Análisis de las denuncias presentadas en California por escuchas telefónicas en relación con el seguimiento de sitios web

En 2022, el Noveno Circuito dictaminó, en el caso Javier contra Assurance IQ, que el software de reproducción de sesiones utilizado por un sitio web para registrar la actividad de los usuarios antes de que se les facilitara la política de privacidad infringía las normas sobre consentimiento establecidas en la Ley de California contra la Violación de la Privacidad (CIPA).

En virtud de esta resolución, la reproducción de sesiones se considera una forma de intervención telefónica, y el seguimiento realizado antes de que se diera el consentimiento se consideró una interceptación ilegal.

A continuación se interpusieron más demandas, entre ellas el caso D’Antonio contra CNN, en el que el demandante alegó que CNN utilizaba rastreadores de terceros y compartía los datos con socios tecnológicos del sector publicitario para crear carteras publicitarias.

Desde entonces, muchas páginas web han sido objeto de denuncias por «escuchas ilegales» en relación con el seguimiento que realizan en sus sitios web, por infringir la CIPA. Aunque es comprensible que esto pueda resultar preocupante, a continuación se exponen algunos hechos claros y novedades jurídicas recientes que ayudarán a aclarar las dudas.

Índice

1. ¿Qué demandas se están interponiendo contra sitios web por el seguimiento de usuarios en virtud de la CIPA?
2. ¿Qué tecnologías de seguimiento son las que generan más reclamaciones?
3. Resoluciones judiciales destacadas de 2025
4. ¿En qué se diferencia la CIPA de las leyes de privacidad de California?
5. ¿Tengo que obtener el consentimiento de los usuarios para realizar un seguimiento de los mismos en virtud de la CIPA?
6. ¿Puedo recopilar datos primero y luego mostrar un consentimiento de cookies ?
7. Cuándo el uso de herramientas de seguimiento probablemente no se considere «interceptación de comunicaciones»
8. La importancia de utilizar una gestión del consentimiento (CMP)
9. Qué hacer si recibes una carta de requerimiento

¿Qué demandas se están interponiendo contra sitios web por el seguimiento de usuarios en virtud de la CIPA?

Los sitios web con visitantes de California que implementen tecnologías de seguimiento en los navegadores antes de que el usuario tenga la oportunidad de recibir una política de privacidad o una notificación sobre cookies, o de interactuar con un banner de consentimiento, corren el riesgo de ser objeto de reclamaciones por infringir la CIPA.

Se ha hecho referencia a esta ley sobre escuchas telefónicas de la década de 1960 para demostrar cómo el seguimiento del comportamiento de los usuarios en Internet sin su conocimiento ni consentimiento podría considerarse una forma de «interceptación secreta» en virtud de la CIPA, lo que constituye una infracción de la ley.

¿Qué tecnologías de seguimiento son las que generan más reclamaciones?

Los demandantes buscan tecnologías concretas que envíen datos de los visitantes o la información introducida por estos a un tercero antes de que se haya dado el consentimiento.

Tecnología de seguimiento	Por qué se ha elegido como objetivo
Meta Pixel/el píxel de Facebook	La herramienta que más se menciona. Envía visitas a la página, eventos e identificadores a Meta.
Etiquetas de conversión y remarketing de Google Ads	Enviar datos de conversión y de audiencia a Google con fines publicitarios.
Google Analytics	Es muy habitual y se menciona a menudo porque recoge las rutas de las páginas, los eventos y los identificadores.
Píxel de TikTok	Envía eventos e identificadores a TikTok con fines publicitarios y de medición.
Etiqueta de LinkedIn Insight	Envía datos profesionales sobre la audiencia y las conversiones a LinkedIn.
Herramientas de reproducción y grabación de sesiones	Reconstruye la sesión completa de un visitante y puede capturar los datos introducidos en los formularios y el contenido que aparece en pantalla.
Herramientas de mapas de calor y análisis de comportamiento	Graba clics, desplazamientos, movimientos y, en ocasiones, pulsaciones de teclas.
Servicios de chat en directo y chatbots de terceros	El riesgo aumenta cuando el contenido de las conversaciones o los identificadores pasan por un proveedor externo.
Barras de búsqueda y formularios en la página web	Transmitir a un tercero lo que escribe un visitante. Una reciente oleada de cartas se centra en el hecho de que un nombre o una consulta introducidos en un campo de búsqueda se envíen a un servicio de análisis o publicidad sin haber obtenido previamente el consentimiento.

Esta lista va cambiando a medida que aparecen nuevas herramientas y evoluciona la jurisprudencia, así que considérala un punto de partida.

La pregunta clave es siempre la misma: ¿recibe un tercero los datos antes de que el visitante haya tomado una decisión?

Resoluciones judiciales destacadas de 2025

En 2025 se dictaron varias sentencias judiciales clave que afectaron al consentimiento para el seguimiento en sitios web en el marco de la CIPA, entre las que se incluyen las siguientes:

En la tabla que figura a continuación también se recogen varias sentencias recientes del Tribunal Superior de California, dictadas entre 2024 y 2025, relativas a demandas contra la CIPA y al seguimiento de sitios web.

Proceso judicial	Decisión
Sánchez contra Cars.com	Se desestimaron las demandas relativas a los registradores de pulsaciones, al considerar que la CIPA no es aplicable a dichos dispositivos.
Casillas contra Transitions Optical	Se ha determinado que la recopilación de direcciones IP es una función normal de los sitios web y no constituye una vigilancia ilegal
Rodríguez contra Plivo	Se ha dictaminado que la recopilación rutinaria de datos no constituye una intervención telefónica
Popa contra Microsoft	El tribunal consideró que los datos transmitidos por los píxeles de seguimiento —normalmente direcciones URL, direcciones IP o identificadores de dispositivos— no constituyen información lo suficientemente privada como para demostrar la existencia de un perjuicio. Nota: este caso se interpuso al amparo de la Ley de Control de las Intercepciones Telefónicas y la Vigilancia Electrónica de Pensilvania (WESCA), y no de la CIPA, y se resolvió basándose en la legitimación constitucional y no en el fondo de la demanda por interceptación telefónica. Desde entonces, el marco de la legitimación se ha aplicado a casos relacionados con la CIPA (por ejemplo, Khamooshi contra Politico LLC, N.D. Cal. 2025).
Gutiérrez contra Converse (9.º Circuito, julio de 2025)	El tribunal confirmó la sentencia sumaria dictada contra una demanda basada en el artículo 631(a), con una opinión concurrente en la que se cuestionaba si la disposición relativa a las escuchas telefónicas se aplica siquiera a las comunicaciones por Internet.

Los jueces reconocen cada vez más que aplicar una ley sobre escuchas telefónicas de la década de 1960 a las funcionalidades actuales de los sitios web convertiría en ilegales las operaciones básicas de Internet.

Tal y como señaló un tribunal, considerar la recopilación rutinaria de direcciones IP como una intervención telefónica «supondría el riesgo de criminalizar el funcionamiento habitual de los sitios web y socavar el funcionamiento normal de Internet». (Derecho de la propiedad intelectual y de los medios de comunicación)

Varias sentencias recientes han desestimado demandas por motivos de legitimación o de fondo en los casos en que el demandante no ha podido demostrar un perjuicio real a la intimidad.

Sin embargo, los resultados siguen siendo dispares, y teorías como las del «pen register» o el «trap-and-trace», contempladas en los artículos 638.50 a 638.51, siguen siendo objeto de litigios activos, con los tribunales divididos al respecto.

Por ejemplo, en el caso Mikulsky contra Bloomingdale’s (9.º Cir. 2025), el tribunal reabrió una demanda basada en la CIPA, al considerar que la demandante había alegado de forma suficiente que el «contenido» de sus comunicaciones había sido capturado en tiempo real por un proveedor externo de servicios de reproducción de sesiones.

Esto demuestra que las demandas presentadas al amparo de la CIPA siguen siendo viables en determinados casos.

¿En qué se diferencia la CIPA de las leyes de privacidad de California?

La CIPA es una ley de California sobre las escuchas telefónicas, que difiere de las leyes estatales en materia de privacidad:

Cada tipo de ley se caracteriza por normas, recursos y formas de ejecución diferentes.

¿Tengo que obtener el consentimiento de los usuarios para realizar un seguimiento de los mismos en virtud de la CIPA?

Debes obtener el consentimiento expreso del usuario antes de iniciar cualquier seguimiento.

La CIPA prohíbe expresamente leer o conocer el contenido de las comunicaciones de otra persona sin el consentimiento de todas las partes implicadas.

Una vez activadas, las funciones de bloqueo automático de scripts, como Termly, pueden ayudar a los sitios web a cumplir dichos requisitos técnicos.

Revisa tu sitio web con regularidad para asegurarte de que las etiquetas estén correctamente clasificadas y de que las herramientas de terceros respondan y respeten efectivamente las señales de consentimiento.

Para asegurarte de que tus etiquetas respetan realmente el consentimiento, prueba la página web en una sesión nueva del navegador, simulando ser un visitante de California.

¿Puedo recopilar datos primero y luego mostrar un consentimiento de cookies ?

Recopilar datos primero y mostrar después un consentimiento de cookies supone un riesgo de incumplimiento normativo. Los scripts de seguimiento no deberían cargarse hasta que el usuario haya dado su consentimiento. Las funciones que permiten bloquearlos de forma predeterminada pueden ayudar a los sitios web a cumplir esta directriz.

Cuándo el uso de herramientas de seguimiento probablemente no se considere «interceptación de comunicaciones»

A continuación se indican algunos métodos posibles en los que el uso de herramientas de seguimiento probablemente no se consideraría «escucha ilegal».

No hay «interceptaciones secretas» gracias a los mecanismos de transparencia y consentimiento

Es poco probable que las herramientas de rastreo puedan considerarse «escuchas telefónicas» tal y como se han definido recientemente en casos como Javier contra Assurance IQ , siempre que se respete la transparencia y se cuente con un mecanismo de consentimiento adecuado en el sitio web.

En otras palabras, no se está produciendo ninguna «interceptación secreta».

Por ejemplo, esto podría incluir:

Estos siete elementos hacen difícil argumentar que cualquier interceptación fuera secreta, sobre todo si la divulgación es muy clara y si no se activan píxeles antes de que el usuario tome una decisión.

La «excepción de la fiesta» con el proveedor Nuance

Según la legislación de California, y de acuerdo con la sentencia del caso Ribas contra Clark de 1985, las partes implicadas en una comunicación no pueden, técnicamente, «interceptar» sus propias comunicaciones.

Por lo tanto, cabría suponer que los propietarios de los sitios web son parte de todas las interacciones que tienen lugar en su sitio web y que no pueden espiarse a sí mismos.

Sin embargo, esto da lugar a una responsabilidad por parte de los proveedores externos que acceden a los datos del sitio web y los utilizan con fines independientes.

No hay «comunicación en tránsito»

El seguimiento de sitios web suele implicar la recopilación de datos por parte del destinatario previsto de dichos datos, por ejemplo, el propio sitio web. En muchos aspectos, esto difiere fundamentalmente de la interceptación de comunicaciones entre otras partes.

Por lo general, los tribunales han distinguido entre los metadatos técnicos —como las direcciones IP, el tipo de dispositivo y la información del navegador— y el contenido de las comunicaciones protegidas.

Sin embargo, la línea divisoria puede volverse difusa cuando este seguimiento recoge direcciones URL o datos introducidos en formularios que revelan información personal sensible de una persona, como datos sobre su salud introducidos mientras navega, determinados datos financieros o datos de acceso.

La importancia de utilizar una gestión del consentimiento (CMP)

Las leyes de California, como la CIPA, la Ley Integral de Acceso a los Datos y contra el Fraude de California (CDAFA) y la Ley contra la Competencia Desleal (UCL), han cobrado mayor relevancia debido a la reciente oleada de demandas relacionadas con el seguimiento en la web en California, especialmente en lo que respecta a los píxeles, las herramientas de reproducción de sesiones y tecnologías similares.

El uso de gestión del consentimiento puede ayudar a reducir la exposición de un sitio web, al proporcionar a los usuarios un aviso claro y la opción de dar su consentimiento (GPC), y al garantizar que las etiquetas no esenciales no se activen antes de que se haya otorgado el consentimiento.

Además, ayudan a garantizar que estas etiquetas y cookies no esenciales se bloqueen cuando alguien se da de baja, dependiendo de cómo hayas configurado el sistema.

Dicho esto, un CMP por sí solo no garantiza que un sitio web cumpla con la normativa.

Lo que importa es:

El banner de consentimiento Termlyayuda a los usuarios a bloquear los scripts y las cookies hasta que se dé el consentimiento, y reconoce automáticamente a los visitantes de California para mostrarles las opciones adecuadas.

También te ayudamos a elaborar y mantener actualizada tu política de privacidad con la información que exige la legislación de California.

Termly pueden configurar el CMP para California en modo «Opt In», que, de hecho, es más restrictivo de lo que exige la legislación californiana, e incluye:

Una advertencia antes de cambiar California al sistema de «opt-in».

El bloqueo previo con consentimiento expreso es la respuesta más contundente a la teoría del consentimiento de todas las partes, pero es más estricto de lo que suele exigir la Ley de Privacidad del Consumidor de California y, en la práctica, reduce drásticamente los datos de seguimiento que se recopilan, ya que la mayoría de los visitantes nunca hacen clic en «Aceptar».

Si tus tecnologías de publicidad y análisis dependen del consentimiento y son pocas las personas que lo dan, esas tecnologías rara vez se activan. En pocas palabras, el sistema de consentimiento expreso acaba con la mayor parte de tu seguimiento en California.

Las consecuencias son concretas:

La propia Ley de Privacidad del Consumidor de California solo exige el «opt-out» (exclusión voluntaria) para la mayoría de los casos de seguimiento de adultos, reservando el «opt-in» (consentimiento expreso) para casos limitados, como la venta o el intercambio de datos personales de un consumidor de quien se sepa que es menor de dieciséis años.

Se trata, por tanto, de una decisión empresarial que antepone una posición más sólida ante posibles litigios a unos resultados de marketing cuantificables.

Decide en qué punto de ese espectro quieres situarte y deja constancia de tu elección.

Qué hacer si recibes una carta de requerimiento

Si recibes una carta de reclamación, no la ignores y no pagues por impulso.

Si lo ignoras, una simple carta puede convertirse en una demanda judicial, y si pagas sin comprobar la reclamación, estarás financiando un sistema que te enviará la siguiente carta. Sigue estos pasos en el orden indicado.

1. Conserva las pruebas y controla la conversación

Anota la fecha límite en el calendario y remite la carta a un único responsable interno, no al personal, que podría responder de manera informal o admitir los hechos.

Conserva inmediatamente la carta y sus encabezados, capturas de pantalla actuales del sitio web, la configuración de tu plataforma de consentimiento, una exportación del gestor de etiquetas, la lista de plugins y aplicaciones instalados, los resultados del análisis de cookies y rastreadores, las pruebas de red, los registros de consentimiento y política de cookies privacidad y política de cookies vigentes en la fecha a la que hace referencia la carta.

No elimines los rastreadores sin decir nada antes de preservar las pruebas, ya que está bien asegurar el lugar, pero no lo está dar la impresión de que se han destruido las pruebas.

2. Comprueba primero el seguro

Revisa cualquier póliza de responsabilidad cibernética, de responsabilidad civil por medios de comunicación, de errores y omisiones tecnológicos o de responsabilidad civil general para comprobar si ofrece cobertura en materia de recopilación indebida de datos, privacidad, medios de comunicación o actividades en Internet, y notifica a la aseguradora sin demora si así lo exige la póliza.

Actualmente, muchas pólizas excluyen las reclamaciones por seguimiento, escuchas telefónicas o cobro indebido, así que lee detenidamente la redacción; no obstante, si estás cubierto, es posible que la aseguradora se haga cargo de los gastos de la respuesta.

3. Realiza una auditoría interna antes de pagar a nadie

Muchas cartas siguen un modelo preestablecido, y es posible que el argumento sea menos sólido de lo que parece. Responde a estas preguntas aportando pruebas:

Si el rastreador mencionado no estuviera presente, solo se activara tras el consentimiento expreso o estuviera bloqueado en California, eso constituiría un argumento útil que se podría presentar a los abogados.

Guarda cada resultado como una captura de pantalla con la fecha o exporta el resultado.

4. Consigue un documento legal de la extensión adecuada

No te precipites a firmar un contrato de representación legal completo a menos que el asunto haya llegado al punto de presentarse una demanda, una solicitud de arbitraje o un plazo judicial ineludible.

Existen formas más económicas de acceder a un abogado; tomemos, por ejemplo, las siguientes.

Opciones gratuitas y de bajo coste:

Varios bufetes especializados en litigios sobre privacidad ofrecen una consulta inicial gratuita para responder a una de estas cartas y se pondrán en contacto directamente con el demandante.

Opciones de tarifa fija y de alcance limitado:

Olvídate de esas herramientas baratas de plantillas de cartas de reclamación con tarifa plana que aparecen las primeras en los resultados de búsqueda, porque sirven para redactar cartas que se envían a alguien, no para defender a una empresa que ha recibido una.

Y para comprobar la competencia de un abogado, ten en cuenta que la Asociación Internacional de Profesionales de la Privacidad no es un directorio de referencia.

Utilízalo como criterio de selección y busca la titulación de «Especialista en Derecho de la Privacidad» acreditada por la American Bar Association o, como mínimo, las titulaciones de «Profesional Certificado en Privacidad de la Información para Estados Unidos» y «Gestor Certificado en Privacidad de la Información».

5. Solucionar la causa raíz de forma paralela

Aunque llegues a un acuerdo, ese mismo lugar puede atraer al siguiente demandante, así que ponlo en orden ya:

Termly que te ofrece Termly puede ayudarte a realizar una autoevaluación y a poner en práctica estas medidas.

Por supuesto, cuando sea necesario, consulte o confirme la información con un asesor jurídico cualificado, sobre todo teniendo en cuenta la naturaleza cambiante de los litigios relacionados con la CIPA.

descargo de responsabilidad: Este contenido tiene fines meramente informativos y no constituye asesoramiento jurídico. Refleja la situación jurídica a fecha de 1 de julio de 2026. Los litigios relacionados con la CIPA están evolucionando rápidamente, y nuevas resoluciones podrían modificar el análisis anterior. Para obtener asesoramiento jurídico específico sobre su situación, incluyendo si debe responder a una carta de requerimiento o a una demanda, consulte con un abogado cualificado con experiencia en litigios relacionados con la privacidad y las escuchas telefónicas en California. Termly un proveedor gestión del consentimiento y no presta servicios jurídicos.

Escrito por Masha Komnenic CIPP/E, CIPM, CIPT, FIP

Masha Komnenic es asesora jurídica y directora de Privacidad Global Termly, y se licenció en Derecho por la Universidad de Belgrado. Está especializada en la implementación, supervisión y auditoría del cumplimiento normativo de las empresas en materia de privacidad (HIPAA, PIPEDA, Directiva sobre privacidad electrónica, rgpd, CCPA, POPIA, LGPD).

Leer todas las publicaciones de Masha Komnenic CIPP/E, CIPM, CIPT, FIP