Diecinueve estados tienen una ley general de privacidad en vigor, Florida tiene una más limitada y otros cuatro ya la han firmado. Doce esperan que las webs respeten Global Privacy Control. Aquí tienes cada una y lo que hace Velo al respecto.
Información general, revisada en septiembre de 2026. No es asesoramiento jurídico.
Seis preguntas, contrastadas con los umbrales de cada ley. Aplica tu cifra estatal más alta a todos los estados, así que muestra cada ley que puede alcanzarte con ese tamaño. Un primer filtro, no asesoramiento legal.
Hay 20 leyes estatales en vigor (19 generales más la ley más limitada de Florida) y otras 4 ya están firmadas. Comprobado el 5 de octubre de 2026. Información general, no asesoramiento legal. Qué significa para tu banner.
| Estado | Ley | En vigor desde | Global Privacy Control | Datos sensibles | Plazo de subsanación | Se aplica a | Fuente |
|---|---|---|---|---|---|---|---|
| CACalifornia | CCPA, modificada por la CPRA | 1 de enero de 2020 | ObligatorioDesde el reglamento de 2020; mostrar el resultado es obligatorio desde el 1 de enero de 2026 | Derecho a limitar su uso | Ninguno | $26,6M de ingresos, o 100.000 consumidores u hogares, o la mitad de los ingresos por vender o ceder datos | Leer la ley |
| VAVirginia | Consumer Data Protection Act | 1 de enero de 2023 | No obligatorio | Consentimiento explícito | 30 días, permanente | 100.000 consumidores, o 25.000 y más de la mitad de los ingresos por venta de datos | Leer la ley |
| COColorado | Colorado Privacy Act | 1 de julio de 2023 | Obligatoriodesde el 1 de julio de 2024 | Consentimiento explícito | Terminó el 1 de enero de 2025 | 100.000 consumidores, o 25.000 y cualquier ingreso o descuento por venta de datos | Leer la ley |
| CTConnecticut | Connecticut Data Privacy Act | 1 de julio de 2023 | Obligatoriodesde el 1 de enero de 2025 | Consentimiento explícito | Terminó el 31 de diciembre de 2024; ahora es discrecional | 35.000 consumidores, o cualquier dato sensible, o cualquier venta de datos (desde el 1 de julio de 2026) | Leer la ley |
| UTUtah | Consumer Privacy Act | 31 de diciembre de 2023 | No obligatorio | Aviso y posibilidad de excluirse | 30 días, permanente | $25M de ingresos y 100.000 consumidores, o 25.000 y más de la mitad de los ingresos por venta de datos | Leer la ley |
| FLFlorida | Digital Bill of Rights | 1 de julio de 2024 | No obligatorio | Consentimiento explícito, también para vender | 45 días, a discreción del Fiscal General | Empresas con más de $1.000 millones de ingresos mundiales que cumplen otro requisito | Leer la ley |
| OROregón | Oregon Consumer Privacy Act | 1 de julio de 2024 | Obligatoriodesde el 1 de enero de 2026 | Consentimiento explícito; algunas ventas prohibidas | Terminó el 1 de enero de 2026 | 100.000 consumidores, o 25.000 y más del 25% de los ingresos por venta de datos; incluye entidades sin ánimo de lucro | Leer la ley |
| TXTexas | Data Privacy and Security Act | 1 de julio de 2024 | Obligatoriodesde el 1 de enero de 2025Formulado como un agente que usa un ajuste del navegador | Consentimiento explícito | 30 días, permanente | Sin umbral numérico; exentas las pequeñas empresas según la SBA | Leer la ley |
| MTMontana | Consumer Data Privacy Act | 1 de octubre de 2024 | Obligatoriodesde el 1 de enero de 2025 | Consentimiento explícito | Eliminado el 1 de octubre de 2025 | 25.000 consumidores, o 15.000 y más del 25% de los ingresos por venta de datos | Leer la ley |
| DEDelaware | Personal Data Privacy Act | 1 de enero de 2025 | Obligatoriodesde el 1 de enero de 2026 | Consentimiento explícito | Terminó el 31 de diciembre de 2025; ahora es discrecional | 35.000 consumidores, o 10.000 y más del 20% de los ingresos por venta de datos (umbral más bajo desde 2027) | Leer la ley |
| IAIowa | Consumer Data Protection Act | 1 de enero de 2025 | No obligatorio | Aviso y posibilidad de excluirse | 90 días, permanente | 100.000 consumidores, o 25.000 y más de la mitad de los ingresos por venta de datos | Leer la ley |
| NENebraska | Data Privacy Act | 1 de enero de 2025 | Obligatoriodesde el 1 de enero de 2025Formulado como un agente que usa un ajuste del navegador | Consentimiento explícito | 30 días, permanente | Sin umbral numérico; exentas las pequeñas empresas según la SBA | Leer la ley |
| NHNew Hampshire | Data Privacy Act (RSA 507-H) | 1 de enero de 2025 | Obligatoriodesde el 1 de enero de 2025 | Consentimiento explícito | Terminó el 31 de diciembre de 2025; ahora es discrecional | 35.000 consumidores, o 10.000 y más del 25% de los ingresos por venta de datos | Leer la ley |
| NJNueva Jersey | Data Privacy Act | 15 de enero de 2025 | Obligatoriodesde el 15 de julio de 2025 | Consentimiento explícito; venta prohibida desde el 30 de junio de 2026 | Terminó en julio de 2026 | 100.000 consumidores, o 25.000 y cualquier ingreso o descuento por venta de datos | Leer la ley |
| TNTennessee | Information Protection Act | 1 de julio de 2025 | No obligatorio | Consentimiento explícito | 60 días, permanente | $25M de ingresos y 175.000 consumidores, o 25.000 y más de la mitad de los ingresos por venta de datos | Leer la ley |
| MNMinnesota | Consumer Data Privacy Act | 31 de julio de 2025 | Obligatoriodesde el 31 de julio de 2025 | Consentimiento explícito | Terminó el 31 de enero de 2026 | 100.000 consumidores, o 25.000 y más del 25% de los ingresos por venta de datos | Leer la ley |
| MDMaryland | Online Data Privacy Act | 1 de octubre de 2025 | Obligatoriodesde el 1 de octubre de 2025Formulado como un agente que usa un ajuste del navegador | Solo cuando sea estrictamente necesario; venta prohibida | Discrecional, hasta el 1 de abril de 2027 | 35.000 consumidores, o 10.000 y más del 20% de los ingresos por venta de datos | Leer la ley |
| INIndiana | Consumer Data Protection Act | 1 de enero de 2026 | No obligatorio | Consentimiento explícito | 30 días, permanente | 100.000 consumidores, o 25.000 y más de la mitad de los ingresos por venta de datos | Leer la ley |
| KYKentucky | Consumer Data Protection Act | 1 de enero de 2026 | No obligatorio | Consentimiento explícito | 30 días, permanente | 100.000 consumidores, o 25.000 y más de la mitad de los ingresos por venta de datos | Leer la ley |
| RIRhode Island | Data Transparency and Privacy Protection Act | 1 de enero de 2026 | No obligatorio | Consentimiento explícito | Ninguno | 35.000 clientes, o 10.000 y más del 20% de los ingresos por venta de datos | Leer la ley |
| LALuisiana | Louisiana Data Privacy Act (Act 502) | 1 de enero de 2027Firmada, aún no en vigor | Obligatorioa partir del 1 de enero de 2027Formulado como un agente que usa un ajuste del navegador | Consentimiento explícito | 30 días, hasta el 31 de julio de 2027 | Más de $25M de ingresos, o 75.000 consumidores, hogares o dispositivos, o la mitad de los ingresos por vender datos | Leer la ley |
| OKOklahoma | Consumer Data Privacy Act (SB 546) | 1 de enero de 2027Firmada, aún no en vigor | No obligatorio | Consentimiento explícito | 30 días, permanente | 100.000 consumidores, o 25.000 y más de la mitad de los ingresos por venta de datos | Leer la ley |
| ALAlabama | Personal Data Protection Act (Act 2026-552) | 1 de mayo de 2027Firmada, aún no en vigor | No obligatorio | Consentimiento explícito | 45 días, permanente | Más de 25.000 consumidores, o más del 25% de los ingresos por venta de datos; exentas las pequeñas empresas que no venden datos | Leer la ley |
| VTVermont | Data Privacy and Online Surveillance Act (Act 145) | 1 de enero de 2028Firmada, aún no en vigor | Obligatorioa partir del 1 de enero de 2028 | Consentimiento explícito, y solo cuando sea razonablemente necesario | Discrecional, de 2028 a mediados de 2029 | 35.000 consumidores, o datos sensibles de 3.000, o datos de 3.000 puestos a la venta | Leer la ley |
Velo respeta Global Privacy Control para todos los visitantes de Estados Unidos que lo envían, les indica en el banner que se ha aplicado la señal y registra cada elección con un recibo. Lee el país, no el estado, así que una nueva ley estatal no exige ninguna configuración nueva. En todos los planes, desde €0.
El año en que entra en vigor cada ley. California cuenta desde la CCPA; sus modificaciones de la CPRA entraron en vigor en 2023.
Plazos de respuesta en días naturales, salvo que la ley hable de días hábiles. Una exclusión desde el banner se aplica al instante; estos plazos cuentan para las solicitudes enviadas por correo electrónico o formulario.
Las solicitudes para ver, rectificar o suprimir datos tienen un plazo de 45 días en la mayoría de los estados, ampliable una vez otros 45 días si se lo comunicas a tiempo a la persona. Iowa da 90 días; Florida solo amplía 15.
Una exclusión de la venta o la cesión tiene que aplicarse en un plazo de 15 días hábiles, y las solicitudes de información, supresión o rectificación necesitan un acuse de recibo en 10. Desde el 1 de enero de 2026, la web también tiene que mostrar si ha respetado una señal GPC.
La mayoría de los estados da 60 días para resolver un recurso. Colorado y Minnesota dan 45, con una posible ampliación de 60 días; Nueva Jersey y Oregón dan 45. California y Utah no tienen fase de recurso.
| Estado | Acceso, rectificación, supresión | Exclusión de venta y anuncios | Ampliación | Resolución del recurso |
|---|---|---|---|---|
| CACalifornia | 45 días | 15 días hábiles | +45 días | Sin fase de recurso |
| VAVirginia | 45 días | 45 días | +45 días | 60 días |
| COColorado | 45 días | Lo antes posible, en 45 días como máximo | +45 días | 45 días (+60) |
| CTConnecticut | 45 días | 45 días | +45 días | 60 días |
| UTUtah | 45 días | 45 días | +45 días | Sin fase de recurso |
| FLFlorida | 45 días | 45 días | +15 días | 60 días |
| OROregón | 45 días | 45 días | +45 días | 45 días |
| TXTexas | 45 días | 45 días | +45 días | 60 días |
| MTMontana | 45 días | 45 días | +45 días | 60 días |
| DEDelaware | 45 días | 45 días | +45 días | 60 días |
| IAIowa | 90 días | 90 días | +45 días | 60 días |
| NENebraska | 45 días | 45 días | +45 días | 60 días |
| NHNew Hampshire | 45 días | 45 días | +45 días | 60 días |
| NJNueva Jersey | 45 días | 45 días | +45 días | 45 días |
| TNTennessee | 45 días | 45 días | +45 días | 60 días |
| MNMinnesota | 45 días | Lo antes posible, en 45 días como máximo | +45 días | 45 días (+60) |
| MDMaryland | 45 días | 45 días | +45 días | 60 días |
| INIndiana | 45 días | 45 días | +45 días | 60 días |
| KYKentucky | 45 días | 45 días | +45 días | 60 días |
| RIRhode Island | 45 días | 45 días | +45 días | 60 días |
| LALuisiana | 45 días | 45 días | +45 días | 60 días |
| OKOklahoma | 45 días | 45 días | +45 días | 60 días |
| ALAlabama | 45 días | 45 días | +45 días | Sin fase de recurso |
| VTVermont | 45 días | 45 días | +45 días | 60 días |
Actuaciones públicas centradas en enlaces de exclusión, Global Privacy Control o el seguimiento en la página, de la más reciente a la más antigua. Importes según se anunciaron.
Datos fiscales llegaron a socios publicitarios a través de etiquetas de seguimiento de la web. El acuerdo exige un proceso de revisión y la supervisión de cada etiqueta.
ComunicadoLos visitantes tenían que verificar una dirección de correo electrónico antes de que se tramitara una exclusión de la venta o la cesión. Ford debe auditar el seguimiento de su web y respetar las señales de exclusión, GPC incluida.
ComunicadoLos compradores tenían que aceptar el seguimiento publicitario para conseguir sus entradas, la única vía de exclusión remitía a herramientas del sector y se ignoraban las señales de exclusión.
ComunicadoGPC y los interruptores de exclusión se aplicaban a un solo navegador o dispositivo, no a toda la cuenta con sesión iniciada, y la tecnología publicitaria integrada siguió recibiendo datos.
ComunicadoLas preferencias de cookies se presentaban como la vía de exclusión, pero desactivar las cookies no detenía la venta ni la cesión de datos.
ResumenNo había una forma operativa de excluirse de la venta o la cesión, y no se procesaban las señales GPC.
ComunicadoReguladores de tres estados revisaron juntos si las webs respetaban GPC y escribieron a las empresas que lo ignoraban.
ComunicadoEl banner de cookies decía que desactivaba las cookies de seguimiento y no lo hacía. También se ignoraba GPC.
ComunicadoUna plataforma de consentimiento mal configurada dejó exclusiones sin procesar durante 40 días. La agencia señaló que usar una plataforma no traslada la responsabilidad.
ComunicadoLa herramienta de opciones de privacidad ofrecía Allow All con un clic y ninguna forma igual de fácil de rechazar.
ComunicadoLos rastreadores de la web contaban como venta, y las señales GPC no se trataban como exclusiones.
Comunicado
Velo aplica valores por defecto de exclusión en todo Estados Unidos, así que no tienes que mantener un banner por estado a medida que entran en vigor nuevas leyes.
Doce estados esperan que las webs respeten señales como Global Privacy Control. Cuando un navegador envía GPC, Velo desactiva las señales publicitarias y el banner lo indica.
Cada decisión recibe un id de recibo, con la región y el estado de GPC en ese momento, para que puedas responder más adelante a una solicitud.
Los visitantes pueden rechazar la publicidad y el seguimiento desde el banner y volver a abrir sus preferencias desde el botón flotante en cualquier momento.
Desde que la ley de Virginia entró en vigor en 2023, un estado tras otro ha aprobado su propia ley de privacidad. Los umbrales y los detalles varían, pero la mayoría comparte un núcleo común: los residentes pueden excluirse de la publicidad segmentada, de la venta de sus datos y de ciertos perfilados automatizados, y la empresa tiene que darles una forma clara de hacerlo.
Doce, entre ellos California, Colorado, Connecticut, Texas, Oregón y Nueva Jersey, exigen que las webs respeten señales universales de exclusión como Global Privacy Control. Los datos sensibles, como la información de salud o la ubicación precisa, suelen requerir en cambio consentimiento explícito, y Maryland y Nueva Jersey ya prohíben su venta.
De la primera etiqueta script a la primera elección registrada.
Instálalo con la plantilla de Google Tag Manager o pega una sola etiqueta script. Hay guías para WordPress, Shopify, Webflow y otras plataformas.
Velo analiza tus páginas, enumera las cookies y los scripts que encuentra y sugiere una categoría para cada uno. Tú los confirmas o los cambias.
Elige colores, textos e idiomas. Rechazar está junto a aceptar en la primera capa.
A los visitantes de Estados Unidos se les aplica la exclusión por defecto, y Global Privacy Control desactiva la publicidad. Cada elección queda en tu registro de consentimiento con su id de recibo.
Velo se ocupa del banner, de la configuración por defecto de cada región y de los registros. Estas partes siguen siendo cosa tuya.
Lo que preguntan los equipos sobre las leyes estatales de privacidad.
A 5 de octubre de 2026, diecinueve: California, Virginia, Colorado, Connecticut, Utah, Oregón, Texas, Montana, Delaware, Iowa, Nebraska, New Hampshire, Nueva Jersey, Tennessee, Minnesota, Maryland, Indiana, Kentucky y Rhode Island. Florida tiene además una ley más limitada para empresas con más de $1.000 millones de ingresos. Oklahoma y Luisiana se suman el 1 de enero de 2027, Alabama el 1 de mayo de 2027 y Vermont el 1 de enero de 2028.
Por lo general, no. La mayoría da a los residentes el derecho a excluirse de la publicidad segmentada, de la venta de datos personales y de la elaboración de perfiles. La principal excepción son los datos sensibles, para los que varios estados exigen consentimiento explícito.
Doce: California, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, New Hampshire, Nueva Jersey, Oregón y Texas. Texas, Nebraska y Maryland lo formulan como un agente que actúa mediante un ajuste del navegador. Velo respeta GPC para los visitantes de Estados Unidos que lo envían.
Desde el 1 de enero de 2026, una empresa tiene que mostrar si ha procesado la señal de preferencia de exclusión de un visitante, por ejemplo con un aviso de que se ha respetado la exclusión. Cuando un navegador envía GPC, el banner de Velo indica que se ha aplicado la señal y que la publicidad está desactivada.
No. Esta página es información general. Los umbrales y las obligaciones varían según el estado, así que comprueba qué leyes se te aplican.
Privacidad web, en un solo lugar.
Analiza tu web →
