Las leyes y lo que significan en la práctica

GDPR

Unión Europea

El punto de referencia mundial de la legislación de privacidad: bases jurídicas, principios, derechos, responsabilidad proactiva, aviso de violaciones en un plazo de 72 horas, normas de transferencia y multas de hasta el 4 por ciento del volumen de negocios mundial.

Ley de IA de la UE

Unión Europea

Regulación de la IA basada en el riesgo, con obligaciones asignadas por función: prácticas prohibidas, requisitos para alto riesgo, deberes de transparencia y normas para los modelos de uso general.

Directiva ePrivacy

Unión Europea

El origen de las normas de la UE sobre el consentimiento para cookies y el marketing electrónico, junto con el GDPR.

NIS2

Unión Europea

Gestión de riesgos de ciberseguridad, rendición de cuentas de la dirección y notificación de incidentes por etapas, empezando con una alerta temprana en un plazo de 24 horas.

DORA

Unión Europea

Gestión de riesgos de ICT, notificación de incidentes, pruebas de resiliencia y un registro de acuerdos con terceros de ICT para el sector financiero.

Data Act

Unión Europea

Derechos de los usuarios para acceder a los datos de los productos conectados y compartirlos, y normas que facilitan el cambio de proveedor de nube.

DSA

Unión Europea

Moderación de contenidos, transparencia, prohibición de anuncios dirigidos mediante datos sensibles o dirigidos a menores a partir de la elaboración de perfiles, y evaluaciones de riesgos para las plataformas de muy gran tamaño.

DMA

Unión Europea

Límites a la forma en que los guardianes de acceso combinan datos personales entre servicios sin consentimiento, entre otras normas de conducta.

CRA

Unión Europea

Requisitos de seguridad a lo largo de la vida de los productos de hardware y software, con obligaciones de gestión y notificación de vulnerabilidades.

DGA

Unión Europea

Normas para los intermediarios de datos neutrales y para la reutilización de datos protegidos del sector público.

EHDS

Unión Europea

Acceso y control de los pacientes sobre los datos sanitarios electrónicos en toda la UE, y un marco para el uso secundario de los datos sanitarios.

EU-US DPF

Unión Europea

Una decisión de adecuación que permite que los datos personales fluyan hacia empresas estadounidenses autocertificadas sin cláusulas contractuales tipo.

UK GDPR

Reino Unido

La versión del Reino Unido del GDPR tras el Brexit, que ahora diverge en algunos aspectos a raíz de la Data (Use and Access) Act 2025.

HIPAA

Federal de EE. UU.

Regula la información de salud protegida que conservan el sistema de salud y sus proveedores: usos y divulgaciones permitidos, derechos de los pacientes, salvaguardas de seguridad para los registros electrónicos y aviso de violaciones.

Sección 5 de la FTC Act

Federal de EE. UU.

La principal herramienta federal de aplicación en materia de privacidad: prácticas desleales o engañosas, incluidas las promesas de privacidad incumplidas y la seguridad no razonable.

GLBA

Federal de EE. UU.

Avisos de privacidad y exclusiones voluntarias para el intercambio de información financiera de los clientes, y un programa de seguridad de la información con salvaguardas específicas conforme a la Safeguards Rule.

COPPA

Federal de EE. UU.

Consentimiento parental verificable antes de recopilar información personal de menores de 13 años, con derechos de aviso, acceso y eliminación para los padres.

CAN-SPAM

Federal de EE. UU.

Encabezados y asuntos veraces, una dirección postal y una exclusión voluntaria respetada en un plazo de diez días hábiles. No se requiere consentimiento para enviar.

TCPA

Federal de EE. UU.

Normas de consentimiento para llamadas y mensajes de texto automatizados y pregrabados, el registro nacional de exclusión de llamadas (National Do Not Call Registry) y daños legales por llamada.

FCRA

Federal de EE. UU.

Exactitud, finalidad permitida y derechos de impugnación de los informes de consumidores, incluidas las verificaciones de antecedentes para el empleo.

FERPA

Federal de EE. UU.

Derechos de los padres y de los estudiantes elegibles sobre los expedientes educativos, y límites a su divulgación.

VPPA

Federal de EE. UU.

Limita la divulgación de los videos que una persona ha visto; ahora es un fundamento frecuente de demandas por píxeles de seguimiento en páginas de video.

GINA

Federal de EE. UU.

Prohíbe el uso de información genética en las decisiones de empleo y de seguros de salud.

Divulgación cibernética ante la SEC

Federal de EE. UU.

Divulgación de los incidentes de ciberseguridad importantes en un plazo de cuatro días hábiles desde que se determina su importancia, y divulgación anual de la gestión de riesgos y la gobernanza.

FTC HBNR

Federal de EE. UU.

Aviso de violaciones para aplicaciones de salud y servicios similares fuera de HIPAA, en el que el intercambio no autorizado cuenta como violación.

CCPA/CPRA

California

La ley estatal de privacidad de EE. UU. más detallada y la única con un regulador de privacidad específico. Abarca los datos de empleados y los datos entre empresas, exige mecanismos de exclusión voluntaria de la venta y el intercambio, y tiene sus propias regulaciones sobre la toma de decisiones automatizada.

VCDPA

Virginia

El modelo de la mayoría de las leyes estatales posteriores: derechos de los consumidores, exclusión voluntaria de la publicidad dirigida, la venta y la elaboración de perfiles, consentimiento previo para los datos sensibles y evaluaciones de protección de datos.

CPA

Colorado

Ley al estilo de Virginia con normas detalladas del Fiscal General, incluida la obligación de respetar las señales universales de exclusión voluntaria.

CTDPA

Connecticut

Ley al estilo de Virginia, modificada para ampliar su alcance y reforzar las normas sobre datos sensibles y menores.

UCPA

Utah

Una de las leyes estatales más favorables a las empresas, con derechos más limitados y umbrales más altos.

TDPSA

Texas

Sin umbral de ingresos ni de volumen: alcanza a casi todas las empresas que no son pequeñas empresas, lo que la convierte en una de las leyes estatales más amplias en la práctica.

OCPA

Oregón

Ley al estilo de Virginia que también otorga a los consumidores el derecho a conocer los terceros concretos a los que se comunicaron sus datos.

MCDPA

Montana

Ley al estilo de Virginia con umbrales relativamente bajos, en consonancia con la población del estado.

FDBR

Florida

Limitada en cuanto a quién abarca, pero estricta con las grandes empresas tecnológicas a las que se dirige.

ICDPA

Iowa

Una ley más limitada al estilo de Virginia, con menos derechos para los consumidores.

DPDPA

Delaware

Ley al estilo de Virginia con umbrales bajos y cobertura de muchas organizaciones sin fines de lucro.

NHDPA

Nuevo Hampshire

Ley al estilo de Virginia con umbrales adaptados a un estado pequeño.

NJDPA

Nueva Jersey

Ley al estilo de Virginia con definiciones amplias de datos sensibles y facultad reglamentaria de la Division of Consumer Affairs.

NDPA

Nebraska

Ley al estilo de Texas sin umbral de volumen, aplicable a la mayoría de las empresas que no son pequeñas empresas.

TIPA

Tennessee

Umbrales altos y una defensa afirmativa para las empresas que siguen el NIST Privacy Framework.

MCDPA

Minnesota

Añade derechos de los que carecen otros estados, incluido el derecho a cuestionar el resultado de una decisión basada en la elaboración de perfiles y a ver la lista de terceros que recibieron los datos.

MODPA

Maryland

La ley estatal más estricta en materia de minimización de datos: la recopilación debe ser razonablemente necesaria para el servicio y la venta de datos sensibles está prohibida.

ICDPA

Indiana

Ley al estilo de Virginia, en vigor desde 2026.

KCDPA

Kentucky

Ley al estilo de Virginia, en vigor desde 2026.

RIDTPPA

Rhode Island

Ley al estilo de Virginia con deberes inusuales de divulgación en el sitio web y sin periodo de subsanación.

OCDPA

Oklahoma

Promulgada en 2026 y aún no en vigor. En gran medida al estilo de Virginia, con sus propios umbrales y periodo de subsanación.

LDPA

Luisiana

Promulgada en 2026 y aún no en vigor. En gran medida al estilo de Virginia, con sus propios umbrales y periodo de subsanación.

APDPA

Alabama

Promulgada en 2026 y aún no en vigor. En gran medida al estilo de Virginia, con sus propios umbrales y periodo de subsanación.

VDPOSA

Vermont

Promulgada en 2026 y aún no en vigor. En gran medida al estilo de Virginia, con sus propios umbrales y periodo de subsanación.

BIPA

Illinois

Aviso por escrito y consentimiento antes de recopilar datos biométricos, un calendario público de conservación y un derecho de acción privada que ha dado lugar a algunos de los mayores acuerdos en materia de privacidad de EE. UU.

CUBI

Texas

Aviso y consentimiento antes de captar identificadores biométricos, límites a la venta y la divulgación, y destrucción en un plazo determinado. La aplica el Fiscal General, que ha obtenido acuerdos cuantiosos.

RCW 19.375

Washington

Aviso y consentimiento, o un mecanismo de exclusión voluntaria, antes de registrar identificadores biométricos con fines comerciales.

MHMDA

Washington

Una definición amplia de los datos de salud del consumidor, consentimientos separados para recopilar y para compartir, una autorización firmada para vender, límites a las geocercas cerca de centros de salud y un derecho de acción privada.

SB 370

Nevada

De enfoque similar a la ley de Washington, sin derecho de acción privada.

Delete Act

California

Permite a un residente de California pedir a todos los corredores de datos registrados que eliminen sus datos con una sola solicitud, que los corredores deben verificar y procesar según un calendario fijo.

Ley de corredores de datos de Vermont

Vermont

El primer registro estatal de corredores de datos, con requisitos de programa de seguridad y de divulgación.

Ley de corredores de datos de Texas

Texas

Registro, avisos en el sitio web y un programa de seguridad para los corredores de datos.

Registro de corredores de datos de Oregón

Oregón

Registro anual de los corredores de datos.

CA AADC

California

Exigiría configuraciones predeterminadas que protejan a los menores y evaluaciones para los servicios que probablemente usen menores. Su exigibilidad se está decidiendo en los tribunales.

Ley SAFE for Kids Act

Nueva York

Limita los feeds algorítmicos adictivos y las notificaciones nocturnas a menores sin el consentimiento de los padres.

SHIELD Act

Nueva York

Amplió la ley de notificación de violaciones de Nueva York y exige salvaguardas administrativas, técnicas y físicas razonables.

201 CMR 17.00

Massachusetts

Una de las primeras normas estatales de seguridad prescriptivas: un programa escrito de seguridad de la información, cifrado y supervisión de proveedores.

NYDFS Parte 500

Nueva York

Una regulación detallada sobre programas de ciberseguridad con certificación anual, informes de CISO, aviso de incidentes en un plazo de 72 horas y exposición a responsabilidad personal para los ejecutivos que certifican.

Ley de IA de Colorado

Colorado

La primera ley estatal amplia de EE. UU. sobre discriminación algorítmica, inspirada en parte en enfoques basados en el riesgo como la Ley de IA de la UE.

Todos los estados exigen notificar a los residentes afectados tras una violación de información personal. Los plazos, los avisos a los reguladores y lo que se considera información personal varían, por lo que una violación en varios estados implica aplicar varias leyes a la vez.

LPDP

Argentina

Una de las primeras leyes con adecuación de la UE, basada en el consentimiento escrito, el registro de bases de datos y una acción judicial de habeas data, con plazos de respuesta muy cortos. No establece obligaciones de notificación de violaciones, de DPO ni de DPIA, y las multas siguen siendo bajas.

Privacy Act (AU)

Australia

Ley de privacidad de Australia, basada en los trece Principios de Privacidad Australianos, actualmente en un periodo de reforma.

LGPD

Brasil

Ley de Brasil inspirada en el GDPR, con diez bases legales y una autoridad nacional.

PIPEDA

Canadá

Ley federal de privacidad de Canadá para el sector privado, basada en diez principios de tratamiento leal de la información.

Law 25

Quebec, Canadá

La ley de privacidad más estricta de Canadá, con evaluaciones de impacto en la privacidad para las transferencias y multas de nivel GDPR.

Proyecto de ley C-36

Canadá

El proyecto de ley federal que sustituiría la parte de PIPEDA relativa al sector privado. Mantiene los topes de sanciones propuestos en C-27 (hasta CAD 10 millones o el 3% de los ingresos mundiales, y multas de hasta CAD 25 millones o el 5%), pero elimina la ley de IA y el tribunal. PIPEDA sigue en vigor hasta que se apruebe.

LPVP

Chile

Hasta diciembre de 2026, Chile aplica un régimen 1999 ligero que solo hacen cumplir los tribunales, con consentimiento escrito, un plazo de respuesta de dos días y multas mínimas. Luego, la Ley 21,719 introduce un régimen al estilo del GDPR con una nueva agencia, obligaciones en caso de violaciones y multas de hasta 20,000 UTM.

PIPL

China

Ley integral de privacidad de China, con normas estrictas sobre el consentimiento y las transferencias transfronterizas.

Ley 1581

Colombia

Todo uso de datos personales requiere una autorización previa, expresa e informada que el responsable del tratamiento pueda demostrar, y todo responsable debe designar a una persona o un área de protección de datos. La SIC ejerce una aplicación activa, las empresas más grandes registran sus bases de datos en el RNBD y las violaciones se comunican a la SIC en un plazo de 15 días hábiles.

LOPDP

Ecuador

La copia más cercana del GDPR en la región, con interés legítimo, portabilidad, EIPD y DPO, además de multas basadas en la facturación de hasta 1%. Es más estricta en los plazos: 5 días para notificar al regulador y 3 días para notificar a las personas.

PDPL (Egipto)

Egipto

Ley de protección de datos de Egipto. Los responsables y encargados del tratamiento necesitan una licencia del Centro de Protección de Datos Personales, y los delegados de protección de datos se registran ante él.

DPA (Ghana)

Ghana

Ley de protección de datos de Ghana. Los responsables del tratamiento se registran ante la Data Protection Commission y renuevan el registro cada dos años.

PDPO

Hong Kong

La ley integral de privacidad más antigua de Asia, basada en seis principios de protección de datos, sin obligación de notificar violaciones ni restricciones a las transferencias en vigor. Sus herramientas más contundentes son los delitos penales por marketing directo sin consentimiento y por doxeo.

Ley DPDP

India

Ley integral de privacidad de la India, centrada en el consentimiento, con obligaciones para los fiduciarios de datos significativos.

Ley PDP

Indonesia

Estructura similar a la del GDPR, pero con plazos muy cortos de 72 horas tanto para las solicitudes de los titulares de los datos como para los avisos de violaciones. El consentimiento debe ser escrito o grabado, y las penas de prisión de hasta 6 años coexisten con multas del 2% de los ingresos.

PPL

Israel

La PPL es una ley basada en el consentimiento y centrada en las bases de datos, con normas de seguridad muy prescriptivas, incluida la notificación inmediata de los incidentes graves. La modificación 13 añadió definiciones al estilo del GDPR, obligaciones de DPO, multas administrativas por titular de los datos y daños legales, y limitó el registro de bases de datos a los corredores de datos y los organismos públicos.

APPI

Japón

Ley de privacidad de Japón, reconocida por la UE como adecuada.

DPA (Kenia)

Kenia

Ley de protección de datos de Kenia. Los responsables y encargados del tratamiento se registran ante el Data Commissioner. La designación de un delegado de protección de datos es opcional según la ley.

PDPA (Malasia)

Malasia

Ley de protección de datos de Malasia, modificada en 2024. La designación de un delegado de protección de datos y el aviso de violaciones al Comisionado en un plazo de 72 horas se aplican desde el 1 de junio de 2025.

LFPDPPP

México

El consentimiento es la base predeterminada, el consentimiento tácito mediante un aviso de privacidad basta para la mayoría de los datos, y todo responsable del tratamiento debe designar a una persona o un departamento de protección de datos. La reforma de 2025 trasladó la aplicación del INAI independiente a un ministerio federal y eliminó las obligaciones ante el regulador de la ley anterior, aunque mantuvo las penas de prisión por delitos relacionados con los datos.

Privacy Act

Nueva Zelanda

Una ley basada en principios con 14 IPP, responsables de privacidad obligatorios en cada organismo y notificación de violaciones que causan daños graves. Las multas son bajas; las vías de reparación pasan por el Comisionado y el Human Rights Review Tribunal.

NDPA (Nigeria)

Nigeria

Ley de protección de datos de Nigeria. Los responsables y encargados del tratamiento de gran importancia se registran ante la NDPC y designan un delegado de protección de datos, que debe mantener un desarrollo profesional anual.

LPDP

Perú

El Reglamento 2024 acercó a Perú al GDPR: alcance extraterritorial con un representante local, aviso de violaciones en 48 horas al regulador y a las personas, portabilidad y una obligación de DPO por fases. Mantiene el registro de bases de datos propio de Perú y la notificación de cada flujo transfronterizo.

DPA (Filipinas)

Filipinas

Ley de privacidad de datos de Filipinas. Las organizaciones designan un delegado de protección de datos, y las que alcanzan los umbrales se registran ante la National Privacy Commission.

PDPL (Arabia Saudita)

Arabia Saudita

Ley de protección de datos de Arabia Saudita, aplicada por SDAIA. Las normas establecen cuándo se requiere un delegado de protección de datos, y el registro y los avisos de violaciones se tramitan a través de la Plataforma Nacional de Gobernanza de Datos.

PDPA (SG)

Singapur

Ley de privacidad basada en el consentimiento, con notificación obligatoria de violaciones desde 2021.

POPIA

Sudáfrica

Ley integral de privacidad de Sudáfrica, basada en ocho condiciones para el tratamiento lícito.

PIPA

Corea del Sur

Corea combina derechos al estilo del GDPR con normas de consentimiento inusualmente detalladas, elemento por elemento, y un director de privacidad obligatorio para cada responsable del tratamiento. La aplicación es severa: recargos basados en los ingresos que ahora llegan hasta el 10%, daños legales y sanciones penales.

nFADP

Suiza

Ley revisada de Suiza, estrechamente alineada con el GDPR, con multas dirigidas a las personas responsables.

DIFC DPL

Emiratos Árabes Unidos

La ley de protección de datos del Centro Financiero Internacional de Dubái, una zona franca financiera con sus propias leyes y tribunales. Sigue de cerca el GDPR y cuenta con su propio Comisionado de Protección de Datos.

PDPA

Tailandia

Estrechamente basada en la GDPR, pero el consentimiento debe constar, por lo general, por escrito o en forma electrónica, y los menores de 20 años requieren la intervención de su tutor. La responsabilidad civil es objetiva y los tribunales pueden añadir daños punitivos de hasta el doble de la pérdida real.

KVKK

Turquía

La KVKK está inspirada en el GDPR, pero mantiene un registro público de responsables del tratamiento (VERBIS) con inventarios de datos presentados, y exige notificar las violaciones a las personas en todos los casos. Desde 2024, las transferencias al extranjero se basan en la adecuación, en salvaguardas aprobadas por la Junta o en contratos tipo emitidos por la Junta, que deben presentarse en un plazo de cinco días hábiles.

DPPA (Uganda)

Uganda

Ley de protección de datos de Uganda. El titular de cada institución que abarca debe designar un delegado de protección de datos, y toda persona que recopile o trate datos personales se registra ante la Personal Data Protection Office.

PDPL (UAE)

Emiratos Árabes Unidos

La ley federal de protección de datos de los UAE. Está en vigor desde enero de 2022, pero aún no se ha emitido su reglamento ejecutivo, por lo que todavía no hay un plazo fijado para las violaciones ni un régimen de sanciones.

LPDP

Uruguay

Ley con adecuación de la UE que combina el consentimiento documentado y el registro universal de bases de datos con añadidos al estilo del GDPR: aviso de violación en 72 horas y EIPD y DPO obligatorios para el tratamiento a gran escala o sensible. Las multas son bajas, pero los plazos de respuesta son de cinco días hábiles.

PDPL

Vietnam

La primera ley de Vietnam sobre datos personales sustituye el Decreto 13 por un régimen basado ante todo en el consentimiento, en el que las evaluaciones de impacto y las evaluaciones de transferencias deben presentarse ante el Ministerio de Seguridad Pública. Las multas alcanzan el 5% de los ingresos por infracciones en materia de transferencias y 10 veces los ingresos por el comercio ilegal de datos.

CDPA (Zimbabue)

Zimbabue

Ley de protección de datos de Zimbabue, aplicada por POTRAZ. Los responsables del tratamiento necesitan una licencia, y los delegados de protección de datos deben designarse en un plazo de 90 días y completar un curso de certificación aprobado.