California lleva años vendiéndose como el estándar de oro de la privacidad digital en Estados Unidos. Pero el 4 de junio de 2026, Massachusetts le arrebató ese título con un solo resultado: 146 a 0.
La Cámara de Representantes de Massachusetts aprobó por unanimidad el Massachusetts Consumer Data Privacy Act. Y no es una ley de privacidad más. Es la primera en Estados Unidos que prohíbe de forma absoluta la venta de datos de geolocalización precisa.
No ofrece un botón de “no vender mis datos” como la CCPA californiana. Directamente lo prohíbe. Para residentes y visitantes. Sin excepciones.
Lo que California no se atrevió a hacer
La CCPA y su actualización CPRA fueron pioneras, pero su enfoque es distinto: te dan derechos de acceso, corrección y eliminación, y un sistema de exclusión voluntaria para la venta de datos. La ley de Massachusetts va más lejos. La geolocalización precisa simplemente no se puede vender. Punto.
La diferencia es más que semántica. Con la exclusión voluntaria, la carga recae en el usuario: tienes que saber que existe el botón, encontrarlo y activarlo en cada sitio. Con la prohibición, la carga recae en la empresa. No puede vender esos datos aunque tú quisieras dárselos.
El comunicado oficial de la legislatura es claro: la protección aplica tanto a residentes como a visitantes. Si viajas a Boston por una conferencia o buscas atención médica en el estado, tu ubicación está protegida.
Esto es especialmente relevante para personas que cruzan fronteras estatales para acceder a servicios de salud reproductiva, uno de los puntos centrales que impulsaron la ley.
Quién debería preocuparse
La ley aplica a cualquier empresa que maneje datos de más de 100,000 consumidores. Eso cubre desde las grandes tecnológicas de Silicon Valley hasta startups medianas de adtech, fitness y movilidad.
La industria publicitaria se opuso con fuerza a la versión del Senado en 2025, con el argumento de que restringiría severamente la recolección de datos. Pero lo que más les preocupa es el derecho privado de acción: los ciudadanos podrán demandar directamente a las empresas que violen la ley. No dependen de que el fiscal general actúe.
Ese derecho no aplica contra cualquiera. Solo alcanza a los “large data holders”: empresas que procesan datos de más de 2 millones de consumidores o datos sensibles de más de 200,000. Los negocios pequeños quedan bajo la supervisión exclusiva del Attorney General de Massachusetts.
Todo lo demás que trae la ley
Más allá de la prohibición de geolocalización, la ley exige consentimiento afirmativo —nada de casillas premarcadas ni letras chicas— para compartir datos sensibles: información biométrica, de salud, orientación sexual, estatus migratorio o afiliación sindical. También prohíbe la publicidad dirigida a menores de 18 años.
La votación fue celebrada por una coalición amplia de grupos civiles: la ACLU de Massachusetts, Planned Parenthood, Reproductive Equity Now, la federación sindical AFL-CIO, EPIC y Consumer Reports respaldaron la ley de forma pública.
Y ahora, ¿qué sigue?
La ley todavía no está promulgada. La versión de la Cámara debe reconciliarse con la del Senado, que aprobó su propio proyecto por 40-0 en septiembre de 2025. Hay diferencias entre ambas: la Cámara permite vender datos sensibles con consentimiento, mientras el Senado quiere una prohibición más amplia.
Las dos versiones coinciden en lo esencial: la venta de ubicación precisa se termina.
Si la gobernadora la firma —y con votaciones unánimes en ambas cámaras, lo esperado es que sí— Massachusetts establecerá el nuevo umbral de privacidad digital en Estados Unidos. Y el viejo estándar californiano quedará como lo que siempre fue: un buen primer intento.
Más en: Ciberseguridad
