Las normas obligatorias del país de residencia pueden prevalecer. Las secciones aparecen en el orden acordado: España, México y, después, los principales mercados hispanohablantes de Sudamérica.
España
Marco principal: RGPD; Ley Orgánica 3/2018 (LOPDGDD); y Ley 34/2002 (LSSI-CE) para comunicaciones y cookies.
Aplicación práctica: Deben facilitarse las informaciones de los artículos 13 o 14 del RGPD. Las cookies no necesarias requieren consentimiento previo informado. Al estar el responsable en Estados Unidos, debe verificarse la designación de representante en la UE y el mecanismo de transferencia internacional.
Derechos y plazos relevantes: Acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento. La respuesta se facilita, por regla general, en un mes, con las ampliaciones legalmente permitidas.
Autoridad: Agencia Española de Protección de Datos (AEPD).
México
Marco principal: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) vigente y sus disposiciones reglamentarias.
Aplicación práctica: El aviso debe identificar al responsable y su domicilio, las categorías de datos —incluidos los sensibles—, las finalidades, los mecanismos para limitar el uso, el procedimiento para ejercer derechos ARCO, las transferencias y la forma de comunicar cambios. El aviso simplificado en línea debe enlazar a la versión integral.
Derechos y plazos relevantes: Acceso, rectificación, cancelación y oposición (ARCO). Como regla general, la determinación debe comunicarse en un máximo de 20 días hábiles y, si procede, hacerse efectiva dentro de los 15 días hábiles siguientes.
Autoridad: Secretaría Anticorrupción y Buen Gobierno, sin perjuicio de otras competencias legales.
Colombia
Marco principal: Ley 1581 de 2012 y normativa reglamentaria sobre protección de datos personales.
Aplicación práctica: Debe existir una política de tratamiento accesible, informar finalidades y derechos, obtener autorización cuando corresponda y mantener procedimientos de consultas y reclamos. Debe verificarse si procede registrar bases de datos en el RNBD.
Derechos y plazos relevantes: Conocer, actualizar y rectificar datos; solicitar prueba de autorización; ser informado del uso; presentar quejas; revocar la autorización o solicitar supresión cuando proceda; y acceder gratuitamente a los datos.
Autoridad: Superintendencia de Industria y Comercio (SIC).
Argentina
Marco principal: Ley 25.326 de Protección de los Datos Personales y normas complementarias.
Aplicación práctica: La recogida debe ser transparente, adecuada y no excesiva. Deben informarse finalidad, destinatarios, identidad del responsable, carácter obligatorio o facultativo de las respuestas, consecuencias y derechos. Debe comprobarse la inscripción de bases y las transferencias internacionales cuando corresponda.
Derechos y plazos relevantes: Acceso dentro de 10 días corridos desde la solicitud. Rectificación, actualización o supresión dentro de 5 días hábiles cuando resulte procedente.
Autoridad: Agencia de Acceso a la Información Pública (AAIP).
Chile
Marco principal: Ley 19.628 hasta el 30 de noviembre de 2026. La Ley 21.719 entra en vigor el 1 de diciembre de 2026.
Aplicación práctica: La política y los procedimientos deben revisarse antes de la entrada en vigor del nuevo régimen, que amplía obligaciones, derechos y supervisión. Hasta entonces se aplica el régimen vigente, además de las normas sectoriales pertinentes.
Derechos y plazos relevantes: Información, modificación, cancelación o bloqueo conforme al régimen vigente; desde el 1 de diciembre de 2026 deberán aplicarse también los derechos y procedimientos previstos en la Ley 21.719.
Autoridad: Autoridad competente según el régimen vigente; futura Agencia de Protección de Datos Personales desde la entrada en vigor del nuevo sistema.
Perú
Marco principal: Ley 29733 y nuevo Reglamento aprobado por Decreto Supremo 016-2024-JUS, vigente desde el 31 de marzo de 2025.
Aplicación práctica: Debe informarse identidad, finalidades, destinatarios, banco de datos, transferencias, plazo de conservación y mecanismos de derechos. Debe verificarse la inscripción de bancos de datos y la comunicación o registro de flujos transfronterizos cuando corresponda.
Derechos y plazos relevantes: Información, acceso, actualización, inclusión, rectificación, supresión y oposición, conforme a los requisitos y plazos del régimen peruano.
Autoridad: Autoridad Nacional de Protección de Datos Personales (ANPD).
Ecuador
Marco principal: Ley Orgánica de Protección de Datos Personales (LOPDP), reglamento y resoluciones de la autoridad.
Aplicación práctica: La información al titular debe cubrir de forma clara los elementos exigidos por la LOPDP, incluidos responsable, finalidades, base de legitimación, conservación, transferencias, consecuencias y derechos. Las transferencias internacionales deben ajustarse a las resoluciones y garantías aplicables.
Derechos y plazos relevantes: Información, acceso, rectificación y actualización, eliminación, oposición, suspensión, portabilidad y demás derechos reconocidos por la LOPDP, según proceda.
Autoridad: Superintendencia de Protección de Datos Personales (SPDP).
Uruguay
Marco principal: Ley 18.331, Decreto 414/009 y resoluciones de la Unidad Reguladora y de Control de Datos Personales.
Aplicación práctica: Debe informarse el tratamiento de forma clara. En transferencias internacionales deben detallarse, cuando corresponda, destino, identidad y función del importador, duración, base jurídica y operaciones previstas. Debe verificarse la inscripción de bases de datos.
Derechos y plazos relevantes: Acceso, rectificación, actualización, inclusión, supresión y oposición conforme al régimen uruguayo.
Autoridad: Unidad Reguladora y de Control de Datos Personales (URCDP).
