En febrero de 2026, la Fiscalía General de California anunció un acuerdo de 2,75 millones de dólares con Disney DTC y ABC Enterprises, el más grande en la historia de la Ley de Privacidad del Consumidor de California (CCPA).

La mayor parte del ruido se ha centrado en las dimensiones legales e interpretativas: cómo se lee el acuerdo frente al estatuto, qué señales envía sobre la postura de aplicación y qué añade a un historial de enforcement que se ha ido afianzando durante más de tres años.

Desde la primera gran acción de CCPA contra Sephora, en 2022, por no respetar las solicitudes de exclusión, los acuerdos con DoorDash, Tilting Point, Healthline, Sling TV y Jam City han ido ampliando progresivamente la especificidad técnica de cómo debe verse el cumplimiento en la práctica.

Para los líderes de privacidad que deben decidir qué hacer un lunes por la mañana, las lecciones más útiles del acuerdo con Disney son de carácter técnico. En muchas empresas existe un vacío entre dos iniciativas que operan en paralelo: una capa tecnológica de privacidad centrada en cookies, banners de cookies y formularios web, y una capa de datos que funciona con grafos de identidad, perfiles pseudónimos y flujos de datos entre sistemas.

Los cuatro reclamos técnicos de la Fiscalía de California son: brechas en la forma en que los opt-outs llegan a usuarios desconectados, herramientas de exclusión desconectadas, propagación entre marcas ausente y ausencia de funcionalidad de exclusión en aplicaciones y en dispositivos de televisión conectada; son cuatro síntomas de este desalineamiento.

Estos desafíos y reclamos no son exclusivos de Disney, ni reflejan negligencia. Son consecuencias del momento. La capa de privacidad en la mayoría de las empresas fue diseñada para satisfacer un modelo regulatorio que tomó forma entre 2018 y 2022, cuando “gestión de consentimiento” significaba principalmente decidir qué cookies se disparaban en una página web.

La capa de datos a la que se acopló había estado evolucionando durante una década hacia el tipo de resolución de identidad entre dispositivos dependiente de socios que hace posible la publicidad moderna y la personalización. Las dos capas nunca se integraron adecuadamente en la mayoría de los entornos empresariales, porque durante varios años nadie parecía preocuparse.

Lo que el historial reciente de enforcement establece es que ahora sí lo hacen.

Un principio, cuatro síntomas

El principio central del acuerdo es inusualmente directo: “Si un negocio puede asociar los dispositivos de un consumidor con ese consumidor para fines de publicidad, puede y debe asociar esos dispositivos con el consumidor para respetar sus derechos de exclusión.”

En otras palabras, el alcance de la obligación de exclusión está definido por el alcance de la monetización de datos, no por el alcance de la plataforma de gestión de consentimiento. Si su pila de publicidad resuelve una señal de dispositivo anónima a un perfil conocido para orientar a un consumidor, para los fines de la ley ya lo ha identificado.

La obligación sigue el uso de capacidades de identidad, no a quién las construyó. Si se usa la identidad para orientar a un consumidor con anuncios, la misma identidad debe usarse para excluirlo una vez que opta por no participar.

Ese único principio unifica los cuatro puntos técnicos del acuerdo.

El primero: la paridad de identidad se pregunta si los opt-outs cubren a los consumidores que no están actualmente conectados. Muchos programas empresariales aplican opt-outs solo a usuarios autenticados, argumentando que el negocio no sabe quién es un usuario desconectado. El acuerdo replantea eso. Si su infraestructura de publicidad usa perfiles pseudónimos —los identificadores a nivel de dispositivo que utilizan los sistemas de ad-tech para reconocer a la misma persona entre visitas sin iniciar sesión— para orientar a ese usuario, entonces, a efectos de la ley, lo ha identificado. El opt-out debe alcanzarlo con la misma identidad.

El segundo: la fragmentación arquitectural se refiere a cómo las solicitudes de exclusión viajan a través de los sistemas destinados a hacer cumplir esas exclusiones. La mayoría de los programas de privacidad empresariales ejecutan dos productos por separado: una plataforma de gestión de consentimientos (CMP) que gobierna qué rastreadores y etiquetas se disparan en el sitio, y una herramienta de derechos del titular de datos (DSR) que maneja envíos de formularios web como Do Not Sell o Share. Cuando esos productos no están integrados, un consumidor que envía un formulario web puede dejar de aparecer en ciertos registros de backend, pero la CMP sigue disparando las mismas etiquetas en cada página que visita, y el intercambio de datos continúa. El formulario capturó la solicitud. La infraestructura de recopilación nunca la recibió.

El tercero: la propagación entre marcas se refiere a si una exclusión enviada en una propiedad llega a las otras que comparten su infraestructura de datos. Si una empresa de medios maneja tres servicios de streaming sobre una misma pila publicitaria y un cliente se excluye en uno, la ley lo considera una exclusión en los tres porque los datos se monetizan entre los tres. La capacidad técnica para propagar la señal suele existir; la lógica de cumplimiento que la vincula a ella rara vez. El mismo punto se extiende en downstream: si los socios de ad-tech ya tienen datos de un consumidor, bloquear etiquetas en su propio sitio no llega a lo que ellos tengan. Deben ser notificados activamente, a través de un flujo de trabajo que se ejecuta cada vez que se procesa una exclusión.

El cuarto: las superficies que no son navegadoras se refieren a los canales orientados al consumidor que no son un sitio web. Las herramientas de consentimiento basadas en cookies fueron diseñadas para navegadores. No se extienden, por defecto, a aplicaciones móviles, entornos de televisión conectada u otras superficies donde se recogen datos fuera del navegador. En el caso de Disney, los consumidores en una app de TV conectada solo podían excluirse mediante un formulario web en un dispositivo distinto —un formulario que no tenía efecto sobre el código que transmite datos desde la app de TV a sus socios de tecnología publicitaria. El mecanismo existía; la obligación que se suponía satisfacer no se cumplía.

La dificultad es estructural

Los cuatro vacíos técnicos anteriores comparten una raíz común, y solucionarlos apunta a algo más fundamental que parchear sistemas individuales. Nada de esto es sencillo de operacionalizar.

La infraestructura de datos moderna es realmente compleja y reconstruir cómo se comunican realmente las capas de privacidad y datos de una pila empresarial no es un proyecto que se complete en un trimestre. Pero la dificultad estructural señala algo más profundo que un simple esfuerzo de implementación: una falla en cómo la mayoría de las organizaciones enmarcan el problema desde el inicio.

La privacidad como pregunta de infraestructura de datos, no de regulación

Los programas de privacidad construidos alrededor de las regulaciones son, por diseño, reactivos. Llega una nueva ley, cae un acuerdo, una oleada de enforcement revela una brecha inesperada y el programa se apresura a responder. Ese ciclo es el resultado predecible de tratar la privacidad como una lista de verificación de cumplimiento en lugar de una capacidad integrada en cómo los datos se mueven realmente por la organización. Las regulaciones seguirán llegando y seguirán cambiando. Ningún programa diseñado alrededor de un único marco regulatorio permanecerá vigente por mucho tiempo.

Un enfoque más durable comienza en la propia infraestructura de datos. Cuando los controles de privacidad están integrados en la capa de datos, atados a la resolución de identidad y a los flujos de datos, en lugar de colocarse como capas añadidas para cumplir requisitos regulatorios específicos, se adaptan. Una nueva regulación añade una obligación específica, pero el marco subyacente para respetar las elecciones de los consumidores a través de identificadores y sistemas ya está en su lugar para absorberla. El trabajo pasa de ser una reconstrucción a ser una configuración.

El camino por venir no es otra herramienta superpuesta a la infraestructura existente para satisfacer la próxima regulación. Comienza por incorporar controles de privacidad en la propia capa de datos, vinculados a cómo los datos fluyen a través de la organización. Esa base no necesita reconstruirse cada vez que cambia el panorama regulatorio. Absorbe el cambio. Para los líderes de privacidad que buscan romper el ciclo reactivo de una vez por todas, ahí es donde empieza el trabajo.

El mejor VPN empresarial ayuda a conectar de forma segura y protegida su negocio en línea.

Este artículo se produce como parte de TechRadar Pro Perspectives, nuestro canal para mostrar las mejores mentes en la industria de la tecnología hoy.

Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si está interesado en contribuir, obtenga más información aquí: https://www.techradar.com/pro/perspectives-how-to-submit

from Latest from TechRadar https://ift.tt/GS4vNcT
via IFTTT IA