Cómo Optar por No Participar con los Corredores de Datos (2026)

Cientos de empresas están perfilando y vendiendo su información personal en este momento sin haberle pedido permiso jamás. Usted tiene herramientas legales para detenerlas, y la más poderosa en 2026 es gratuita, toma diez minutos, y llega a todos los corredores de datos registrados en California a la vez.

Qué es un Corredor de Datos y Por Qué Debería Importarle

Un corredor de datos es una empresa que recopila información personal sobre los consumidores de varias fuentes y vende esa información a otras empresas, sin una relación directa con el consumidor cuyos datos se están vendiendo. Esa definición proviene directamente de la Sección 1798.99.80 del Código Civil de California, el estatuto en el corazón de la Ley DELETE del estado.

Los corredores de datos obtienen su información de docenas de fuentes: registros públicos, programas de tarjetas de lealtad, actividad en redes sociales, datos de ubicación del teléfono inteligente, historiales de compras, encabezados de crédito, y datos comprados de otros corredores. Combinan estas entradas para crear perfiles detallados del consumidor que se venden a comercializadores, empleadores, arrendadores, investigadores privados, campañas políticas, y en algunos casos, agencias de aplicación de la ley y actores extranjeros.

El registro de corredores de datos de la Agencia de Protección de la Privacidad de California exige que cada corredor registrado divulgue las categorías de información personal que recopila. La lista es impactante: números de Seguro Social, geolocalización precisa, información de salud, historial de navegación, datos financieros, identificadores biométricos, e información sobre menores, todos aparecen. Estos no son riesgos abstractos. Los perfiles de los corredores de datos alimentan las llamadas de spam, facilitan el acoso, exponen a personas que huyen de violencia doméstica, impulsan la publicidad dirigida discriminatoria, y crean la materia prima para el robo de identidad.

La buena noticia es que el panorama legal cambió significativamente en 2025 y 2026. La plataforma centralizada de eliminación de California está activa. Texas y Oregón agregaron requisitos de registro. Y las señales de exclusión a nivel de navegador ahora tienen peso legal en varios estados. Los pasos a continuación usan cada herramienta disponible actualmente.

Paso 1: Active el Control Global de Privacidad en su Navegador

Tiempo requerido: Aproximadamente cinco minutos. Alcance: Más de 66,000 sitios web participantes. Efecto legal: Exclusión legalmente vinculante bajo la ley de California para las empresas cubiertas.

El Control Global de Privacidad es una señal a nivel de navegador que usted activa una sola vez. La obligación de respetarla proviene de las regulaciones de la CCPA: la Sección 7025(b) del 11 CCR establece que una empresa que vende o comparte información personal "deberá procesar cualquier señal de preferencia de exclusión" que cumpla los requisitos indicados "como una solicitud válida de exclusión de venta/intercambio", y la Sección 7025(c)(1) exige que la empresa trate esa señal como una solicitud de exclusión válida bajo la Sección 1798.120 del Código Civil para ese navegador o dispositivo. La guía de la CCPA de la Fiscalía General de California establece lo mismo. La Sección 1798.135(b) del Código Civil de California es un puerto seguro complementario, no la fuente de la obligación: establece que una empresa no está obligada a publicar los enlaces "No Vender ni Compartir Mi Información Personal" y "Limitar el Uso de Mi Información Personal Sensible" si respeta las señales de preferencia de exclusión. El efecto práctico para usted es el mismo que hacer clic en "No Vender ni Compartir Mi Información Personal" en cada sitio cubierto individualmente. Usted no necesita completar un formulario, crear una cuenta, o identificarse. La señal hace el trabajo automáticamente.

El GPC actualmente llega a más de 66,000 sitios web participantes. Es legalmente obligatorio que se respete como señal de exclusión en California y también se reconoce en Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregón y Texas. La VCDPA de Virginia no exige el reconocimiento de GPC, así que también haga clic manualmente en los enlaces de "No Vender" en los sitios regulados por Virginia.

Cómo activar el GPC según el navegador:

1. Brave: El GPC está activado por defecto. Confirme que esté activo en Configuración > Privacidad y Seguridad.
2. DuckDuckGo (móvil y escritorio): El GPC está activado por defecto. No se necesita ninguna acción.
3. Firefox: Vaya a Configuración > Privacidad y Seguridad > desplácese hasta "Preferencias de Privacidad del Sitio Web" > marque "Indicar a los sitios web que no vendan ni compartan mis datos".
4. Chrome o Edge: Instale la extensión Global Privacy Control desde la Chrome Web Store o la tienda de complementos de Edge. Las extensiones Privacy Badger y Disconnect de la EFF también implementan el GPC y agregan bloqueo de rastreadores.

Una vez activado el GPC, cada empresa cubierta por California que usted visite debe detener la venta o el intercambio de su información personal sin pasos adicionales requeridos. Bajo la CCPA, las empresas deben cumplir tan pronto como sea factible, con un máximo de 15 días hábiles desde la recepción. No pueden exigirle que también complete un formulario manual de exclusión.

El GPC es la acción de mayor impacto para la mayoría de las personas porque funciona de manera pasiva y continua en toda la web. Haga este paso primero, y luego continúe con los pasos a continuación para los datos que los corredores ya tienen sobre usted.

Paso 2: Use la Plataforma DROP de California

Quién puede usarla: Solo residentes de California. Alcance: Todos los corredores registrados en la CPPA. Estado: Solicitudes del consumidor aceptadas desde el 1 de enero de 2026; procesamiento por parte de los corredores requerido desde el 1 de agosto de 2026, y esa fecha ya pasó.

La Ley DELETE (Proyecto de Ley del Senado 362, promulgada en 2023, codificada en la Sección 1798.99.80 y siguientes del Código Civil de California) creó la herramienta de corredores de datos del consumidor más poderosa del país: una sola solicitud que llega a todos los corredores registrados simultáneamente. La plataforma se llama DROP (la Plataforma de Solicitud de Eliminación y Exclusión), y la Agencia de Protección de la Privacidad de California la opera en cppa.ca.gov.

A partir del 1 de enero de 2026, cualquier residente de California puede usar DROP para enviar una sola solicitud de eliminación a todos los corredores de datos activos registrados a la vez, en lugar de contactar a cada corredor individualmente. Ese es el paso que ningún otro estado ofrece todavía.

La línea de tiempo crítica de dos partes que debe entender: DROP está activa y aceptando solicitudes del consumidor ahora. Los corredores de datos registrados debían comenzar a procesar las solicitudes de eliminación de DROP a partir del 1 de agosto de 2026, la fecha de cumplimiento estatutario bajo la Ley DELETE. Esa fecha ya pasó, por lo que los corredores ahora están obligados a procesar y honrar las solicitudes de eliminación de DROP, incluidas las enviadas antes de esa fecha. Si un corredor registrado no ha actuado sobre su solicitud, eso ahora es un asunto de cumplimiento activo que puede escalar ante la CPPA.

Cómo enviar una solicitud DROP:

1. Vaya a cppa.ca.gov/data_broker_registry/ y localice el enlace de envío de DROP en la página del registro de corredores de datos.
2. Confirme su residencia en California. La plataforma está restringida a los residentes de California bajo la Ley DELETE.
3. Complete el formulario de solicitud de eliminación. Necesitará proporcionar información básica de identificación para que los corredores puedan localizar sus registros. El formulario de la CPPA está diseñado para completarse sin crear una cuenta nueva.
4. Envíe y guarde su confirmación. Tome una captura de pantalla o guarde el correo de confirmación con la fecha de envío. Esta es su evidencia de cuándo envió la solicitud, lo cual importa si necesita escalar la falta de respuesta de un corredor.
5. El plazo de procesamiento del 1 de agosto de 2026 ya pasó, así que si un corredor registrado no ha eliminado sus datos ni respondido a su solicitud dentro del período estatutario, eso ahora es un asunto de aplicación de la ley de la CPPA.

La CPPA publica el registro de corredores de datos de California con detalles de cada corredor registrado, incluido el nombre de la empresa, las categorías de datos personales recopilados, y las categorías de entidades a quienes se venden los datos. El registro de 2026 (que reporta las actividades de 2025) es la lista vigente para los consumidores que usan DROP; el registro se actualiza cada enero. La CPPA supervisa el registro, el monitoreo de cumplimiento, y la aplicación de la Ley DELETE con autoridad de sanción civil bajo el Código Civil de California.

Si usted vive fuera de California, no puede usar DROP. Continúe con los Pasos 3 y 4.

Paso 3: Revise el Registro de Corredores de Datos de su Estado

Incluso si usa DROP, algunos corredores de datos operan fuera del registro de California. Y para los residentes de otros estados, los registros por corredor son la herramienta principal de investigación para encontrar qué empresas tienen sus datos y qué mecanismos de exclusión ofrecen.

Registro de la CPPA de California (cppa.ca.gov/data_broker_registry/)

Todos los corredores de datos calificados deben registrarse anualmente ante la CPPA entre el 1 y el 31 de enero, reportando las prácticas de datos del año calendario anterior. El registro enumera el nombre de la empresa de cada corredor, la información de contacto, las categorías de datos recopilados, las categorías de entidades a quienes se venden los datos (incluidas la aplicación de la ley, las agencias gubernamentales, los desarrolladores de IA generativa, y actores extranjeros), y las estadísticas sobre las solicitudes del consumidor recibidas. Ahora que el plazo de procesamiento del 1 de agosto de 2026 ya pasó, también puede usar el registro para verificar qué corredores han respondido a las solicitudes de DROP y para identificar actores no conformes que reportar a la CPPA.

Registro de la Secretaría de Estado de Vermont (legislature.vermont.gov)

Vermont exige que los corredores de datos se registren anualmente antes del 31 de enero ante la Secretaría de Estado de Vermont bajo el 9 V.S.A. Sección 2446. Cada corredor registrado debe divulgar su método de exclusión, qué prácticas de datos pueden y no pueden excluir los consumidores, si el corredor examina a los compradores de datos, y el número de incidentes de seguridad. La tarifa de registro es de $100. Los corredores que no se registran enfrentan sanciones civiles de hasta $10,000 por año más las tarifas no pagadas, y la Fiscalía General de Vermont puede buscar medidas cautelares. La Ley 138 de Vermont (Act 138, firmada el 16 de junio de 2026) eleva la tarifa de registro a $900 al año y agrega una fianza de garantía de $20,000 y nuevos deberes de verificación, vigente desde el 1 de enero de 2027. La tarifa de $100 mencionada arriba es vigente hasta finales de 2026.

El proceso de exclusión de Vermont es corredor por corredor: no existe un equivalente de DROP en Vermont. Use el registro para localizar a cada corredor, y luego use su método de exclusión divulgado (correo electrónico, formulario web, o dirección postal) para enviar su solicitud directamente. Los consumidores de Vermont también pueden autorizar a un tercero para que envíe exclusiones en su nombre bajo el 9 V.S.A. Sección 2446.

Departamento de Servicios al Consumidor y Negocios de Oregón (oregonlegislature.gov)

Oregón exige que los corredores de datos se registren ante el Departamento de Servicios al Consumidor y Negocios de Oregón bajo el ORS 646A.593. El departamento tiene autoridad reglamentaria y puede imponer sanciones por operar sin registro. Los derechos de datos del consumidor más amplios de Oregón, incluido el derecho a solicitar la eliminación de datos personales, también se encuentran en la Ley de Privacidad del Consumidor de Oregón en el ORS 646A.570 al 646A.589. Para identificar a los corredores registrados en Oregón y localizar sus mecanismos de exclusión, revise el registro del DCBS y la política de privacidad de cada corredor.

Registro de la Secretaría de Estado de Texas (sos.state.tx.us/statdoc/data-brokers.shtml)

Texas exige que los corredores de datos se registren ante la Secretaría de Estado de Texas bajo el Capítulo 510 del Código de Negocios y Comercio (originalmente promulgado como el Capítulo 509 por el SB 2105 en 2023, reasignado como Capítulo 510 a partir del 1 de septiembre de 2025). Los corredores registrados deben divulgar sus prácticas de recopilación de datos y mecanismos de exclusión, y pagar una tarifa de registro anual de $300. Use el registro de la Secretaría de Estado de Texas para identificar qué corredores están activos en Texas, y luego use la página de exclusión divulgada de cada corredor para enviar su solicitud. Texas también exige que las empresas cubiertas respeten las señales de GPC bajo la Ley de Privacidad y Seguridad de Datos de Texas vigente desde el 1 de enero de 2025; si el GPC está activado, muchas empresas cubiertas por Texas ya están sujetas a obligaciones de exclusión para la venta de datos en línea y la publicidad dirigida.

Para un análisis detallado de cómo funcionan los derechos de exclusión de la CCPA junto con estos registros, consulte el derecho de la CCPA a optar por no participar en la venta y el intercambio. Para una comparación de las principales leyes de privacidad estatales de EE. UU., consulte la comparación de leyes de privacidad estatales de EE. UU..

Paso 4: Envíe Solicitudes de Exclusión por Cada Corredor

Para los corredores de datos que no están cubiertos por DROP (incluidos los corredores que operan fuera del registro de California y todos los corredores para los residentes que no son de California), necesitará enviar solicitudes de exclusión directamente a cada corredor usando su mecanismo divulgado.

Cómo encontrar el enlace de exclusión de cada corredor:

1. Busque en el registro estatal relevante (California, Vermont, Oregón o Texas) el corredor por nombre.
2. Observe la información de contacto registrada del corredor y el método de exclusión divulgado.
3. Vaya directamente al sitio web del corredor y busque en el pie de página o la política de privacidad un enlace etiquetado como "No Vender ni Compartir Mi Información Personal", "Sus Derechos de Privacidad", "Excluirse", o "Solicitud de Privacidad del Consumidor".
4. Bajo la CCPA, las empresas cubiertas no pueden exigirle crear una cuenta para presentar una solicitud de exclusión y deben evitar exigir una verificación de identidad onerosa, aunque pueden hacerle preguntas básicas de identificación para localizar su registro.

Qué incluir en su solicitud:

Proporcione su nombre completo, dirección de correo electrónico, número de teléfono, y cualquier otro identificador que el corredor probablemente haya usado para perfilarlo (su ciudad y estado, su edad aproximada si se siente cómodo compartiéndola, y direcciones anteriores si se ha mudado). Cuanto más específico sea, más fácil será para el corredor localizar su registro, y más difícil será para el corredor alegar que no pudo encontrarlo.

Priorice primero las categorías de corredores de alto riesgo:

• Sitios de búsqueda de personas (sitios que publican nombre, dirección, familiares, teléfono, y resúmenes de verificación de antecedentes): Estos son los más directamente dañinos para las personas. Busque sitios que aparecen cuando busca su propio nombre.
• Corredores de datos de marketing: Empresas que agregan comportamiento de compra, perfiles demográficos, y segmentos de interés para la publicidad dirigida.
• Agregadores de datos: Empresas que compilan archivos integrales del consumidor a partir de múltiples fuentes y los licencian a otras empresas.

El plazo de respuesta de la CCPA: Para las empresas cubiertas por California, una vez que reciben su solicitud de exclusión, deben actuar tan pronto como sea factible, con un máximo de 15 días hábiles desde la recepción. Después de que usted se excluya, la empresa no puede reanudar la venta o el intercambio de sus datos a menos que usted proporcione una nueva autorización explícita, y debe esperar al menos 12 meses antes de solicitar esa re-autorización. Documente la fecha de cada solicitud que envíe.

El derecho de exclusión "No Vender ni Compartir Mi Información Personal" de la CCPA se aplica a las empresas que venden información personal o la comparten para publicidad conductual entre contextos bajo las Secciones 1798.120 y 1798.135 del Código Civil de California. "Compartir" se define específicamente como compartir para publicidad conductual entre contextos, lo que significa dirigirse a usted según su actividad en línea a través de múltiples sitios web. Tanto el derecho de venta como el derecho de exclusión de publicidad compartida están cubiertos por el único mecanismo de "No Vender ni Compartir".

Paso 5: Escale si un Corredor Ignora su Solicitud

La mayoría de los corredores de datos reputables cumplirán con las solicitudes de exclusión, especialmente de los residentes de California donde la exposición legal es clara. Algunos no lo harán. Si un corredor ignora su solicitud o se retrasa más allá del plazo estatutario sin explicación, usted tiene opciones de escalamiento.

Agencia de Protección de la Privacidad de California

Para los residentes de California que tratan con corredores de datos registrados en California, la CPPA es su principal contacto de aplicación de la ley. La agencia supervisa el registro, el monitoreo de cumplimiento, y la aplicación de la Ley DELETE y la CCPA con autoridad de sanción civil. Visite cppa.ca.gov para encontrar los mecanismos de contacto y queja de la agencia. El incumplimiento de DROP ahora es directamente accionable, ya que el plazo de procesamiento del 1 de agosto de 2026 ya pasó.

Fiscalía General de Vermont

Para los corredores registrados en Vermont que no honran las solicitudes de exclusión o no mantienen el cumplimiento del registro, la Fiscalía General de Vermont tiene autoridad de sanción civil y medidas cautelares bajo el 9 V.S.A. Sección 2446. Presente una queja del consumidor a través del programa de asistencia al consumidor de la Fiscalía General de Vermont.

Departamento de Justicia de Oregón

Para los corredores registrados en Oregón, presente una queja del consumidor ante el DOJ de Oregón en oregonconsumer.gov. El departamento coordina con el DCBS en la aplicación del registro de corredores.

Fiscalía General de Texas

Para las empresas cubiertas por Texas que ignoran las solicitudes de exclusión de la TDPSA o las obligaciones de la CCPA, la división de protección al consumidor de la Fiscalía General de Texas maneja las quejas de privacidad. La Fiscalía General presentó la primera acción de aplicación de la ley de privacidad estatal en los Estados Unidos contra Allstate en enero de 2025, y la oficina está aplicando la ley activamente.

Comisión Federal de Comercio

Presente una queja en ftc.gov/complaint. La FTC no aplica las leyes de privacidad estatales directamente, pero rastrea patrones de quejas entre empresas y los usa para priorizar investigaciones federales bajo su autoridad de la Sección 5 sobre prácticas injustas o engañosas. Una queja bien documentada a la FTC contribuye al registro público contra los infractores reincidentes.

Qué incluir en cualquier queja:

Documente la fecha en que envió su solicitud, el nombre del corredor, la respuesta (o la falta de respuesta), y cualquier intercambio escrito. Cuanto más específica sea su documentación, más útil será su queja para las agencias de aplicación de la ley.

Paso 6: Entienda los Límites y Mantenga sus Exclusiones

Las exclusiones de corredores de datos no son permanentes a menos que usted las mantenga activamente. Entender los límites de cada herramienta evita que asuma una protección que no tiene.

DROP solo cubre a los corredores registrados de California. No todos los corredores de datos están registrados ante la CPPA de California. Nuevos corredores se registran cada enero. Los corredores que operan por debajo del umbral calificador o que violan el requisito de registro pueden no aparecer en el registro en absoluto. La Ley DELETE otorga a la CPPA herramientas de aplicación de la ley contra los corredores que no se registran, pero existen brechas. Revise el registro anualmente y vuelva a enviar solicitudes de DROP cuando la CPPA procese nuevos registros.

El GPC solo llega a las interacciones en línea. Las señales de GPC se aplican a las empresas cubiertas que procesan sus datos a través de un sitio web o servicio en línea. No llegan a la recopilación de datos fuera de línea, a los datos ya en posesión antes de que activara el GPC, ni a los corredores que no tienen interacción en línea directa con usted. Las exclusiones por corredor siguen siendo necesarias para el panorama completo.

Las entidades cubiertas por la FCRA son una categoría separada. Las tres principales agencias de crédito (Equifax, Experian, TransUnion) y las agencias de verificación de antecedentes sujetas a la Ley de Informes Crediticios Justos no están cubiertas por la exclusión de la CCPA ni por DROP. Sus prácticas de datos se rigen por la FCRA, que le otorga derechos separados: el derecho a disputar información inexacta, el derecho a colocar un congelamiento de seguridad gratuito que bloquee nuevas cuentas de crédito, e informes de crédito gratuitos anuales en AnnualCreditReport.com. Un congelamiento de seguridad es una de las herramientas de privacidad más efectivas disponibles para cualquier consumidor de EE. UU. Úselo junto con las exclusiones de corredores de datos, no como un sustituto de ellas.

Las exclusiones pueden expirar o reiniciarse. Algunos corredores vuelven a adquirir sus datos de nuevas fuentes después de que usted se excluye y lo vuelven a perfilar. La prohibición de re-solicitud de 12 meses de la CCPA se aplica a las empresas que piden su re-autorización, pero no evita que los corredores construyan nuevos perfiles a partir de nuevas fuentes de datos. Establezca un recordatorio en el calendario para revisar los registros y volver a enviar solicitudes de DROP anualmente.

Los residentes que no son de California enfrentan más fricción. Vermont, Oregón y Texas tienen leyes de registro y algunos derechos del consumidor, pero ninguno todavía ofrece un equivalente a DROP. La ley federal no proporciona un derecho integral de exclusión de corredores de datos a partir de 2026. Las protecciones más sólidas siguen siendo específicas de California.

Para un panorama completo de la Ley de Privacidad del Consumidor de California y sus protecciones, consulte Ley de Privacidad del Consumidor de California (CCPA). Para saber cómo se comparan las leyes de privacidad estatales en cuanto a las obligaciones de corredores de datos, consulte comparación de leyes de privacidad estatales de EE. UU..

Guías Relacionadas

• Cómo Presentar una Solicitud de Eliminación de Datos (2026)
• Cómo Presentar una Queja de Privacidad de Datos (2026)
• Cuadro Comparativo de Leyes de Privacidad Estatales de EE. UU. (2026)
• Derechos de Exclusión de la CCPA: No Vender ni Compartir Mi Información Personal (2026)