si faltan derechos, socios o las leyes estatales.
Hacer una auditoríaVer todo lo que se revisa

Preguntas frecuentes sobre las leyes de EE. UU.

Mi sitio es brasileño. ¿Me afectan las leyes estadounidenses?

Pueden afectarte, si el sitio hace negocios con residentes del estado y alcanza los límites de la ley, como el volumen de visitantes de California. Cada ley tiene sus propios criterios. Ante la duda, ofrecer el opt-out y respetar el GPC es una configuración simple y segura.

¿Necesito un banner de cookies para EE. UU.?

Por regla general, no en el formato europeo. El modelo estadounidense pide un enlace de opt-out y transparencia en la política de privacidad. Para los datos sensibles, algunos estados piden consentimiento.

¿Qué pasa con los ingresos cuando activo el RDP?

Las visitas con RDP reciben solo anuncios no personalizados, que suelen pagar menos. Por eso lo ideal es activar el RDP para quienes hicieron opt-out, y no para todo el tráfico del mundo.

¿Cuál es la diferencia entre GPC y GPP?

El GPC es la señal que envía el navegador del visitante diciendo que no se vendan sus datos. La GPP es el formato que usa la CMP para transmitir la elección del visitante a las redes de anuncios.

¿Cuáles son las multas en California?

Desde el 1 de enero de 2025, hasta US$ 2.663 por infracción y hasta US$ 7.988 por infracción intencional o que involucre a menores de 16 años. Las otras leyes estatales tienen valores propios, como hasta US$ 7.500 por infracción en Virginia.

¿Dónde encuentro los detalles de cada estado?

ConsentMode tiene guías separadas para los principales estados. Esta página resume lo que tienen en común y lo que cambia en Google.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Prueba el opt-out de tu sitio como un visitante estadounidense

La auditoría comprueba el enlace de opt-out, el GPC, la GPP y las señales enviadas a Google, y muestra qué corregir.

Comenzar la auditoría