Por qué EE. UU. es distinto de la UE

En la UE, un único reglamento fija la base. En Estados Unidos no existe una ley federal de privacidad integral que cubra el rastreo general de sitios web, de modo que un número creciente de estados individuales ha aprobado la suya. California fue la primera y muchos otros han seguido con leyes que se parecen pero no son idénticas.

Para un editor con audiencia nacional, la pregunta práctica no es «¿qué ley única se aplica?» sino «¿qué conjunto común de comportamientos funciona para todas?».

Opt-out frente a opt-in: la diferencia central

La mayor parte del pensamiento al estilo de la UE parte del opt-in: no se rastrea hasta que el usuario acepta. La mayoría de las leyes estatales de EE. UU. parten del opt-out: puedes tratar datos personales ordinarios, pero debes informar de lo que haces y permitir que las personas detengan ciertas actividades.

• Publicidad dirigida — los usuarios suelen tener derecho a optar por no participar.
• Venta o compartición de datos personales — los usuarios suelen tener derecho a optar por no participar.
• Elaboración de perfiles — muchas leyes conceden un opt-out para los perfiles usados en decisiones significativas.
• Datos sensibles — la mayoría de estas leyes exigen consentimiento opt-in antes de tratarlos, por lo que aquí es donde el modelo se invierte.

Comprueba siempre la redacción exacta de los estados donde tienes tráfico real, porque las definiciones de «datos sensibles» y «venta» difieren.

Qué tienen en común las leyes

A pesar de las diferencias, los mismos elementos aparecen una y otra vez:

1. Un aviso de privacidad claro y accesible que describa las categorías de datos, las finalidades y los destinatarios.
2. Una forma visible de optar por no participar en la publicidad dirigida y en la venta o compartición, como un enlace en el pie de página.
3. Respetar las señales de preferencia de opt-out en los estados que lo exigen, por ejemplo Global Privacy Control.
4. Un proceso para gestionar las solicitudes de los consumidores, como acceso, eliminación y rectificación.
5. Contratos con proveedores que tratan datos en tu nombre.

Las señales de opt-out se vuelven obligatorias

Varios estados exigen que las empresas traten una señal universal de opt-out basada en el navegador como una solicitud de opt-out válida. En la práctica, esto significa que si el navegador de un visitante envía la señal Global Privacy Control, tu sitio debe aplicar el opt-out automáticamente, sin pedirle al visitante que haga clic en nada más.

La consecuencia técnica es sencilla: tu lógica de consentimiento debe leer la señal antes de cargar las etiquetas de publicidad y analítica, y la configuración de tus etiquetas debe tener un estado que represente «opt-out».

Umbrales y aplicabilidad

Muchas leyes estatales solo se aplican por encima de ciertos umbrales, como el número de residentes cuyos datos tratas o la proporción de ingresos procedente de la venta de datos. Los umbrales varían y cambian con el tiempo, así que no des por hecho que un editor pequeño queda automáticamente fuera del ámbito. Pide a un abogado que confirme qué leyes se aplican a tu negocio.

Transmitir la elección a lo largo de la cadena publicitaria

Para los editores de publicidad, recoger la elección de un usuario es solo la mitad del trabajo. La elección debe llegar a tus socios publicitarios. La Global Privacy Platform (GPP) del IAB se creó para esto: transporta una sección nacional de EE. UU. y secciones específicas de cada estado en una sola señal para que los proveedores de ad tech puedan leer el estado del usuario. Si tu stack aún depende de señales antiguas de un solo estado, planifica el paso a un enfoque unificado a medida que aparezcan más estados.

Un modelo operativo práctico

1. Enumera los estados de los que recibes un tráfico significativo.
2. Elige el comportamiento común más estricto y aplícalo ampliamente si prefieres la sencillez, o localiza por estado si necesitas preservar los ingresos.
3. Coloca un punto de entrada permanente para el opt-out en cada página.
4. Comprueba que el opt-out y la señal del navegador detienen realmente las etiquetas correspondientes.
5. Conserva registros de las elecciones que hicieron los usuarios.
6. Revisa la lista de leyes aplicables con regularidad, ya que siguen llegando nuevas.

Dónde encaja FlexyConsent

FlexyConsent es compatible con IAB GPP v1.1 con la sección Nacional de EE. UU. y 16 leyes estatales de EE. UU., de modo que la elección de opt-out del usuario puede transmitirse a tus socios publicitarios en una única señal estándar. El banner está disponible en 57 idiomas, lo que ayuda con las audiencias hispanohablantes y otras audiencias multilingües de EE. UU. Es una herramienta para recoger y transmitir elecciones; lo que tu empresa debe hacer según cada ley es una cuestión de tu propio asesoramiento jurídico.

Puntos clave

• Las leyes estatales de EE. UU. son en su mayoría de opt-out, con opt-in para los datos sensibles.
• El núcleo común es el aviso, un opt-out visible, respetar las señales de opt-out y gestionar las solicitudes de los consumidores.
• Lee las señales de opt-out antes de que se activen las etiquetas, no después.
• Usa una señal unificada como GPP para transmitir la elección a los socios publicitarios.
• Confirma la aplicabilidad y los umbrales con un abogado, y revísalos con regularidad.