¿Qué leyes de privacidad de los estados de EE. UU. afectan a tu banner de cookies?

Todos los artículos

Diecinueve estados de EE. UU. tienen en vigor una ley general de privacidad, Florida tiene una más limitada y otras cuatro están firmadas. Ninguna exige consentimiento explícito al estilo europeo para las cookies normales. Todas esperan una exclusión operativa de la venta y de la publicidad segmentada, y doce, entre ellas California, Colorado, Texas y Nueva Jersey, exigen respetar Global Privacy Control.

El umbral, los plazos y el enlace a la ley de cada estado están en nuestro mapa de leyes estatales de privacidad de EE. UU., con una calculadora que muestra qué leyes alcanzan a tu empresa. Este artículo trata de lo que significan para tu banner.

¿Qué estados de EE. UU. tienen una ley de privacidad en vigor?

A 5 de octubre de 2026, diecinueve estados tienen en vigor una ley general de privacidad del consumidor. California fue la primera, en 2020. Virginia, Colorado, Connecticut y Utah llegaron en 2023, y Oregón, Texas y Montana en 2024. Otros ocho llegaron en 2025, e Indiana, Kentucky y Rhode Island el 1 de enero de 2026. La Digital Bill of Rights de Florida, también de 2024, suele contarse aparte porque solo alcanza a empresas con más de $1.000 millones de ingresos.

Oklahoma y Luisiana llegan el 1 de enero de 2027, Alabama el 1 de mayo de 2027 y Vermont el 1 de enero de 2028.

Cada ley tiene su propio umbral. La mayoría empiezan en 100.000 residentes al año, o menos si vendes datos. Algunas bajan mucho más: Montana empieza en 25.000; Delaware, New Hampshire, Maryland y Rhode Island, en 35.000, y desde el 1 de julio de 2026 Connecticut cubre a cualquiera que trate datos sensibles o venda cualquier dato personal. Texas y Nebraska no tienen ningún umbral numérico; eximen a las pequeñas empresas tal como las define la SBA. Tennessee solo se aplica por encima de $25 millones de ingresos.

¿Las leyes estatales de privacidad de EE. UU. exigen un banner de cookies?

No en el sentido europeo. Ningún estado exige consentimiento antes de que se ejecuten las cookies normales de analítica o publicidad. El modelo es de exclusión: los residentes pueden pedirte que dejes de vender sus datos, de usarlos para anuncios segmentados y, en la mayoría de estados, para ciertos perfilados.

Lo que exigen las leyes es una forma de tomar esa decisión. En California eso significa un enlace “Do Not Sell or Share My Personal Information”, o el enlace más corto “Your Privacy Choices” con su icono. Connecticut y Delaware piden un enlace claro a una página donde la gente pueda excluirse. La mayoría de los demás estados piden que expliques en tu aviso de privacidad cómo excluirse. Un banner cumple todo esto a la vez, en la página donde ocurre el seguimiento.

Hay dos excepciones en sentido contrario. Los datos sensibles, como la salud, la ubicación precisa o los datos de un menor, necesitan consentimiento explícito en la mayoría de estados. Y los adolescentes reciben más protección. Connecticut y Maryland ya prohíben la publicidad segmentada y la venta para usuarios que se sabe que tienen menos de 18 años, y Oregón hace lo mismo con los menores de 16 conocidos.

¿Qué estados exigen respetar Global Privacy Control?

Global Privacy Control es una señal del navegador que dice “no vendas ni cedas mis datos”. Brave y DuckDuckGo la envían por defecto, y Firefox tiene un ajuste para ella. Doce estados la tratan, a ella o a una señal similar, como una exclusión válida.

Texas, Nebraska y Maryland lo formulan como un agente que actúa a través de un ajuste del navegador. California va más allá: desde el 1 de enero de 2026 su reglamento exige que la web muestre si procesó la señal, por ejemplo con una nota de que se atendió la solicitud de exclusión. A partir de 2027, la AB 566 de California obliga además a los navegadores a ofrecer el ajuste, así que más visitantes la enviarán. Luisiana añade una obligación parecida en 2027 y Vermont en 2028.

Más sobre la propia señal: qué es Global Privacy Control.

¿Por qué han multado los reguladores a las empresas?

California ha anunciado catorce sanciones bajo su ley de privacidad. Las más cercanas a un banner de cookies:

• Honda, $632.500 (marzo de 2025). Permitir todo costaba un clic y rechazar, más. La agencia lo calificó de patrón engañoso.
• Todd Snyder, $345.178 (mayo de 2025). Una plataforma de consentimiento mal configurada dejó sin procesar las exclusiones durante 40 días. La agencia dijo que usar un proveedor no traslada la responsabilidad.
• Healthline, $1,55 millones (julio de 2025). El banner decía que las cookies de seguimiento estaban desactivadas cuando no lo estaban, y se ignoraba GPC.
• Tractor Supply, $1,35 millones (septiembre de 2025). No había una exclusión operativa y no se procesaban las señales GPC.
• Sling TV, $530.000 (octubre de 2025). Desactivar las cookies no detenía la venta ni la cesión de datos.
• Disney, $2,75 millones (febrero de 2026). GPC y las exclusiones se aplicaban a un navegador o dispositivo, no a la cuenta con la sesión iniciada.
• Ford, $375.703 (marzo de 2026). Los visitantes tenían que verificar una dirección de correo antes de que se procesara una exclusión.

En septiembre de 2025, los reguladores de California, Colorado y Connecticut también hicieron una revisión conjunta de las webs que ignoran GPC. El hilo común: la elección tiene que cambiar lo que la página hace de verdad.

¿Qué cambió en 2026?

• 1 de enero: entraron en vigor la norma de California sobre mostrar que se respetó GPC, las obligaciones de GPC en Delaware y Oregón y las leyes de Indiana, Kentucky y Rhode Island.
• 30 de junio: Nueva Jersey prohibió sin más la venta de datos sensibles, sin excepción por consentimiento.
• 1 de julio: Connecticut bajó su umbral a 35.000 residentes y prohibió la publicidad segmentada y la venta para menores de 18 conocidos.
• 30 de septiembre: California firmó la SB 690, que a partir de 2027 deja en manos del Fiscal General las demandas por pen register relacionadas con el seguimiento en webs. Las demandas por escuchas (wiretap) relacionadas con píxeles no se ven afectadas.

¿Cómo configuras un solo banner para todos los estados?

No necesitas cincuenta banners. Una sola configuración que cumpla las normas comunes más estrictas cubre la parte del banner de todas las leyes estatales. Algunas obligaciones quedan fuera del banner, como la prohibición de Nueva Jersey de vender datos sensibles.

1. Haz que rechazar sea tan fácil como aceptar

   Pon rechazar junto a aceptar en la primera capa, del mismo tamaño y con el mismo número de clics. Las normas de California dicen que un banner con solo “Aceptar todo” y “Preferencias” no ofrece una elección justa, y que cerrar el banner no cuenta como aceptar. Las normas de Colorado piden la misma simetría, y es el estándar más fácil de aplicar en todas partes.

2. Haz que el rechazo detenga de verdad las etiquetas

   Las etiquetas de publicidad tienen que seguir la señal de publicidad. En Google Tag Manager, cada etiqueta comprueba ad_storage, ad_user_data y ad_personalization. Pruébalo: rechaza, recarga y confirma que no se dispara ninguna etiqueta de publicidad.

3. Respeta Global Privacy Control automáticamente

   Lee la señal en cada página y trátala como una exclusión de la venta y de la publicidad segmentada, sin necesidad de clic. Mantenla aplicada mientras la señal esté presente.

4. Dile al visitante que se respetó la señal

   California ya lo exige, y en el resto no cuesta nada. Basta con una línea corta en el banner.

5. Añade el enlace de exclusión

   Pon nombre al rechazo, o añade un enlace en el pie de página que diga “Do Not Sell or Share My Personal Information” o “Your Privacy Choices”. Haz que lleve a las preferencias, no a un formulario que pida una dirección de correo.

6. Guarda un registro de cada elección

   Guarda cuándo se tomó la decisión, cuál fue y si había GPC, para poder responder más adelante a un regulador o a una solicitud.

¿Cómo gestiona Velo las leyes estatales de privacidad de EE. UU.?

Velo hace por ti los pasos tres a seis, en todos los planes, también en Free:

• GPC respetado automáticamente. Un visitante cuyo navegador lo envía obtiene un rechazo de la publicidad registrado, sin necesidad de clic.
• El aviso de California, incluido. El banner le dice al visitante que se aplicó la señal y que la publicidad está desactivada.
• La etiqueta legal. Los valores por defecto regionales pueden cambiar el texto del botón de rechazo a “Do not sell or share my personal information”.
• Un recibo de cada elección. Cada decisión se guarda con la región y el estado de GPC.
• Un solo ajuste para todos los estados. Velo lee el país del visitante, no su estado, así que una nueva ley estatal no necesita un banner nuevo. También puedes aplicar consentimiento explícito a todo Estados Unidos.

Para ver qué tiene que detener un rechazo en tu propia web, haz el análisis gratuito: enumera las cookies y etiquetas que cargan tus páginas. Después configura el banner de cookies gratis y compruébalo desde un navegador con GPC.