Las leyes de privacidad de datos existen en todo el mundo, en casi todos los continentes.
En esta guía sobre leyes y normativas de privacidad de datos para 2026, le explico las leyes vigentes en cada región y le indico a qué empresas afectan, qué derechos otorgan a los consumidores y cuáles son las sanciones por infringirlas.
- Lo que hay que saber sobre las leyes de privacidad en 2026
- ¿Qué leyes estadounidenses sobre privacidad de datos podrían afectarle en 2026?
- Leyes europeas de protección de datos que podrían afectarle en 2026
- ¿Qué leyes de privacidad de datos existen en 2026 en otras partes del mundo?
- ¿Cómo cumplir con las leyes de privacidad en 2026?
- ¿Cuáles son los requisitos de la política de privacidad para 2026?
- ¿Cómo pueden las empresas gestionar el consentimiento de los usuarios de conformidad con las leyes de privacidad de 2026?
- ¿Cómo pueden las empresas gestionar los derechos de privacidad de los consumidores en 2026?
- ¿Cuáles son las sanciones por incumplir las leyes de privacidad de datos?
- ¿Cómo ayuda Termly simplificar el cumplimiento de las leyes de privacidad?
Lo que hay que saber sobre las leyes de privacidad en 2026
En 2026, existen leyes de privacidad en unos 144 países de todo el mundo.
Si opera en línea, es muy probable que su negocio esté sujeto a al menos una ley de privacidad.
Deberá preparar su sitio web, aplicaciones u otras plataformas digitales para cumplir con las directrices de todas las leyes aplicables y garantizar que sus usuarios puedan ejercer adecuadamente sus derechos de privacidad.
Aquí tienes una breve lista de lo que tu empresa podría necesitar legalmente:
- Política de privacidad completa
- política de cookies actualizada
- consentimiento de cookies correctamente configurado
- gestión del consentimiento con acceso a un centro de preferencias.
- Proceso o flujo de trabajo DSAR
Sigue leyendo para obtener más información sobre las leyes de privacidad vigentes en 2026 y descubre si te afectan y de qué manera.
¿Qué leyes estadounidenses sobre privacidad de datos podrían afectarle en 2026?
A fecha de 2026, Estados Unidos aún no cuenta con una ley federal integral de protección de la privacidad de los datos de los consumidores.
Sin embargo, existen leyes estatales de privacidad que protegen gran parte del país.
A nivel federal, existen leyes de privacidad que protegen a los niños, la salud y la información confidencial, así como los datos financieros.
Termly a su disposición varios recursos en nuestro sitio web para ayudarle a mantenerse al día fácilmente con el cambiante panorama legal, como nuestro mapa de seguimiento de las leyes de privacidad de datos de los estados de EE. UU.
¿Cuáles son las diferentes leyes de privacidad a nivel estatal en EE. UU. a partir de 2026?
En la actualidad, alrededor de 20 estados de EE. UU. han aprobado una ley integral sobre la privacidad de los datos de los consumidores y todas ellas están en vigor.
Esto significa que son exigibles y deben cumplirse si se aplican a su negocio, o se arriesga a:
Las leyes estatales de privacidad de EE. UU. que están actualmente en vigor incluyen:
Ley de Privacidad del Consumidor de California (CCPA)
La Ley de Privacidad del Consumidor de California (CCPA) entró en vigor el 1 de enero de 2020.
Fue modificada por la Ley de Derechos de Privacidad de California (CPRA), que entró en vigor el 1 de enero de 2023.
A quién se aplica:
La CCPA se aplica a cualquier entidad con fines de lucro que opere en California y que cumpla con cualquiera de los siguientes requisitos:
- Tiene unos ingresos brutos anuales superiores a 25 000 000 $.
- Compra, vende o comparte la información personal de 100 000 o más residentes o hogares de California, o
- Obtenga el 50 % o más de sus ingresos anuales de la venta de información personal de residentes de California.
Derechos del consumidor:
En virtud de la CCPA modificada, los consumidores tienen derecho a ser informados antes o en el momento de la recopilación de datos sobre los tipos de datos que recopila una empresa y el uso que puede darles.
También tienen derecho a solicitar lo siguiente:
- Conozca la información que las empresas recopilan sobre usted, incluidas las categorías/datos personales que recopilan sobre usted, las categorías de las fuentes de la información, las categorías de terceros a los que se divulga la información, las categorías de información que usted vende o comparte con terceros, hasta dos veces por año natural de forma gratuita.
- Eliminar la información que tienen sobre usted e informar a todos sus proveedores de servicios para que también lo hagan, con algunas excepciones, como cuando se trata de evitar que se venda la información del consumidor y el cumplimiento de las leyes.
- Corregir la información que una empresa ha recopilado sobre usted.
- Excluirse de la venta o el intercambio de su información personal con terceros, incluso a través de controles de privacidad globales habilitados por el usuario, que se configuran mediante herramientas como GPC.
- Limitar el uso y la divulgación de información personal sensible, que incluye datos específicos, como números de la seguridad social, datos financieros, geolocalización precisa y datos genéticos.
- Obtener una copia portátil de sus datos.
La CCPA también concede a los consumidores el derecho a no ser discriminados por ejercer cualquiera de sus derechos de privacidad.
Sanciones por incumplimiento:
Las infracciones graves o repetidas en virtud de la CCPA pueden acarrear una multa de hasta 7500 dólares por incidente; las infracciones menos graves pueden alcanzar hasta 2500 dólares por incidente.
Los consumidores también pueden demandar por daños y perjuicios legales de entre 100 y 750 dólares por incidente por infracciones relacionadas con su información personal sin cifrar o sin editar, o pueden demandar por el importe real de los daños económicos sufridos por la infracción, cuando se cumplan determinadas condiciones.
Ley de Privacidad de Colorado (CPA)
Fecha de entrada en vigor:
La Ley de Privacidad de Colorado (CPA) entró en vigor el 1 de julio de 2023.
A quién se aplica:
Esta ley se aplica a las entidades que operan en Colorado o que se dirigen a los residentes del estado y que cumplen cualquiera de los siguientes requisitos:
- Controla o procesa los datos personales de más de 100 000 consumidores al año, o
- Obtiene ingresos o descuentos por la venta de datos personales y controla o procesa los datos de más de 25 000 consumidores al año.
Sanciones por incumplimiento:
El CPA es considerado una práctica comercial engañosa por el Fiscal General, y las multas pueden alcanzar hasta 20 000 dólares por infracción.
Derechos del consumidor:
En virtud de esta ley, los consumidores tienen los siguientes derechos:
- Solicitud para acceder a todos los datos personales que una entidad ha recopilado sobre ellos.
- Solicitud de eliminación de los datos personales.
- Solicitud para corregir inexactitudes en los datos recopilados sobre ellos.
- Obtener una copia portátil de sus datos previa solicitud, cuando sea técnicamente viable.
- Excluirse de la publicidad dirigida, la venta de datos y la elaboración de perfiles.
Ley de Privacidad de Datos de Connecticut (CTDPA)
La Ley de Privacidad de Datos de Connecticut (CTDPA) entró en vigor el1 de julio de 2023.
A quién se aplica:
La CTDPA se aplica a las entidades que operan en Connecticut o que se dirigen a los residentes del estado y que cumplen cualquiera de los siguientes requisitos en un año natural:
- Procesa los datos personales de más de 35 000 consumidores (excluyendo los datos utilizados exclusivamente para completar una transacción de pago).
- Procesa datos confidenciales de los consumidores (excluyendo los datos utilizados exclusivamente para completar una transacción de pago), o
- Ofrecer los datos personales de los consumidores para su venta en el comercio.
Sanciones por incumplimiento:
Las multas por infringir la CTDPA pueden alcanzar hasta 5000 dólares por cada infracción deliberada, y la ley es aplicada por el Fiscal General.
Derechos del consumidor:
En virtud de esta ley, los consumidores tienen los siguientes derechos sobre su información personal:
- Confirmar si una entidad está recopilando datos sobre ellos.
- Acceder a esos datos personales,
- Solicitud para corregir inexactitudes en los datos recopilados sobre ellos,
- Solicitud de eliminación de los datos recopilados sobre ellos,
- Obtener una copia portátil de sus datos,
- Exclusión voluntaria de la venta de datos, la publicidad dirigida y determinados perfiles.
- Obtener una lista de terceros a los que se vendieron datos.
- Cuestionar los resultados del perfilado, ser informado del motivo por el que el perfilado dio lugar a la decisión, revisar los datos del consumidor utilizados en el perfilado y, si la decisión de perfilado se refería a la vivienda, solicitar que se corrijan los datos y se reevalúe la decisión de perfilado basándose en los datos corregidos.
También se requiere el consentimiento de los consumidores antes de que una entidad pueda procesar su información personal sensible, que es una categoría especial de datos que incluye detalles más vulnerables sobre las personas.
Ley de Delaware sobre Protección de Datos Personales (DPDPA)
La Ley de Privacidad de Datos Personales de Delaware (DPDPA) entró en vigor el 1 de enero de 2025.
A quién se aplica:
La DPDPA se aplica a las entidades que operan en Delaware o que se dirigen a residentes de los estados que cumplen cualquiera de los siguientes requisitos durante el año anterior:
- Controla o procesa los datos personales de más de 35 000 consumidores, excluyendo los procesos de datos destinados exclusivamente a completar una transacción de pago, o
- Controla o procesa los datos personales de más de 10 000 consumidores y obtiene el 20 % o más de sus ingresos brutos anuales de la venta de datos personales.
Sanciones por incumplimiento:
El incumplimiento de la DPDPA puede acarrear multas de hasta 10 000 dólares por incidente, y la ley es aplicada exclusivamente por el Fiscal General del estado.
Derechos del consumidor:
Los consumidores protegidos por la DPDPA tienen los siguientes derechos:
- Confirmar si una entidad está recopilando datos sobre ellos.
- Acceder a los datos que se recopilan sobre ellos,
- Pedir a una empresa que corrija las inexactitudes en los datos recopilados sobre ella.
- Solicitar a una empresa que elimine los datos recopilados sobre ellos.
- Obtener una copia portátil de sus datos.
- Optar por no vender sus datos personales ni que estos se utilicen para publicidad dirigida y elaboración de perfiles.
- Obtenga una lista de las categorías de terceros a los que se han revelado los datos.
Carta Digital de Derechos de Florida (FDBR)
La Carta de Derechos Digitales de Florida (FDBR) entró en vigor el 1 de julio de 2024.
A quién se aplica:
Esta carta de derechos digitales se aplica a las empresas que obtienen más de 1000 millones de dólares en ingresos brutos anuales a nivel mundial y cumplen uno de los siguientes umbrales:
- Deriva el 50 % o más de la venta de anuncios en línea.
- Opera servicios de comando de voz.
- Tiendas de aplicaciones con al menos 250 000 aplicaciones de software.
Sanciones por incumplimiento:
Quienes incumplan la FDBR podrían enfrentarse a sanciones significativas de 50 000 dólares por infracción, una cantidad que aumenta en función de la gravedad de la infracción.
La ley es aplicada por el Fiscal General.
Derechos del consumidor:
Esta ley otorga a los consumidores de Florida los siguientes derechos sobre su información personal:
- Confirmación de la recopilación de datos,
- Acceso a los datos,
- Corregir las inexactitudes en los datos.
- Solicitud de eliminación de sus datos,
- Obtener una copia portátil de sus datos,
- Excluirse de la venta de sus datos, la publicidad dirigida, la elaboración de perfiles, la recopilación de datos sensibles, el tratamiento de datos sensibles y la recopilación de datos obtenidos mediante el funcionamiento de una función de reconocimiento de voz o facial.
Ley de Protección de Datos del Consumidor de Indiana (ICDPA)
La Ley de Protección de Datos del Consumidor de Indiana (ICDPA) entró en vigor el 1 de enero de 2026.
A quién se aplica:
La ICDPA se aplica a cualquier empresa de Indiana o a aquellas que se dirigen a residentes del estado que cumplan los siguientes criterios:
- Controla o procesa los datos personales de más de 100 000 consumidores, o
- Controla o procesa los datos personales de más de 25 000 consumidores y obtiene más del 50 % de sus ingresos brutos anuales de la venta de dichos datos.
Sanciones por incumplimiento:
El incumplimiento de la ley de privacidad de datos de Indiana puede acarrear multas de hasta 7500 dólares por infracción, y la ley es aplicada por el Fiscal General del estado.
Derechos del consumidor:
Los consumidores protegidos por la ICDPA tienen los siguientes derechos sobre su información personal:
- Confirmación de la recopilación de datos,
- Derecho a acceder a sus datos personales,
- Derecho a corregir inexactitudes en sus datos,
- Derecho a solicitar la eliminación de sus datos.
- Solicitud de acceso a una copia portátil de sus datos,
- Exclusión voluntaria de la venta de sus datos, la publicidad dirigida y la elaboración de perfiles.
En virtud de esta ley, se requiere el consentimiento expreso del consumidor antes de que una empresa pueda recopilar su información personal confidencial, que incluye datos personales más vulnerables.
Ley de Protección de Datos del Consumidor de Iowa (ICDPA)
La Ley de Protección de Datos del Consumidor de Iowa (ICDPA) entró en vigor el 1 de enero de 2025.
A quién se aplica:
La ley de privacidad de Iowa se aplica a cualquier empresa del estado o que se dirija a los residentes del estado y cumpla una de las siguientes directrices dentro de un año natural:
- Controla o procesa los datos personales de más de 100 000 consumidores, o
- Controla o procesa los datos personales de al menos 25 000 consumidores y genera más del 50 % de sus ingresos brutos anuales a partir de la venta de datos.
Sanciones por incumplimiento:
Las sanciones por incumplimiento de la ICDPA incluyen multas potenciales de hasta 7500 dólares por infracción.
Esta ley es aplicada por el Fiscal General del estado.
Derechos del consumidor:
En virtud de la ley de privacidad de datos de los consumidores de Iowa, los usuarios tienen los siguientes derechos sobre su información personal:
- Confirmar si una entidad está procesando sus datos.
- Acceder a los datos que una entidad está procesando sobre ellos,
- Solicitar que se eliminen sus datos.
- Obtener una copia portátil de sus datos.
- Optar por no participar en la venta de sus datos, la publicidad dirigida y la recopilación y el tratamiento de datos personales sensibles.
Ley de Protección de Datos de los Consumidores de Kentucky (KCDPA)
La Ley de Protección de Datos del Consumidor de Kentucky (KCDPA) entró en vigor el 1 de enero de 2026.
A quién se aplica:
Esta ley se aplica a cualquier entidad que realice actividades comerciales en Kentucky o se dirija a los residentes del estado y cumpla con las siguientes directrices:
- Procesa y controla los datos personales de al menos 100 000 consumidores o
- Procesa y controla los datos personales de al menos 25.000 consumidores y obtiene el 50% de los ingresos brutos anuales de la venta de datos personales.
Sanciones por incumplimiento:
Las sanciones por infringir la KCDPA incluyen multas de hasta 7500 dólares por incidente. Esta ley es aplicada por el Fiscal General del estado.
Derechos del consumidor:
En virtud de la nueva ley de privacidad de datos de Kentucky, los consumidores tienen los siguientes derechos:
- Confirmar si un controlador está procesando sus datos personales.
- Acceder a los datos personales recopilados sobre ellos,
- Corregir inexactitudes en sus datos personales,
- Eliminar sus datos personales,
- Obtener una copia portátil de sus datos cuando sea técnicamente viable.
- Excluirse de la publicidad dirigida, la venta de datos personales y la elaboración de perfiles.
Ley de Protección de Datos en Línea de Maryland (MODPA)
La Ley de Protección de Datos en Línea de Maryland (MODPA) entró en vigor el 1 de octubre de 2025.
A quién se aplica:
Las entidades están sujetas a la MODPA si realizan actividades comerciales en el estado o se dirigen a residentes del estado y cumplen cualquiera de los siguientes requisitos en un año natural:
- Controla o procesa los datos personales de al menos 35 000 consumidores, excluidas las transacciones de pago, o
- Controla o procesa los datos personales de al menos 10 000 consumidores y obtiene más del 20 % de sus ingresos brutos anuales de la venta de dichos datos.
La MODPA no tiene un umbral monetario, por lo que puede afectar a empresas de cualquier tamaño.
Sanciones por incumplimiento:
Las multas por infringir la MODPA pueden alcanzar hasta 10 000 dólares por incidente.
Es aplicada por el Fiscal General del estado.
Derechos del consumidor:
Los consumidores de Maryland tienen los siguientes derechos en virtud de esta ley de privacidad de datos:
- Confirmar si un controlador está procesando sus datos.
- Acceder a los datos
- Corregir las inexactitudes en los datos.
- Solicitar un controlador para eliminar los datos.
- Obtener una copia portátil de sus datos personales.
- Obtener una lista de los terceros a los que se divulgan sus datos.
- Excluirse del tratamiento de datos para publicidad dirigida, la venta de sus datos y determinados tipos de elaboración de perfiles.
Ley de Privacidad de Datos del Consumidor de Minnesota (MCDPA): entrará en vigor el 31 de julio de 2025.
La Ley de Privacidad de los Datos de los Consumidores de Minnesota (MCDPA) entró en vigor el 31 de julio de 2025.
A quién se aplica:
Las empresas entran en el ámbito de aplicación de la MCDPA si operan en Minnesota o se dirigen a los residentes del estado y cumplen cualquiera de los siguientes requisitos:
- Controla o procesa los datos personales de 100 000 consumidores durante un año natural, excluyendo los datos procesados únicamente para completar una transacción de pago, o
- Obtiene más del 25% de sus ingresos brutos de la venta de datos personales y procesa o controla los datos de 25.000 consumidores o más.
Sanciones por incumplimiento:
Violar la MCDPA puede costarle hasta 7500 dólares por incidente. El fiscal general del estado se encarga de hacer cumplir la ley.
Derechos del consumidor:
La MCDPA afecta a los consumidores al concederles los siguientes derechos sobre sus datos personales:
Según la ley de privacidad de Minnesota, los consumidores tienen los siguientes derechos:
- Confirmar si un controlador está procesando sus datos personales.
- Acceder a las categorías de datos personales que se están tratando,
- Corregir inexactitudes en sus datos personales,
- Eliminar susdatos personales,
- Obtener una copia portátil de los datos personales recopilados sobre ellos.
- Excluirse del tratamiento con fines de publicidad dirigida, la venta de sus datos personales y la elaboración de perfiles para la toma de decisiones automatizadas que produzcan efectos jurídicos.
- Obtener una lista de los terceros a los que un responsable del tratamiento ha revelado su información personal.
- Cuestionar los resultados del perfilado, ser informado de la razón por la que el perfilado dio lugar a la decisión, ser informado de las medidas que el consumidor podría haber tomado para obtener una decisión diferente y de las medidas que el consumidor podría tomar para obtener una decisión diferente en el futuro, revisar los datos del consumidor utilizados en el perfilado y hacer que se corrijan los datos y se reevalúe la decisión de perfilado basándose en los datos corregidos.
Ley de Protección de Datos de los Consumidores de Montana (MCDPA)
La Ley de Privacidad de Datos del Consumidor de Montana (MCDPA) entró en vigor el 1 de octubre de 2024.
A quién se aplica:
A partir del 1 de octubre de 2025, la MCDPA se aplica a cualquier entidad que realice actividades comerciales en el estado o se dirija a los residentes de Montana y que:
- Controla o procesa los datos personales de al menos 25 000 consumidores, o
- Controla o procesa los datos personales de al menos 15 000 consumidores y obtiene más del 25 % de sus ingresos brutos anuales de la venta de datos personales.
Sanciones por incumplimiento:
Las multas por infringir la ley de privacidad de datos de Montana pueden alcanzar hasta 7500 dólares por incidente.
Las investigaciones y sanciones son llevadas a cabo por el Fiscal General del Estado.
Derechos del consumidor:
En virtud de esta ley, los consumidores de Montana tienen los siguientes derechos:
- Confirmar si un controlador está procesando sus datos personales.
- Acceda a esos datos.
- Corregir las inexactitudes en los datos.
- Eliminar los datos personales sobre sí mismos,
- Obtener una copia portátil de sus datos personales.
- Exclusión voluntaria del tratamiento de datos personales con fines publicitarios específicos, la venta de datos personales o la elaboración de perfiles.
Ley de Protección de Datos de Nebraska (NDPA)
La Ley de Privacidad de Datos de Nebraska (NDPA) entró en vigor el 1 de enero de 2025.
A quién se aplica:
Esta ley se aplica a las entidades que realizan actividades comerciales en Nebraska o que se dirigen a los residentes del estado y:
- Procesa o participa en la venta de datos personales y
- No es una pequeña empresa según lo establecido en la Ley federal de la Pequeña Empresa (Small Business Act)
La otra ley con un umbral similar es la Ley de Privacidad y Seguridad de Datos de Texas (TDPSA).
Sanciones por incumplimiento:
El incumplimiento de la Ley de Privacidad de Datos de Nebraska puede acarrear multas de hasta 7500 dólares por incidente.
Derechos del consumidor:
En virtud de esta ley, los consumidores de Nebraska tienen los siguientes derechos:
- Confirmar si un controlador está procesando datos sobre ellos.
- Acceda a esos datos.
- Corregir inexactitudes en sus datos
- Eliminar los datos proporcionados por ellos u obtenidos sobre ellos.
- Obtener una copia portátil de sus datos.
- Exclusión voluntaria de la publicidad dirigida, la venta de sus datos y la elaboración de perfiles.
Ley de Privacidad de Datos de New Hampshire (NHDPA)
La Ley de Privacidad de Datos de New Hampshire (NHDPA) entró en vigor el 1 de enero de 2025.
A quién se aplica:
Debe cumplir con la ley de privacidad de New Hampshire si realiza actividades comerciales en el estado o se dirige a residentes del estado y cumple cualquiera de los siguientes requisitos:
- Controla o procesa los datos personales de al menos 35 000 consumidores únicos, excluyendo los datos procesados únicamente para completar una transacción de pago.
- Controla o procesa los datos personales de no menos de 10.000 consumidores únicos y obtiene más del 25% de sus ingresos brutos anuales de la venta de datos personales.
Sanciones por incumplimiento:
El incumplimiento de la ley de privacidad de datos de New Hampshire puede acarrear multas elevadas de hasta 10 000 dólares por incidente.
Esta ley es aplicada por el Fiscal General del estado y se considera un método desleal de competencia o un acto o práctica engañosa.
Derechos del consumidor:
Los consumidores de New Hampshire tienen los siguientes derechos en virtud de esta ley estatal de privacidad:
- Confirmar si un controlador está procesando sus datos personales.
- Acceder a la información que el responsable del tratamiento procesa sobre ellos (a menos que el acceso a ella revele un secreto comercial).
- Corregir las inexactitudes en su información.
- Eliminar los datos proporcionados por ellos u obtenidos sobre ellos.
- Obtener una copia portátil de sus datos,
- Excluirse del tratamiento de datos personales para publicidad dirigida, la venta de sus datos personales y la elaboración de perfiles.
Ley de Protección de Datos de Nueva Jersey (NJDPA)
La Ley de Privacidad de Datos de Nueva Jersey (NJDPA) entró en vigor el 15 de enero de 2025.
A quién se aplica:
La NJDPA se aplica a cualquier entidad que realice actividades comerciales en el estado o que se dirija a los residentes del estado y cumpla cualquiera de los siguientes requisitos en un año natural:
- Controla o procesa los datos personales de 100 000 personas, excluyendo los datos procesados únicamente con el fin de completar transacciones de pago.
- Controla o procesa los datos personales de al menos 25.000 personas y obtiene ingresos o recibe un descuento por la venta de la información.
Sanciones por incumplimiento:
Las multas por infringir la NJDPA pueden ascender hasta 10 000 dólares por las primeras infracciones y hasta 20 000 dólares por las reincidencias.
Esta ley es aplicada por el Fiscal General del estado.
Derechos del consumidor:
En virtud de esta ley, los consumidores de Nueva Jersey tienen los siguientes derechos:
- Confirme si un controlador está recopilando sus datos.
- Acceder a los datos personales recopilados sobre ellos.
- Corregir inexactitudes en sus datos personales.
- Eliminar sus datos personales.
- Obtener una copia portátil de sus datos personales.
- Excluir el procesamiento de sus datos para publicidad dirigida, la venta de su información y la elaboración de perfiles.
- No discriminación por ejercer sus derechos de privacidad.
Ley de Privacidad del Consumidor de Oregón (OCPA)
La Ley de Privacidad del Consumidor de Oregón (OCPA) entró en vigor el 1 de julio de 2024.
A quién se aplica:
Debe cumplir con la OCPA si realiza actividades comerciales en Oregón o se dirige a residentes del estado y cumple cualquiera de los dos umbrales en un año natural:
- Controla o procesa datos personales de 100 000 o más consumidores, excluyendo los datos controlados o procesados únicamente para completar transacciones de pago, o
- Controla o procesa datos personales de 25 000 o más consumidores, al tiempo que obtiene el 25 % o más de sus ingresos brutos anuales de la venta de datos personales.
Sanciones por incumplimiento:
Las multas por infringir la ley de privacidad de Oregón pueden alcanzar hasta 7500 dólares por incidente.
Es aplicada por el Fiscal General del estado.
Derechos del consumidor:
Los consumidores tienen los siguientes derechos en virtud de esta ley de privacidad:
- Confirmar si un controlador ha procesado información personal sobre ellos.
- Acceder a las categorías de procesos de datos sobre ellos,
- Obtenga una lista de los terceros específicos con los que se comparten los datos.
- Obtenga una copia portátil de todos los datos personales que se están procesando.
- Corregir inexactitudes en sus datos personales.
- Exigir al responsable del tratamiento que elimine sus datos personales, incluidos los datos que el consumidor haya facilitado al responsable del tratamiento y los datos obtenidos de otra fuente.
- Optar por no recibir publicidad personalizada, la venta de sus datos o la elaboración de perfiles.
Ley de Transparencia de Datos y Protección de la Intimidad de Rhode Island (RIDTPPA)
La Ley de Transparencia de Datos y Protección de la Privacidad de Rhode Island (RIDTPPA) entró en vigor el 1 de enero de 2026.
A quién se aplica:
Las entidades con fines lucrativos deben cumplir esta ley si realizan actividades comerciales en el estado o se dirigen a consumidores de Rhode Island y cumplen cualquiera de los siguientes requisitos en un año natural:
- Controla o procesa los datos personales de 35 000 clientes, excluyendo los datos procesados únicamente para completar una transacción de pago, o
- Controla o procesa los datos personales de 10 000 clientes y obtiene el 20 % o más de sus ingresos brutos de la venta de datos personales.
Sanciones por incumplimiento:
Las multas por infringir esta ley pueden oscilar entre 100 y 500 dólares por incidente y su cumplimiento lo supervisa el Fiscal General del estado.
Derechos del consumidor:
Los consumidores, en virtud de esta ley, tienen los siguientes derechos:
- Confirmar si un controlador está procesando sus datos personales.
- Acceda a esos datos.
- Corregir las inexactitudes en sus datos,
- Solicitud de eliminación de sus datos personales,
- Obtener una copia portátil de sus datos personales,
- Exclusión voluntaria del tratamiento de datos para publicidad dirigida, venta de datos o elaboración de perfiles.
- Aceptación de la recopilación de datos personales sensibles.
Ley de Protección de la Información de Tennessee (TIPA)
La Ley de Protección de la Información de Tennessee (TIPA) entró en vigor el 1 de julio de 2025.
A quién se aplica:
Debe cumplir con la ley de privacidad de Tennessee si realiza actividades comerciales en el estado o se dirige a los residentes del estado, obtiene más de 25 millones de dólares en ingresos anuales y:
- Procesa o controla la información personal de al menos 175 000 consumidores de Tennessee durante un año natural, o
- Procesa o controla la información personal de al menos 25 000 consumidores y obtiene el 50 % de sus ingresos brutos anuales de la venta de dicha información.
Sanciones por incumplimiento:
Las multas por infringir la TIPA pueden alcanzar hasta 7500 dólares por incidente y la ley es aplicada por el Fiscal General del estado.
Derechos del consumidor:
La TIPA otorga a los consumidores de Tennessee los siguientes derechos:
- Confirmar si un controlador está procesando su información personal.
- Acceda a esos datos.
- Corregir las inexactitudes en su información.
- Eliminar la información personal proporcionada por el consumidor u obtenida sobre él (sin embargo, el responsable del tratamiento no está obligado a eliminar la información agregada o anonimizada).
- Obtener una copia portátil de su información personal,
- Optar por no vender sus datos, publicidad dirigida y elaboración de perfiles.
- Aceptación de la recopilación de datos personales sensibles.
Ley de Privacidad y Seguridad de Datos de Texas (TDPSA)
La Ley de Privacidad y Seguridad de Datos de Texas (TDPSA) entró en vigor el 1 de julio de 2024.
A quién se aplica:
Si cumple con las siguientes directrices, su empresa debe cumplir con la TDPSA:
- Realiza negocios en Texas o produce bienes o servicios consumidos por residentes en el estado
- Trata o vende datos personales
- No es una pequeña empresa según la definición de la Administración de Pequeñas Empresas de los Estados Unidos (SBA) (es decir, empresas con menos de 500 empleados), a menos que la empresa se dedique a la venta de datos personales sensibles.
Sanciones por incumplimiento:
El incumplimiento de la TDPSA puede acarrear multas de hasta 7500 dólares por incidente, y la ley es aplicada por el Fiscal General del estado.
Derechos del consumidor:
Los consumidores tienen los siguientes derechos en virtud de la ley de privacidad de Texas:
- Confirmar si un controlador está procesando sus datos.
- Acceder a los datos personales recopilados sobre ellos,
- Corregir las inexactitudes en sus datos, teniendo en cuenta la naturaleza de los mismos y la finalidad del tratamiento.
- Eliminar los datos proporcionados por el consumidor u obtenidos sobre él.
- Obtener una copia portátil de sus datos, si están disponibles en formato digital.
- No discriminación,
- Optar por no permitir el tratamiento de datos personales para publicidad dirigida, la venta de sus datos o la elaboración de perfiles.
- Aceptación de la recopilación de datos personales sensibles.
Ley de Privacidad del Consumidor de Utah (UCPA)
La Ley de Privacidad del Consumidor de Utah (UCPA) entró en vigor el 31 de diciembre de 2023.
A quién se aplica:
Debe cumplir con la UCPA si realiza actividades comerciales en el estado o se dirige a residentes del estado, tiene unos ingresos anuales de 25 millones de dólares o más y cumple alguna de las siguientes condiciones en un año natural:
- Controla o procesa datos personales de más de 100 000 consumidores, o
- Controla y procesa los datos personales de más de 25 000 consumidores y obtiene más del 50 % de sus ingresos brutos de la venta de datos personales.
Sanciones por incumplimiento:
Las sanciones por incumplimiento de la UCPA pueden alcanzar hasta 7500 dólares por incidente.
La ley es aplicada por el Fiscal General del estado.
Derechos del consumidor:
En virtud de esta ley, los consumidores tienen los siguientes derechos:
- Confirmar si una entidad está recopilando datos personales sobre ellos.
- Acceder a los datos personales recopilados sobre ellos,
- Solicitud de eliminación de los datos recopilados sobre ellos,
- Obtener una copia portátil de sus datos,
- Excluirse de la venta de datos o la publicidad dirigida.
Ley de Protección de Datos de los Consumidores de Virginia (VCDPA)
Fecha de entrada en vigor: La Ley de Protección de Datos del Consumidor de Virginia (VCDPA) entró en vigor el 1 de enero de 2023.
A quién se aplica:
Debe cumplir con la VCDPA si realiza actividades comerciales en Virginia o si sus productos y servicios están dirigidos a los residentes del estado y cumple cualquiera de las siguientes condiciones:
- Controla o trata los datos personales de 100.000 consumidores durante un año natural, o
- Controla o procesa los datos personales de 25.000 consumidores y obtiene el 50% de los ingresos brutos de la venta de datos personales.
Sanciones por incumplimiento:
El incumplimiento de la ley de privacidad de Virginia puede acarrear multas de entre 2500 y 7500 dólares por incidente, dependiendo de la gravedad de la infracción.
La ley es aplicada por el Fiscal General del estado.
Derechos del consumidor:
En virtud de la VCDPA, los consumidores tienen los siguientes derechos sobre sus datos:
- Confirmar si un controlador está procesando sus datos.
- Acceder a sus datos personales
- Corregir las inexactitudes en sus datos.
- Solicitud de supresión por parte de las empresas
- Obtener una copia portátil de los datos personales
- Exclusión voluntaria del tratamiento de datos personales para publicidad dirigida, la venta de sus datos personales y la elaboración de perfiles.
- No discriminación por ejercer derechos
¿Existen leyes federales estadounidenses relacionadas con la privacidad?
Varias leyes relacionadas con la privacidad a nivel federal en los Estados Unidos imponen restricciones, directrices y obligaciones sobre cómo las entidades recopilan y utilizan los datos personales, por ejemplo:
Leyes europeas de protección de datos que podrían afectarle en 2026
En Europa, el marco jurídico de la protección de datos está compuesto por tres leyes principales:
- Reglamento general de protección de datos (rgpd)
- Directiva sobre la privacidad y las comunicaciones electrónicas (Ley de cookies de la UE)
- Ley de AI de la UE
La Directiva sobre privacidad electrónica entró en vigor en 2002, mientras que el rgpd una normativa más reciente que tiene en cuenta la internet moderna y entró en vigor en enero de 2018.
La Ley de IA de la UE es la más reciente de las tres y entró en vigor en agosto de 2024.
A quién se aplica:
El panorama legal de la UE en materia de protección de datos tiene un impacto global muy amplio, y las empresas pequeñas y grandes de todo el mundo están sujetas al cumplimiento de estas normativas.
El rgpd, por ejemplo, se aplica a cualquier entidad en Europa, o cualquier entidad que procese datos personales de personas en Europa o el EEE ofreciendo bienes o servicios o supervisando sus comportamientos en línea.
No tiene límites monetarios ni restricciones en la recopilación de datos.
La Directiva sobre privacidad electrónica es similar y se aplica a cualquier sitio web que utilice tecnologías de seguimiento con visitantes de la UE/EEE.
La Ley de IA de la UE es igual de amplia y se aplica a cualquier entidad que cree productos de IA y los comercialice en Europa.
Sanciones por incumplimiento:
Las sanciones por infringir el rgpd multas muy importantes de hasta 10 millones de euros (12 millones de dólares) o el 2 % de los ingresos brutos anuales, lo que sea mayor.
Sin embargo, las reincidencias o las infracciones más graves podrían dar lugar a multas de hasta 20 millones de euros (23 millones de dólares) o el 4 % de los ingresos brutos anuales, lo que sea mayor.
Las infracciones de la Directiva sobre privacidad electrónica suelen agruparse en investigaciones en virtud del rgpd.
En virtud de la Ley de IA de la UE, las multas se clasifican en función de la gravedad de la sanción e incluyen lo siguiente:
- En el caso de las prácticas prohibidas, las multas pueden alcanzar hasta 35 millones de euros o el 7 % de su facturación anual global.
- Para la mayoría de las obligaciones, las multas alcanzan hasta 15 millones de euros o el 3 % de sus ingresos anuales globales.
- Por proporcionar información engañosa, las multas pueden alcanzar hasta 7,5 millones de euros o el 1 % de su facturación anual global.
Cada Estado miembro de la UE es responsable de llevar a cabo investigaciones y sancionar a las entidades que incumplan cualquiera de las obligaciones y requisitos establecidos en estas leyes y reglamentos.
Derechos del consumidor:
El rgpd otorga rgpd los interesados los siguientes derechos sobre sus datos personales:
- Derecho a ser informado sobre la recopilación de datos,
- Derecho a acceder a los datos,
- Derecho a rectificar/corregir datos,
- Derecho de supresión ( derecho al olvido),
- Derecho a la portabilidad de los datos,
- Derecho a optar por no participar en la toma de decisiones automatizada y la elaboración de perfiles.
La Directiva sobre privacidad electrónica otorga a los usuarios derechos clave similares que se refieren específicamente a los rgpd , entre los que se incluyen:
- Confidencialidad de las comunicaciones,
- Consentimiento para el seguimiento/cookies,
- Protección contra el spam,
- Borrado/anonimización de datos,
- Derecho a ser informado.
Por último, la Ley de IA de la UE otorga a los consumidores los siguientes derechos en relación con la forma en que las entidades venden y producen productos de IA:
- Transparencia cuando la IA genera contenido.
- Exige la supervisión humana o la intervención humana.
- Prohíbe las prácticas y la IA que manipulan a las personas y explotan sus vulnerabilidades.
- Describe la protección de datos para la IA fomentando la anonimización y el cifrado de datos.
¿Qué leyes de privacidad de datos existen en 2026 en otras partes del mundo?
Además de los Estados Unidos, Europa y el Reino Unido, existen docenas de otras leyes de privacidad que pueden aplicarse a su sitio web, dependiendo de dónde provenga su tráfico de Internet:
- Ley de Protección de Datos Personales (LPDP) de Argentina
- Australia Ley de Protección de la Intimidad de 1988
- Ley General de Protección de Datos de Brasil (LGPD)
- Ley canadiense de Protección de Datos Personales y Documentos Electrónicos (PIPEDA)
- Ley china de protección de datos personales (PIPL)
- Ley de Privacidad de Nueva Zelanda 2020
- Ley 25 de Quebec
- Ley de Protección de Datos Personales de Sudáfrica (POPIA)
- Ley tailandesa de protección de datos personales (PDPA)
- Reglamento General de Protección de Datos del Reino Unido ( rgpd)
- Ley de Protección de Datos del Reino Unido de 2018 (UK DPA 2018)
Algunas de estas leyes se inspiraron en el rgpd de la UE rgpd describen derechos y obligaciones empresariales similares, pero difieren en aspectos importantes, como la LGPD de Brasil y la POPIA de Sudáfrica.
Otras leyes se promulgaron antes de la llegada de Internet, como la Ley de Privacidad de Australia y la PIPEDA de Canadá, pero se han modificado y actualizado para adaptarse a los cambios tecnológicos.
¿Cómo cumplir con las leyes de privacidad en 2026?
Las empresas suelen quejarse de la complejidad que supone cumplir con las leyes de privacidad. Se trata de un proceso que causa dolores de cabeza y que a menudo se percibe como lento, costoso y continuo.
La buena noticia es que existen formas sencillas de simplificar algunos de los aspectos más importantes para cumplir con los requisitos de estas leyes.
A continuación, abordo cómo simplificar tres de los mayores puntos débiles:
- Requisitos de la política de privacidad
- gestión del consentimiento cookies y otros rastreadores
- Gestión de las solicitudes de derechos de privacidad de los consumidores
¿Cuáles son los requisitos de la política de privacidad para 2026?
La mayoría de las leyes de privacidad afectan o abordan de alguna manera las políticas de privacidad, a veces denominadas notificaciones de privacidad.
En Estados Unidos, es habitual que las leyes estatales exijan específicamente una política de privacidad por su nombre.
De lo contrario, presentar a los visitantes del sitio web una política de privacidad completa ayuda a garantizar que estén debidamente informados y puedan dar su consentimiento legal adecuado para cualquier recopilación o procesamiento de datos que desee realizar.
Aunque los detalles de su política de privacidad pueden variar en función de las leyes que afectan a su negocio, normalmente se exige a las empresas que incluyan al menos los siguientes datos:
- Qué datos personales recoge
- Cómo se recogen los datos personales
- Por qué se recogen los datos personales
- Con quién se comparten o venden los datos personales
- Qué derechos tienen los usuarios sobre sus datos y cómo actuar en consecuencia
- Datos de contacto de su sitio web
Todos los sitios web deben tener una política de privacidad honesta y actualizada, con un enlace al menos en el pie de página del sitio, pero es recomendable incluir enlaces en varios lugares.
Añádalo a su consentimiento de cookies , en cualquier pantalla de pago o página de creación de cuentas, al pie de página de los correos electrónicos de marketing y en cualquier otro lugar donde se puedan recopilar datos.
Es fácil crear uno utilizando un Generador de política de privacidad.
¿Cómo pueden las empresas gestionar el consentimiento de los usuarios de conformidad con las leyes de privacidad de 2026?
gestión del consentimiento ya no gestión del consentimiento opcional para la mayoría de las empresas; es una parte esencial de la verificación legal de su sitio web.
Las leyes de privacidad ahora tienen un gran impacto y regulan la forma en que los sitios web comerciales y los consumidores interactúan entre sí.
Por ejemplo, los sitios web modernos suelen recopilar, procesar y utilizar datos personales protegidos legalmente de los visitantes del sitio a través de cookies de Internet y otros análisis de sitios web. Las leyes de privacidad describen los requisitos de aceptación y rechazo para el uso de estas cookies u otros rastreadores.
Hoy en día también es habitual que las empresas realicen publicidad dirigida. Existen varias leyes que regulan esta cuestión y que, a menudo, otorgan a los consumidores el derecho a rechazar que sus datos se utilicen con tales fines, principalmente en los Estados Unidos.
Su sitio web debe contar con una gestión del consentimiento que incluya un banner de cookies todos los ajustes de consentimiento regionales aplicables que afecten a sus consumidores.
¿Cómo pueden las empresas gestionar los derechos de privacidad de los consumidores en 2026?
La gestión de los derechos de privacidad de los consumidores es otro obstáculo importante al que se enfrentan las empresas debido a la complejidad del panorama legal.
Las leyes de privacidad individual son aplicadas por autoridades independientes, como, por ejemplo, las oficinas del Fiscal General del Estado en los Estados Unidos.
En Europa, aunque el rgpd la única normativa general, su aplicación corre a cargo de la autoridad supervisora establecida en cada Estado miembro.
Además, todas estas leyes describen derechos de privacidad similares para los consumidores, y normalmente estos pueden ejercer dichos derechos enviando una solicitud a su empresa en cualquier momento.
Esto significa que infringir una sola ley de privacidad, especialmente en los Estados Unidos, podría provocar un efecto dominó de incumplimiento de otras leyes aplicables.
¿Se imagina tener que lidiar con múltiples investigaciones de varias agencias estatales o autoridades supervisoras europeas simplemente porque su empresa no está preparada para respetar adecuadamente los derechos de privacidad de sus consumidores?
Añadir un formulario de solicitud de acceso a los datos personales a su sitio web puede ayudar a agilizar el proceso de envío de estas solicitudes por parte de los usuarios, lo que contribuye a crear un proceso eficiente para recibir y responder a estas solicitudes legales.
¿Cuáles son las sanciones por incumplir las leyes de privacidad de datos?
Las sanciones por incumplir las leyes de protección de datos pueden ser severas e incluyen:
- Multas elevadas, que varían en función de la ley que se haya infringido.
- El cese temporal o permanente de todas las actividades de tratamiento de datos,
- Acción penal o civil, según la ley.
- Posible pena de cárcel, dependiendo de la ley,
- Daño a la reputación de su marca.
Cada ley se aplica con matices y las sanciones específicas dependen del tipo de infracción, la ley que se aplique y la gravedad que se le atribuya a la infracción.
¿Cómo ayuda Termly simplificar el cumplimiento de las leyes de privacidad?
Termly creó para ayudar a las empresas que necesitan cumplir con las leyes de privacidad.
Nuestros generadores de políticas automatizados y gestión del consentimiento facilitan la adaptación de su sitio web a las obligaciones y requisitos aplicables.
Con Termly, puedes controlar todos tus procesos de privacidad de datos en un solo lugar. Eso significa todo, desde actualizar tu política de privacidad hasta gestionar tu banner de consentimiento y atender las solicitudes de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición de los consumidores.
¡Pruébalos gratis hoy mismo!
Escrito por Natasha Piirainen
Natasha Piirainen es una escritora especializada en privacidad con una licenciatura en Inglés y Filosofía por el Wheaton College y más de 10 años de experiencia profesional en el desarrollo de contenidos basados en la investigación.
Leer todas las publicaciones de Natasha Piirainen
Revisado por Amanda Lee
Amanda es especialista en documentación y profesional certificada en privacidad (EE. UU.). Convierte la documentación del producto en un producto fácil de entender para los clientes de Termly. También conoce a fondo las leyes y normativas estadounidenses sobre privacidad, lo que le ayuda a mantener actualizadas las políticas de los clientes en un momento en que los estados de EE. UU. promulgan cada vez más leyes sobre privacidad.
Leer todas las publicaciones revisadas por Amanda Lee
