Abrir espacio

Guía · Ley estatal de EE. UU.

UCPA: la ley de Utah explicada para quienes tienen anuncios

Utah tiene una de las leyes estatales de privacidad más ligeras de Estados Unidos y solo alcanza a empresas más grandes. Aun así, quien está dentro debe explicar la publicidad dirigida y ofrecer una forma sencilla de rechazar. Mira cuándo se aplica a tu sitio y qué hace Google con la señal.

  • ✓Basado en el texto oficial del Código de Utah
  • ✓Ejemplos pensados para sitios con AdSense y Ad Manager
  • ✓Auditoría de solo lectura, sin modificar el sitio
US$ 25 millonesingresos anuales mínimos para que la ley se aplique, sumados a un umbral de consumidores
100 milconsumidores de Utah por año, el umbral de volumen para las empresas que superan la facturación
30 díasplazo para corregir una falla después del aviso por escrito del fiscal general
US$ 7.500multa máxima por infracción, además de los daños reales a los consumidores

Qué es

Una ley acotada, pensada para no pesar sobre las empresas pequeñas

La Utah Consumer Privacy Act, o UCPA, está en el capítulo 61 del título 13 del Código de Utah. Se aprobó en 2022 y entró en vigor el 31 de diciembre de 2023.

La UCPA sigue la estructura de la ley de Virginia, pero es más ligera. No exige evaluaciones de protección de datos, no obliga al sitio a respetar señales automáticas del navegador y permite tratar datos sensibles con aviso y opción de rechazo, en lugar de consentimiento previo.

También es la única de las leyes de este grupo que exige una facturación mínima. Una empresa solo entra si tiene ingresos anuales de al menos US$ 25 millones y, además, un volumen relevante de consumidores de Utah.

Para quien está dentro, la regla central no cambia: el sitio debe avisar que hace publicidad dirigida y ofrecer un camino claro para que el visitante rechace.

Lista de verificación

Lo que debes cumplir

Valen solo para quien tiene ingresos anuales de US$ 25 millones o más y además supera uno de los límites de volumen.

  1. Muestra con claridad cómo rechazar

    Quien vende datos o hace publicidad dirigida tiene que mostrar de forma clara y visible cómo rechaza el visitante. La ley no define el texto del enlace.

    Ejemplo

    Pie de página: Do Not Sell or Share My Personal Information

  2. Publica un aviso de privacidad claro

    El aviso lista las categorías de datos, las finalidades, cómo ejercer los derechos, los datos pasados a terceros y los tipos de terceros.

    Ejemplo

    Usamos datos de navegación para mostrar anuncios. Compartimos esos datos con redes de anuncios. Para rechazarlo, usa el enlace del pie de página.

  3. Avisa antes de usar datos sensibles

    Antes de tratar datos sensibles, el sitio da un aviso claro y la posibilidad de rechazar. Para un niño conocido, rige la ley COPPA.

  4. Responde en 45 días

    Las solicitudes se responden en un máximo de 45 días. Si necesita 45 más, el sitio avisa al visitante y dice cuánto tiempo más va a tardar.

  5. Atiende la solicitud de corrección

    Desde el 1 de julio de 2026, el visitante también puede pedir la corrección de datos erróneos.

  6. Usa la sección US National con Google

    Google no acepta la sección de Utah de la string GPP. Para Utah, la CMP tiene que enviar la US National, o el sitio activa el RDP directo en la etiqueta.

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });
  7. Corrige rápido si te notifican

    El fiscal general avisa por escrito y da 30 días para corregir. Si la falla continúa, la multa llega a US$ 7500 por infracción.

En la práctica

Lo correcto y lo incorrecto

Herramientas oficiales

CMPs certificadas y enlaces oficiales

Google no exige una CMP certificada para Utah. El mensaje de estados de EE. UU. de Google cubre Utah y guarda la elección en la sección US National. Estos son los enlaces oficiales.

A quién se aplica

Facturación y volumen, los dos al mismo tiempo

La ley se aplica a quien hace negocios en Utah u ofrece productos y servicios a residentes del estado y cumple la condición de ingresos y una de las condiciones de volumen.

Ingresos de US$ 25 millones

Ingresos anuales de US$ 25 millones o más. Sin esta condición, la ley no se aplica, por grande que sea el tráfico.

100 mil consumidores

Además de los ingresos, controlar o procesar datos de 100 mil consumidores de Utah o más en un año calendario.

O 25 mil y venta de datos

O procesar datos de 25 mil consumidores y obtener más del 50% de los ingresos brutos de la venta de datos personales.

Quién queda fuera

Organismos públicos, entidades sin fines de lucro, instituciones de educación superior y datos cubiertos por leyes federales de finanzas y de salud.

Definiciones

Los términos que importan para quien vende anuncios

Utah usa definiciones estrechas, parecidas a las de Virginia.

Dato personal

Información vinculada o que pueda vincularse razonablemente a una persona identificada o identificable. Los datos anonimizados y públicos quedan fuera.

Dato sensible

Origen racial o étnico, religión, orientación sexual, situación migratoria, historial médico y de salud, datos genéticos, biométricos y ubicación precisa.

Venta

Intercambio de datos personales por dinero con un tercero. Como en Virginia, solo cuenta el pago en dinero.

Publicidad dirigida

Anuncio elegido con base en datos de las actividades de la persona a lo largo del tiempo en sitios y apps de otras empresas. El anuncio contextual no entra.

Derechos

Qué puede pedir el visitante de Utah

La empresa tiene 45 días para responder, con posibilidad de prórroga. La lista de derechos es menor que en los otros estados.

Acceso

Confirmar si la empresa trata sus datos y tener acceso a ellos.

Eliminación y portabilidad

Eliminar los datos que él mismo proporcionó y recibir una copia en un formato que pueda llevar a otro servicio.

Corrección, desde el 1 de julio de 2026

Una modificación aprobada en 2025 añadió el derecho de pedir la corrección de datos erróneos, que la ley original no tenía.

Opt-out

Rechazar el uso de los datos para publicidad dirigida y la venta de datos personales.

Obligaciones del sitio

Aviso de privacidad, rechazo y datos sensibles

La empresa necesita un aviso de privacidad accesible y claro. Debe enumerar las categorías de datos tratados, las finalidades, cómo ejercer los derechos, las categorías de datos transferidos a terceros y las categorías de esos terceros.

Si el sitio vende datos o hace publicidad dirigida, debe mostrar de forma clara y visible cómo puede rechazar el visitante. La ley no define el texto del enlace, pero debe ser fácil de encontrar, como en el pie de página.

Los datos sensibles solo pueden tratarse después de un aviso claro y de la posibilidad de rechazar. Para los datos de un menor conocido, rige la ley federal COPPA, con consentimiento de los padres.

Utah no exige que el sitio respete el Global Privacy Control ni otras señales automáticas del navegador, y no exige evaluaciones de protección de datos. Eso no impide que la empresa respete el GPC por decisión propia, lo que simplifica la operación en varios estados.

Cronología

Las fechas de la ley de Utah

La UCPA cambió poco desde que entró en vigor.

  1. 2022

    Ley aprobada

    Utah aprueba su ley amplia de privacidad del consumidor, la SB 227.

  2. 31 de diciembre de 2023

    Entrada en vigor

    Entran en vigor los derechos, el aviso de privacidad y el opt-out de publicidad dirigida y venta.

  3. 2025

    Modificación aprobada

    La Legislatura de Utah aprueba la inclusión del derecho de corrección.

  4. 1 de julio de 2026

    Derecho de rectificación en vigor

    El visitante ahora puede pedir que se corrijan los datos erróneos.

Supervisión y multas

Fiscal general, división de defensa del consumidor y plazo de 30 días

El fiscal general de Utah tiene competencia exclusiva para aplicar la ley. La División de Protección al Consumidor del estado recibe reclamaciones, investiga y puede derivar el caso al fiscal general. Los ciudadanos no pueden demandar a la empresa con base en la UCPA.

Antes de presentar una demanda, el fiscal general debe enviar un aviso por escrito al menos 30 días antes, señalando cada falla. Si la empresa lo corrige dentro de ese plazo y envía una declaración escrita de que lo corrigió y no lo repetirá, no hay proceso. Este plazo de corrección no tiene fecha de vencimiento.

Si la falla continúa o se repite, el fiscal general puede cobrar los daños reales de los consumidores y una multa de hasta US$ 7.500 por infracción.

En la práctica, el plazo de 30 días ofrece una segunda oportunidad, pero solo a quien lee la notificación y corrige rápido. Tener el aviso y la opción de rechazo funcionando desde el principio evita el problema.

AdSense y Ad Manager

Cómo trata Google al visitante de Utah

IAB Tech Lab creó una sección propia de Utah en la cadena GPP, pero Google no la acepta. La página de soporte de AdSense incluye la sección de Utah entre las cadenas no compatibles.

Para Utah, Google lee la sección US National. Cuando esta indica rechazo de venta, de uso compartido o de publicidad dirigida, Google activa el procesamiento restringido de datos, el RDP, y muestra solo anuncios no personalizados.

El Mensaje de privacidad para estados de EE. UU., en AdSense y en Ad Manager, incluye Utah y guarda la elección en la sección US National. Si usas otra CMP, comprueba que envíe la sección US National a los visitantes de Utah, y no solo la sección estatal.

Otra opción es activar el RDP directamente en la etiqueta de anuncios, por ejemplo con restrictDataProcessing en GPT, para quienes rechazaron. Recuerda llevar el rechazo también a los socios de header bidding, video y píxeles.

En la práctica

Qué se puede y qué no se puede en Utah

Ejemplos para un sitio con anuncios que supera los límites de la ley.

Sí se puede

  • Mostrar anuncios personalizados sin pedir permiso antes, con un enlace de rechazo visible
  • Guardar el rechazo de los visitantes de Utah en la sección US National de la GPP
  • Respetar el GPC por decisión propia, aunque no sea obligatorio
  • Tratar datos sensibles después de un aviso claro y con opción de rechazo
  • Mostrar anuncios contextuales a quien rechazó

No se puede

  • Enviar solo la sección de Utah y creer que Google la va a leer
  • Dejar el rechazo escondido en medio de la política de privacidad
  • Tratar datos de salud o ubicación precisa sin aviso y sin oportunidad de rechazo
  • Ignorar una notificación del fiscal general y perder el plazo de 30 días
  • Negar la corrección de datos erróneos después de julio de 2026

Errores comunes

Dónde suelen equivocarse los sitios con Utah

La ley es simple, pero la parte técnica suele fallar.

Sección equivocada de la GPP

La CMP envía solo la sección de Utah, que Google no acepta, y la solicitud de anuncio sigue sin RDP.

Política sin anuncios

La política habla de cookies, pero no dice que hay publicidad dirigida ni cómo rechazarla.

Creer que Utah no importa

La empresa supera los US$ 25 millones de ingresos y los 100 mil visitantes de Utah, y no ofrece ninguna opción de rechazo.

Derechos desactualizados

La política no menciona el derecho de rectificación que rige desde el 1 de julio de 2026.

En ConsentMode

Qué revisa la auditoría sobre la UCPA

  • Abre el sitio como visitante de Utah y busca el enlace de rechazo de la publicidad dirigida en un lugar visible.
  • Lee la cadena GPP en las solicitudes de anuncio y muestra si incluye la sección US National, que es la que Google lee para Utah.
  • Identifica la CMP y comprueba si el rechazo cambia la cadena antes de las solicitudes de anuncio y de header bidding.
  • Registra si el sitio respeta el GPC, algo que no se exige en Utah, pero sí en otros estados.
  • Lee la política de privacidad y señala si faltan finalidades, terceros, derechos y la forma de rechazar.

Preguntas frecuentes sobre la ley de Utah

Mi sitio factura menos de US$ 25 millones. ¿Se aplica la UCPA?

No. La ley solo se aplica a quienes tienen ingresos anuales de al menos US$ 25 millones y además superan uno de los límites de consumidores. Aun así, los socios de anuncios pueden pedir las señales de rechazo.

¿Debo respetar el GPC en Utah?

La UCPA no lo exige. Muchos sitios lo respetan de todos modos, porque estados como California, Colorado, Connecticut y Oregón sí lo exigen.

¿Necesito consentimiento para datos sensibles?

Utah exige un aviso claro y la oportunidad de rechazar antes del tratamiento, y no un consentimiento previo. Para los niños, rige la ley federal COPPA.

¿Qué sección de la GPP debo enviar para Utah?

Para Google, la US National. AdSense informa que no acepta la sección de Utah.

¿ConsentMode configura mi CMP?

No. ConsentMode no es una CMP y no modifica el sitio. Muestra qué sección se está enviando y qué debes ajustar.

Biblioteca

Fuentes oficiales

Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:

Descubre si Google está leyendo tu rechazo

La auditoría abre el sitio como visitante de Utah y muestra la cadena enviada a los anuncios, sin cambiar nada.

Comenzar la auditoría