Si su empresa alguna vez ha alquilado una lista de correos electrónicos, vendido análisis agregados de clientes a un socio de marketing, o gestionado un programa de fidelización que comparte datos de compras con una cadena minorista, es posible que ya sea un "corredor de datos" según la ley de Vermont — y a partir de este verano, esa etiqueta se ha vuelto mucho más cara de llevar.
El 16 de junio de 2026, el gobernador Phil Scott firmó la H.211 (ahora Ley 138), una revisión exhaustiva de la ley de registro de corredores de datos de Vermont — la primera de su tipo en el país cuando se aprobó originalmente en 2018. Las enmiendas no entrarán en vigor hasta el 1 de enero de 2027, pero el plazo para cumplir es más corto de lo que parece una vez que se comprende cuánto más amplias son las nuevas definiciones. Muchas pequeñas empresas que nunca se consideraron "corredores de datos" están a punto de descubrir que sí lo son.
Qué es Realmente la Ley de Corredores de Datos de Vermont
Vermont fue el primer estado en exigir que las empresas que comercian con datos de consumidores se registren ante el gobierno, mucho antes de que California, Texas, Oregón y un puñado de otros estados siguieran con sus propias versiones. La idea central siempre ha sido simple: si usted recopila y luego vende o licencia información personal sobre personas con las que no tiene una relación directa, el estado quiere saber quién es, qué vende y cuántos datos se intercambian.
Desde 2018, esto ha significado un registro anual ante el Secretario de Estado de Vermont, una tarifa de $100 y algunos requisitos básicos de divulgación. Durante casi ocho años, este registro ha sido principalmente una ocurrencia tardía de cumplimiento para el puñado de empresas lo suficientemente grandes como para encajar claramente en la etiqueta de "corredor de datos" — piensa en empresas de verificación de antecedentes, agregadores de datos de marketing y sitios de búsqueda de personas.
La H.211 cambia ese cálculo para un conjunto mucho más amplio de empresas.
Qué Cambió Realmente
La definición de "relación directa" se ha vuelto más restrictiva — y esa es la parte que toma por sorpresa a muchos. Según la ley anterior, simplemente recopilar información directamente de un consumidor era generalmente suficiente para establecer una "relación directa" y permanecer fuera de la definición de corredor de datos. La ley modificada exige que el consumidor interactúe intencionalmente con su negocio. Esta distinción incluye específicamente a las empresas que operan detrás de escena de una transacción: los procesadores de pagos, los proveedores de programas de fidelización y los proveedores de plataformas de marca blanca son ejemplos nombrados en el comentario legislativo. Si la relación del consumidor es realmente con el minorista, restaurante o aplicación que creen que están usando — y su negocio es la infraestructura que captura silenciosamente sus datos en segundo plano — es posible que ya no califique para la exención de relación directa solo porque técnicamente recopiló los datos usted mismo.
La "información personal intermediada" también se ha vuelto mucho más amplia. La ley anterior enumeraba categorías específicas de datos que contaban. La nueva ley reemplaza esa lista con un estándar general: cualquier información que esté vinculada o sea razonablemente vinculable a un individuo identificado o identificable — o a un dispositivo del hogar — incluidos los datos derivados y los identificadores únicos. Esto es una alineación deliberada con el tipo de definiciones amplias utilizadas en las leyes integrales de privacidad estatales, e incluye cosas como identificadores de dispositivos, perfiles de comportamiento y atributos inferidos que la lista enumerada original no alcanzaba claramente.
Nuevas obligaciones de diligencia debida entran en vigor antes de que pueda vender o licenciar datos. Los corredores de datos ahora deben identificar quién recibe la información personal intermediada, comprender lo que pretende hacer con ella y obtener una certificación de que no la utilizará para ningún otro fin. Si un corredor tiene motivos razonables para creer que los datos serán mal utilizados — o utilizados ilegalmente — está obligado a rechazar la transacción. Esta es una obligación operativa real, no solo un ejercicio de papeleo: significa un proceso documentado de admisión y verificación para cada socio de intercambio de datos, no una declaración de registro única.
Una exención útil: la excepción para afiliados. Compartir datos con afiliados corporativos ahora está explícitamente excluido de la definición de "venta", lo que alinea a Vermont con la forma en que Texas trata el intercambio de datos dentro de una empresa. Si el movimiento de sus datos se limita a entidades bajo propiedad común, es probable que esta enmienda lo mantenga fuera del alcance de esa actividad específica, aunque vale la pena confirmar que su estructura corporativa realmente califica antes de confiar en ella.
El Aspecto Económico se Ha Vuelto Serio
La estructura de tarifas y sanciones es donde la H.211 deja de ser una molestia de cumplimiento y se convierte en una partida presupuestaria real:
| Requisito | Anterior | Nuevo |
|---|---|---|
| Tarifa anual de registro | $100 | $900 |
| Bono de caución | No especificado | $20,000 |
| Falta de registro | — | $200/día |
| Registro incompleto (después de 30 días) | — | $1,000/día |
| Información materialmente incorrecta | — | $25,000 fijo, más $1,000/día después de la fecha límite de corrección |
Una tarifa anual de $900 y un bono de caución de $20,000 no son el tipo de cifras que una pequeña empresa absorbe sin notarlo. Y la estructura de sanciones diarias significa que un error de registro que no se corrija no se queda simplemente ahí — se acumula, de la misma manera que una obligación tributaria impaga acumula intereses, mientras no se solucione.
El Secretario de Estado de Vermont también debe estudiar la viabilidad de una plataforma centralizada de solicitudes de eliminación de consumidores, con un informe previsto para diciembre de 2028 — una señal de que es muy probable que esta sea la primera de varias rondas de endurecimiento, no la última.
Quién Debería Estar Realmente Preocupado
Las grandes empresas de búsqueda de personas y datos de marketing ya saben que son corredores de datos. Las empresas que deberían prestar más atención son las que nunca pensaron que la etiqueta les aplicara:
- Empresas de comercio electrónico y suscripciones que comparten el historial de compras de los clientes o los datos de participación con una red publicitaria, plataforma de influencers o socio de co-marketing a cambio de dinero o datos recíprocos.
- Plataformas SaaS y desarrolladores de aplicaciones que monetizan datos de uso agregados o "anonimizados" — recuerde, el nuevo estándar cubre cualquier cosa "razonablemente vinculable" a una persona o dispositivo del hogar, lo cual es un listón mucho más bajo de lo que la mayoría de los equipos de ingeniería suponen cuando llaman "anonimizados" a los datos.
- Operadores de programas de fidelización y facilitadores de pago que se sitúan entre un consumidor y el minorista con el que creen estar tratando — exactamente el escenario al que apunta la definición restringida de "relación directa".
- Comercializadores afiliados y empresas de generación de prospectos cuyo modelo completo consiste en capturar la información de un consumidor y vender o licenciar el acceso a ella a otras empresas.
- Programas de referencia y recompensas que comparten datos de miembros con socios minoristas o de hospitalidad como parte de un acuerdo de promoción cruzada.
Ninguna de estas empresas se describiría a sí misma como un "corredor de datos" en una conversación informal. Según la ley modificada de Vermont, varias de ellas podrían serlo legalmente de todos modos — y el desconocimiento de la clasificación no hace desaparecer la sanción de $200 por día.
Qué Hacer Antes del 1 de Enero de 2027
- Mapee cada lugar donde los datos de los clientes salen de su empresa. No solo las ventas obvias de datos: integraciones de proveedores, acuerdos de co-marketing, píxeles de redes publicitarias y asociaciones de "intercambio de datos" que no implican intercambio de dinero pero sí acceso recíproco a información del consumidor.
- Pruebe cada flujo de datos con respecto al nuevo estándar de "relación directa". Pregúntese honestamente: ¿el consumidor interactuó intencionalmente con su negocio, o es usted la infraestructura detrás del escaparate de otra persona?
- Verifique si la excepción para afiliados realmente cubre su estructura. Solo se aplica a datos compartidos dentro de una relación de afiliado corporativo genuina — no a socios independientes con los que trabaja regularmente.
- Construya un proceso de diligencia debida para los destinatarios de datos, incluyendo una forma de documentar para qué le dijeron que se usarían los datos, antes de que la fecha límite de enero de 2027 convierta eso en un requisito legal en lugar de una mejor práctica.
- Presupueste ahora la nueva estructura de tarifas. Una tarifa de registro anual de $900 y un bono de caución de $20,000 son costos reales que pertenecen al presupuesto operativo del próximo año, no una sorpresa que descubre cuando una fecha límite de cumplimiento ya está encima.
Por Qué Esto Pertenece a Sus Libros, No Solo a Sus Archivos Legales
Los costos de cumplimiento como estos tienden a perderse entre departamentos — legal es dueño del registro, pero finanzas termina absorbiendo la tarifa, la prima del bono y cualquier exposición a sanciones sin una partida clara que los rastree. Tratar la tarifa de registro de Vermont, el costo del bono de caución y cualquier posible exposición a sanciones diarias como sus propias cuentas rastreadas — en lugar de enterrarlos en un cubo genérico de "honorarios legales y profesionales" — facilita mucho ver el costo real de un error de cumplimiento y presupuestar con precisión año tras año. Si su empresa termina registrándose como corredor de datos, esa tarifa de $900 y la prima del bono son costos recurrentes que vale la pena rastrear con la misma disciplina que aplicaría a una suscripción de software o una prima de seguro — no tratarlos como una declaración única que olvida hasta el próximo enero.
Mantenga Visibles Sus Costos de Cumplimiento
A medida que nuevas leyes estatales como la H.211 de Vermont convierten las asociaciones ordinarias de intercambio de datos en actividades reguladas, los registros financieros claros facilitan mucho el seguimiento de los costos de cumplimiento, la exposición a sanciones y las obligaciones con los proveedores, sin perder de vista lo que realmente le cuestan. Beancount.io ofrece contabilidad en texto plano que es transparente, controlada por versiones y fácil de auditar — sin cajas negras, sin bloqueo de proveedor. Comience gratis y vea por qué los desarrolladores y propietarios de negocios con conocimientos financieros están cambiando a la contabilidad en texto plano.