Entender la legislación sobre cookies e implantar soluciones eficaces de gestión del consentimiento se ha convertido en algo crucial para cualquier sitio web. Esta guía explora las diferencias entre las normativas europea y estadounidense, analiza el funcionamiento del Modo Consentimiento de Google y compara las principales soluciones de gestión del consentimiento.

Ley de cookies y gestión del consentimiento: actualizaciones 2025

Entender la legislación sobre cookies e implantar soluciones eficaces de gestión del consentimiento se ha convertido en algo fundamental para cualquier sitio web. Esta guía explora las diferencias entre las normativas europea y estadounidense, analiza el funcionamiento del Modo Consentimiento de Google y compara las principales soluciones de gestión del consentimiento, con las últimas actualizaciones hasta 2025.

Legislación europea: GDPR y Directiva ePrivacy

En Europa, la protección de los datos personales y la privacidad en línea se rigen principalmente por dos textos legislativos:

El GDPR (Reglamento General de Protección de Datos)

El GDPR, que entrará en vigor en 2018, impone requisitos estrictos sobre el tratamiento de datos personales, estableciendo principios fundamentales:

• Licitud y transparencia: todo tratamiento debe tener una base jurídica válida
• Minimización de datos: recopilar solo los datos necesarios
• Seguridad: garantizar medidas de protección adecuadas

Para recoger y tratar datos personales (incluidos identificadores en línea como las cookies), es necesario disponer de una base jurídica válida, como su consentimiento explícito, un interés legítimo o una obligación contractual.

Las infracciones del GDPR pueden acarrear sanciones muy elevadas, de hasta el 4 % de la facturación global de la empresa.

La Directiva sobre la privacidad y las comunicaciones electrónicas

La Directiva sobre la privacidad y las comunicaciones electrónicas (2002/58/CE, modificada en 2009) se centra específicamente en la privacidad en las comunicaciones electrónicas, incluido el uso de cookies y tecnologías de seguimiento.

El apartado 3 del artículo 5 de la Directiva establece que es obligatorio obtener el consentimiento previo del usuario antes de almacenar o acceder a información en su dispositivo, salvo excepciones (como las cookies técnicas estrictamente necesarias).

En la práctica, esto significa que los sitios web europeos deben:

• Informar claramente al usuario sobre las finalidades de las cookies
• Recopilar un consentimiento libre, específico e informado antes de instalar cookies no esenciales
• Permitir al usuario rechazar y modificar sus preferencias en cualquier momento

Las autoridades europeas de privacidad han sancionado activamente las infracciones: por ejemplo, la CNIL francesa multó a Google y Amazon entre 2020 y 2022 por depositar cookies de seguimiento sin un consentimiento válido.

Actualizaciones 2025

En marzo de 2024 entró en vigor la Ley de Mercados Digitales (DMA) de la UE, que endureció aún más los requisitos de consentimiento para las grandes plataformas tecnológicas, lo que afectó significativamente a la gestión de cookies y seguimiento. Esto ha llevado a empresas como Google a actualizar sus soluciones de gestión del consentimiento.

En febrero de 2025, la Comisión de la UE retiró oficialmente su propuesta de nuevo Reglamento sobre la privacidad y las comunicaciones electrónicas, manteniendo en vigor la Directiva existente. Esto significa que los requisitos de consentimiento para las cookies se mantienen como hasta ahora, siguen siendo vinculantes y están sujetos a una aplicación estricta en toda Europa.

El Tribunal de Justicia de la Unión Europea emitió una sentencia significativa en marzo de 2024 sobre el caso IAB TCF, con importantes implicaciones para la implementación del Transparency & Consent Framework, que las empresas todavía están asimilando.

Normativa estadounidense: CCPA, CPRA y evolución estatal

En EE.UU., a diferencia de la UE, no existe una ley federal general de privacidad comparable al GDPR. La regulación se produce a nivel estatal y sectorial, con importantes avances en los últimos años.

CCPA (Ley de Privacidad del Consumidor de California) y CPRA (Ley de Derechos de Privacidad de California)

La CCPA, que entró en vigor en 2020, ha sido reforzada por la CPRA (en vigor desde 2023), acercándola aún más al modelo europeo.

La CPRA lo ha hecho:

• Introducido el concepto de "sharing" de datos además de la "venta"
• Otorgado a los consumidores el derecho de opt-out también de la compartición de sus datos personales con fines publicitarios cross-contextuales
• Definida una categoría de Información Personal Sensible con un derecho dedicado a limitar su uso
• Ampliados los derechos existentes y creada una agencia dedicada, la California Privacy Protection Agency (CPPA)

Actualizaciones 2025

Entre 2023 y 2025, el panorama de la privacidad en Estados Unidos experimentó una rápida evolución:

A partir de enero de 2025, hasta 20 estados de EE.UU. cuentan ya con leyes exhaustivas sobre privacidad de datos, y ocho nuevas leyes entrarán en vigor en 2025. Esto significa que aproximadamente el 40% de los consumidores estadounidenses tienen ahora derechos de privacidad digital. Sin embargo, la fragmentación normativa plantea un reto importante para las empresas, que deben navegar entre requisitos a menudo similares pero no idénticos.

California sigue a la vanguardia, con la CPPA particularmente activa en 2024-2025. La agencia emitió varias sanciones significativas, incluida una multa de 6,75 millones de dólares a una empresa de software en la nube en 2024. También emitió nuevos reglamentos propuestos sobre ciberseguridad, evaluaciones de riesgos y tecnologías de decisión automatizada (ADMT), con un período de comentarios públicos abierto hasta junio de 2025.

Entre los avances más relevantes en la gestión de cookies, California amplió la definición de "información personal sensible" para incluir los "datos neuronales" (información generada por la medición de la actividad del sistema nervioso) y aclaró que la información personal también incluye formatos digitales y abstractos, como los generados por la inteligencia artificial.

Delaware aprobó una ley de privacidad que, a diferencia de otras, no exime de su cobertura a las organizaciones sin ánimo de lucro ni a las instituciones académicas, lo que amplía considerablemente su ámbito de aplicación.

A diferencia de la UE, el modelo estadounidense sigue basándose principalmente en la exclusión voluntaria y no en el consentimiento previo. Por tanto, un sitio web estadounidense que preste servicios a usuarios de la UE tendrá que adoptar un banner conforme al RGPD para esos usuarios, mientras que para los usuarios estadounidenses podría limitarse a mostrar un aviso y un enlace de exclusión voluntaria sin bloquear las cookies de antemano.

IAB TCF: Marco de Transparencia y Consenso

El Interactive Advertising Bureau (IAB) Europe ha desarrollado el Transparency & Consent Framework (TCF) como estándar del sector para ayudar a las empresas a gestionar el consentimiento de los usuarios de conformidad con el RGPD y la Directiva ePrivacy, particularmente relevante en el contexto de la publicidad digital.

Desarrollo y versiones del TCF

El FCT ha tenido varias iteraciones:

• TCF v1.1: lanzado en abril de 2018
• TCF v2.0: lanzado en agosto de 2019
• TCF v2.1: lanzado en agosto de 2020, alineado con la sentencia Planet49 del Tribunal de Justicia de la UE
• TCF v2.2: lanzado en mayo de 2023, implementado antes de noviembre de 2023, en respuesta a un plan de acción acordado con la Autoridad de Protección de Datos belga (APD)

TCF v2.2: Principales cambios

El TCF v2.2 introdujo cambios importantes:

1. Eliminación del interés legítimo como base jurídica para la personalización publicitaria y de contenidos. Para los Purpose 3, 4, 5 y 6 (creación de perfiles publicitarios personalizados, selección de anuncios personalizados, creación de perfiles de contenido personalizados y selección de contenido personalizado), ahora solo se admite el consentimiento explícito.
2. Descripciones más fáciles de entender que sustituyen la información legal sobre finalidades y funcionalidades, haciendo la comunicación con los usuarios más clara y accesible.
3. Estandarización y ampliación de la información sobre los proveedores, incluyendo categorías de datos recopilados, períodos de conservación e indicaciones sobre la aplicación del interés legítimo.
4. Requisitos más estrictos para los publishers, que deben revelar el número total de proveedores y Google Ad Tech Provider utilizados ya en el primer nivel del CMP.
5. Mecanismos de cumplimiento mejorados, con nuevos procesos de auditoría y procedimientos de aplicación diferenciados.

TCF v2.3: Últimos avances

En abril de 2025, IAB Tech Lab e IAB Europe abrieron la especificación técnica TCF v2.3 para comentarios públicos, con un periodo de comentarios hasta el 19 de mayo de 2025. La actualización tiene como objetivo proporcionar una mayor claridad a los vendedores en escenarios específicos en los que no está claro si los datos han sido revelados al usuario, lo cual es particularmente importante cuando un vendedor tiene la intención de procesar datos para fines especiales basados en el interés legítimo.

El calendario del TCF v2.3 incluye:

• Finales de mayo de 2025: Finalización de las especificaciones técnicas
• 1 de febrero de 2026: Plazo límite para que todos los CMP y Vendor actualicen su implementación para soportar la v2.3

Modo Consentimiento de Google: qué es y cómo funciona

Para ayudar a los sitios web y a los anunciantes a respetar las opciones de consentimiento de los usuarios, Google introdujo el Modo de consentimiento, una solución técnica que ajusta el comportamiento de las etiquetas de Google en función del estado de consentimiento del usuario.

Modo Consentimiento Google V2

En noviembre de 2023, Google lanzó el Modo Consentimiento V2, de aplicación obligatoria en marzo de 2024 para los sitios que utilizan los servicios de Google y recopilan datos de usuarios en el Espacio Económico Europeo (EEE). Esta actualización se diseñó específicamente para alinearse con la Ley de Mercados Digitales (DMA) de la UE.

El Modo Consentimiento V2 introduce dos nuevos parámetros además de los originales:

• ad_storage y analytics_storage (existentes): controlan el almacenamiento de cookies publicitarias y analíticas
• ad_user_data (nuevo): gestiona el consentimiento para el uso de datos personales con fines publicitarios
• ad_personalization (nuevo): gestiona el consentimiento para el uso de datos para remarketing personalizado

A diferencia de ad_storage y analytics_storage, estos nuevos parámetros no influyen en el comportamiento de las etiquetas en el propio sitio, sino que son parámetros adicionales que se envían a los servicios de Google para indicar cómo se pueden utilizar los datos del usuario.

Métodos de aplicación

Google Consent Mode V2 tiene dos modos de implementación:

1. Basic Consent Mode (Modo básico): Las etiquetas de Google se bloquean completamente hasta que el usuario interactúa con el banner de consentimiento. Si el usuario no otorga el consentimiento, no se recopila ninguna información.
2. Advanced Consent Mode (Modo avanzado): Las etiquetas de Google se cargan antes de que el usuario interactúe con el banner. Si el usuario no otorga el consentimiento, las etiquetas funcionan en modo limitado, enviando "pings anónimos" (sin identificadores de usuario) que Google utiliza para modelar estadísticamente los resultados.

Es importante señalar que algunos expertos en privacidad han planteado dudas sobre la conformidad del modo avanzado con la normativa de protección de datos, ya que los "pings" podrían representar datos personales tratados sin consentimiento.

Impacto en la comercialización y el análisis

Sin el Modo Consentimiento de Google, las plataformas publicitarias no pueden adquirir datos sobre nuevos usuarios del EEE, lo que limita significativamente la capacidad de recopilar datos sobre la audiencia, medir la eficacia de las campañas y aplicar estrategias publicitarias específicas.

Con el Modo Consentimiento V2, los sitios web pueden seguir recopilando datos analíticos básicos incluso cuando los usuarios no han dado su consentimiento a las cookies, mediante técnicas avanzadas de modelado que respetan las preferencias de consentimiento.

Soluciones de gestión del consentimiento (CMP)

Para cumplir toda esta normativa, los sitios web utilizan Plataformas de Gestión del Consentimiento (CMP) que proporcionan banners e interfaces para obtener el consentimiento de los usuarios y mecanismos para respetar estas elecciones.

El papel del IAB en el CMP

El IAB desempeña un papel clave en la certificación de las CMP a través del marco TCF. Un CMP certificado por el TCF v2.2 de la IAB debe:

1. Mostrar información clara sobre las finalidades del tratamiento de datos
2. Recopilar consentimientos granulares para diferentes finalidades
3. Permitir a los usuarios modificar fácilmente sus preferencias
4. Almacenar los consentimientos de forma segura (TC String)
5. Comunicar dichas preferencias a todos los proveedores en el formato estandarizado TCF

En 2023-2024, Google introdujo requisitos de certificación específicos para los CMP que deseen admitir anuncios de Google en la UE y el Reino Unido, siendo el principal requisito el cumplimiento actualizado del TCF de la IAB. Los CMP certificados por Google pueden utilizar los productos de Google Ads y están incluidos en una lista oficial.

Comparación de las principales soluciones CMP hasta 2025

Finweet (Finsweet Cookie Consent)

Una solución especialmente orientada a sitios construidos con Webflow, con total compatibilidad con IAB TCF v2.2 y Google Consent Mode v2.

Ventajas:

• Gratuidad (versión básica)
• Total personalización gráfica (el banner se construye directamente en el diseñador de Webflow)
• Enfoque "no-code" para quienes usan Webflow

Desventajas:

• Requiere competencias técnicas para una implementación correcta
• La versión gratuita cubre solo los aspectos básicos del RGPD
• Para funcionalidades avanzadas como Google Consent Mode v2 se necesita una suscripción

Ideal para: desarrolladores o agencias que trabajan con Webflow, que quieren control total y diseño a medida.

CookieSí

Una solución plug-and-play actualizada para soportar IAB TCF v2.2 y Google Consent Mode v2, ahora con certificación Gold como Google CMP Partner.

Ventajas:

• Facilidad de uso (basta con copiar/pegar el código)
• Escaneo automático de las cookies del sitio
• Actualizaciones periódicas para mantenerse conforme a la normativa
• Soporte para la resolución de problemas de implementación del Google Consent Mode v2

Desventajas:

• Opciones de personalización limitadas
• Modelo de suscripción recurrente
• Podría resultar demasiado simplista para marcas exigentes

Ideal para: sitios pequeños o propietarios que quieren cumplir con la normativa rápidamente.

Solución Iubenda Cookie

Iubenda es una empresa italiana que ofrece un conjunto completo de herramientas de cumplimiento, totalmente actualizado para soportar IAB TCF v2.2 y Google Consent Mode v2.

Ventajas:

• Solución completa "todo en uno" (incluye generadores de política de privacidad y cookies multilingües)
• Certificada IAB TCF v2.2
• Partner de Google para el Consent Mode v2
• Conserva un registro de los consentimientos para auditorías
• Soporte para la geolocalización de usuarios y gestión diferenciada UE/EE. UU.

Desventajas:

• Servicio de pago (con planes anuales según los servicios utilizados)
• Podría resultar sobredimensionado para sitios muy pequeños
• Para usuarios de Webflow, no es tan "nativo" como Finsweet

Ideal para: empresas que buscan una solución profesional y global, con un mantenimiento mínimo.

Cookiebot (Usercentrics CMP)

Una de las primeras soluciones CMP SaaS populares, que ahora forma parte de la plataforma Usercentrics.

Ventajas:

• Automatización del cumplimiento de cookies
• Escaneo periódico de trackers y cookies, clasificándolos automáticamente
• Generación de una política de cookies dinámica y actualizada
• Certificada para TCF v2.2 y compatible con Google Consent Mode v2
• Soporte para el cumplimiento multijurisdiccional (UE y EE. UU.)

Desventajas:

• Modelo comercial freemium con costes que crecen según el tráfico
• Personalización moderada del banner
• No es completamente personalizable desde cero como con Finsweet

Ideal para: sitios de tamaño medio y empresas que quieren delegar la gestión de cookies en la automatización.

UniConsent

Un CMP emergente que ofrece una solución completa para la integración con Google Consent Mode V2 y IAB TCF v2.2.

Ventajas:

• Fácil integración con los dos modos de Google Consent Mode V2 (Basic y Advanced)
• Soporte para el cumplimiento de IAB TCF v2.2
• Configuración simplificada con Google Analytics 4 (GA4)
• Panel intuitivo para la gestión del consentimiento

Desventajas:

• Marca menos consolidada respecto a otras soluciones
• Disponibilidad de documentación menos extensa

Ideal para: empresas que buscan una solución centrada en la integración con Google Consent Mode V2.

Soluciones para empresas

Para las grandes organizaciones multinacionales, existen CMP empresariales como OneTrust, TrustArc, Didomi, Usercentrics, Osano, etc.

Ventajas:

• Integraciones profundas con sistemas empresariales (CRM, etc.)
• Personalización avanzada
• Gestión de consentimientos en varios canales (web, app móvil, connected TV)
• Módulos de cumplimiento más allá de las cookies (gestión de solicitudes de los interesados, evaluaciones de impacto)
• Soporte global para el cumplimiento multijurisdiccional

Desventajas:

• Presupuestos elevados
• Implementación compleja
• Requieren asesoramiento especializado

Ideal para: grandes empresas con presencia global y necesidad de una gestión compleja del consentimiento.

Conclusiones

La adaptación a la normativa sobre cookies/privacidad requiere tanto una comprensión jurídica de las diferentes normativas como la aplicación de soluciones técnicas adecuadas.

En Europa prevalece un régimen estricto de consentimiento previo, mientras que en EE.UU. prevalece la exclusión voluntaria con obligación de transparencia, aunque las leyes estatales evolucionan progresivamente hacia normas más estrictas, acercándose al modelo europeo.

Herramientas como Google Consent Mode V2 y IAB TCF v2.2/v2.3 ayudan a salvar la distancia entre marketing y privacidad, permitiendo a los sitios utilizar servicios de análisis y publicidad al tiempo que cumplen la legislación sobre cookies.

La elección de la plataforma de gestión del consentimiento depende de factores como el tamaño del sitio, los recursos técnicos disponibles, el presupuesto y la necesidad de cumplimiento multinacional. Lo importante es dar a los usuarios un control real sobre sus datos y permitir que el sitio funcione con transparencia y de conformidad con la legislación aplicable.

Las empresas que operan tanto en Europa como en Estados Unidos tendrán que seguir navegando por un panorama normativo complejo y en evolución, adaptando sus soluciones de gestión del consentimiento a las distintas jurisdicciones.

Preguntas frecuentes sobre la legislación sobre cookies y la gestión del consentimiento

¿Cuáles son las principales diferencias entre la legislación europea y la estadounidense sobre cookies?

En Europa (GDPR y Directiva ePrivacy) prevalece un modelo opt-in: debe obtenerse el consentimiento explícito del usuario antes de utilizar cookies no esenciales. Por el contrario, en Estados Unidos (CCPA/CPRA y otras leyes estatales) prevalece un modelo de exclusión voluntaria: las cookies pueden utilizarse hasta que el usuario se oponga explícitamente, y las empresas deben proporcionar una forma clara de excluirse de la venta/compartición de datos.

¿Qué cookies pueden utilizarse en Europa sin el consentimiento del usuario?

En Europa sólo pueden utilizarse sin consentimiento las cookies "estrictamente necesarias" (o "técnicas"). Entre ellas se incluyen las cookies esenciales para el funcionamiento del sitio, como las de autenticación, las de almacenamiento de artículos en un carrito de la compra de comercio electrónico o las de seguridad del sitio.

¿Qué es el Modo Consentimiento V2 de Google y por qué es importante?

Google Consent Mode V2 es una interfaz que comunica a Google las opciones de consentimiento del usuario. Introduce cuatro parámetros de consentimiento (ad_storage, analytics_storage, ad_user_data, ad_personalisation) que rigen el comportamiento de las etiquetas de Google. Es importante porque permite a los sitios equilibrar la medición del rendimiento del marketing con el cumplimiento de la privacidad, y será obligatorio a partir de marzo de 2024 para los sitios que utilicen los servicios de Google en Europa.

¿Cómo elijo la solución CMP más adecuada para mi centro?

La elección depende de varios factores: tamaño y tráfico del sitio, presupuesto disponible, conocimientos técnicos internos, plataforma en la que está construido el sitio (por ejemplo, Webflow, WordPress) y requisitos de cumplimiento específicos. También es importante comprobar si el CMP está certificado por IAB TCF v2.2 y es compatible con Google Consent Mode V2, especialmente si se utilizan los servicios publicitarios de Google.

¿Es necesario el banner de cookies también para un sitio que no utiliza cookies de marketing o analíticas?

En Europa, técnicamente sí. Incluso si el sitio utiliza únicamente cookies esenciales, sigue siendo necesario informar a los usuarios sobre qué cookies se utilizan. Sin embargo, en este caso no es necesario solicitar el consentimiento, por lo que el banner puede simplificarse en un aviso informativo que no requiera interacción.

¿Cuáles son las sanciones por incumplimiento de la legislación sobre cookies?

En Europa, las infracciones del GDPR pueden dar lugar a sanciones de hasta el 4 % de la facturación global anual o 20 millones de euros, la cantidad que sea mayor. En California, las infracciones de la CCPA/CPRA pueden dar lugar a sanciones civiles de hasta 2.500 dólares por infracción no intencionada y 7.500 dólares por infracción intencionada, así como a posibles demandas de los consumidores. Los organismos reguladores se han mostrado más activos en la aplicación de la ley, con la imposición de varias multas importantes en los últimos años.

¿Sustituye el Modo Consentimiento de Google V2 la necesidad de un banner de cookies?

No, Google Consent Mode V2 no sustituye a la cookie de banner, sino que funciona conjuntamente con ella. Sigue siendo necesario un sistema que recoja el consentimiento del usuario (CMP), que luego comunicará las preferencias a Google Consent Mode para regular el comportamiento de las etiquetas.

¿Cómo gestionar los consentimientos de un sitio que tiene usuarios tanto en Europa como en Estados Unidos?

La mejor solución es implantar un sistema que reconozca la ubicación geográfica del usuario y muestre la interfaz adecuada: un banner de opt-in para los usuarios europeos y un aviso de opt-out para los estadounidenses. Los gestores de contenidos más avanzados ofrecen esta función de orientación geográfica.

¿Qué es el TCF de la IAB y por qué es importante?

El IAB Transparency & Consent Framework (TCF) es un estándar del sector que ayuda a las empresas a gestionar el consentimiento de los usuarios de conformidad con el RGPD y la Directiva ePrivacy, especialmente en el contexto de la publicidad digital. Proporciona un mecanismo estandarizado para recopilar, almacenar y compartir las preferencias de consentimiento de los usuarios entre editores, anunciantes y proveedores de tecnología publicitaria. La última versión, TCF v2.2, se diseñó para mejorar la transparencia y la responsabilidad, y se desarrolló en respuesta a las indicaciones de las autoridades de protección de datos.

¿Cuáles son las principales novedades del TCF v2.3?

La TCF v2.3, actualmente en consulta pública hasta mayo de 2025, pretende ofrecer más claridad a los vendedores en situaciones específicas en las que no está claro si los datos se han revelado al usuario. Esta distinción es especialmente importante cuando un proveedor pretende tratar datos para fines especiales sobre la base de un interés legítimo. Se espera que las especificaciones técnicas estén terminadas a finales de mayo de 2025, con un plazo de aplicación hasta el 1 de febrero de 2026.

Fuentes

1. IAB Europe (2025). "TCF v2.3 is open for public comment". IAB Tech Lab. https://iabtechlab.com/tcf-v2-3-is-open-for-public-comment/
2. IAB Europe (2025). "TCF 2.2 Launches! All You Need To Know". https://iabeurope.eu/tcf-2-2-launches-all-you-need-to-know/
3. IAB Europe (2025). "TCF Supporting Resources". https://iabeurope.eu/tcf-supporting-resources/
4. Google (2025). "Updates to consent mode for traffic in European Economic Area (EEA)". Google Tag Manager Help. https://support.google.com/tagmanager/answer/13695607
5. Termly (2025). "What Is Google Consent Mode v2?". https://termly.io/resources/articles/what-is-google-consent-mode-v2/
6. Cookieyes (2024). "What is Google Consent Mode V2? How to Implement It?". https://www.cookieyes.com/blog/google-consent-mode-v2/
7. CookieFirst (2024). "Google Consent Mode V2 explained". https://cookiefirst.com/google-consent-mode-v2-released/
8. Bloomberg Law (2025). "Which States Have Consumer Data Privacy Laws?". https://pro.bloomberglaw.com/insights/privacy/state-privacy-legislation-tracker/
9. IAPP (2025). "US State Privacy Legislation Tracker". https://iapp.org/resources/article/us-state-privacy-legislation-tracker/
10. California Privacy Protection Agency (2025). "Proposed Regulations on CCPA Updates, Cybersecurity Audits, Risk Assessments, Automated Decisionmaking Technology (ADMT), and Insurance Companies". https://cppa.ca.gov/regulations/ccpa_updates.html
11. White & Case LLP (2025). "Data Privacy Update". https://www.whitecase.com/insight-alert/data-privacy-update-2025
12. California Lawyers Association (2025). "State Privacy Law in 2025—What to Expect". https://calawyers.org/privacy-law/state-privacy-law-in-2025-what-to-expect/