Ingresos de US$ 25 millones
Ingresos anuales de US$ 25 millones o más. Sin esta condición, la ley no se aplica, por grande que sea el tráfico.
Guía · Ley estatal de EE. UU.
Utah tiene una de las leyes estatales de privacidad más ligeras de Estados Unidos y solo alcanza a empresas más grandes. Aun así, quien está dentro debe explicar la publicidad dirigida y ofrecer una forma sencilla de rechazar. Mira cuándo se aplica a tu sitio y qué hace Google con la señal.
Qué es
La Utah Consumer Privacy Act, o UCPA, está en el capítulo 61 del título 13 del Código de Utah. Se aprobó en 2022 y entró en vigor el 31 de diciembre de 2023.
La UCPA sigue la estructura de la ley de Virginia, pero es más ligera. No exige evaluaciones de protección de datos, no obliga al sitio a respetar señales automáticas del navegador y permite tratar datos sensibles con aviso y opción de rechazo, en lugar de consentimiento previo.
También es la única de las leyes de este grupo que exige una facturación mínima. Una empresa solo entra si tiene ingresos anuales de al menos US$ 25 millones y, además, un volumen relevante de consumidores de Utah.
Para quien está dentro, la regla central no cambia: el sitio debe avisar que hace publicidad dirigida y ofrecer un camino claro para que el visitante rechace.
Lista de verificación
Valen solo para quien tiene ingresos anuales de US$ 25 millones o más y además supera uno de los límites de volumen.
Quien vende datos o hace publicidad dirigida tiene que mostrar de forma clara y visible cómo rechaza el visitante. La ley no define el texto del enlace.
Pie de página: Do Not Sell or Share My Personal Information
El aviso lista las categorías de datos, las finalidades, cómo ejercer los derechos, los datos pasados a terceros y los tipos de terceros.
Usamos datos de navegación para mostrar anuncios. Compartimos esos datos con redes de anuncios. Para rechazarlo, usa el enlace del pie de página.
Antes de tratar datos sensibles, el sitio da un aviso claro y la posibilidad de rechazar. Para un niño conocido, rige la ley COPPA.
Las solicitudes se responden en un máximo de 45 días. Si necesita 45 más, el sitio avisa al visitante y dice cuánto tiempo más va a tardar.
Desde el 1 de julio de 2026, el visitante también puede pedir la corrección de datos erróneos.
Google no acepta la sección de Utah de la string GPP. Para Utah, la CMP tiene que enviar la US National, o el sitio activa el RDP directo en la etiqueta.
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});El fiscal general avisa por escrito y da 30 días para corregir. Si la falla continúa, la multa llega a US$ 7500 por infracción.
En la práctica
Herramientas oficiales
Google no exige una CMP certificada para Utah. El mensaje de estados de EE. UU. de Google cubre Utah y guarda la elección en la sección US National. Estos son los enlaces oficiales.
A quién se aplica
La ley se aplica a quien hace negocios en Utah u ofrece productos y servicios a residentes del estado y cumple la condición de ingresos y una de las condiciones de volumen.
Ingresos anuales de US$ 25 millones o más. Sin esta condición, la ley no se aplica, por grande que sea el tráfico.
Además de los ingresos, controlar o procesar datos de 100 mil consumidores de Utah o más en un año calendario.
O procesar datos de 25 mil consumidores y obtener más del 50% de los ingresos brutos de la venta de datos personales.
Organismos públicos, entidades sin fines de lucro, instituciones de educación superior y datos cubiertos por leyes federales de finanzas y de salud.
Definiciones
Utah usa definiciones estrechas, parecidas a las de Virginia.
Información vinculada o que pueda vincularse razonablemente a una persona identificada o identificable. Los datos anonimizados y públicos quedan fuera.
Origen racial o étnico, religión, orientación sexual, situación migratoria, historial médico y de salud, datos genéticos, biométricos y ubicación precisa.
Intercambio de datos personales por dinero con un tercero. Como en Virginia, solo cuenta el pago en dinero.
Anuncio elegido con base en datos de las actividades de la persona a lo largo del tiempo en sitios y apps de otras empresas. El anuncio contextual no entra.
Derechos
La empresa tiene 45 días para responder, con posibilidad de prórroga. La lista de derechos es menor que en los otros estados.
Confirmar si la empresa trata sus datos y tener acceso a ellos.
Eliminar los datos que él mismo proporcionó y recibir una copia en un formato que pueda llevar a otro servicio.
Una modificación aprobada en 2025 añadió el derecho de pedir la corrección de datos erróneos, que la ley original no tenía.
Rechazar el uso de los datos para publicidad dirigida y la venta de datos personales.
Obligaciones del sitio
La empresa necesita un aviso de privacidad accesible y claro. Debe enumerar las categorías de datos tratados, las finalidades, cómo ejercer los derechos, las categorías de datos transferidos a terceros y las categorías de esos terceros.
Si el sitio vende datos o hace publicidad dirigida, debe mostrar de forma clara y visible cómo puede rechazar el visitante. La ley no define el texto del enlace, pero debe ser fácil de encontrar, como en el pie de página.
Los datos sensibles solo pueden tratarse después de un aviso claro y de la posibilidad de rechazar. Para los datos de un menor conocido, rige la ley federal COPPA, con consentimiento de los padres.
Utah no exige que el sitio respete el Global Privacy Control ni otras señales automáticas del navegador, y no exige evaluaciones de protección de datos. Eso no impide que la empresa respete el GPC por decisión propia, lo que simplifica la operación en varios estados.
Cronología
La UCPA cambió poco desde que entró en vigor.
Utah aprueba su ley amplia de privacidad del consumidor, la SB 227.
Entran en vigor los derechos, el aviso de privacidad y el opt-out de publicidad dirigida y venta.
La Legislatura de Utah aprueba la inclusión del derecho de corrección.
El visitante ahora puede pedir que se corrijan los datos erróneos.
Supervisión y multas
El fiscal general de Utah tiene competencia exclusiva para aplicar la ley. La División de Protección al Consumidor del estado recibe reclamaciones, investiga y puede derivar el caso al fiscal general. Los ciudadanos no pueden demandar a la empresa con base en la UCPA.
Antes de presentar una demanda, el fiscal general debe enviar un aviso por escrito al menos 30 días antes, señalando cada falla. Si la empresa lo corrige dentro de ese plazo y envía una declaración escrita de que lo corrigió y no lo repetirá, no hay proceso. Este plazo de corrección no tiene fecha de vencimiento.
Si la falla continúa o se repite, el fiscal general puede cobrar los daños reales de los consumidores y una multa de hasta US$ 7.500 por infracción.
En la práctica, el plazo de 30 días ofrece una segunda oportunidad, pero solo a quien lee la notificación y corrige rápido. Tener el aviso y la opción de rechazo funcionando desde el principio evita el problema.
AdSense y Ad Manager
IAB Tech Lab creó una sección propia de Utah en la cadena GPP, pero Google no la acepta. La página de soporte de AdSense incluye la sección de Utah entre las cadenas no compatibles.
Para Utah, Google lee la sección US National. Cuando esta indica rechazo de venta, de uso compartido o de publicidad dirigida, Google activa el procesamiento restringido de datos, el RDP, y muestra solo anuncios no personalizados.
El Mensaje de privacidad para estados de EE. UU., en AdSense y en Ad Manager, incluye Utah y guarda la elección en la sección US National. Si usas otra CMP, comprueba que envíe la sección US National a los visitantes de Utah, y no solo la sección estatal.
Otra opción es activar el RDP directamente en la etiqueta de anuncios, por ejemplo con restrictDataProcessing en GPT, para quienes rechazaron. Recuerda llevar el rechazo también a los socios de header bidding, video y píxeles.
En la práctica
Ejemplos para un sitio con anuncios que supera los límites de la ley.
Errores comunes
La ley es simple, pero la parte técnica suele fallar.
La CMP envía solo la sección de Utah, que Google no acepta, y la solicitud de anuncio sigue sin RDP.
La política habla de cookies, pero no dice que hay publicidad dirigida ni cómo rechazarla.
La empresa supera los US$ 25 millones de ingresos y los 100 mil visitantes de Utah, y no ofrece ninguna opción de rechazo.
La política no menciona el derecho de rectificación que rige desde el 1 de julio de 2026.
En ConsentMode
No. La ley solo se aplica a quienes tienen ingresos anuales de al menos US$ 25 millones y además superan uno de los límites de consumidores. Aun así, los socios de anuncios pueden pedir las señales de rechazo.
La UCPA no lo exige. Muchos sitios lo respetan de todos modos, porque estados como California, Colorado, Connecticut y Oregón sí lo exigen.
Utah exige un aviso claro y la oportunidad de rechazar antes del tratamiento, y no un consentimiento previo. Para los niños, rige la ley federal COPPA.
Para Google, la US National. AdSense informa que no acepta la sección de Utah.
No. ConsentMode no es una CMP y no modifica el sitio. Muestra qué sección se está enviando y qué debes ajustar.
Biblioteca
Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:
La auditoría abre el sitio como visitante de Utah y muestra la cadena enviada a los anuncios, sin cambiar nada.