Demanda CIPA contra NFL.com: cuando el opt-out no detiene el rastreo — cómo hacer que el opt-out realmente funcione

NFL Enterprises LLC, la operadora de NFL.com, es la última gran marca en enfrentarse a una demanda colectiva por interceptación ilegal en California. La demanda, Kimmons v. NFL Enterprises LLC, n.º 26CV197596, se presentó el 6 de julio de 2026 ante el Tribunal Superior del Condado de Alameda, en nombre de una clase nacional propuesta y una subclase de California.

La demandante, una aficionada de los San Francisco 49ers residente en San Leandro, cuenta que visitó NFL.com en enero de 2026 para consultar resultados y calendarios. Afirma que rastreadores operados por Google, The Trade Desk, Rubicon Project, OpenX, LogRocket y Shape Security se cargaron en su navegador al mismo tiempo que la página, y que el sitio tomó la huella de su dispositivo, grabó su sesión y envió sus datos de navegación a redes publicitarias antes de que pudiera expresar decisión alguna sobre su privacidad.

Un opt-out que no cambió nada

NFL.com tiene un banner de consentimiento de cookies, y la demanda lo aborda de frente. Esa es la parte que merece atención.

Las pruebas forenses citadas en la demanda contaron 182 rastreadores de terceros activos antes de cualquier interacción de consentimiento: 24 cookies, cuatro scripts de canvas fingerprinting y un grabador de sesión. Después de que un visitante rechaza las cookies mediante el banner, las mismas pruebas contaron 186 rastreadores, ahora con 25 cookies, junto a los mismos scripts de fingerprinting y el mismo grabador de sesión. Según esas cifras, rechazar el rastreo dejaba al visitante algo peor que no hacer nada.

La demanda sostiene que el banner da a los visitantes una "sensación de seguridad falsa y engañosa", y las dos razones que ofrece tienen que ver con el cableado técnico del sitio, no con el texto del banner. Los tags se disparaban al cargar la página, así que el rastreo ya estaba en marcha antes de que nadie pudiera responder al banner. Y el banner solo gobernaba las cookies, de modo que las herramientas que nunca las necesitaron seguían funcionando fuera cual fuera la elección del visitante.

Ninguno de los dos problemas es exótico. Dispararse al cargar la página es el ajuste por defecto de la mayoría de los gestores de etiquetas, y muy pocos banners de cookies se conectaron jamás a los scripts de session replay o de fingerprinting. La demanda Kimmons simplemente midió esa brecha en un sitio famoso y le puso encima daños legales.

Lo que los rastreadores habrían recopilado

El grabador de sesión, suministrado por LogRocket según la demanda, capturaba el estado completo del Document Object Model de cada página junto con suficientes datos de interacción para reconstruir la visita visualmente: movimientos del ratón, clics con sus coordenadas, eventos de hover, desplazamiento, rutas de navegación y pulsaciones tecleadas en barras de búsqueda y otros campos. El registro de teclas habría incluido el orden y el ritmo de cada pulsación, con independencia de que el visitante llegara a enviar lo que escribía.

Las alegaciones de fingerprinting entran en un detalle técnico poco habitual en los expedientes CIPA. Cuatro scripts distintos de canvas fingerprinting habrían funcionado en el sitio, tres cargados mediante Google Tag Manager y uno mediante Shape Security. Cada uno recogía señales de renderizado de fuentes, renderizado geométrico y extracción de data URL, que combinadas forman una firma propia del dispositivo, derivada de la GPU, los controladores gráficos, la biblioteca de fuentes instalada y el motor de renderizado del navegador. Tres de los scripts estaban vinculados a cuentas de Google Ads y Campaign Manager, lo que la demanda interpreta como prueba de que las huellas alimentaban la atribución publicitaria entre sitios. Una huella sobrevive al borrado de cookies; para eso existe.

Las reclamaciones y la exposición

La demanda articula cinco causas de acción. Bajo la Sección 631(a) del CIPA, la disposición californiana sobre escuchas, sostiene que los rastreadores interceptaron en tránsito el contenido de las comunicaciones de la demandante con el sitio, apoyándose en Mikulsky v. Bloomingdale's, LLC (9th Cir. 2025) para la posición de que la grabación de sesiones captura "contenido", y en Smith v. Rack Room Shoes y Ambriz v. Google para argumentar que los proveedores actuaron como interceptores terceros y no como extensiones del sitio. Bajo la Sección 638.51(a), en la línea de Greenley v. Kochava, sostiene que cada rastreador funciona como un pen register al registrar información de enrutamiento, direccionamiento y señalización, incluidas direcciones IP, sin consentimiento ni orden judicial. Los demás cargos se apoyan en la Wiretap Act federal (ECPA), la California Computer Data Access and Fraud Act, la cláusula de privacidad de la Constitución de California y la ley estatal de competencia desleal.

La aritmética de los daños explica por qué estas demandas no dejan de presentarse. La Sección 637.2 del CIPA fija los daños legales en 5.000 dólares por infracción sin exigir prueba de perjuicio real, y el cargo ECPA añade el mayor de 100 dólares por día por infracción o 10.000 dólares. Aplicado al tráfico de uno de los sitios deportivos más visitados del país, la cifra teórica crece muy deprisa. European Wax Center transigió por 5 millones de dólares con un stack de tags mucho menor y mucho menos tráfico.

Cabe la reserva habitual. Son alegaciones, la NFL aún no ha respondido, y si el banner cubría las tecnologías cuestionadas o existía consentimiento válido por otra vía se discutirá en el proceso. Pero las teorías en sí son las mismas que vienen superando las mociones de desestimación en la ola actual de litigios CIPA por rastreo previo al consentimiento.

Qué significa esto para la gestión del consentimiento

Todo lo que la demandante necesitaba salió de escanear el sitio. Si los rastreadores se disparan antes del consentimiento, y si un opt-out suprime de verdad el grabador de sesión, no son cuestiones jurídicas. Son hechos comprobables sobre la configuración de los tags, y cualquier operador puede ejecutar la misma prueba que la demandante.

Por eso el remedio es arquitectónico y no cosmético. Una plataforma de gestión del consentimiento tiene que interponerse ante cada tecnología de terceros de la página, no solo ante las que instalan cookies. El tag gating de UniConsent retiene los píxeles, los grabadores de sesión y los scripts de fingerprinting cargados mediante gestores de etiquetas hasta que el estado de consentimiento del visitante queda resuelto: nada se ejecuta antes del consentimiento. Cuando un visitante rechaza, la supresión alcanza también a las herramientas sin cookies, y la decisión se propaga a los proveedores posteriores mediante Google Consent Mode y los marcos del IAB, con soporte de Global Privacy Control para los opt-outs de California.

Queda la prueba. El escaneo de sitios de UniConsent muestra qué se dispara realmente antes y después de cada decisión de consentimiento, y el registro de auditoría del consentimiento conserva la evidencia de que el banner cumple lo que promete. Ejecutar esa prueba en su propio sitio cuesta poco. Conocer la respuesta por una demanda presentada en el condado de Alameda cuesta bastante más.