Allison v. PHH Mortgage: la exclusión no significa ausencia de gestión — por qué los píxeles de seguimiento bajo la CCPA siguen necesitando una CMP

Existe una suposición persistente de que las plataformas de gestión de consentimiento solo son necesarias bajo regímenes de tipo opt-in como el GDPR. Si la CCPA solo exige un mecanismo de exclusión (opt-out), se piensa, se puede dejar que los píxeles se activen libremente y simplemente ofrecer un enlace de exclusión en algún lugar del sitio.

El fallo de marzo de 2026 en Allison v. PHH Mortgage expone precisamente por qué esa suposición falla. El Distrito Norte de California sostuvo que el derecho privado de acción de la CCPA bajo el § 1798.150 cubre las divulgaciones no autorizadas mediante píxeles de seguimiento, y no solo las filtraciones de datos tradicionales. El modo de exclusión no significa modo sin gestión.

Allison v. PHH Mortgage: Opt-Out Does Not Mean Unmanaged

El fallo: los píxeles ya no son solo un problema de filtración de datos

PHH Mortgage argumentó que el § 1798.150 solo cubre filtraciones de datos externas —hackers robando archivos—, no los propios píxeles del negocio enviando datos a Meta o Google. El tribunal rechazó esa interpretación: "nada en el lenguaje llano de la disposición limita su aplicación a las filtraciones de datos".

El demandante alegó que el sitio web de PHH Mortgage activaba tecnologías de seguimiento que divulgaban información personal a terceros sin autorización. El tribunal determinó que una empresa que divulga datos a través de su propia infraestructura de seguimiento entra dentro del lenguaje llano del estatuto, abriendo la puerta a daños estatutarios de entre 100 y 750 dólares por consumidor y por incidente. Dos casos anteriores, Shah v. Capital One Financial Corp. y M.G. v. Therapymatch Inc., ya apuntaban en esta dirección. Allison ofrece hasta ahora el análisis estatutario más exhaustivo.

La CCPA es de exclusión, pero la exclusión tiene requisitos operativos

La CCPA sigue siendo, principalmente, un régimen de exclusión. Un píxel que se activa antes del clic en un banner no constituye automáticamente una infracción de la CCPA solo porque el usuario no haya dado un consentimiento afirmativo. Ese es un análisis propio del GDPR, no de la CCPA. El estándar básico de la CCPA exige un aviso en el momento de la recopilación, un mecanismo de exclusión funcional que respete las señales de Control de Privacidad Global, y contratos con proveedores que clasifiquen correctamente a los destinatarios como proveedores de servicios o terceros.

La teoría de Allison no exige consentimiento de tipo opt-in. Exige que la divulgación estuviera autorizada, es decir, debidamente notificada, debidamente delimitada y debidamente controlable cuando un usuario ejerce su derecho de exclusión. Se trata de requisitos operativos que no pueden cumplirse con un enlace estático enterrado en una página de política de privacidad.

Existen escenarios más acotados en los que la CCPA sí exige consentimiento afirmativo: información personal sensible, menores de 16 años, incentivos financieros y la reincorporación de un consumidor que previamente se excluyó. Si sus píxeles capturan categorías de SPI como datos de salud o geolocalización precisa, se encuentra en territorio de opt-in independientemente del marco general. Pero incluso fuera de esas excepciones, el propio estándar de exclusión exige una infraestructura de aplicación en tiempo real.

Cómo las divulgaciones mediante píxeles se vuelven "no autorizadas"

Bajo la teoría de Allison, los demandantes pueden plantear una divulgación mediante píxeles como no autorizada sin invocar un consentimiento al estilo del GDPR. Las cuatro vías que han surgido en litigios apuntan cada una a un fallo operativo distinto.

La primera es un aviso incompleto en el momento de la recopilación. Si sus divulgaciones de privacidad no identifican específicamente que los datos del usuario se envían a Meta, Google, TikTok u otras plataformas mediante píxeles, la divulgación no está autorizada. Un lenguaje genérico sobre "socios publicitarios" resulta insuficiente. El aviso debe describir los flujos de datos reales.

La segunda son las señales de exclusión ignoradas. Cuando un usuario envía una señal GPC o hace clic en "No vender" y el píxel sigue activándose, esa divulgación continuada no está autorizada y ahora es accionable bajo el § 1798.150 con daños estatutarios.

La tercera —y la que realiza más trabajo doctrinal— es que el destinatario del píxel no califica como proveedor de servicios. Meta, Google Ads y TikTok suelen conservar derechos contractuales para usar los datos del píxel con fines propios: entrenamiento de modelos, optimización publicitaria, enriquecimiento de perfiles. Bajo la CCPA, eso los convierte en terceros, y la transferencia de datos constituye una "venta" o "uso compartido" sujeta a obligaciones de exclusión. El tribunal de Taylor v. ConverseNow fue más allá, sosteniendo que incluso la capacidad contractual del proveedor para usar datos con fines propios destruye el amparo de proveedor de servicios.

La cuarta es el manejo indebido de información personal sensible. Si las URL de las páginas revelan condiciones de salud, intereses en productos financieros u otras categorías de SPI, los píxeles que se activan en esas páginas transmiten SPI a terceros sin respetar el derecho del consumidor a limitar dicho uso.

El problema de la acumulación

Los demandantes ahora combinan reclamaciones bajo el § 1798.150 de la CCPA con reclamaciones bajo la Ley de Invasión de la Privacidad de California (CIPA) en una sola demanda. Los mismos hechos respaldan ambas teorías. La CIPA trata la propia interceptación como una infracción de escuchas telefónicas. La CCPA trata la divulgación no autorizada como la infracción. Las reclamaciones acumuladas incrementan la exposición y dificultan un rechazo temprano, porque un demandado que derrota una teoría legal aún enfrenta la otra.

Por qué sus píxeles necesitan una CMP incluso en modo de exclusión

Cada una de las cuatro teorías de Allison apunta a un requisito que no puede cumplirse sin infraestructura de gestión de etiquetas. No se trata de una cuestión de precaución legal, sino de capacidad operativa básica.

Cuando un visitante se excluye, todo píxel que constituya una venta o un uso compartido debe dejar de activarse para esa sesión de inmediato. No en la siguiente carga de página, no tras actualizar la caché, sino dentro de la misma interacción. Sin una CMP que controle su capa de etiquetas, no existe mecanismo para hacer cumplir esto. El enlace de exclusión existe, pero nada lo conecta con los píxeles que realmente se ejecutan en el navegador.

Demostrar que una divulgación estuvo autorizada en el momento en que ocurrió es ahora una cuestión fáctica con exigencias probatorias reales. Si un demandante alega que sus datos se enviaron a Meta después de haberse excluido, su defensa depende de una prueba documentada del estado del consentimiento y de la supresión del píxel en ese momento específico. Una CMP genera estos registros de forma automática y continua. Una página de exclusión independiente no genera nada.

Tampoco puede ofrecer un aviso preciso en el momento de la recopilación si no sabe qué etiquetas de terceros están activas en sus páginas, qué datos transmiten y a quién. La mayoría de los sitios acumulan etiquetas de seguimiento con el tiempo a medida que los equipos de marketing añaden proveedores. Sin un escaneo sistemático, su aviso de privacidad casi con certeza no coincide con sus flujos de datos reales, y ese desajuste es en sí mismo una de las teorías de Allison.

No todos los proveedores son iguales bajo la CCPA. Algunos califican como proveedores de servicios; otros son terceros. Las reglas difieren para cada uno. Una CMP le permite aplicar distintas reglas de activación según el estatus contractual real de cada proveedor, manteniendo activas las etiquetas de proveedores de servicios mientras suprime los píxeles de terceros para los usuarios que se han excluido.

Cómo aborda UniConsent la exposición de Allison

UniConsent se construyó sobre el principio de que las señales de consentimiento deben controlar el comportamiento de las etiquetas en la capa de ejecución, no solo registrar preferencias en una base de datos. Varias funciones específicas se corresponden directamente con los requisitos operativos que crea este fallo.

El sistema de bloqueo de etiquetas garantiza que ningún píxel de terceros se active hasta que se resuelva el estado de consentimiento del usuario. En modo de exclusión, esto significa que los píxeles se activan por defecto para los usuarios que no se han excluido, pero se suprimen en tiempo real en el momento en que un usuario ejerce su derecho. La supresión se aplica dentro de la misma sesión de página, cerrando el vacío temporal que explotan los demandantes.

La integración de Control de Privacidad Global de UniConsent detecta las señales GPC a nivel de navegador y las sincroniza con el marco IAB CCPA y las señales de consentimiento específicas de cada proveedor. Cuando el navegador de un usuario de California envía una señal GPC, UniConsent la interpreta como una exclusión de venta y de uso compartido, y aplica esa señal en todos los proveedores conectados sin requerir ninguna interacción adicional del usuario. Este es el mecanismo que impide que prospere la teoría de "la exclusión fue ignorada".

El escáner de cookies mapea cada rastreador activo en su sitio, identifica a los proveedores que reciben datos y documenta los flujos de datos. Esto le proporciona la información necesaria para redactar avisos de recopilación que realmente coincidan con el comportamiento de su sitio. Ejecutar el escáner periódicamente detecta nuevas etiquetas que los equipos de marketing añaden, evitando que se reabra el desajuste entre el aviso y la realidad.

UniConsent mantiene registros de consentimiento con marca de tiempo estructurados para auditorías regulatorias y litigiosas. Cada registro documenta qué se le mostró al usuario, qué elección hizo y qué comportamiento de etiquetas resultó de esa elección. Este rastro de auditoría es la base probatoria para defenderse de reclamaciones como la de Allison. El validador de datos de consentimiento verifica que estos registros estén correctamente estructurados y sean internamente consistentes.

El sistema de categorización de proveedores dentro de UniConsent le permite clasificar cada etiqueta como perteneciente a un proveedor de servicios o a un tercero según la relación contractual real. Las etiquetas de terceros quedan automáticamente sujetas a la supresión por exclusión. Las etiquetas de proveedores de servicios siguen activándose. Esta distinción, aplicada en la capa de gestión de etiquetas en lugar de en un documento legal, es lo que hace que la defensa de proveedor de servicios sea operativamente real y no meramente contractual.

Qué auditar ahora

Tras Allison, cuatro preguntas necesitan respuestas defendibles. ¿Su aviso de recopilación identifica específicamente a los terceros que reciben datos mediante píxeles? ¿Las señales GPC y las solicitudes de exclusión realmente suprimen los píxeles en el navegador, y no solo actualizan una entrada de base de datos? ¿Sus contratos con proveedores realmente restringen que el destinatario use los datos para sus propios fines, y su infraestructura de etiquetas refleja esa clasificación? ¿Los píxeles en páginas con URL relevantes para SPI están sujetos a controles adicionales?

Si alguna de esas respuestas es "no", un demandante ahora tiene un gancho de derecho privado de acción bajo la CCPA con daños estatutarios, sumado a cualquier reclamación de escuchas telefónicas bajo la CIPA. La solución no es cambiar a un modelo de opt-in al estilo del GDPR. La solución es hacer que su infraestructura de exclusión realmente funcione, con una plataforma de gestión de consentimiento que haga cumplir las señales que su sitio promete respetar.

Acerca de UniConsent

UniConsent forma parte de la Plataforma de Experiencia de Usuario centrada en la privacidad de Transfon, que atiende a decenas de millones de usuarios al día para ofrecer una experiencia de privacidad fluida tanto a usuarios como a editores en la era posterior al GDPR. Contáctenos para saber más: hello@uniconsent.com