FedEx, multada con 2,975 M$ bajo la CCPA por rastreadores publicitarios y señales GPC ignoradas

Índice de contenidos

Qué dice la orden
Qué debe hacer FedEx ahora
Lecciones para su sitio web
Cómo ayuda UniConsent
Preguntas frecuentes
Referencias

Índice de contenidos

Qué dice la orden
Qué debe hacer FedEx ahora
Lecciones para su sitio web
Cómo ayuda UniConsent
Preguntas frecuentes
Referencias

La California Privacy Protection Agency (CalPrivacy) ha multado a Federal Express Corporation con 2,975 millones de dólares en virtud de la CCPA. La Junta adoptó la decisión el 6 de noviembre de 2026 y la agencia la anunció el 10 de noviembre. Según la orden, FedEx utilizaba rastreadores publicitarios en su sitio web mientras decía a los visitantes que no vendía ni compartía sus datos, y el sitio no respetaba señales de exclusión como Global Privacy Control (GPC).

FedEx, multada con 2,975 M$ bajo la CCPA por rastreadores publicitarios y señales GPC ignoradas

La multa es más del doble de los 1,35 millones de dólares que pagó Tractor Supply en 2025, y es la mayor multa administrativa que ha impuesto hasta ahora la Junta de la agencia. FedEx aceptó la orden sin admitir ni negar los hechos, y no reconoce responsabilidad.

Qué dice la orden

La orden abarca del 1 de julio de 2023 al 27 de octubre de 2025. Recoge cuatro conclusiones sobre fedex.com.

Los rastreadores publicitarios cuentan como "compartir"

FedEx había instalado tecnologías de seguimiento de Meta, LinkedIn, Google, Adobe y otras empresas de tecnología publicitaria. Estas cookies y píxeles ponían identificadores únicos de dispositivo y de usuario a disposición de esas empresas para fines que incluían la publicidad dirigida. Los datos de envíos no estaban afectados.

Según la CCPA, poner información personal a disposición de un tercero para publicidad conductual entre contextos es "compartir", haya o no dinero de por medio. La agencia también rechazó la idea de que un sitio B2B sea distinto: las personas usan los mismos dispositivos para el trabajo y para su navegación personal, de modo que los identificadores recogidos en una visita de trabajo acaban en los mismos perfiles publicitarios.

La política de privacidad decía lo contrario

La política de privacidad de FedEx afirmaba: "No 'vendemos' ni 'compartimos' su información personal". Como los rastreadores compartían datos, la agencia consideró falsa esa afirmación. El sitio tampoco tenía un enlace "Do Not Sell or Share My Personal Information" ni "Your Privacy Choices", solo un enlace "Cookie Consent" en el pie de página, y la política no explicaba cómo se tratan las señales de preferencia de exclusión.

Las señales GPC no se respetaban

Según la orden, FedEx no configuró sus propiedades digitales para detectar y respetar correctamente las señales de preferencia de exclusión de los consumidores. Los visitantes que navegaban con GPC activado ya habían ejercido su exclusión, y sus datos siguieron llegando a empresas de tecnología publicitaria. La agencia recuerda que California obliga a las empresas a respetar estas señales desde 2020.

Las preferencias de cookies no detenían el intercambio

El formulario de exclusión de FedEx indicaba que no cubría las cookies y remitía al enlace "Cookie Consent". Ese enlace abría una ventana con interruptores para cookies "Functional", "Analytical" y "Tracking". La orden señala que, incluso después de que un visitante desactivara los interruptores de análisis y seguimiento, FedEx siguió poniendo información personal de algunos visitantes a disposición de algunas empresas de tecnología publicitaria.

La ventana tampoco mencionaba la venta ni el intercambio de datos. Una herramienta de cookies solo cuenta como método de exclusión de la CCPA si explica cómo se aplican los ajustes de cookies a la venta y el intercambio de información personal.

Qué debe hacer FedEx ahora

Además de la multa, la orden fija obligaciones que estarán vigentes durante tres años:

Escanear sus sitios web y aplicaciones al menos cada trimestre y mantener un inventario actualizado de los rastreadores que venden o comparten información personal
Mantener contratos conformes con la CCPA con cada tercero al que venda o con el que comparta datos, y revisar a los nuevos terceros antes de incorporarlos
Configurar sus sitios y aplicaciones para dar pleno efecto a las exclusiones, lleguen por GPC o por otro método
Probar esa configuración en preproducción y en producción al menos cada trimestre, y cada vez que se añada un rastreador nuevo
Ofrecer un enlace "Do Not Sell or Share My Personal Information" o "Your Privacy Choices", sin añadir pasos innecesarios
Hacer que cualquier herramienta de cookies usada para exclusiones indique cómo se aplica a la venta y el intercambio
Publicar cada año en su sitio web las métricas de solicitudes CCPA

Lecciones para su sitio web

Si usa píxeles publicitarios, probablemente "comparte"

Basta con un Meta Pixel, un LinkedIn Insight Tag o una etiqueta de Google Ads que sirva para la segmentación publicitaria. Si esas etiquetas están en su sitio, una política de privacidad que diga "no vendemos ni compartimos" es un riesgo. Revise primero las etiquetas y redacte después la política de acuerdo con ellas.

GPC tiene que cambiar lo que carga la página

Detectar la señal no basta. Cuando un visitante llega con GPC activado, las etiquetas publicitarias que comparten datos no deben ejecutarse para ese visitante. En el anuncio de la agencia, la directora adjunta en funciones de la división de cumplimiento dijo que el plazo para implantar la información y las funciones adecuadas para las señales de preferencia de exclusión pasó hace tiempo. A partir de 2027, la Opt Me Out Act de California también obliga a los navegadores a ofrecer una señal de exclusión integrada, así que más visitantes la enviarán.

Un banner de cookies no es automáticamente una exclusión de la CCPA

FedEx tenía una herramienta de preferencias de cookies y no fue suficiente. La herramienta debe decir que controla la venta y el intercambio, debe detener los rastreadores cuando el visitante se excluye, y el sitio sigue necesitando el enlace de exclusión. La demanda colectiva contra Coca-Cola plantea el mismo problema desde el lado de los demandantes: un control que no cambia lo que hacen las etiquetas.

Pruébelo cada trimestre y después de cada etiqueta nueva

La orden exige escaneos y pruebas trimestrales, y una prueba cada vez que se añade un rastreador. Es un criterio razonable para cualquier sitio. Para comprobar el suyo, active GPC en Firefox o Brave, cargue sus páginas y mire la pestaña de red. Las solicitudes a proveedores publicitarios con GPC activado son lo que la agencia encontró en fedex.com.

Los sitios B2B también están incluidos

FedEx se usa sobre todo para envíos de empresa, y eso no le sirvió. Si su empresa supera los umbrales de la CCPA y su sitio tiene rastreadores publicitarios, las normas se aplican aunque sus clientes sean otras empresas.

Cómo ayuda UniConsent

UniConsent detecta GPC en el navegador del visitante y lo excluye automáticamente, sin que tenga que abrir el aviso. Las etiquetas publicitarias, como el Meta Pixel, el LinkedIn Insight Tag y las etiquetas de Google, se retienen para los visitantes excluidos, y la exclusión se transmite a sus socios publicitarios mediante IAB GPP. Lo configura en el panel con el Tags Loader, sin cambiar el código de su sitio web.

UniConsent también añade a su pie de página el enlace "Do Not Sell or Share My Personal Information" para las leyes de privacidad de los estados de EE. UU., escanea su sitio cada día en busca de cookies nuevas y guarda un registro de cada elección.

Preguntas frecuentes

¿Ha admitido FedEx haber infringido la ley? No. FedEx aceptó la orden, pero ni admite ni niega los hechos, y no reconoce responsabilidad.

No vendemos datos a cambio de dinero. ¿Se nos aplica igualmente? Sí. Según la CCPA, poner información personal a disposición de una empresa de tecnología publicitaria para publicidad conductual entre contextos es "compartir", aunque no se pague nada.

¿Cómo compruebo si mi sitio respeta GPC? Abra su sitio en un navegador con GPC activado y compruebe navigator.globalPrivacyControl en la consola. Después observe en la pestaña de red las solicitudes a proveedores publicitarios. Si se siguen enviando, la señal no se está respetando.

¿GPC solo es obligatorio en California? No. Otros estados, entre ellos Colorado, Connecticut y Texas, también exigen que los sitios web lo respeten. Consulte nuestra guía de privacidad en EE. UU..

Regístrese y configure GPC y las exclusiones de EE. UU. en su sitio web en pocos minutos.