Leyes estatales de EE. UU. sobre protección de datos, para pequeñas empresas.

A fecha de octubre de 2026, 19 estados de EE. UU. cuentan con leyes integrales de protección de datos en vigor. Estos estados son California, Virginia, Colorado, Connecticut, Utah, Texas, Oregón, Montana, Iowa, Delaware, Nebraska, Nuevo Hampshire, Nueva Jersey, Tennessee, Minnesota, Maryland, Indiana, Kentucky y Rhode Island.

Oklahoma y Luisiana cuentan con leyes que entrarán en vigor el 1 de enero de 2027; Alabama, el 1 de mayo de 2027; y Vermont, el 1 de enero de 2028.

Las leyes estatales de protección de datos de EE. UU. se aplican a una pequeña empresa una vez que supera un umbral estatal, que la mayoría de los estados fijan en función del número de consumidores. Muchos estados establecen ese umbral en 100 000 consumidores al año, y algunos en 35 000 o 25 000. La mayoría aplica el umbral a un número inferior cuando la empresa vende datos personales. Texas y Nebraska eximen a las pequeñas empresas según la definición de la SBA, pero siguen exigiendo el consentimiento antes de la venta de datos sensibles.

Consulta la tabla de esta página y compárala con el número de visitantes y clientes que tienes en cada estado.

Ninguna ley estatal de EE. UU. exige que se muestre un banner de consentimiento antes de que se carguen las cookies para los visitantes mayores de edad. Las leyes estatales utilizan un modelo de exclusión voluntaria para la venta de datos y la publicidad personalizada.

Las leyes exigen una forma clara de darse de baja, el consentimiento expreso para los datos sensibles y, en 10 estados, el respeto al Control Global de Privacidad. Varios estados añaden normas más estrictas para los menores, como el consentimiento para la publicidad dirigida a adolescentes. «Privacy Consent» muestra el enlace «Tus opciones de privacidad», respeta el Control Global de Privacidad y pregunta primero a cada visitante cuando un proveedor trata datos sensibles.

Diez estados exigen a las empresas que respeten las señales universales de exclusión voluntaria, como el Global Privacy Control. California fue el primer estado en aplicar la norma; Colorado lo hará a partir del 1 de julio de 2024, y Connecticut, Texas, Montana y New Hampshire, a partir del 1 de enero de 2025.

Nueva Jersey se sumó el 15 de julio de 2025, Minnesota el 31 de julio de 2025, y Oregón y Delaware el 1 de enero de 2026. Vermont se incorporará el 1 de enero de 2028.

El generador de políticas de privacidad redacta una sección sobre la CCPA y la CPRA para California, y ninguna sección menciona las demás leyes estatales. La política enumera los datos que recopilas, las finalidades, la cesión de datos y los derechos de los consumidores, tal y como exigen todas las leyes estatales.

Comprueba el proceso de recurso y los métodos de exclusión voluntaria con arreglo a las leyes de los estados en los que tienes clientes.