Cumplimiento de la Montana Consumer Data Privacy Act con ConsentX

La Montana Consumer Data Privacy Act (MCDPA) es la ley integral de privacidad del consumidor de Montana. Entró en vigor el 1 de octubre de 2024 y reconoce derechos de privacidad a los consumidores de Montana y obligaciones a las empresas sujetas. Montana modificó posteriormente la norma, con cambios significativos aplicables desde el 1 de octubre de 2025.

Los consumidores de Montana tienen, con carácter general, derecho a saber si se están tratando sus datos personales, acceder a ellos, rectificar los datos inexactos, solicitar su supresión, obtener una copia de sus datos personales, oponerse a la publicidad dirigida, oponerse a la venta de datos personales y oponerse a la elaboración de perfiles destinada a determinadas decisiones automatizadas.

La MCDPA no exige consentimiento para todo tipo de tratamiento de datos personales. No obstante, sí se requiere consentimiento antes de tratar determinados datos sensibles. Se aplican requisitos de consentimiento adicionales a ciertas actividades de tratamiento relativas a menores.

Los datos sensibles incluyen determinadas categorías de información personal que pueden generar riesgos de privacidad elevados, como la información relativa al origen racial o étnico, las creencias religiosas, la salud física o mental, la orientación sexual, la situación de ciudadanía o inmigración, los datos genéticos o biométricos utilizados para la identificación, la geolocalización precisa y los datos personales de menores.

Sí. Los consumidores de Montana tienen derecho a oponerse al tratamiento de sus datos personales con fines de publicidad dirigida.

Sí. Los consumidores tienen derecho a oponerse a la venta de sus datos personales.

Sí. Los consumidores pueden oponerse a la elaboración de perfiles destinada a decisiones que produzcan efectos jurídicos o similarmente significativos para ellos.

Las organizaciones deben evaluar las señales universales de exclusión conjuntamente con la MCDPA y con los requisitos de otras leyes estatales de privacidad aplicables. El marco de privacidad de Montana no debe considerarse idéntico al de California ni al de otros estados con requisitos expresos de exclusión universal.

La MCDPA regula el tratamiento de datos personales y no las cookies como tecnología independiente. Aun así, las cookies, los píxeles, las etiquetas publicitarias, los SDK y otras tecnologías de seguimiento pueden recoger o tratar datos personales o servir de apoyo a la publicidad dirigida. Por ello, el descubrimiento de rastreadores, la gestión de preferencias de privacidad y la aplicación de las decisiones de los consumidores pueden ser componentes importantes de un programa de cumplimiento de la MCDPA.

Sí. Los responsables del tratamiento deben facilitar a los consumidores un aviso de privacidad claro y razonablemente accesible que explique las categorías y finalidades pertinentes del tratamiento de datos personales, así como información sobre los derechos aplicables.

Sí. Los responsables del tratamiento deben realizar evaluaciones de protección de datos para determinadas actividades que presenten riesgos elevados para los consumidores, incluidas la publicidad dirigida, la elaboración de perfiles, la venta de datos personales y el tratamiento de datos sensibles que resulten pertinentes.

Los responsables del tratamiento deben responder, con carácter general, en un plazo de 45 días desde la recepción de la solicitud. Ese plazo puede prorrogarse normalmente por otros 45 días cuando sea razonablemente necesario, con sujeción a los requisitos aplicables.

Sí. Los consumidores tienen derecho a reclamar frente a la negativa de un responsable del tratamiento a atender una solicitud de ejercicio de sus derechos de privacidad.

Sí. La MCDPA modificada amplía significativamente las protecciones para los menores. Con carácter general, se considera menor a toda persona de menos de 18 años, mientras que los niños menores de 13 reciben protecciones adicionales. Las empresas que sepan o deban razonablemente saber que tratan datos personales de menores deben actuar con la diligencia razonable para evitar riesgos elevados de perjuicio. Pueden aplicarse requisitos de consentimiento adicionales al tratamiento de datos de un menor con fines de publicidad dirigida, venta, determinada elaboración automatizada de perfiles, cierto tratamiento de geolocalización precisa, conservación prolongada y determinados diseños de sistemas destinados a aumentar o mantener de forma significativa la interacción del menor.

La aplicabilidad general de la MCDPA se basa principalmente en el volumen de datos de consumidores de Montana tratados y, para las empresas que obtienen más del 25 % de sus ingresos de la venta de datos personales, se aplica un umbral de consumidores inferior. Conforme a la norma vigente, los umbrales generales son de 25.000 consumidores, o de 15.000 consumidores cuando más del 25 % de los ingresos brutos procede de la venta de datos personales.

La Fiscalía General de Montana tiene competencia sancionadora conforme a la MCDPA. La Office of Consumer Protection de Montana ofrece información y recursos sobre la privacidad del consumidor en el estado.

ConsentX ayuda a poner en práctica controles de privacidad importantes, como la gestión del consentimiento, el descubrimiento de rastreadores, el bloqueo previo de scripts, la gestión de exclusiones, los flujos de solicitudes de derechos y las evidencias de auditoría. No obstante, ningún software puede garantizar por sí solo el cumplimiento legal. Las organizaciones deben evaluar su programa de privacidad completo frente a la MCDPA y a todas las demás normas aplicables.