Normas de privacidad de EE. UU. para anunciantes en 2026
EE. UU. sigue sin una ley federal de privacidad, pero el mapa estatal volvió a crecer en 2026. Las leyes de Indiana, Kentucky y Rhode Island entraron en vigor el 1 de enero, con lo que ya son veinte los estados con leyes integrales de privacidad. El reglamento actualizado de la CCPA de California, también en vigor desde el 1 de enero de 2026, añade evaluaciones de riesgos, auditorías de ciberseguridad y derechos relativos a la tecnología de toma de decisiones automatizada. Para los anunciantes, el trabajo práctico consiste en gestionar la exclusión voluntaria de la publicidad segmentada en todos los estados donde tengan clientes y en llevar un registro de cómo se utilizan los datos de audiencia.
Conclusiones para la dirección
- 1
Las leyes integrales de privacidad de Indiana, Kentucky y Rhode Island entraron en vigor el 1 de enero de 2026, con lo que el total asciende a veinte estados.
Fuente secundaria. Alcance: Estados Unidos; seguimiento legislativo estatal, a fecha de . [1]
- 2
La ley de Rhode Island abarca a las entidades que tratan datos de al menos 35.000 consumidores, o de 10.000 si más del 20 % de sus ingresos procede de la venta de datos personales.
Fuente secundaria. Alcance: Rhode Island; seguimiento legislativo estatal, a fecha de . [1]
- 3
El reglamento actualizado de la CCPA de California, adoptado en julio de 2025 y aprobado en septiembre de 2025, entró en vigor el 1 de enero de 2026 y abarca las evaluaciones de riesgos, las auditorías de ciberseguridad y la ADMT.
Documentado: fuente oficial. Alcance: California; CPPA, a fecha de . [2]
- 4
Otras modificaciones estatales entran en vigor el 1 de julio de 2026 en Connecticut, Arkansas y Utah.
Fuente secundaria. Alcance: Estados Unidos; seguimiento legislativo estatal, a fecha de . [1]
Método y limitaciones
- Pregunta
- ¿Qué cambió en 2026 en la legislación de privacidad de EE. UU. que afecte a cómo segmentan y miden los anunciantes?
- Dirigido a
- Responsables de performance y de CRM que compran medios en EE. UU.
- Decisión en juego
- Cómo configurar la gestión de exclusiones voluntarias, el mapeo de datos y la medición de las campañas en EE. UU.
- Fuentes
- Un seguimiento de las leyes estatales de privacidad, la página de elaboración normativa de la California Privacy Protection Agency y el texto del reglamento, y un informe de un despacho de abogados sobre las tres nuevas leyes estatales.
- Periodo
- Fuentes oficiales y jurídicas según lo publicado y consultado el 18 de octubre de 2026.
- Mercados
- Estados Unidos, con detalle sobre California.
- Definiciones
- Publicidad segmentada: anuncios seleccionados con datos personales obtenidos en sitios web o aplicaciones no afiliados, según la definición de la mayoría de las leyes estatales.
- ADMT: tecnología de toma de decisiones automatizada, según la definición del reglamento de California.
- Limitaciones
- Las leyes estatales difieren en umbrales y definiciones; este resumen no recoge todas las modificaciones.
- Esto no constituye asesoramiento jurídico ni fiscal. Confirme las obligaciones de su empresa con asesores cualificados en el mercado.
El mapa estatal en 2026
Fuente secundaria
Indiana, Kentucky y Rhode Island se sumaron el 1 de enero de 2026 a la lista de estados con leyes integrales de privacidad. Las tres siguen el modelo de Virginia, que otorga a los consumidores el derecho a excluirse de la publicidad segmentada y de la venta de datos personales. Los umbrales de Rhode Island son lo bastante bajos como para incluir a muchas empresas medianas.
Las modificaciones en Connecticut, Arkansas y Utah llegan el 1 de julio de 2026, varias de ellas para endurecer las normas sobre los datos de menores.
California: evaluaciones, auditorías y ADMT
Documentado: fuente oficial
El consejo de la California Privacy Protection Agency adoptó el reglamento actualizado el 24 de julio de 2025; se aprobó el 22 de septiembre de 2025 y entró en vigor el 1 de enero de 2026. Exige a determinadas empresas realizar evaluaciones de riesgos y auditorías anuales de ciberseguridad, y otorga a los consumidores derechos de acceso y de exclusión de algunos usos de la tecnología de toma de decisiones automatizada. Los plazos de auditoría son escalonados: los primeros informes de las empresas más grandes deben presentarse a partir de abril de 2028.
Qué cambiar en las campañas
Visión de FOCUSADS
- Respete Global Privacy Control y las señales de exclusión voluntaria en todos los sitios, no solo para los visitantes de California.
- Identifique qué audiencias proceden de sus propios clientes y cuáles de terceros.
- Envíe los resultados del CRM a las plataformas mediante API de conversiones aprobadas para que la optimización dependa menos del seguimiento entre sitios.
- Registre qué decisiones de audiencia y de puja están automatizadas, por si llega una solicitud relativa a ADMT.
Dónde vemos oportunidades
Visión de FOCUSADS
A medida que se reducen las señales entre sitios, los presupuestos se desplazan hacia canales con audiencias propias: redes de retail media, televisión conectada con espectadores que han iniciado sesión y búsqueda. Los anunciantes con datos de CRM limpios pueden medirlos frente a resultados reales en lugar de las conversiones declaradas por la plataforma.
Cómo se relaciona con nuestro método: Cómo filtra FOCUSADS los canales por mercado
Referencias
- All of the comprehensive privacy laws that take effect in 2026, MultiState, consultado
- CCPA updates, cybersecurity audits, risk assessments, ADMT and insurance regulations, California Privacy Protection Agency, consultado
- California Consumer Privacy Act Regulations, effective 1 January 2026, California Privacy Protection Agency, consultado
- New state privacy laws effective January 1, 2026: Indiana, Kentucky and Rhode Island, Koley Jessen, consultado