El consentimiento de cookies en la UE y en Estados Unidos

En la UE, muchos usos de seguimiento empiezan con un consentimiento previo (opt-in). Con la CCPA de California, una empresa sujeta a la ley tiene que ofrecer la posibilidad de oponerse a la venta o al intercambio de información personal (opt-out) y respetar señales de exclusión como Global Privacy Control (GPC). Son mecanismos distintos, y ninguno de los dos resúmenes cubre todas las excepciones ni todos los sectores.

Este artículo compara los dos recorridos y cómo ofrecerlos en una misma web. No trata otros estados de EE. UU.; si atiendes a visitantes de allí, usa las guías por estado enlazadas más abajo.

Los dos recorridos, uno al lado del otro

Empieza con tres preguntas

• ¿Dónde están las personas a las que atiendes, te diriges o haces seguimiento?
• ¿Qué información recogen tu web y tus socios, y con qué finalidades?
• ¿Qué leyes y políticas de plataformas se aplican a tu empresa y a esas actividades?

Ser una empresa estadounidense no elimina por sí solo las obligaciones europeas, y una visita desde California no establece por sí sola todas las obligaciones de la CCPA. La aplicabilidad depende de algo más que una dirección IP. Revisa el punto de partida con tu asesor, usando las disposiciones del RGPD sobre ámbito territorial y la guía de la CCPA del fiscal general de California.

La CCPA se aplica a las empresas con ánimo de lucro que operan en California y cumplen al menos uno de estos umbrales: unos ingresos brutos anuales superiores a 26.625.000 $ en el año natural anterior; comprar, vender o compartir cada año la información personal de 100.000 o más consumidores u hogares; u obtener el 50 % o más de sus ingresos anuales de la venta o el intercambio de información personal. La cifra de ingresos es el importe ajustado a la inflación de la California Privacy Protection Agency vigente desde el 1 de enero de 2025.

Las excepciones y el significado jurídico de «venta» e «intercambio» siguen requiriendo un análisis más detallado. La analítica habitual, la publicidad y los acuerdos con proveedores de servicios no se tratan todos igual.

El recorrido europeo: una decisión antes del seguimiento relevante

Piensa en una tienda de muebles de ejemplo que usa analítica y remarketing opcionales. Llega un visitante europeo sin ningún consentimiento guardado. La web presenta las opciones correspondientes y controla las herramientas según la configuración elegida.

El visitante permite la analítica pero rechaza la publicidad. La implementación tiene que mantener esa distinción. Una única etiqueta de «aceptado» que activa a todos los proveedores no basta.

Las normas europeas sobre cookies proceden de la Directiva ePrivacy tal como se ha transpuesto en cada país, así que las excepciones varían. Evita copiar en todos los mercados una excepción para la analítica propia de un país. Las directrices del CEPD sobre el consentimiento establecen el estándar de consentimiento del RGPD, incluido que retirar el consentimiento debe ser tan fácil como darlo; las normas locales siguen requiriendo atención.

El recorrido californiano: haz que la exclusión funcione

Ahora imagina una empresa sujeta a la ley cuyas prácticas publicitarias implican venta o intercambio según la definición de la CCPA. Un visitante usa el mecanismo de exclusión de la web. El tratamiento posterior correspondiente tiene que reaccionar; mostrar un enlace «Do Not Sell or Share» (no vender ni compartir) no es, por sí solo, el resultado.

El reglamento de la CCPA exige un enlace «Do Not Sell or Share My Personal Information» (no vender ni compartir mi información personal) en la cabecera o el pie de página, o una alternativa permitida como un enlace «Your Privacy Choices» (tus opciones de privacidad). Vender o compartir los datos de consumidores que la empresa sabe que son menores de 16 años requiere, en cambio, una autorización previa (opt-in).

Prueba los destinos en el navegador, en el gestor de etiquetas y en el servidor que intervienen en esa actividad. Mantén las funciones de servicio habituales separadas del uso publicitario para que tu equipo pueda explicar qué cambia la decisión.

El visitante que ya ha indicado una preferencia

Global Privacy Control, o GPC, permite que un navegador envíe una preferencia de exclusión a todas las webs que usa el visitante. El fiscal general de California afirma que las empresas sujetas a la ley deben respetarla como una solicitud válida para dejar de vender o compartir. Consulta la explicación oficial de GPC.

El reglamento de la CCPA añade detalles: la exclusión se aplica a ese navegador o dispositivo y a cualquier perfil vinculado a él, incluidos los perfiles seudonimizados. La empresa también debe indicar en su sitio web si ha tratado la señal como una exclusión válida.

Para tu prueba técnica, usa un navegador con GPC activado y compara el comportamiento con una sesión sin la señal. La señal llega como la cabecera de solicitud Sec-GPC: 1 y la propiedad navigator.globalPrivacyControl, así que no depende de un botón de tu página. Nuestra guía de GPC trata los conflictos con decisiones anteriores.

Lo que la segmentación geográfica puede y no puede decidir

La segmentación geográfica elige un banner o una configuración según una ubicación estimada. No es una evaluación jurídica automática: no puede decidir si una ley se aplica a tu empresa, identificar todos los usos sensibles ni garantizar que la ubicación sea correcta, por ejemplo cuando un visitante usa una VPN.

Decide qué ocurre cuando la ubicación es desconocida y prueba esa alternativa además de las regiones que esperas atender. No trates en silencio una ubicación desconocida como permiso para un seguimiento sin restricciones.

En Passiro, Smart geo-targeting tiene un ajuste aparte, Unknown location (ubicación desconocida). Con Same banner everywhere (el mismo banner en todas partes), Passiro pide el consentimiento cuando no se puede determinar el país, pero a los visitantes de fuera de los países seleccionados no se les pregunta y los scripts se cargan con normalidad, así que revisa esa selección con cuidado.

Mantén el idioma separado de la ubicación. Un visitante hispanohablante en Los Ángeles y otro en Madrid pueden querer el mismo idioma del banner, pero necesitar opciones distintas. El idioma del banner sigue tu configuración de traducción o el idioma del navegador; no decide qué normas se aplican.

Si también atiendes a otros estados de EE. UU.

Este artículo solo trata California. Las leyes de privacidad de otros estados usan sus propios umbrales, definiciones y normas sobre datos sensibles y señales de exclusión, así que revísalas antes de copiar la configuración de California. Empieza por nuestras guías sobre la CDPA de Virginia, la CPA de Colorado y la UCPA de Utah, además de la guía de GPC y la guía completa de la CCPA.

En Smart geo-targeting de Passiro, la región US opt-out states (estados de EE. UU. con derecho de exclusión) incluye una opción para elegir estados concretos. Decide qué estados necesita cubrir tu empresa antes de confiar en ese ajuste.

Un encargo práctico para tu desarrollador

Escribe una regla breve por cada recorrido del visitante: banner esperado, estado inicial del consentimiento, opciones admitidas, proveedores afectados y comportamiento esperado tras un cambio. Añade una prueba aparte para GPC cuando corresponda y otra para la alternativa en caso de ubicación desconocida.

Para las etiquetas de Google, especifica el modo básico o avanzado de Consent Mode en lugar de pedir vagamente un «seguimiento para la UE». Sigue la guía de Consent Mode para profesionales del marketing y la prueba de «Rechazar todo» para comprobar la implementación.

Passiro incluye la segmentación geográfica y la gestión de Global Privacy Control en todos los planes, también en Free. IAB GPP empieza en Pro. El resumen de los planes muestra la diferencia; GPC y GPP no son intercambiables.