Todas las leyes estatales de privacidad de EE. UU., lado a lado.

estados obtienen la puntuación más exigente en exclusión voluntaria universal.

California. Las empresas deben respetar las señales de preferencia de exclusión voluntaria, como GPC; la AB 566 obliga a los navegadores a ofrecer una señal de exclusión voluntaria a partir de enero de 2027.

Escala: 0 no obligatorio, 1 voluntario o futuro, 2 obligatorio (GPC), 3 obligatorio más otras señales o mandato para navegadores.

estados obtienen la puntuación más exigente en periodo de subsanación.

California. Sin derecho de subsanación; la CPRA eliminó el antiguo periodo de subsanación de 30 días.

Montana. La SB 297 eliminó el periodo de subsanación garantizado de 60 días.

Rhode Island. Sin periodo de subsanación.

Escala: 0 periodo de subsanación permanente, 1 periodo de subsanación vencido o discrecional, 2 limitado, 3 sin periodo de subsanación.

estados obtienen la puntuación más exigente en minimización de datos.

Maryland. La recopilación debe limitarse a lo razonablemente necesario y proporcionado para prestar o mantener un producto o servicio concreto que el consumidor solicitó.

Escala: 0 nada más allá del aviso, 1 adecuado, pertinente y razonablemente necesario para los fines divulgados, 2 razonablemente necesario y proporcionado, 3 estrictamente necesario para prestar el producto solicitado (estilo Maryland).

estados obtienen la puntuación más exigente en menores y adolescentes.

Colorado. Menores de 18 años: deber de diligencia y consentimiento obligatorio para anuncios dirigidos, venta, elaboración de perfiles, funciones de interacción y geolocalización precisa; consentimiento parental para menores de 13.

Montana. Menores de 18 años: deber de diligencia, consentimiento para anuncios, venta, elaboración de perfiles y funciones de interacción, límites a la geolocalización y evaluaciones relativas a menores.

Florida. Se considera menor a quien tiene menos de 18 años; los datos de menores de 13 años se rigen por la COPPA, y los menores de 13 a 17 años deben dar una autorización afirmativa para el tratamiento o la venta de datos sensibles.

Maryland. Los datos de menores de 13 años son sensibles (COPPA). Se restringen los anuncios dirigidos a consumidores que el responsable sabía o debía saber que tienen entre 13 y 17 años, así como la venta de sus datos.

Escala: el valor indica las edades. Nivel 0 solo COPPA (menores de 13), 1 consentimiento parental para menores de 13 como datos sensibles, 2 protecciones adicionales para adolescentes (de 13 a 15 o 16 años, consentimiento previo para anuncios o venta), 3 protecciones para adolescentes hasta los 17 años o una obligación de código de diseño.

estados obtienen la puntuación más exigente en umbrales.

Nebraska. Sin umbral numérico; cualquier empresa que trate o venda datos personales, excepto las pequeñas empresas según la SBA federal, que aun así necesitan consentimiento para vender datos sensibles.

Texas. Cualquier empresa de Texas que trate o venda datos personales y no sea una pequeña empresa según la definición de la SBA; las pequeñas empresas aun así necesitan consentimiento para vender datos sensibles.

Connecticut. A partir del 1 de julio de 2026: 35,000 o más consumidores, o cualquier responsable que trate datos sensibles u ofrezca datos personales para la venta, con independencia del volumen.

Escala: el valor indica los umbrales (número de consumidores, ingresos, proporción de ventas de datos). Nivel 0 umbrales altos (100 mil o más consumidores y proporción de ingresos), 1 estándar (100 mil, o 25 mil más el 50% o más de los ingresos procedentes de ventas), 2 umbrales más bajos (p. ej., 35 mil o 50 mil, o solo un criterio de ingresos), 3 sin umbral o con un umbral muy bajo (p. ej., cualquier empresa que no sea una pequeña empresa, o el criterio de la SBA al estilo de Texas).

estados obtienen la puntuación más exigente en plazo de respuesta a solicitudes.

Escala: valor en días. Nivel 2 para 45 días (la norma), 3 si es más corto, 1 si es más largo o no está fijado.

estados obtienen la puntuación más exigente en acción privada.

Escala: 0 ninguna, 1 limitada (p. ej., en virtud de una ley de protección del consumidor independiente), 2 solo para violaciones de datos, 3 derecho de acción privada amplio.

estados obtienen la puntuación más exigente en facultad reglamentaria.

California. Regulaciones de la CPPA en vigor, incluidas las normas de 2025 sobre evaluaciones de riesgos, ADMT y auditorías de ciberseguridad, vigentes desde el 1 de enero de 2026.

Colorado. Normas del AG en vigor (Colorado Privacy Act Rules, 4 CCR 904-3), incluidas las especificaciones de exclusión voluntaria universal.

Escala: 0 ninguna, 1 limitada, 2 facultad reglamentaria del AG, 3 normas en vigor.