UCPA de Utah: A quién se aplica y qué deben hacer las webs

¿Se aplica la UCPA a tu empresa?

Sigue estos pasos en orden. La UCPA solo se aplica si respondes que sí en los pasos 1–3 y no se aplica ninguna exención.

1. Vínculo con Utah: ¿operas en Utah u ofreces un producto o servicio dirigido a residentes de Utah?
2. Ingresos: ¿tus ingresos anuales son de 25.000.000 $ o más? Los ingresos por sí solos nunca te incluyen en el ámbito de aplicación.
3. Datos: en un año natural, ¿controlas o tratas datos personales de 100.000 o más consumidores de Utah, u obtienes más del 50 % de tus ingresos brutos de la venta de datos personales mientras tratas datos de 25.000 o más consumidores?
4. Exenciones: ¿eres una organización exenta, o están exentos los propios datos?

La disposición sobre el ámbito de aplicación exime, entre otras, a las corporaciones sin ánimo de lucro, las instituciones de educación superior, las entidades gubernamentales, las tribus, las entidades cubiertas por la HIPAA y sus socios comerciales (business associates), las entidades financieras reguladas por la GLBA y las compañías aéreas. Entre los datos exentos están la información sanitaria protegida y los datos de empleados o de candidatos a un empleo.

Un consumidor es un residente de Utah que actúa en un contexto individual o doméstico. Cuenta los residentes de Utah cuyos datos tratas, no las páginas vistas, y guarda una nota fechada con las cifras en las que basas tu decisión.

¿Qué debe ofrecer una web sujeta a la ley?

Tu aviso de privacidad debe ser razonablemente accesible y claro, e incluir las categorías de datos personales, los fines, cómo ejercer los derechos, y las categorías de datos compartidos y de terceros que los reciben.

Si vendes datos personales o haces publicidad dirigida, debes informar de forma clara y destacada de cómo pueden oponerse los consumidores. En Utah, una venta requiere una contraprestación económica, mientras que la publicidad dirigida es una actividad distinta, así que «no vendemos datos» no resuelve la cuestión de la exclusión de la publicidad.

Ejemplo: un comercio sujeto a la ley usa una red publicitaria para llegar a sus visitantes en webs no relacionadas. Cuando un cliente de Utah se opone a la publicidad dirigida, revisa tanto la etiqueta del navegador como cualquier carga de audiencias que use sus datos. La tramitación de pedidos puede continuar.

La UCPA no menciona las señales de exclusión del navegador como Global Privacy Control. Respetar GPC para los visitantes de Utah es decisión tuya, no un requisito de la UCPA.

¿Cómo trata Utah los datos sensibles?

Los datos sensibles abarcan los datos que revelan el origen racial o étnico, las creencias religiosas, la orientación sexual, la ciudadanía o la situación migratoria, o el historial médico y la información sobre la salud; los datos genéticos o biométricos tratados para identificar a una persona; y la geolocalización específica con una precisión de 1750 pies (unos 530 metros). Según los deberes del responsable del tratamiento, debes dar un aviso claro y la oportunidad de oponerse antes de tratarlos.

Esa es la principal diferencia de Utah. Otros estados exigen un consentimiento previo (opt-in) para el mismo tipo de datos:

Si ofreces una misma experiencia en varios estados, puedes optar por el consentimiento previo para todos. Preséntalo como tu propia política, no como un requisito de Utah.

¿Qué derechos debes atender?

Los consumidores de Utah pueden:

• confirmar si tratas sus datos personales y acceder a ellos;
• suprimir los datos personales que te facilitaron;
• obtener una copia portátil de los datos personales que te facilitaron previamente;
• pedirte que rectifiques datos personales inexactos;
• oponerse a la publicidad dirigida y a la venta de datos personales.

Cambio a partir del 1 de julio de 2026: una modificación de 2025 del Utah Code § 13-61-201 (Laws of Utah 2025, capítulo 468) añadió el derecho a rectificar inexactitudes, teniendo en cuenta la naturaleza de los datos y los fines del tratamiento. Añade la rectificación a tu aviso de privacidad y a tu formulario de solicitudes si solo enumeran los derechos originales.

Utah no prevé la oposición a la elaboración de perfiles ni exige un procedimiento de recurso, y la supresión solo abarca los datos que facilitó el consumidor. Puedes ofrecer más, pero presenta los derechos adicionales como tu política, no como requisitos de la UCPA.

Según las normas sobre respuestas, atiende cada solicitud en un plazo de 45 días. Puedes prorrogarlo una vez 45 días más si las solicitudes son complejas o numerosas, siempre que se lo comuniques al consumidor antes de que termine el primer plazo. Si la rechazas, explica tus motivos en un plazo de 45 días. La primera solicitud en un periodo de 12 meses es gratuita.

Lista de comprobación para tu web

• Registro del ámbito: anota tu cifra de ingresos, el criterio de datos que cumples y cualquier exención, con la fecha.
• Prueba de exclusión: oponte a la publicidad dirigida como usuario de prueba; las etiquetas publicitarias y las cargas de audiencias deberían detenerse para ese usuario.
• Datos sensibles: el aviso y la opción de exclusión deberían aparecer antes de que cualquier formulario o función recoja datos sensibles.
• Formulario de derechos: debería ofrecer la rectificación junto al acceso, la supresión, la portabilidad y las opciones de exclusión.
• Plazo de respuesta: registra una solicitud de prueba y confirma que se responde en un plazo de 45 días.

Preguntas frecuentes