Resposta rápida: A mediados de 2026, 23 estados dos EUA promulgaron leis integrais de privacidade do consumidor, sen unha lei federal que as unifique. As empresas que operan a través das fronteiras estatais deben xestionar obrigas superpostas, ás veces conflitivas, desde modelos de consentimento opt-in fronte a opt-out ata limiares variables para quen cualifica como entidade cuberta. A carga de cumprimento é real, pero un enfoque estruturado e por capas pode abordar a maioría dos requisitos simultaneamente.
Puntos clave
- Vinte e tres estados promulgaron leis de privacidade integrais a mediados de 2026, sendo a Lei 502 de Luisiana a máis recente, que entrará en vigor o 1 de xaneiro de 2027 [2]
- Os reguladores de privacidade estatais dos EUA recadaron 3.425 millóns de dólares en multas en 2025, case o dobre dos 1.827 millóns de dólares de 2024; a aplicación está a acelerarse [4]
- As leis estatais divídense en dous modelos: o modelo de California (opt-out, dereito privado de acción) e o modelo de Virxinia (opt-in para datos sensibles, só aplicación por parte do Fiscal Xeral) [3]
- Once estados requiren agora soporte para o mecanismo de opt-out universal Global Privacy Control (GPC), converténdoo nun estándar nacional de facto para o opt-out [3]
- Só o 9% dos 522 corredores de datos rexistrados en California foron atopados totalmente conformes nun estudo de maio de 2026; o incumprimento está xeneralizado incluso entre as entidades reguladas [6]
- Non existe unha lei federal de privacidade integral; a American Privacy Rights Act introducida en 2024 non foi promulgada [2]
- Unha única política de privacidade ben estruturada complementada con adendas específicas do estado é xeralmente suficiente; non se requiren políticas separadas por estado
- A infraestrutura de xestión do consentimento, como unha plataforma como Biscotti CMP, é cada vez máis esencial para automatizar os fluxos de traballo de opt-out e consentimento en todas as xurisdicións
Que estados teñen leis de privacidade e que cobren
A mediados de 2026, 23 estados aprobaron lexislación integral de privacidade do consumidor, e o número segue crecendo. Indiana, Kentucky e Rhode Island comezaron a aplicación o 1 de xaneiro de 2026, engadindo a un panorama xa complexo [9]. A Lei 502 de Luisiana, asinada o 29 de maio de 2026, é a adición máis recente, que entrará en vigor o 1 de xaneiro de 2027 [2].
A maioría das leis comparten un núcleo común de dereitos: acceso, corrección, eliminación, portabilidade e o dereito a optar por non vender ou compartir datos persoais. Non obstante, os detalles diverxen significativamente en alcance, limiares e mecanismos de aplicación.
Estados con leis de privacidade integrais activas (exemplos representativos):
| Estado | Data de entrada en vigor | Característica clave |
|---|---|---|
| California (CCPA/CPRA) | 2020 / 2023 | Dereito privado de acción por violacións; plataforma DROP |
| Virxinia (VCDPA) | 2023 | Opt-in para datos sensibles; só aplicación por parte do Fiscal Xeral |
| Colorado (CPA) | 2023 | GPC requirido; amplas categorías de datos sensibles |
| Texas (TDPSA) | 2024 | Sen limiar de ingresos; aplicación por parte do Fiscal Xeral |
| Luisiana (Lei 502) | 1 de xaneiro de 2027 | Promulgación máis recente a mediados de 2026 |
Cales son as principais diferenzas entre as leis de privacidade estatais nos EUA
A división central para navegar pola realidade fragmentada das leis de privacidade estatais dos EUA é o modelo de California fronte ao modelo de Virxinia. Estes dous marcos convertéronse nos modelos que a maioría dos outros estados adaptan.
Características do modelo de California:
- Opt-out por defecto para a venda e compartición de datos (os consumidores deben optar por non participar activamente)
- Dereito privado de acción por violacións de seguridade de datos
- Limiares de aplicabilidade máis amplos (baseados en ingresos e en volume de datos)
- Inclúe un requisito de mecanismo de opt-out universal (GPC)
Características do modelo de Virxinia:
- Consentimento opt-in requirido para o tratamento de datos persoais sensibles
- Aplicación limitada ao Fiscal Xeral do estado
- Sen dereito privado de acción para consumidores individuais
- Definicións xeralmente máis estreitas de "datos sensibles"
A diverxencia crea unha fricción operativa real. Unha empresa que opta por defecto polo consentimento opt-out para California pode aínda necesitar un consentimento opt-in afirmativo para categorías de datos sensibles segundo as regras de Virxinia, Colorado ou Connecticut, todo simultaneamente [3].
Como se comparan CCPA, GDPR e outras leis estatais
A CCPA/CPRA de California é o análogo máis próximo nos EUA ao GDPR da UE, pero persisten importantes diferenzas estruturais. O GDPR require unha base legal para todo o tratamento de datos e esixe o consentimento opt-in para a maioría dos usos. A CCPA opera cun modelo opt-out para a venda de datos, con opt-in requirido só para menores e categorías de datos sensibles segundo as emendas da CPRA.
Outras leis estatais ocupan un punto intermedio: toman prestados dereitos dos interesados ao estilo GDPR (acceso, corrección, eliminación) mentres manteñen a preferencia americana polos valores predeterminados de opt-out en lugar do consentimento opt-in. O resultado é que un programa conforme ao GDPR proporciona unha base sólida pero non satisface automaticamente os requisitos dos estados dos EUA, particularmente en torno ás divulgacións dos corredores de datos, as opcións de opt-out de venda e as restricións de publicidade dirixida.
Cal é a lei de privacidade estatal máis estrita
California segue sendo a xurisdición máis esixente para a maioría das empresas. A CPRA introduciu a California Privacy Protection Agency (CPPA) como un organismo de aplicación dedicado, ampliou as categorías de datos sensibles e creou a Data Removal and Opt-out Platform (DROP), lanzada a principios de 2026, que permite aos residentes solicitar a eliminación de centos de corredores de datos mediante unha única presentación [5].
Colorado é un segundo próximo en canto a complexidade operativa, dado o seu soporte GPC obrigatorio, as amplas definicións de datos sensibles e a lexislación activa sobre a toma de decisións automatizada. Para as empresas no espazo dos corredores de datos especificamente, os requisitos de California están nunha categoría propia; un estudo de maio de 2026 descubriu que só o 9% dos 522 corredores de datos rexistrados estaban totalmente conformes [6].
Cal é a forma máis sinxela de cumprir con varias leis de privacidade estatais
O camiño máis eficiente para navegar pola realidade fragmentada das leis de privacidade estatais dos EUA é unha arquitectura de cumprimento por niveis: construír segundo o estándar máis estrito como base, e despois engadir os requisitos específicos de cada estado.
Pasos prácticos:
- Realizar un inventario de datos. Mapear cada categoría de datos persoais recollidos, a súa orixe, o propósito do tratamento e os destinatarios de terceiros. Isto é fundamental para todas as leis estatais.
- Identificar as xurisdicións aplicables. Determinar que limiares estatais cumpre a súa empresa; a maioría das leis actívanse en función do número de residentes atendidos ou dos ingresos procedentes da venda de datos.
- Implementar un mecanismo de opt-out universal. Despregar o soporte GPC inmediatamente. Once estados xa o esixen, e a lista está a crecer [3]. Unha plataforma de xestión do consentimento como Biscotti CMP pode automatizar a detección de sinais GPC e atender as solicitudes de opt-out en tempo real.
- Segmentar o consentimento para datos sensibles. Construír fluxos de consentimento opt-in para categorías sensibles (saúde, biométricos, xeolocalización precisa) para satisfacer os estados do modelo de Virxinia.
- Establecer un fluxo de traballo de solicitude de suxeito de datos (DSR). A maioría das leis requiren respostas nun prazo de 45 días. Automatizar a entrada e o enrutamento.
- Actualizar os contratos dos provedores. Os acordos de tratamento de datos deben reflectir os requisitos de cada estado para os procesadores e provedores de servizos.
- Revisar as prácticas de toma de decisións automatizadas. Varios estados están a engadir obrigas aquí, particularmente para decisións con efectos legais ou significativos [4].
Necesito políticas de privacidade separadas para cada estado
Non, as políticas separadas por estado non son legalmente requiridas e xeralmente non son aconsellables. Unha única política de privacidade ben estruturada que aborde todas as divulgacións requiridas, complementada con adendas ou seccións de avisos específicas do estado, satisface a maioría das leis. Unha investigación publicada en xullo de 2025 descubriu que o 53,8% dos bancos estadounidenses con múltiples políticas de privacidade mostraban inconsistencias internas, o que creaba confusión nos consumidores e socavaba os obxectivos de transparencia [7]. Unha política unificada reduce ese risco.
A política debe, como mínimo, divulgar: categorías de datos recollidos, propósitos do tratamento, compartición con terceiros, dereitos do consumidor por xurisdición e como presentar solicitudes. California require unha ligazón específica "Non vender nin compartir a miña información persoal"; outros estados teñen requisitos análogos que se poden abordar mediante un único mecanismo de opt-out.
Canto custa cumprir coas leis de privacidade estatais
Os custos de cumprimento varían considerablemente en función do tamaño da empresa, a complexidade dos datos e a infraestrutura existente. Non existe un único punto de referencia da industria verificado que se aplique universalmente, pero os factores de custo son ben coñecidos:
- Tecnoloxía: As plataformas de xestión do consentimento, as ferramentas de automatización de DSR e o software de mapeo de datos representan os maiores custos recorrentes para a maioría das organizacións.
- Revisión legal: A redacción inicial da política e as actualizacións anuais para un programa multiestatal normalmente requiren asesoramento externo ou un avogado de privacidade dedicado.
- Gastos xerais operativos: Tempo do persoal para o procesamento de DSR, a xestión de provedores e a formación.
Para pequenas empresas con operacións de datos limitadas, unha solución de xestión do consentimento ben configurada e unha política de privacidade revisada poden representar a maior parte do investimento. Para empresas que manexan grandes volumes de datos ou que realizan funcións de corredor de datos, os custos aumentan substancialmente, particularmente dado que as multas agora representan un risco financeiro creíble, con 3.425 millóns de dólares recadados polos reguladores estatais só en 2025 [4].
Que ocorre se a miña empresa viola as leis de privacidade estatais
As sancións varían segundo o estado, pero seguen un patrón consistente: multas civís por violación, períodos de corrección (que se están acurtando ou eliminando nas leis máis recentes) e, no caso de California, a posibilidade de demandas iniciadas polos consumidores por violacións de datos.
- California: Ata 7.500 $ por violación intencionada; sen período de corrección para violacións intencionadas
- Virxinia: Ata 7.500 $ por violación despois dun período de corrección de 30 días
- Colorado: Ata 20.000 $ por violación; período de corrección eliminado despois do 1 de xaneiro de 2025
- Texas: Ata 7.500 $ por violación; aplicación por parte do Fiscal Xeral con solicitudes de investigación civil
O aumento da aplicación en 2025, case duplicando os totais de multas ano tras ano, indica que os reguladores superaron a fase de concienciación [4]. As empresas que asumiron un baixo risco de aplicación deberían reavaliar esa suposición.
Poden as pequenas empresas permitirse cumprir con todos os requisitos de privacidade estatais
A maioría das leis de privacidade estatais inclúen limiares deseñados para eximir ás empresas moi pequenas. Os desencadenantes comúns inclúen o procesamento de datos de 100.000 ou máis consumidores anualmente, ou a obtención de máis do 25-50% dos ingresos da venda de datos. Unha pequena empresa de comercio electrónico que non vende datos de consumidores e atende a menos de 100.000 residentes estatais pode caer por debaixo de múltiples limiares.
Dito isto, a TDPSA de Texas carece notablemente dun limiar de ingresos, o que significa que calquera empresa que procese datos de residentes de Texas e cumpra o limiar de contaxe de consumidores debe cumprir independentemente do tamaño dos ingresos [3]. As pequenas empresas non deben asumir a exención sen unha análise xurisdición por xurisdición.
O cumprimento rendible para as organizacións máis pequenas normalmente significa: unha política de privacidade revisada, soporte GPC a través dunha ferramenta de xestión do consentimento e un proceso documentado para xestionar as solicitudes de acceso e eliminación.
Que industrias son as máis afectadas polas leis de privacidade estatais
As industrias intensivas en datos enfróntanse á maior carga de cumprimento. Os sectores con maior exposición inclúen:
- AdTech e axencias de marketing en liña: As restricións de publicidade dirixida, os requisitos de consentimento de cookies e os mandatos de opt-out para a compartición de datos afectan máis a este sector.
- Comercio electrónico: A ampla recollida de datos de transaccións, o seguimento do comportamento e as integracións de terceiros crean múltiples puntos de contacto de cumprimento.
- Sanidade e tecnoloxía sanitaria: Os datos de saúde sensibles desencadean requisitos de opt-in segundo a maioría das leis estatais, independentemente das obrigas da HIPAA.
- Corredores de datos: A categoría máis escrutada, a plataforma DROP de California e os requisitos de rexistro específicos para corredores establecen un alto nivel [5][6].
- Servizos financeiros: A investigación mostra unha inconsistencia significativa na forma en que os bancos xestionan as divulgacións de privacidade en múltiples políticas [7].
Como afectan as leis de privacidade estatais ao comercio electrónico e ás empresas en liña
Para as empresas en liña, navegar pola realidade fragmentada das leis de privacidade estatais dos EUA tradúcese principalmente na xestión do consentimento e nas obrigas de fluxo de datos. Cada sitio web que utiliza píxeles de seguimento de terceiros, publicidade comportamental ou ferramentas de análise que comparten datos con provedores está potencialmente involucrado na "compartición de datos" ou "venda" segundo múltiples definicións estatais.
As implicacións prácticas:
- Os banners de cookies deben respectar os sinais GPC automaticamente en 11 estados [3]
- Os programas de retargeting e de público similar poden constituír "compartición" segundo a CCPA, o que require mecanismos de opt-out
- A sentenza do Tribunal Supremo de xullo de 2026 en Chatrie contra os Estados Unidos, que sostivo que a recollida de datos de localización baseada en xeocercas amplas constitúe unha busca da Cuarta Emenda, engade unha nova dimensión ás prácticas de marketing baseadas na localización [1]
- Os programas de subscrición e fidelidade que monetizan datos de comportamento enfróntanse a un escrutinio maior
Unha plataforma de xestión do consentimento que se integre con as principais pilas de tecnoloxía publicitaria e que transmita as preferencias de opt-out xa non é opcional para a maioría das empresas en liña de escala significativa.
Haberá unha lei federal de privacidade para substituír as leis estatais
Non de forma inminente. A American Privacy Rights Act (APRA), introducida en 2024, non foi promulgada, e a mediados de 2026 non se aprobou ningunha lexislación federal de privacidade integral [2]. Os obstáculos políticos, principalmente o desacordo sobre se unha lei federal debería prevalecer sobre as leis estatais e se debería incluír un dereito privado de acción, seguen sen resolverse.
A consecuencia práctica é que o mosaico estado por estado seguirá expandíndose. A Lei 502 de Luisiana é a 23ª lei estatal, e varios outros estados teñen lexislación activa en curso. As empresas deberían planificar unha fragmentación continua en lugar de esperar a unha preempción federal.
Cales son os erros comúns que cometen as empresas co cumprimento da privacidade estatal
Varios erros recorrentes representan unha parte desproporcionada da exposición á aplicación:
- Asumir que o cumprimento do GDPR cobre as obrigas dos EUA. O GDPR e as leis estatais dos EUA comparten conceptos pero difiren materialmente nos valores predeterminados do consentimento, os mecanismos de aplicación e os dereitos específicos.
- Ignorar os sinais GPC. Once estados agora esixen o soporte GPC; non respectar o sinal é unha violación automática nesas xurisdicións [3].
- Pasar por alto o rexistro de corredores de datos. California require que os corredores de datos se rexistren na CPPA; só o 9% dos corredores rexistrados foron atopados totalmente conformes en 2026 [6].
- Políticas de privacidade inconsistentes entre propiedades. Múltiples políticas para a mesma organización crean contradicións que os reguladores e os demandantes poden explotar [7].
- Descuidar os contratos dos provedores. Moitas leis estatais impoñen responsabilidade aos controladores por fallos dos procesadores; os acordos de tratamento de datos obsoletos son unha brecha significativa.
- Tratar a toma de decisións automatizada como non regulada. Novas emendas estatais están a engadir requisitos de divulgación e opt-out para decisións algorítmicas con efectos significativos para o consumidor [4].
Que debería facer a miña empresa primeiro para prepararse para as leis de privacidade estatais
Comeza cun inventario de datos e unha análise de aplicabilidade xurisdicional; estes dous pasos determinan todo o demais. Sen saber que datos posúes e que leis estatais se aplican ás túas operacións, ningún programa de cumprimento pode ser correctamente dimensionado.
Prioridades inmediatas para 2026:
- Realizar un exercicio de mapeo de datos para identificar os fluxos de datos persoais, os provedores e os propósitos do tratamento
- Determinar que limiares estatais cumpre a túa empresa
- Implementar o soporte de sinais GPC; este único paso aborda as obrigas de opt-out en 11 estados simultaneamente
- Auditar a túa política de privacidade para comprobar a súa integridade e coherencia
- Establecer un proceso documentado de entrada e resposta de DSR
- Revisar todos os acordos de compartición de datos con terceiros
Para as organizacións que aínda non implementaron unha solución de xestión do consentimento, Biscotti CMP proporciona infraestrutura para xestionar os sinais de consentimento, atender as solicitudes de opt-out e manter rexistros de consentimento auditables en todas as xurisdicións.
Preguntas frecuentes
P: As leis de privacidade estatais aplícanse a empresas fóra dos EUA? Si. A maioría das leis estatais aplícanse en función de onde residen os consumidores, non de onde está constituída a empresa. Unha empresa europea que atende a residentes de California está suxeita á CCPA/CPRA se cumpre os limiares aplicables.
P: Que é o Global Privacy Control (GPC) e por que é importante? GPC é un sinal a nivel de navegador que comunica automaticamente a preferencia de opt-out dun consumidor aos sitios web. Once estados agora requiren que as empresas o respecten, o que converte o soporte GPC nun requisito de cumprimento case universal para os sitios web orientados aos EUA [3].
P: A miña empresa necesita cumprir se só recolle enderezos de correo electrónico? Posiblemente. Os enderezos de correo electrónico son datos persoais segundo todas as leis de privacidade estatais. Se debes cumprir depende de cantos residentes estatais recollas datos e se vendes ou compartes eses datos.
P: Cal é a diferenza entre un controlador de datos e un procesador de datos segundo as leis estatais? Un controlador determina os propósitos e os medios do tratamento de datos persoais. Un procesador manexa datos en nome dun controlador. A maioría das leis estatais impoñen obrigas primarias aos controladores, pero os procesadores tamén deben cumprir os requisitos contractuais establecidos polos controladores.
P: Canto tempo teñen as empresas para responder ás solicitudes de datos dos consumidores? A maioría das leis estatais requiren unha resposta nun prazo de 45 días, cunha posible extensión de 45 días para solicitudes complexas. California permite ata 90 días nalgunhas circunstancias.
P: É suficiente un banner de cookies para o cumprimento da lei estatal dos EUA? Un banner de cookies por si só non é suficiente. Debe estar respaldado por unha infraestrutura de xestión do consentimento real que rexistre as preferencias, respecte os sinais de opt-out (incluíndo GPC) e impida a compartición de datos antes de obter o consentimento cando sexa necesario.
P: Que se considera "datos sensibles" segundo as leis de privacidade estatais? As definicións varían, pero os datos sensibles normalmente inclúen: xeolocalización precisa, información de saúde e médica, datos biométricos, datos de contas financeiras, orixe racial ou étnica, orientación sexual e datos sobre nenos. A maioría das leis estatais requiren o consentimento opt-in para o tratamento de datos sensibles.
P: Poden os consumidores demandar directamente ás empresas por violacións da privacidade? En California, os consumidores poden presentar demandas privadas por violacións de datos que impliquen certas categorías de información persoal. A maioría dos outros estados limitan a aplicación ao Fiscal Xeral, o que significa que non existe un dereito privado de acción fóra de California para violacións xerais da privacidade.
P: Como afecta a sentenza do Tribunal Supremo de 2026 sobre xeocercas ao marketing? A sentenza Chatrie contra os Estados Unidos (2 de xullo de 2026) sostivo que a recollida de datos de localización baseada en xeocercas amplas require unha orde específica segundo a Cuarta Emenda [1]. Aínda que a sentenza aborda directamente a aplicación da lei, sinala un escrutinio xudicial maior das prácticas de datos de localización e pode influír en como os reguladores interpretan as obrigas de datos de localización segundo as leis de privacidade estatais.
P: Que é a plataforma DROP de California? DROP (Data Removal and Opt-out Platform) lanzouse a principios de 2026 e permite aos residentes de California solicitar a eliminación dos seus datos persoais de centos de corredores de datos rexistrados mediante unha única presentación [5].
Conclusión
O panorama da privacidade estado por estado non se está simplificando, senón que se está expandindo. Con 23 leis integrais activas a mediados de 2026, 3.425 millóns de dólares en multas recadadas en 2025 e a Lei 502 de Luisiana engadindo unha 24ª xurisdición en 2027, o custo da inacción volveuse concreto e medible [2][4].
A boa noticia é que unha arquitectura de cumprimento estruturada xestiona a maior parte da complexidade sen requirir programas separados para cada estado. Constrúe segundo o estándar de California como base, implementa o soporte GPC inmediatamente, audita os teus fluxos de datos e contratos de provedores, e asegúrate de que a túa política de privacidade sexa internamente consistente. Estes pasos abordan a maioría das obrigas en todas as leis estatais activas.
Para as organizacións que xestionan o consentimento a escala, o despregamento dunha infraestrutura construída para tal fin, como Biscotti CMP, é a forma máis fiable de automatizar o manexo de sinais de opt-out, manter rexistros de consentimento auditables e adaptarse a medida que entren en vigor novos requisitos estatais. Agardar por unha lei federal para resolver a fragmentación non é unha estratexia viable. Os estados están a lexislar, os reguladores están a aplicar, e as empresas que constrúan programas de cumprimento duradeiros agora terán unha vantaxe competitiva significativa a medida que o panorama siga evolucionando.
Referencias
[1] Supreme Court Police Track Cell Phones - https://theweek.com/law/supreme-court-police-track-cell-phones?utm_source=openai
[2] States Overview - https://codamail.com/articles/privacy-law-directory/us/states-overview.html?utm_source=openai
[3] State Privacy Law Tracker New Regulations Taking Effect In 2026 - https://dapripro.com/state-privacy-law-tracker-new-regulations-taking-effect-in-2026/?utm_source=openai
[4] Us State Privacy Fines 2025 - https://www.helpnetsecurity.com/2026/04/28/us-state-privacy-fines-2025/?utm_source=openai
[5] California Made It Easier To Delete Your Data - https://www.kiplinger.com/personal-finance/online-shopping/california-made-it-easier-to-delete-your-data?utm_source=openai
[6] arxiv (Data Broker Compliance Study, 2026) - https://arxiv.org/abs/2605.21376?utm_source=openai
[7] arxiv (Bank Privacy Policy Inconsistencies, 2025) - https://arxiv.org/abs/2507.05415?utm_source=openai
[8] arxiv (Default Opt-Out Settings, 2026) - https://arxiv.org/abs/2603.15705?utm_source=openai
[9] Scope Of Us State Level Privacy Laws Expands Rapidly In 2025 - https://www.computerweekly.com/news/366633681/Scope-of-US-state-level-privacy-laws-expands-rapidly-in-2025?utm_source=openai
[10] The Compliance Tightrope Balancing Uniformity And Precision Across U S State Consumer Privacy Laws - https://www.foley.com/insights/publications/2026/04/the-compliance-tightrope-balancing-uniformity-and-precision-across-u-s-state-consumer-privacy-laws/?utm_source=openai