Massachusetts prohíbe vender ubicación precisa

Massachusetts acaba de poner un límite claro a un negocio que durante años creció casi sin freno: la venta de ubicación precisa. La nueva ley de derechos de privacidad del estado no solo cambia reglas para apps y anunciantes en EE.UU., también manda una señal bastante directa a todo el ecosistema de datos, desde brokers hasta plataformas de adtech que compran segmentos de audiencia con coordenadas demasiado exactas.

Si tu producto usa geolocalización, si compras audiencias basadas en visitas a lugares concretos o si trabajas con SDKs de publicidad móvil, este movimiento te afecta aunque operes fuera de Massachusetts. El punto no es solo legal. También es comercial: cuando un estado empieza a cerrar una fuente de ingresos, otros suelen mirar el precedente antes de copiarlo o endurecerlo.

Qué aprobó Massachusetts y por qué importa

La ley aprobada por Massachusetts amplía derechos de privacidad y, entre otras cosas, prohíbe la venta de datos de ubicación precisa. La idea es simple: si un dato puede ubicarte con bastante exactitud en un momento y lugar concretos, ya no entra libremente al mercado como si fuera un segmento de marketing más.

No estamos hablando de una restricción menor. La ubicación precisa es uno de los insumos más valiosos para la industria publicitaria y para los brokers de datos, porque permite inferir rutinas, lugares de trabajo, visitas médicas, afiliación religiosa, hábitos de consumo y hasta relaciones personales. Un teléfono que marca presencia diaria en una clínica, una iglesia o un centro de rehabilitación puede revelar mucho más de lo que parece.

La discusión no nace en el vacío. En Estados Unidos, el uso comercial de datos de ubicación ha sido cuestionado por reguladores, legisladores y periodistas por años. La diferencia ahora es que Massachusetts pasa de la alerta a la prohibición concreta. Y eso cambia la conversación para cualquiera que monetice datos en capas: primero recolectar, luego enriquecer, después revender.

Qué se entiende por ubicación precisa

El concepto suele cubrir coordenadas GPS o señales equivalentes que permiten identificar dónde está una persona con bastante exactitud. En la práctica, eso incluye datos de apps móviles, SDKs de publicidad, SDKs de analítica, redes de adtech, data exchanges y brokers que combinan fuentes para perfilar usuarios.

No toda geolocalización entra en la misma categoría. Muchas empresas usan ubicación aproximada para funciones básicas: mostrar clima local, filtrar resultados cercanos o calcular entregas. El problema regulatorio aparece cuando el dato deja de servir para una función operativa y pasa a ser un activo comercial revendible.

Por eso esta ley no solo obliga a mirar el consentimiento. También obliga a mirar el modelo de negocio. Si tu monetización depende de vender precisión espacial, ya no basta con esconderlo en una política de privacidad larga o en un checkbox poco claro.

Cómo afecta a apps, adtech y brokers de datos

Para las apps, el impacto más obvio está en los SDKs de terceros. Muchas aplicaciones gratuitas financian parte de su operación con publicidad y medición de audiencias. Si un SDK recoge ubicación precisa y termina en una cadena de venta o intercambio, la empresa dueña de la app puede quedar expuesta si no controla bien qué sale del dispositivo y con qué finalidad.

En adtech, el golpe es todavía más directo. La segmentación por lugares visitados es una de las técnicas favoritas para campañas de retail, automotriz, entretenimiento y salud. Un anunciante puede querer impactar a personas que estuvieron en un concesionario, una farmacia o un aeropuerto. El problema es que esa lógica depende de datos muy sensibles aunque la campaña se presente como “solo marketing local”.

Para los brokers, Massachusetts puede ser una mala noticia por un motivo sencillo: la reventa de datos de ubicación precisa tiene alto margen y baja fricción. Si un estado prohíbe la venta, el inventario pierde valor inmediato y la cadena completa tiene que revisar contratos, fuentes y definiciones de dato vendible.

Casos de uso que ahora quedan bajo presión

Algunos casos concretos que suelen entrar en zona gris o directamente en conflicto con este tipo de leyes:

1. Segmentación de usuarios que visitaron clínicas, hospitales o centros de salud.
2. Audiencias basadas en visitas a tiendas físicas, estadios o aeropuertos.
3. Venta de historiales de desplazamiento a brokers o plataformas de medición.
4. Retargeting con coordenadas exactas o eventos de presencia en un lugar específico.
5. Enriquecimiento de perfiles con datos de ubicación combinados con identificadores persistentes.

El problema no es solo técnico. También es de gobernanza. Si tu empresa recibe datos de múltiples proveedores, necesitas saber cuál de ellos captura ubicación precisa, cuál la considera dato personal y cuál la revende en paquetes que luego se mezclan con otros atributos.

Qué cambia en la práctica para tu producto

La primera reacción suele ser pensar que esto afecta solo a empresas grandes. No es así. Si tu app usa publicidad programática, attribution partners, geofencing o analytics con terceros, tienes que revisar el flujo completo de datos. A veces el dato no se vende de forma explícita; se comparte con un partner que luego lo monetiza por otro lado.

También cambia la forma de diseñar consentimiento y privacy settings. No alcanza con un texto genérico que diga que compartes datos “para mejorar el servicio”. Si la ubicación precisa termina en una venta, necesitas una base legal y una política mucho más precisa. En algunos casos, la respuesta correcta será no recolectarla en absoluto.

El costo operativo de adaptarse puede ser alto al principio, pero ignorarlo sale más caro. Reescribir contratos, auditar SDKs y renegociar acuerdos con proveedores toma tiempo. Si esperas a que el regulador ya te esté mirando, llegas tarde.

Checklist de revisión rápida

Si trabajas en producto, growth, legal o data, revisa esto primero:

• Qué SDKs tienen acceso a GPS, Wi‑Fi, Bluetooth o señales equivalentes.
• Si la ubicación se usa para una función del producto o para monetización.
• Qué partners reciben el dato y con qué finalidad.
• Si existe venta, intercambio o acceso indirecto a ubicación precisa.
• Si tu política de privacidad distingue entre ubicación aproximada y precisa.
• Si puedes apagar la recolección por estado, país o tipo de usuario.

Una buena práctica es mapear el dato desde el dispositivo hasta el destino final. No basta con saber quién lo colecta. Tienes que saber dónde termina, quién lo combina y si en algún punto se convierte en un activo comercial transferible.

El precedente regulatorio para EE.UU. y fuera de EE.UU.

Massachusetts no legisla para todo el país, pero sí puede marcar tendencia. En privacidad, los estados de EE.UU. suelen funcionar como laboratorio regulatorio. Cuando una medida se implementa sin romper por completo el mercado, otros legisladores la observan y evalúan si pueden copiarla o endurecerla.

Para las empresas globales, esto importa aunque su base esté en América Latina, Europa o Asia. Muchas apps distribuyen el mismo SDK, la misma infraestructura de medición y el mismo stack publicitario en varios mercados. Si un estado estadounidense prohíbe la venta de ubicación precisa, el cambio en compliance y producto puede terminar replicándose en toda la operación para no mantener versiones distintas por región.

También hay un efecto reputacional. Los anunciantes y partners corporativos cada vez preguntan más de dónde sale el dato y si hubo scraping, compra de data broker o recolección excesiva. Una ley como esta fortalece la idea de que la ubicación precisa ya no es un dato “normal” para intercambio comercial.

Señales para empresas en LatAm y Ecuador

Si operas en Latinoamérica, no asumas que esto es un problema lejano. En la región, muchas empresas compran tecnología de terceros con contratos globales y poca visibilidad local. Eso significa que una decisión tomada en Massachusetts puede terminar afectando campañas, medición y analítica en Quito, Bogotá, Lima o Ciudad de México.

En Ecuador, por ejemplo, el debate sobre protección de datos personales ya ha empujado a muchas empresas a revisar consentimientos, bases legales y transferencias internacionales. Si además tu stack depende de publicidad móvil o de geofencing, conviene revisar si estás recolectando más de lo que necesitas para operar.

La lección para LatAm es bastante clara: si tu negocio monetiza datos, no esperes a que la regulación local copie el caso de Massachusetts. Puedes adelantarte con tres medidas simples: reducir recolección, limitar reventa y documentar mejor quién toca cada dato.

Qué deberían hacer ahora los equipos técnicos y legales

No hace falta rediseñar todo el producto en una semana, pero sí ordenar prioridades. Lo primero es identificar si la ubicación precisa entra en el camino de monetización. Lo segundo es distinguir entre uso funcional y uso comercial. Lo tercero es decidir si puedes reemplazar coordenadas exactas por ubicación aproximada sin perder valor real para el negocio.

Si trabajas con ingeniería, empieza por inventariar SDKs y eventos. Si trabajas con legal, revisa contratos de data sharing, data processing y reseller agreements. Si trabajas con marketing, pregunta qué segmentos dependen de lugares visitados y si hay alternativas menos invasivas.

Una secuencia útil sería esta:

1. Auditar fuentes de ubicación en apps y sitios.
2. Clasificar si el dato es preciso, aproximado o inferido.
3. Detectar si existe venta, intercambio o acceso a terceros.
4. Revisar consentimiento, notices y opt-out.
5. Eliminar o limitar la recolección donde no sea necesaria.
6. Renegociar con proveedores que no puedan garantizar cumplimiento.

Qué buscar en contratos y políticas

En contratos, busca términos como sell, share, disclose, exchange, marketplace, enrichment, attribution y audience extension. Esas palabras suelen esconder flujos que terminan en monetización de datos. Si no puedes explicar el recorrido del dato en una reunión de diez minutos, probablemente tampoco puedas defenderlo frente a un regulador.

En políticas de privacidad, revisa si la descripción de ubicación precisa es específica o si mezcla todo en una sola categoría. También conviene separar bien lo que se usa para prestar el servicio de lo que se usa para publicidad. Esa diferencia ya no es un detalle editorial; es una línea de defensa.

Si necesitas una referencia oficial sobre marcos de privacidad y derechos de los usuarios, la documentación del Federal Trade Commission sobre privacidad y protección de datos es un buen punto de partida: https://www.ftc.gov/business-guidance/privacy-security. Para entender obligaciones estatales en EE.UU., también vale revisar el texto normativo publicado por el estado cuando esté disponible en su portal legislativo oficial.

Tabla resumen

Massachusetts no cerró el mercado de datos de ubicación, pero sí tocó una pieza que vale mucho dinero. Y cuando un regulador limita una pieza central del negocio, el resto de la cadena tiene que moverse: producto, legal, ventas, partnerships y compliance.

Si tu empresa depende de ubicación precisa para monetizar, este es un buen momento para revisar si de verdad necesitas ese dato. Si lo usas solo porque siempre estuvo ahí, probablemente ya no te conviene mantenerlo.