Resposta ràpida: A mitjans de 2026, 23 estats dels EUA han promulgat lleis integrals de privadesa del consumidor, sense una llei federal que les unifiqui. Les empreses que operen a través de les fronteres estatals han de gestionar obligacions superposades, de vegades contradictòries, des de models de consentiment opt-in versus opt-out fins a llindars variables per a qui qualifica com a entitat coberta. La càrrega de compliment és real, però un enfocament estructurat i per capes pot abordar la majoria dels requisits simultàniament.
Punts Clau
- Vint-i-tres estats han promulgat lleis integrals de privadesa a mitjans de 2026, sent la Llei 502 de Louisiana la més recent, que entrarà en vigor l'1 de gener de 2027 [2]
- Els reguladors de privadesa estatals dels EUA van recaptar 3.425 milions de dòlars en multes el 2025, gairebé el doble dels 1.827 milions de dòlars del 2024; l'aplicació s'està accelerant [4]
- Les lleis estatals es divideixen àmpliament en dos models: el model de Califòrnia (opt-out, dret d'acció privat) i el model de Virgínia (opt-in per a dades sensibles, només aplicació de l'AG) [3]
- Onze estats ara requereixen suport per al mecanisme universal d'opt-out Global Privacy Control (GPC), convertint-lo en un estàndard nacional de facto per a l'opt-out [3]
- Només el 9% dels 522 corredors de dades registrats a Califòrnia van ser trobats totalment conformes en un estudi de maig de 2026; l'incompliment és generalitzat fins i tot entre les entitats regulades [6]
- No existeix una llei federal de privadesa integral; la Llei Americana de Drets de Privadesa introduïda el 2024 no va ser promulgada [2]
- Una política de privadesa única i ben estructurada, complementada amb addendes específiques de cada estat, és generalment suficient; no es requereixen polítiques separades per estat
- La infraestructura de gestió del consentiment, com una plataforma com Biscotti CMP, és cada vegada més essencial per automatitzar els fluxos de treball d'opt-out i consentiment a través de les jurisdiccions
Quins Estats Tenen Lleis de Privadesa i Què Cobreixen
A mitjans de 2026, 23 estats han aprovat legislació integral de privadesa del consumidor, i el nombre continua creixent. Indiana, Kentucky i Rhode Island van començar l'aplicació l'1 de gener de 2026, afegint-se a un panorama ja complex [9]. La Llei 502 de Louisiana, signada el 29 de maig de 2026, és la incorporació més recent, que entrarà en vigor l'1 de gener de 2027 [2].
La majoria de les lleis comparteixen un nucli comú de drets: accés, correcció, supressió, portabilitat i el dret a optar per no vendre o compartir dades personals. No obstant això, els detalls divergeixen significativament en l'abast, els llindars i els mecanismes d'aplicació.
Estats amb lleis de privadesa integrals actives (exemples representatius):
| Estat | Data d'entrada en vigor | Característica clau |
|---|---|---|
| Califòrnia (CCPA/CPRA) | 2020 / 2023 | Dret d'acció privat per a infraccions; plataforma DROP |
| Virgínia (VCDPA) | 2023 | Opt-in per a dades sensibles; només aplicació de l'AG |
| Colorado (CPA) | 2023 | GPC requerit; categories àmplies de dades sensibles |
| Texas (TDPSA) | 2024 | Sense llindar d'ingressos; aplicació de l'AG |
| Louisiana (Llei 502) | 1 de gener de 2027 | Promulgació més recent a mitjans de 2026 |
Quines Són les Principals Diferències Entre les Lleis de Privadesa Estatals als EUA
La divisió central en la navegació de la realitat fragmentada de les lleis de privadesa estatals dels EUA és el model de Califòrnia versus el model de Virgínia. Aquests dos marcs s'han convertit en les plantilles que la majoria dels altres estats adapten.
Característiques del model de Califòrnia:
- Opt-out per defecte per a la venda i compartició de dades (els consumidors han d'optar per no participar activament)
- Dret d'acció privat per a violacions de la seguretat de les dades
- Llindars d'aplicabilitat més amplis (basats en ingressos i basats en el volum de dades)
- Inclou un requisit de mecanisme d'opt-out universal (GPC)
Característiques del model de Virgínia:
- Consentiment opt-in requerit per al processament de dades personals sensibles
- Aplicació limitada al Fiscal General de l'estat
- Sense dret d'acció privat per a consumidors individuals
- Generalment definicions més estretes de "dades sensibles"
La divergència crea una fricció operativa real. Una empresa que per defecte utilitza el consentiment opt-out per a Califòrnia pot necessitar encara el consentiment opt-in afirmatiu per a categories de dades sensibles sota les normes de Virgínia, Colorado o Connecticut, tot simultàniament [3].
Com es Comparen la CCPA, el GDPR i Altres Lleis Estatals
La CCPA/CPRA de Califòrnia és l'anàleg més proper als EUA del GDPR de la UE, però queden importants diferències estructurals. El GDPR requereix una base legal per a tot el processament de dades i exigeix el consentiment opt-in per a la majoria dels usos. La CCPA opera amb un model opt-out per a la venda de dades, amb l'opt-in requerit només per a menors i categories de dades sensibles sota les esmenes de la CPRA.
Altres lleis estatals ocupen un punt intermedi: prenen prestats els drets dels interessats a l'estil GDPR (accés, correcció, supressió) mentre mantenen la preferència americana per als valors predeterminats d'opt-out en lloc del consentiment opt-in. El resultat és que un programa compatible amb el GDPR proporciona una base sòlida, però no satisfà automàticament els requisits estatals dels EUA, particularment pel que fa a les divulgacions dels corredors de dades, les opcions d'exclusió de vendes i les restriccions de publicitat dirigida.
Quina Llei de Privadesa Estatal és la Més Estricta
Califòrnia segueix sent la jurisdicció més exigent per a la majoria de les empreses. La CPRA va introduir la California Privacy Protection Agency (CPPA) com a organisme d'aplicació dedicat, va ampliar les categories de dades sensibles i va crear la Data Removal and Opt-out Platform (DROP), llançada a principis de 2026, que permet als residents sol·licitar la supressió de centenars de corredors de dades mitjançant una única presentació [5].
Colorado és un segon proper per a la complexitat operativa, donat el seu suport obligatori a GPC, les seves àmplies definicions de dades sensibles i la seva activa elaboració de normes sobre la presa de decisions automatitzada. Per a les empreses en l'espai dels corredors de dades específicament, els requisits de Califòrnia estan en una categoria pròpia; un estudi de maig de 2026 va trobar que només el 9% dels 522 corredors de dades registrats eren totalment conformes [6].
Quina és la Manera Més Fàcil de Complir amb Múltiples Lleis de Privadesa Estatals
El camí més eficient per navegar per la realitat fragmentada de les lleis de privadesa estatals dels EUA és una arquitectura de compliment per nivells: construir segons l'estàndard més estricte com a base, i després afegir els requisits específics de cada estat.
Passos pràctics:
- Realitzar un inventari de dades. Mapejar cada categoria de dades personals recollides, la seva font, el propòsit del processament i els destinataris de tercers. Això és fonamental per a totes les lleis estatals.
- Identificar les jurisdiccions aplicables. Determinar quins llindars estatals compleix la vostra empresa; la majoria de les lleis s'activen en funció del nombre de residents atesos o dels ingressos per vendes de dades.
- Implementar un mecanisme universal d'opt-out. Desplegar el suport GPC immediatament. Onze estats ara ho exigeixen, i la llista creix [3]. Una plataforma de gestió del consentiment com Biscotti CMP pot automatitzar la detecció del senyal GPC i respectar les sol·licituds d'opt-out en temps real.
- Segmentar el consentiment per a dades sensibles. Construir fluxos de consentiment opt-in per a categories sensibles (salut, biomètriques, geolocalització precisa) per satisfer els estats del model de Virgínia.
- Establir un flux de treball de sol·licituds dels interessats (DSR). La majoria de les lleis requereixen respostes en un termini de 45 dies. Automatitzar la recepció i l'encaminament.
- Actualitzar els contractes amb proveïdors. Els acords de processament de dades han de reflectir els requisits de cada estat per als processadors i proveïdors de serveis.
- Revisar les pràctiques de presa de decisions automatitzades. Múltiples estats estan afegint obligacions aquí, particularment per a decisions amb efectes legals o significatius [4].
Necessito Polítiques de Privadesa Separades per a Cada Estat
No, les polítiques separades per estat no són legalment obligatòries i generalment són desaconsellables. Una política de privadesa única i ben estructurada que abordi totes les divulgacions requerides, complementada amb addendes o seccions d'avís específiques de cada estat, satisfà la majoria de les lleis. Una investigació publicada el juliol de 2025 va trobar que el 53,8% dels bancs dels EUA amb múltiples polítiques de privadesa mostraven inconsistències internes, cosa que creava confusió al consumidor i soscava els objectius de transparència [7]. Una política unificada redueix aquest risc.
La política ha de, com a mínim, divulgar: categories de dades recollides, propòsits del processament, compartició amb tercers, drets del consumidor per jurisdicció i com presentar sol·licituds. Califòrnia requereix un enllaç específic "Do Not Sell or Share My Personal Information"; altres estats tenen requisits anàlegs que es poden abordar mitjançant un únic mecanisme d'opt-out.
Quant Costa Complir amb les Lleis de Privadesa Estatals
Els costos de compliment varien considerablement segons la mida de l'empresa, la complexitat de les dades i la infraestructura existent. No hi ha un únic referent industrial verificat que s'apliqui universalment, però els factors de cost són ben coneguts:
- Tecnologia: Les plataformes de gestió del consentiment, les eines d'automatització de DSR i el programari de mapeig de dades representen els costos recurrents més grans per a la majoria de les organitzacions.
- Revisió legal: La redacció inicial de polítiques i les actualitzacions anuals per a un programa multiestatal solen requerir un assessorament extern o un advocat de privadesa dedicat.
- Despeses generals operatives: Temps del personal per al processament de DSR, la gestió de proveïdors i la formació.
Per a petites empreses amb operacions de dades limitades, una solució de gestió del consentiment ben configurada i una política de privadesa revisada poden representar la major part de la inversió. Per a empreses que gestionen grans volums de dades o operen funcions de corredor de dades, els costos augmenten substancialment, particularment tenint en compte que les multes ara representen un risc financer creïble, amb 3.425 milions de dòlars recaptats pels reguladors estatals només el 2025 [4].
Què Passa si la Meva Empresa Viola les Lleis de Privadesa Estatals
Les sancions varien segons l'estat, però segueixen un patró consistent: multes civils per infracció, períodes de subsanació (que s'estan escurçant o eliminant en les lleis més noves) i, en el cas de Califòrnia, la possibilitat de demandes iniciades pels consumidors per violacions de dades.
- Califòrnia: Fins a 7.500 dòlars per violació intencionada; sense període de subsanació per a violacions intencionades
- Virgínia: Fins a 7.500 dòlars per violació després d'un període de subsanació de 30 dies
- Colorado: Fins a 20.000 dòlars per violació; període de subsanació eliminat després de l'1 de gener de 2025
- Texas: Fins a 7.500 dòlars per violació; aplicació de l'AG amb demandes d'investigació civil
L'augment de l'aplicació el 2025, gairebé duplicant els totals de multes interanuals, indica que els reguladors han superat la fase de conscienciació [4]. Les empreses que van assumir un baix risc d'aplicació haurien de reavaluar aquesta suposició.
Poden les Petites Empreses Permetre's Complir amb Tots els Requisits de Privadesa Estatals
La majoria de les lleis de privadesa estatals inclouen llindars dissenyats per eximir les empreses molt petites. Els desencadenants comuns inclouen el processament de dades de 100.000 o més consumidors anualment, o la derivació de més del 25-50% dels ingressos de la venda de dades. Una petita empresa de comerç electrònic que no ven dades de consumidors i atén menys de 100.000 residents estatals pot caure per sota de múltiples llindars.
Dit això, la TDPSA de Texas no té un llindar d'ingressos, el que significa que qualsevol empresa que processi dades de residents de Texas i compleixi el llindar de recompte de consumidors ha de complir independentment de la mida dels ingressos [3]. Les petites empreses no haurien d'assumir l'exempció sense una anàlisi jurisdicció per jurisdicció.
El compliment rendible per a organitzacions més petites sol significar: una política de privadesa revisada, suport GPC mitjançant una eina de gestió del consentiment i un procés documentat per gestionar les sol·licituds d'accés i supressió.
Quines Indústries Són les Més Afectades per les Lleis de Privadesa Estatals
Les indústries intensives en dades s'enfronten a la major càrrega de compliment. Els sectors amb major exposició inclouen:
- AdTech i agències de màrqueting en línia: Les restriccions de publicitat dirigida, els requisits de consentiment de cookies i els mandats d'opt-out per a la compartició de dades afecten més aquest sector.
- Comerç electrònic: La recollida àmplia de dades de transaccions, el seguiment del comportament i les integracions de tercers creen múltiples punts de contacte de compliment.
- Salut i tecnologia sanitària: Les dades de salut sensibles desencadenen requisits d'opt-in sota la majoria de les lleis estatals, a part de les obligacions de la HIPAA.
- Corredors de dades: La categoria més examinada, la plataforma DROP de Califòrnia i els requisits de registre específics per a corredors estableixen un llistó alt [5][6].
- Serveis financers: La investigació mostra una inconsistència significativa en com els bancs gestionen les divulgacions de privadesa a través de múltiples polítiques [7].
Com Afecten les Lleis de Privadesa Estatals al Comerç Electrònic i a les Empreses en Línia
Per a les empreses en línia, navegar per la realitat fragmentada de les lleis de privadesa estatals dels EUA es tradueix principalment en la gestió del consentiment i les obligacions de flux de dades. Cada lloc web que utilitza píxels de seguiment de tercers, publicitat conductual o eines d'anàlisi que comparteixen dades amb proveïdors està potencialment implicat en "compartir dades" o "vendre" sota múltiples definicions estatals.
Les implicacions pràctiques:
- Els bàners de cookies han de respectar els senyals GPC automàticament en 11 estats [3]
- Els programes de retargeting i audiències similars poden constituir "compartir" sota la CCPA, requerint mecanismes d'opt-out
- La sentència del Tribunal Suprem de juliol de 2026 en Chatrie v. United States, que va sostenir que la recollida àmplia de dades de localització basada en geofences constitueix una recerca de la Quarta Esmena, afegeix una nova dimensió a les pràctiques de màrqueting basades en la localització [1]
- Els programes de subscripció i fidelització que monetitzen dades de comportament s'enfronten a un escrutini més gran
Una plataforma de gestió del consentiment que s'integra amb les principals piles de tecnologia publicitària i senyalitza les preferències d'opt-out aigües avall ja no és opcional per a la majoria de les empreses en línia d'una escala significativa.
Hi ha una Llei Federal de Privadesa que Vingui a Substituir les Lleis Estatals
No de manera imminent. La Llei Americana de Drets de Privadesa (APRA), introduïda el 2024, no va ser promulgada, i a mitjans de 2026 no s'ha aprovat cap legislació federal de privadesa integral [2]. Els obstacles polítics, principalment el desacord sobre si una llei federal hauria de prevaldre sobre les lleis estatals i si s'hauria d'incloure un dret d'acció privat, segueixen sense resoldre's.
La conseqüència pràctica és que el mosaic estat per estat continuarà expandint-se. La Llei 502 de Louisiana és la 23a llei estatal, i diversos altres estats tenen legislació activa en curs. Les empreses haurien de planificar una fragmentació contínua en lloc d'esperar la preempció federal.
Quins Són els Errors Comuns que Cometen les Empreses amb el Compliment de la Privadesa Estatal
Diversos errors recurrents representen una part desproporcionada de l'exposició a l'aplicació:
- Assumir que el compliment del GDPR cobreix les obligacions dels EUA. El GDPR i les lleis estatals dels EUA comparteixen conceptes, però difereixen materialment en els valors predeterminats del consentiment, els mecanismes d'aplicació i els drets específics.
- Ignorar els senyals GPC. Onze estats ara exigeixen el suport GPC; no respectar el senyal és una violació automàtica en aquestes jurisdiccions [3].
- Ometre el registre de corredors de dades. Califòrnia exigeix que els corredors de dades es registrin a la CPPA; només el 9% dels corredors registrats van ser trobats totalment conformes el 2026 [6].
- Polítiques de privadesa inconsistents entre propietats. Múltiples polítiques per a la mateixa organització creen contradiccions que els reguladors i els demandants poden explotar [7].
- Descuidar els contractes amb proveïdors. Moltes lleis estatals imposen responsabilitat als controladors per fallades del processador; els acords de processament de dades obsolets són una bretxa significativa.
- Tractar la presa de decisions automatitzada com a no regulada. Noves esmenes estatals estan afegint requisits de divulgació i opt-out per a decisions algorítmiques amb efectes significatius per al consumidor [4].
Què Hauria de Fer la Meva Empresa Primer per Preparar-se per a les Lleis de Privadesa Estatals
Comenceu amb un inventari de dades i una anàlisi d'aplicabilitat jurisdiccional; aquests dos passos determinen tot el demés. Sense saber quines dades teniu i quines lleis estatals s'apliquen a les vostres operacions, cap programa de compliment es pot definir correctament.
Prioritats immediates per al 2026:
- Realitzar un exercici de mapeig de dades per identificar els fluxos de dades personals, els proveïdors i els propòsits del processament
- Determinar quins llindars estatals compleix la vostra empresa
- Implementar el suport de senyal GPC; aquest únic pas aborda les obligacions d'opt-out en 11 estats simultàniament
- Auditar la vostra política de privadesa per a la seva exhaustivitat i coherència
- Establir un procés documentat de recepció i resposta de DSR
- Revisar tots els acords de compartició de dades amb tercers
Per a les organitzacions que encara no han desplegat una solució de gestió del consentiment, Biscotti CMP proporciona infraestructura per gestionar els senyals de consentiment, respectar les sol·licituds d'opt-out i mantenir registres de compliment a través de les jurisdiccions.
Preguntes Freqüents
P: Les lleis de privadesa estatals s'apliquen a empreses fora dels EUA? Sí. La majoria de les lleis estatals s'apliquen en funció d'on resideixen els consumidors, no d'on està incorporada l'empresa. Una empresa europea que atén residents de Califòrnia està subjecta a la CCPA/CPRA si compleix els llindars aplicables.
P: Què és el Global Privacy Control (GPC) i per què és important? GPC és un senyal a nivell de navegador que comunica automàticament la preferència d'opt-out d'un consumidor als llocs web. Onze estats ara exigeixen que les empreses el respectin, convertint el suport GPC en un requisit de compliment gairebé universal per als llocs web orientats als EUA [3].
P: La meva empresa ha de complir si només recull adreces de correu electrònic? Possiblement. Les adreces de correu electrònic són dades personals segons totes les lleis de privadesa estatals. Si heu de complir depèn de quants residents estatals recolliu dades i si veneu o compartiu aquestes dades.
P: Quina diferència hi ha entre un controlador de dades i un processador de dades segons les lleis estatals? Un controlador determina els propòsits i els mitjans del processament de dades personals. Un processador gestiona dades en nom d'un controlador. La majoria de les lleis estatals imposen obligacions primàries als controladors, però els processadors també han de complir els requisits contractuals establerts pels controladors.
P: Quant de temps tenen les empreses per respondre a les sol·licituds de dades dels consumidors? La majoria de les lleis estatals requereixen una resposta en un termini de 45 dies, amb una possible extensió de 45 dies per a sol·licituds complexes. Califòrnia permet fins a 90 dies en algunes circumstàncies.
P: És suficient un bàner de cookies per al compliment de la llei estatal dels EUA? Un bàner de cookies per si sol no és suficient. Ha d'estar recolzat per una infraestructura real de gestió del consentiment que registri les preferències, respecti els senyals d'opt-out (inclòs el GPC) i impedeixi la compartició de dades abans d'obtenir el consentiment quan sigui necessari.
P: Què es considera "dades sensibles" segons les lleis de privadesa estatals? Les definicions varien, però les dades sensibles solen incloure: geolocalització precisa, informació de salut i mèdica, dades biomètriques, dades de comptes financers, origen racial o ètnic, orientació sexual i dades sobre nens. La majoria de les lleis estatals requereixen el consentiment opt-in per al processament de dades sensibles.
P: Els consumidors poden demandar directament les empreses per violacions de privadesa? A Califòrnia, els consumidors poden presentar demandes privades per violacions de dades que impliquin certes categories d'informació personal. La majoria dels altres estats limiten l'aplicació al Fiscal General, el que significa que no hi ha dret d'acció privat fora de Califòrnia per a violacions generals de privadesa.
P: Com afecta la sentència del Tribunal Suprem de 2026 sobre geofences al màrqueting? La sentència Chatrie v. United States (2 de juliol de 2026) va sostenir que la recollida àmplia de dades de localització basada en geofences requereix una ordre específica sota la Quarta Esmena [1]. Tot i que la sentència aborda directament l'aplicació de la llei, senyalitza un escrutini judicial més gran de les pràctiques de dades de localització i pot influir en com els reguladors interpreten les obligacions de dades de localització sota les lleis de privadesa estatals.
P: Què és la plataforma DROP de Califòrnia? DROP (Data Removal and Opt-out Platform) es va llançar a principis de 2026 i permet als residents de Califòrnia sol·licitar la supressió de les seves dades personals de centenars de corredors de dades registrats mitjançant una única presentació [5].
Conclusió
El panorama de la privadesa estat per estat no s'està simplificant, sinó que s'està expandint. Amb 23 lleis integrals actives a mitjans de 2026, 3.425 milions de dòlars en multes recaptades el 2025, i la Llei 502 de Louisiana afegint una 24a jurisdicció el 2027, el cost de la inacció s'ha tornat concret i mesurable [2][4].
La bona notícia és que una arquitectura de compliment estructurada gestiona la major part de la complexitat sense requerir programes separats per a cada estat. Construïu segons l'estàndard de Califòrnia com a base, implementeu el suport GPC immediatament, auditeu els vostres fluxos de dades i contractes amb proveïdors, i assegureu-vos que la vostra política de privadesa sigui internament coherent. Aquests passos aborden la majoria de les obligacions de totes les lleis estatals actives.
Per a les organitzacions que gestionen el consentiment a escala, el desplegament d'infraestructura específica, com Biscotti CMP, és la manera més fiable d'automatitzar la gestió de senyals d'opt-out, mantenir registres de consentiment auditables i adaptar-se a mesura que entren en vigor nous requisits estatals. Esperar que una llei federal resolgui la fragmentació no és una estratègia viable. Els estats estan legislant, els reguladors estan aplicant, i les empreses que construeixen programes de compliment duradors ara tindran un avantatge competitiu significatiu a mesura que el panorama continuï evolucionant.
Referències
[1] Supreme Court Police Track Cell Phones - https://theweek.com/law/supreme-court-police-track-cell-phones?utm_source=openai
[2] States Overview - https://codamail.com/articles/privacy-law-directory/us/states-overview.html?utm_source=openai
[3] State Privacy Law Tracker New Regulations Taking Effect In 2026 - https://dapripro.com/state-privacy-law-tracker-new-regulations-taking-effect-in-2026/?utm_source=openai
[4] Us State Privacy Fines 2025 - https://www.helpnetsecurity.com/2026/04/28/us-state-privacy-fines-2025/?utm_source=openai
[5] California Made It Easier To Delete Your Data - https://www.kiplinger.com/personal-finance/online-shopping/california-made-it-easier-to-delete-your-data?utm_source=openai
[6] arxiv (Data Broker Compliance Study, 2026) - https://arxiv.org/abs/2605.21376?utm_source=openai
[7] arxiv (Bank Privacy Policy Inconsistencies, 2025) - https://arxiv.org/abs/2507.05415?utm_source=openai
[8] arxiv (Default Opt-Out Settings, 2026) - https://arxiv.org/abs/2603.15705?utm_source=openai
[9] Scope Of Us State Level Privacy Laws Expands Rapidly In 2025 - https://www.computerweekly.com/news/366633681/Scope-of-US-state-level-privacy-laws-expands-rapidly-in-2025?utm_source=openai
[10] The Compliance Tightrope Balancing Uniformity And Precision Across U S State Consumer Privacy Laws - https://www.foley.com/insights/publications/2026/04/the-compliance-tightrope-balancing-uniformity-and-precision-across-u-s-state-consumer-privacy-laws/?utm_source=openai