Página traducida y verificada automáticamente. Prevalece la versión en inglés. Algunas partes siguen en inglés mientras se verifica su traducción. Ver en inglés · Informar un error de traducción
Las leyes y lo que significan en la práctica
Leyes de privacidad, IA y ciberseguridad que influyen en el trabajo de confianza digital, desde el GDPR hasta cada ley estatal de privacidad de EE. UU. Cada entrada indica a quién se aplica, quién la hace cumplir y desde cuándo, en palabras sencillas y con las fuentes. Gratis para todos.
Unión Europea 1
Reino Unido 1
Federal de EE. UU. 1
Estados de EE. UU. 24
CCPA/CPRA
CaliforniaLa ley estatal de privacidad de EE. UU. más detallada y la única con un regulador de privacidad específico. Abarca los datos de empleados y los datos entre empresas, exige mecanismos de exclusión voluntaria de la venta y el intercambio, y tiene sus propias regulaciones sobre la toma de decisiones automatizada.
VCDPA
VirginiaEl modelo de la mayoría de las leyes estatales posteriores: derechos de los consumidores, exclusión voluntaria de la publicidad dirigida, la venta y la elaboración de perfiles, consentimiento previo para los datos sensibles y evaluaciones de protección de datos.
CPA
ColoradoLey al estilo de Virginia con normas detalladas del Fiscal General, incluida la obligación de respetar las señales universales de exclusión voluntaria.
CTDPA
ConnecticutLey al estilo de Virginia, modificada para ampliar su alcance y reforzar las normas sobre datos sensibles y menores.
UCPA
UtahUna de las leyes estatales más favorables a las empresas, con derechos más limitados y umbrales más altos.
TDPSA
TexasSin umbral de ingresos ni de volumen: alcanza a casi todas las empresas que no son pequeñas empresas, lo que la convierte en una de las leyes estatales más amplias en la práctica.
OCPA
OregónLey al estilo de Virginia que también otorga a los consumidores el derecho a conocer los terceros concretos a los que se comunicaron sus datos.
MCDPA
MontanaLey al estilo de Virginia con umbrales relativamente bajos, en consonancia con la población del estado.
FDBR
FloridaLimitada en cuanto a quién abarca, pero estricta con las grandes empresas tecnológicas a las que se dirige.
ICDPA
IowaUna ley más limitada al estilo de Virginia, con menos derechos para los consumidores.
DPDPA
DelawareLey al estilo de Virginia con umbrales bajos y cobertura de muchas organizaciones sin fines de lucro.
NHDPA
Nuevo HampshireLey al estilo de Virginia con umbrales adaptados a un estado pequeño.
NJDPA
Nueva JerseyLey al estilo de Virginia con definiciones amplias de datos sensibles y facultad reglamentaria de la Division of Consumer Affairs.
NDPA
NebraskaLey al estilo de Texas sin umbral de volumen, aplicable a la mayoría de las empresas que no son pequeñas empresas.
TIPA
TennesseeUmbrales altos y una defensa afirmativa para las empresas que siguen el NIST Privacy Framework.
MCDPA
MinnesotaAñade derechos de los que carecen otros estados, incluido el derecho a cuestionar el resultado de una decisión basada en la elaboración de perfiles y a ver la lista de terceros que recibieron los datos.
MODPA
MarylandLa ley estatal más estricta en materia de minimización de datos: la recopilación debe ser razonablemente necesaria para el servicio y la venta de datos sensibles está prohibida.
ICDPA
IndianaLey al estilo de Virginia, en vigor desde 2026.
KCDPA
KentuckyLey al estilo de Virginia, en vigor desde 2026.
RIDTPPA
Rhode IslandLey al estilo de Virginia con deberes inusuales de divulgación en el sitio web y sin periodo de subsanación.
OCDPA
OklahomaPromulgada en 2026 y aún no en vigor. En gran medida al estilo de Virginia, con sus propios umbrales y periodo de subsanación.
LDPA
LuisianaPromulgada en 2026 y aún no en vigor. En gran medida al estilo de Virginia, con sus propios umbrales y periodo de subsanación.
APDPA
AlabamaPromulgada en 2026 y aún no en vigor. En gran medida al estilo de Virginia, con sus propios umbrales y periodo de subsanación.
VDPOSA
VermontPromulgada en 2026 y aún no en vigor. En gran medida al estilo de Virginia, con sus propios umbrales y periodo de subsanación.
Resto del mundo 37
LPDP
ArgentinaUna de las primeras leyes con adecuación de la UE, basada en el consentimiento escrito, el registro de bases de datos y una acción judicial de habeas data, con plazos de respuesta muy cortos. No establece obligaciones de notificación de violaciones, de DPO ni de DPIA, y las multas siguen siendo bajas.
Privacy Act (AU)
AustraliaLey de privacidad de Australia, basada en los trece Principios de Privacidad Australianos, actualmente en un periodo de reforma.
LGPD
BrasilLey de Brasil inspirada en el GDPR, con diez bases legales y una autoridad nacional.
PIPEDA
CanadáLey federal de privacidad de Canadá para el sector privado, basada en diez principios de tratamiento leal de la información.
Law 25
Quebec, CanadáLa ley de privacidad más estricta de Canadá, con evaluaciones de impacto en la privacidad para las transferencias y multas de nivel GDPR.
Proyecto de ley C-36
CanadáEl proyecto de ley federal que sustituiría la parte de PIPEDA relativa al sector privado. Mantiene los topes de sanciones propuestos en C-27 (hasta CAD 10 millones o el 3% de los ingresos mundiales, y multas de hasta CAD 25 millones o el 5%), pero elimina la ley de IA y el tribunal. PIPEDA sigue en vigor hasta que se apruebe.
LPVP
ChileHasta diciembre de 2026, Chile aplica un régimen 1999 ligero que solo hacen cumplir los tribunales, con consentimiento escrito, un plazo de respuesta de dos días y multas mínimas. Luego, la Ley 21,719 introduce un régimen al estilo del GDPR con una nueva agencia, obligaciones en caso de violaciones y multas de hasta 20,000 UTM.
PIPL
ChinaLey integral de privacidad de China, con normas estrictas sobre el consentimiento y las transferencias transfronterizas.
Ley 1581
ColombiaTodo uso de datos personales requiere una autorización previa, expresa e informada que el responsable del tratamiento pueda demostrar, y todo responsable debe designar a una persona o un área de protección de datos. La SIC ejerce una aplicación activa, las empresas más grandes registran sus bases de datos en el RNBD y las violaciones se comunican a la SIC en un plazo de 15 días hábiles.
LOPDP
EcuadorLa copia más cercana del GDPR en la región, con interés legítimo, portabilidad, EIPD y DPO, además de multas basadas en la facturación de hasta 1%. Es más estricta en los plazos: 5 días para notificar al regulador y 3 días para notificar a las personas.
PDPL (Egipto)
EgiptoLey de protección de datos de Egipto. Los responsables y encargados del tratamiento necesitan una licencia del Centro de Protección de Datos Personales, y los delegados de protección de datos se registran ante él.
DPA (Ghana)
GhanaLey de protección de datos de Ghana. Los responsables del tratamiento se registran ante la Data Protection Commission y renuevan el registro cada dos años.
PDPO
Hong KongLa ley integral de privacidad más antigua de Asia, basada en seis principios de protección de datos, sin obligación de notificar violaciones ni restricciones a las transferencias en vigor. Sus herramientas más contundentes son los delitos penales por marketing directo sin consentimiento y por doxeo.
Ley DPDP
IndiaLey integral de privacidad de la India, centrada en el consentimiento, con obligaciones para los fiduciarios de datos significativos.
Ley PDP
IndonesiaEstructura similar a la del GDPR, pero con plazos muy cortos de 72 horas tanto para las solicitudes de los titulares de los datos como para los avisos de violaciones. El consentimiento debe ser escrito o grabado, y las penas de prisión de hasta 6 años coexisten con multas del 2% de los ingresos.
PPL
IsraelLa PPL es una ley basada en el consentimiento y centrada en las bases de datos, con normas de seguridad muy prescriptivas, incluida la notificación inmediata de los incidentes graves. La modificación 13 añadió definiciones al estilo del GDPR, obligaciones de DPO, multas administrativas por titular de los datos y daños legales, y limitó el registro de bases de datos a los corredores de datos y los organismos públicos.
APPI
JapónLey de privacidad de Japón, reconocida por la UE como adecuada.
DPA (Kenia)
KeniaLey de protección de datos de Kenia. Los responsables y encargados del tratamiento se registran ante el Data Commissioner. La designación de un delegado de protección de datos es opcional según la ley.
PDPA (Malasia)
MalasiaLey de protección de datos de Malasia, modificada en 2024. La designación de un delegado de protección de datos y el aviso de violaciones al Comisionado en un plazo de 72 horas se aplican desde el 1 de junio de 2025.
LFPDPPP
MéxicoEl consentimiento es la base predeterminada, el consentimiento tácito mediante un aviso de privacidad basta para la mayoría de los datos, y todo responsable del tratamiento debe designar a una persona o un departamento de protección de datos. La reforma de 2025 trasladó la aplicación del INAI independiente a un ministerio federal y eliminó las obligaciones ante el regulador de la ley anterior, aunque mantuvo las penas de prisión por delitos relacionados con los datos.
Privacy Act
Nueva ZelandaUna ley basada en principios con 14 IPP, responsables de privacidad obligatorios en cada organismo y notificación de violaciones que causan daños graves. Las multas son bajas; las vías de reparación pasan por el Comisionado y el Human Rights Review Tribunal.
NDPA (Nigeria)
NigeriaLey de protección de datos de Nigeria. Los responsables y encargados del tratamiento de gran importancia se registran ante la NDPC y designan un delegado de protección de datos, que debe mantener un desarrollo profesional anual.
LPDP
PerúEl Reglamento 2024 acercó a Perú al GDPR: alcance extraterritorial con un representante local, aviso de violaciones en 48 horas al regulador y a las personas, portabilidad y una obligación de DPO por fases. Mantiene el registro de bases de datos propio de Perú y la notificación de cada flujo transfronterizo.
DPA (Filipinas)
FilipinasLey de privacidad de datos de Filipinas. Las organizaciones designan un delegado de protección de datos, y las que alcanzan los umbrales se registran ante la National Privacy Commission.
PDPL (Arabia Saudita)
Arabia SauditaLey de protección de datos de Arabia Saudita, aplicada por SDAIA. Las normas establecen cuándo se requiere un delegado de protección de datos, y el registro y los avisos de violaciones se tramitan a través de la Plataforma Nacional de Gobernanza de Datos.
PDPA (SG)
SingapurLey de privacidad basada en el consentimiento, con notificación obligatoria de violaciones desde 2021.
POPIA
SudáfricaLey integral de privacidad de Sudáfrica, basada en ocho condiciones para el tratamiento lícito.
PIPA
Corea del SurCorea combina derechos al estilo del GDPR con normas de consentimiento inusualmente detalladas, elemento por elemento, y un director de privacidad obligatorio para cada responsable del tratamiento. La aplicación es severa: recargos basados en los ingresos que ahora llegan hasta el 10%, daños legales y sanciones penales.
nFADP
SuizaLey revisada de Suiza, estrechamente alineada con el GDPR, con multas dirigidas a las personas responsables.
DIFC DPL
Emiratos Árabes UnidosLa ley de protección de datos del Centro Financiero Internacional de Dubái, una zona franca financiera con sus propias leyes y tribunales. Sigue de cerca el GDPR y cuenta con su propio Comisionado de Protección de Datos.
PDPA
TailandiaEstrechamente basada en la GDPR, pero el consentimiento debe constar, por lo general, por escrito o en forma electrónica, y los menores de 20 años requieren la intervención de su tutor. La responsabilidad civil es objetiva y los tribunales pueden añadir daños punitivos de hasta el doble de la pérdida real.
KVKK
TurquíaLa KVKK está inspirada en el GDPR, pero mantiene un registro público de responsables del tratamiento (VERBIS) con inventarios de datos presentados, y exige notificar las violaciones a las personas en todos los casos. Desde 2024, las transferencias al extranjero se basan en la adecuación, en salvaguardas aprobadas por la Junta o en contratos tipo emitidos por la Junta, que deben presentarse en un plazo de cinco días hábiles.
DPPA (Uganda)
UgandaLey de protección de datos de Uganda. El titular de cada institución que abarca debe designar un delegado de protección de datos, y toda persona que recopile o trate datos personales se registra ante la Personal Data Protection Office.
PDPL (UAE)
Emiratos Árabes UnidosLa ley federal de protección de datos de los UAE. Está en vigor desde enero de 2022, pero aún no se ha emitido su reglamento ejecutivo, por lo que todavía no hay un plazo fijado para las violaciones ni un régimen de sanciones.
LPDP
UruguayLey con adecuación de la UE que combina el consentimiento documentado y el registro universal de bases de datos con añadidos al estilo del GDPR: aviso de violación en 72 horas y EIPD y DPO obligatorios para el tratamiento a gran escala o sensible. Las multas son bajas, pero los plazos de respuesta son de cinco días hábiles.
PDPL
VietnamLa primera ley de Vietnam sobre datos personales sustituye el Decreto 13 por un régimen basado ante todo en el consentimiento, en el que las evaluaciones de impacto y las evaluaciones de transferencias deben presentarse ante el Ministerio de Seguridad Pública. Las multas alcanzan el 5% de los ingresos por infracciones en materia de transferencias y 10 veces los ingresos por el comercio ilegal de datos.
CDPA (Zimbabue)
ZimbabueLey de protección de datos de Zimbabue, aplicada por POTRAZ. Los responsables del tratamiento necesitan una licencia, y los delegados de protección de datos deben designarse en un plazo de 90 días y completar un curso de certificación aprobado.
Esta biblioteca explica las leyes para profesionales. No constituye asesoramiento jurídico, y las leyes cambian: consulte las fuentes de cada página y busque el asesoramiento de un abogado antes de actuar.