Cumplimiento multi-jurisdicción: un sitio, muchas leyes

Para la mayoría de pymes la pregunta no es "qué ley" sino "qué leyes". Un sitio vendido en UE, UK, EE. UU. y Canadá dispara seis o siete marcos. Construir siete programas es imposible. El cumplimiento multi-jurisdicción consiste en hacer el trabajo correcto una vez y reportarlo bien a cada autoridad.

Resumen ley por ley

Unión Europea

• RGPD + ePrivacy: opt-in para trackers, base legal, derechos del titular, transparencia.
• EAA: WCAG 2.1 AA vía EN 301 549 desde 28 junio 2025. Excepción microempresa.
• DSA: transparencia, moderación, publicidad (sobre todo marketplaces).

Reino Unido

• UK GDPR + PECR: cercano al régimen UE, pero ya no idéntico. La Data (Use and Access) Act 2025 modificó PECR: desde el 5 de febrero de 2026 varias categorías de cookies de bajo riesgo quedan exentas de consentimiento, entre ellas la analítica agregada de origen propio, y el techo sancionador de PECR subió de 500.000 £ a 17,5 M£ o el 4 % de la facturación mundial. La ICO publica además una guía de cookies detallada.
• Equality Act 2010: deber anticipatorio de ajustes razonables. La ley no nombra ningún estándar técnico y ningún tribunal británico ha resuelto nunca sobre accesibilidad web: todas las demandas presentadas hasta ahora acabaron en acuerdo. Ninguna norma británica nombra una versión de WCAG; las PSBAR 2018, que obligan al sector público, remiten a la EN 301 549 en su versión vigente, y el Government Digital Service evalúa los sitios públicos frente a WCAG 2.2 AA desde octubre de 2024. Para los prestadores privados, WCAG 2.1 AA es la vara de medir práctica, no una exigencia judicial.

Estados Unidos

• ADA Title III: WCAG 2.1 AA de facto.
• Leyes estatales: CCPA/CPRA (CA), CPA (CO), VCDPA (VA), CTDPA (CT), TDPSA (TX), etc. Notificación, derechos, opt-out venta/compartir (GPC).
• FTC Section 5: marketing engañoso sobre privacidad/accesibilidad (caso accessiBe 2025).

Canadá

• PIPEDA (federal): consentimiento, divulgación.
• AODA (Ontario): WCAG 2.0 AA para 50+ empleados.
• Ley 25 (Quebec): más estricta, evaluaciones tipo EIPD.

Australia

• Privacy Act 1988: APP, en reforma hacia RGPD.
• Disability Discrimination Act: jurisprudencia cita WCAG 2.0/2.1 AA.

Pirámide de cumplimiento: solapamientos

• Accesibilidad: un solo programa en WCAG 2.1 AA sirve a EAA, ADA, UK Equality Act, AODA y DDA, pero por razones distintas en cada uno. La EAA nombra 2.1 AA vía EN 301 549; AODA fija un suelo legal de WCAG 2.0 AA, que 2.1 AA supera. La UK Equality Act y el ADA Title III no nombran ningún estándar técnico: allí 2.1 AA es prueba, no cumplimiento, la vara con la que se mediría una reclamación. Una única base técnica sigue siendo lo correcto. Solo no le digas a un abogado que 2.1 AA es lo que exige la Equality Act.
• Cookies/trackers: RGPD+ePrivacy es el régimen de consentimiento más estricto; cumplirlo cubre casi todo UK PECR y la LGPD brasileña. No cubre el derecho estatal de EE. UU., que funciona con otro modelo: doce estados exigen ya honrar la señal Global Privacy Control en el servidor, y California añade un Notice at Collection separado. Un banner de opt-in europeo no hace ninguna de las dos cosas. A la inversa tampoco: un banner conforme a CCPA suele incumplir el RGPD.
• Notas de privacidad: política RGPD es sobre-inclusiva. Anexos estatales (CA, Quebec) como add-on.
• Workflows de derechos: una entrada, ruteo por jurisdicción.
• Páginas obligatorias: privacidad, accesibilidad, cookies, aviso legal (DACH). Universal.

Playbook práctico

1. Estándar más estricto como base. WCAG 2.1 AA + nivel RGPD. Resto como overlay.
2. Un audit, varios informes. Cada hallazgo con cláusula local.
3. Localizar frontend, no backend. El banner se adapta por región; la lógica del tag manager queda.
4. Documentar jurisdicción. Una política con secciones regionales gana a seis políticas.
5. Monitoreo continuo. Superficie de regresión × 6.

La trampa de las herramientas mono-jurisdicción

Tres proveedores para tres jurisdicciones = tres informes incoherentes, tres SLA, sin backlog consolidado. Una herramienta multi-jurisdicción lo reduce a un único feed.

El enfoque Veracly

Veracly fue construido para esto. Un escaneo genera informes simultáneos para cinco marcos: EAA, RGPD y ePrivacy, ADA, UK Equality Act y AODA. Cada hallazgo mapeado a la cláusula relevante, con un solo backlog. Las leyes estatales de EE. UU. quedan deliberadamente fuera: no evaluamos CCPA ni CPRA, y el informe lo dice en lugar de insinuar una cobertura que no existe. Informes localizados: EAA en alemán para la autoridad, ADA en inglés para negociación US, RGPD en francés para la CNIL. Lanzar escaneo gratuito.

Ver también: auditoría cumplimiento web · EAA para pymes · auditoría ADA