Por que os EUA parecen distintos da UE

Na UE, un só regulamento fixa a base. Nos Estados Unidos non hai unha lei federal de privacidade completa que cubra o seguimento xeral en sitios web, así que un número crecente de estados individuais aprobaron as súas propias leis. California foi o primeiro e moitos outros seguírono con leis que se parecen pero non son idénticas.

Para un publisher cunha audiencia nacional, a pregunta práctica non é «que lei única se aplica?» senón «cal é o conxunto común de comportamentos que funciona en todas?»

Opt-out fronte a opt-in: a diferenza central

Boa parte do pensamento ao estilo da UE parte do opt-in: ningún seguimento ata que o usuario acepte. A maioría das leis estatais dos EUA parten do opt-out: podes procesar datos persoais ordinarios, pero tes que dicir á xente o que fas e deixarlle deter certas actividades.

• Publicidade dirixida — os usuarios xeralmente teñen dereito a excluírse.
• Venda ou compartición de datos persoais — os usuarios xeralmente teñen dereito a excluírse.
• Elaboración de perfís — moitas leis dan un opt-out para a elaboración de perfís usada en decisións significativas.
• Datos sensibles — a maioría destas leis esixen consentimento opt-in antes de procesalos, así que aquí é onde o modelo se inverte.

Comproba sempre a redacción exacta dos estados nos que tes tráfico real, porque as definicións de «datos sensibles» e «venda» difiren.

Que teñen en común as leis

Malia as diferenzas, os mesmos elementos básicos aparecen unha e outra vez:

1. Un aviso de privacidade claro e accesible que describa as categorías de datos, as finalidades e os destinatarios.
2. Unha forma visible de excluírse da publicidade dirixida e da venda ou compartición, como unha ligazón no pé de páxina.
3. Respectar os sinais de preferencia de exclusión nos estados que o esixen, por exemplo Global Privacy Control.
4. Un proceso para atender as solicitudes dos consumidores como acceso, supresión e corrección.
5. Contratos cos provedores que procesan datos en nome teu.

Os sinais de exclusión están a volverse obrigatorios

Varios estados esixen que as empresas traten un sinal universal de exclusión baseado no navegador como unha solicitude de exclusión válida. Na práctica isto significa que, se o navegador dun visitante envía o sinal Global Privacy Control, o teu sitio debería aplicar a exclusión automaticamente, sen pedirlle ao visitante que faga clic en nada máis.

A consecuencia técnica é sinxela: a túa lóxica de consentimento debe ler o sinal antes de cargar as etiquetas de publicidade e analítica, e a configuración das túas etiquetas debe ter un estado que represente «excluído».

Límites e aplicabilidade

Moitas leis estatais só se aplican por riba de certos límites, como o número de residentes cuxos datos procesas ou a porcentaxe de ingresos procedente da venda de datos. Os límites varían e cambian co tempo, así que non asumas que un publisher pequeno queda automaticamente fóra do alcance. Pídelle a un avogado que confirme que leis se aplican ao teu negocio.

Transmitir a elección ao longo da cadea publicitaria

Para os publishers de publicidade, recoller a elección do usuario é só a metade do traballo. A elección debe chegar aos teus socios publicitarios. O Global Privacy Platform (GPP) de IAB creouse para isto: transporta unha sección nacional dos EUA e seccións específicas de cada estado nun único sinal para que os provedores de ad tech poidan ler o estado do usuario. Se a túa pila aínda depende de sinais antigos dun só estado, planifica a transición a un enfoque unificado a medida que aparezan máis estados.

Un modelo operativo práctico

1. Fai unha lista dos estados dos que recibes tráfico significativo.
2. Elixe o comportamento común máis estrito e aplícao amplamente se prefires a simplicidade, ou localiza por estado se necesitas preservar os ingresos.
3. Pon un punto de entrada de exclusión permanente en cada páxina.
4. Proba que a exclusión e o sinal do navegador deteñen realmente as etiquetas relevantes.
5. Garda rexistros das eleccións feitas polos usuarios.
6. Revisa a lista de leis aplicables con regularidade, xa que seguen a chegar novas.

Onde encaixa FlexyConsent

FlexyConsent admite IAB GPP v1.1 coa sección nacional dos EUA e 16 leis estatais dos EUA, de modo que a elección de exclusión do usuario pode transmitirse aos teus socios publicitarios nun único sinal estándar. O banner está dispoñible en 57 idiomas, o que axuda con audiencias hispanofalantes e outras audiencias multilingües dos EUA. Isto é unha ferramenta para recoller e transmitir eleccións; o que o teu negocio debe facer segundo cada lei é un asunto do teu propio asesoramento xurídico.

Conclusións clave

• As leis estatais dos EUA son sobre todo opt-out, con opt-in para os datos sensibles.
• O núcleo común é o aviso, unha exclusión visible, respectar os sinais de exclusión e atender as solicitudes dos consumidores.
• Le os sinais de exclusión antes de que se activen as etiquetas, non despois.
• Usa un sinal unificado como GPP para transmitir a elección aos socios publicitarios.
• Comproba a aplicabilidade e os límites cun avogado e revísaos con regularidade.