Para empezar: tres preguntas
La ley de privacidad resulta más sencilla cuando sabe qué información tiene, para qué y a quién podría perjudicar si se filtrara.
- ¿Qué ley se aplica? Por lo general, la del país donde tiene su sede, y a veces la del lugar donde viven las personas a las que atiende. Los organismos públicos, los proveedores de salud y las organizaciones benéficas suelen estar sujetos a normas distintas de las de las empresas.
- ¿Qué información sensible tiene? La mayoría de las leyes protegen especialmente la salud, el origen étnico, la religión, la vida sexual y categorías parecidas, y muchas consideran de alto riesgo los números de identificación y los datos financieros en caso de violación.
- ¿Qué haría el día de una violación de datos? Varios de los países de abajo fijan plazos cortos. Decida desde ahora quién evalúa una violación, quién decide si hay que reportarla y dónde está el formulario de la autoridad.
Estados Unidos
- Ley principal
- No existe una ley federal general de privacidad. En su lugar se aplican leyes sectoriales, entre ellas HIPAA para los planes de salud, las cámaras de compensación de atención médica y muchos proveedores de atención médica, y sus socios comerciales (business associates), y la Health Breach Notification Rule de la FTC para las aplicaciones de registros médicos personales que quedan fuera de HIPAA. También se aplican leyes estatales, entre ellas las de aviso de violaciones de datos.
- Autoridad
- Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos (HHS) para HIPAA; Comisión Federal de Comercio (FTC); fiscales generales de los estados.
- Datos sensibles
- No hay una lista federal única. HIPAA protege la información de salud que tienen las organizaciones a las que se aplica; las leyes estatales fijan sus propias categorías.
- Si hay una violación de datos
- Según HIPAA, avise a las personas afectadas sin demora injustificada y a más tardar 60 días naturales después de descubrir una violación de información de salud no protegida. Si afecta a 500 personas o más, avise al HHS al mismo tiempo; si son menos de 500, regístrela e infórmela al HHS dentro de los 60 días siguientes al final del año calendario. Las leyes estatales sobre violaciones de datos añaden sus propias obligaciones, según dónde vivan las personas afectadas.
Canadá
- Ley principal
- PIPEDA para las organizaciones del sector privado en actividades comerciales. Por lo general no se aplica a las actividades no comerciales de las organizaciones sin fines de lucro y las beneficencias. Alberta, Columbia Británica y Quebec tienen sus propias leyes para el sector privado, varias provincias tienen leyes de privacidad en salud, y los municipios, hospitales, escuelas y universidades suelen estar cubiertos por leyes provinciales. Las instituciones federales están cubiertas por la Privacy Act.
- Autoridad
- Oficina del Comisionado de la Privacidad de Canadá (OPC), más un comisionado u ombudsman en cada provincia y territorio.
- Datos sensibles
- Se valora según el contexto. Para decidir si una violación debe reportarse, la OPC pide sopesar qué tan sensible es la información y qué tan probable es que se use indebidamente.
- Si hay una violación de datos
- Según PIPEDA, reporte a la OPC toda violación de las medidas de seguridad que genere un riesgo real de daño significativo, avise a las personas afectadas en cuanto sea factible y lleve un registro de todas las violaciones, deban reportarse o no. Esto se aplica también a las organizaciones pequeñas. Las leyes provinciales tienen sus propias reglas.
México
- Ley principal
- El 20 de marzo de 2025 se publicó en el Diario Oficial una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (sector privado), junto con una nueva ley general para los organismos públicos. La misma reforma extinguió el INAI, el antiguo instituto de protección de datos y transparencia.
- Autoridad
- Para el sector privado, la Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones del INAI.
- Datos sensibles
- Datos personales sensibles: los que afectan a la esfera más íntima de la persona, o cuyo uso indebido pueda dar origen a discriminación o conlleve un riesgo grave, entre ellos el origen racial o étnico, el estado de salud presente o futuro, la información genética, las creencias religiosas, filosóficas y morales, las opiniones políticas y la preferencia sexual.
- Si hay una violación de datos
- Las vulneraciones de seguridad que afecten de forma significativa los derechos patrimoniales o morales de las personas deben informarse de inmediato a esas personas, para que puedan tomar medidas para defenderse (artículo 19).
NotaEn transición: la ley de 2025 sustituyó a la de 2010 y trasladó la supervisión del INAI a una secretaría de gobierno. Es de esperar que haya nuevos reglamentos y lineamientos.
Argentina
- Ley principal
- Ley 25.326 de Protección de los Datos Personales. Las bases de datos públicas y privadas destinadas a dar informes deben inscribirse en el registro nacional de bases de datos personales.
- Autoridad
- Agencia de Acceso a la Información Pública (AAIP).
- Datos sensibles
- Datos sensibles: los que revelan el origen racial y étnico, las opiniones políticas, las convicciones religiosas, filosóficas o morales, la afiliación sindical y la información referente a la salud o a la vida sexual.
- Si hay una violación de datos
- La ley exige medidas técnicas y organizativas para garantizar la seguridad y la confidencialidad de los datos personales (artículo 9). No encontramos en la propia ley un plazo general para avisar de las violaciones de datos. Busque asesoría si tiene una.
NotaLa AAIP ha sometido a consulta pública una reforma de la Ley 25.326.
Reino Unido
- Ley principal
- El UK GDPR y la Data Protection Act 2018 (ley de protección de datos), modificados por la Data (Use and Access) Act 2025, que recibió la sanción real el 19 de junio de 2025. La ICO indica que ya están en vigor todas sus disposiciones que afectan a la ley de protección de datos.
- Autoridad
- Information Commissioner’s Office (ICO), la oficina del comisionado de información.
- Datos sensibles
- Datos de categoría especial (special category data): origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos usados para identificar a una persona, salud, vida sexual y orientación sexual. Los datos sobre delitos tienen sus propias reglas.
- Si hay una violación de datos
- Si es probable que una violación de datos personales ponga en riesgo los derechos y libertades de las personas, avise a la ICO lo antes posible y, cuando sea factible, dentro de las 72 horas. Si el riesgo es alto, avise también a las personas afectadas.
Armenia
- Ley principal
- La Ley de la República de Armenia sobre Protección de Datos Personales.
- Autoridad
- La Agencia de Protección de Datos Personales del Ministerio de Justicia.
NotaCuando revisamos esta guía por última vez no pudimos abrir las páginas de la autoridad ni el texto consolidado de la ley, así que no resumimos los detalles. Lea el texto vigente en el sistema oficial de información jurídica, ARLIS, y busque asesoría local.
India
- Ley principal
- La Digital Personal Data Protection Act, 2023 (ley de protección de datos personales digitales).
- Autoridad
- La Junta de Protección de Datos de la India (Data Protection Board of India), creada por la ley; el Ministerio de Electrónica y Tecnologías de la Información (MeitY) dicta los reglamentos.
NotaEn transición. La entrada en vigor de las disposiciones de la ley se fija por notificación del gobierno, y el MeitY dicta los reglamentos que la desarrollan. Los sitios oficiales del gobierno no respondieron a nuestras comprobaciones cuando revisamos esta guía por última vez, así que no indicamos aquí fechas de entrada en vigor ni obligaciones. Consulte las notificaciones vigentes del MeitY antes de fiarse de cualquier resumen, incluido este.
Filipinas
- Ley principal
- La Data Privacy Act of 2012 (Ley de la República n.º 10173), con las normas y circulares que emite la Comisión Nacional de Privacidad.
- Autoridad
- Comisión Nacional de Privacidad (National Privacy Commission, NPC).
- Datos sensibles
- La información personal sensible incluye la raza, el origen étnico, el estado civil, la edad, el color, las afiliaciones religiosas, filosóficas o políticas; la salud, la educación, los datos genéticos o la vida sexual; los procesos penales; y los identificadores emitidos por el gobierno, como los números de seguridad social, los expedientes médicos, las licencias y las declaraciones de impuestos.
- Si hay una violación de datos
- La ley exige avisar con prontitud a la NPC y a las personas afectadas cuando haya motivos razonables para creer que una persona no autorizada obtuvo información personal sensible, o información que podría permitir una suplantación de identidad. Las normas de la NPC sobre gestión de violaciones de datos fijan los detalles y los plazos; consúltelas en el sitio de la NPC.
Australia
- Ley principal
- La Privacy Act 1988 (ley de privacidad) y sus Principios Australianos de Privacidad. Se aplica a los organismos del gobierno australiano y a las organizaciones con una facturación anual superior a 3 millones de dólares. Algunas organizaciones más pequeñas quedan cubiertas sin importar su facturación, entre ellas cualquier proveedor de servicios de salud. Una pequeña empresa u organización sin fines de lucro también puede optar por acogerse voluntariamente.
- Autoridad
- Office of the Australian Information Commissioner (OAIC), la oficina del comisionado de información.
- Datos sensibles
- Información sensible: origen racial o étnico, opiniones o afiliaciones políticas, creencias religiosas o filosóficas, afiliación o asociaciones sindicales, orientación o prácticas sexuales, antecedentes penales, información de salud o genética, y algunos aspectos de la información biométrica.
- Si hay una violación de datos
- Según el régimen de violaciones de datos notificables (Notifiable Data Breaches), si es probable que una violación cause un daño grave a alguien, avise a las personas afectadas y a la OAIC. Si sospecha que hubo una violación, debe evaluar rápidamente si es probable que cause un daño grave.
Nueva Zelanda
- Ley principal
- La Privacy Act 2020 (ley de privacidad). La Privacy Amendment Act 2025 añadió un nuevo principio, el IPP 3A, a partir del 1 de mayo de 2026: la obligación de informar a las personas cuando usted obtiene su información personal de alguien que no son ellas.
- Autoridad
- Oficina del Comisionado de Privacidad (Office of the Privacy Commissioner).
- Datos sensibles
- No hay una lista aparte. El Comisionado de Privacidad señala que algunos tipos de información son por naturaleza más sensibles y más propensos a causar un daño grave si hay una violación.
- Si hay una violación de datos
- Si una violación de privacidad ha causado, o es probable que cause, un daño grave a alguien, avise al Comisionado de Privacidad y a las personas afectadas en cuanto le sea posible en la práctica.
NotaCambio reciente: el IPP 3A se aplica desde el 1 de mayo de 2026.
Qué hacer en cualquier país
Sea cual sea el país, los mismos hábitos le mantienen del lado correcto de la ley y de las personas a las que atiende.
- Lleve un registro sencillo de qué información personal tiene, dónde, para qué y quién puede acceder a ella.
- Recopile menos. La información que nunca recopiló no se puede filtrar.
- Explique a las personas, en palabras sencillas, qué recopila y para qué, y cómo pueden pedirle su información.
- Deje por escrito quién decide si una violación debe reportarse, y guarde el enlace de reporte de la autoridad en su plan para incidentes. Nuestra lista para la primera hora es un buen lugar para hacerlo.
- Pregunte a cada proveedor con qué rapidez le avisará de una violación de datos. Consulte Antes de firmar.