Marco legal por país

Qué encontrarás aquí

Trazza puede configurarse para negocios de 27 países y territorios de América y Europa. Esta página resume, para cada uno, las leyes de protección de datos, de consumo y de accesibilidad más relevantes para un negocio de belleza que usa un servicio en la nube.

Es información general, vigente a octubre de 2026, y no constituye asesoría legal. Las leyes cambian y algunas fuentes no pudimos verificarlas en el texto oficial; cuando es así, lo decimos.

Quién responde de qué

Cada negocio es responsable de cumplir las leyes de su país frente a sus clientes y su equipo.

Trazza actúa como encargado, también llamado operador, procesador o prestador de servicios según el país: trata los datos por cuenta del negocio y según sus instrucciones, como explica el Acuerdo de tratamiento de datos.

Cómo leer cada país

Agrupamos los países por región. En cada uno verás siete puntos: la ley de protección de datos, la autoridad, los derechos de las personas, las transferencias internacionales, el aviso de incidentes, las normas de consumo y comercio electrónico, y la accesibilidad.

Cuando una ley está aprobada pero aún no se aplica, o cuando solo existe un proyecto, lo indicamos de forma expresa. Un proyecto no obliga a nadie hasta que se aprueba y se publica.

Abre un país para ver su detalle. Puedes abrir varios a la vez.

Sudamérica

Argentina

Protección de datos: Rige la Ley 25.326 de Protección de los Datos Personales (2000), reglamentada por el Decreto 1558/2001, y la Ley 27.699 aprobó el Convenio 108+. Hay proyectos de reforma en el Congreso, como el expediente 3397-D-2026, sin sanción a octubre de 2026.
Autoridad: Agencia de Acceso a la Información Pública (AAIP): https://www.argentina.gob.ar/aaip
Derechos de las personas: Acceso (gratuito cada seis meses), rectificación, actualización, supresión y confidencialidad, ante el responsable. Si no responde, procede la denuncia ante la AAIP o la acción de habeas data.
Transferencias internacionales: La ley prohíbe transferir a países sin protección adecuada, salvo consentimiento o garantías contractuales. La autoridad aprobó cláusulas modelo (Disposición 60-E/2016 y Resolución AAIP 198/2023), y Estados Unidos no figura en la lista de países adecuados.
Aviso de incidentes: No hay un deber legal de notificar incidentes. La Resolución AAIP 47/2018 recomienda notificarlos a la AAIP y documentarlos.
Consumidor y comercio electrónico: Ley 24.240 de Defensa del Consumidor y Código Civil y Comercial, que da 10 días para revocar contratos a distancia. Las normas del botón de arrepentimiento y del botón de baja aplican a las ventas en línea a consumidores, y la Ley 25.506 regula la firma digital.
Accesibilidad: Ley 26.653 de accesibilidad web, con el Decreto 656/2019 y el estándar WCAG 2.0 AA. Obliga al Estado y a ciertas empresas vinculadas con él, no en general a las privadas.

Bolivia

Protección de datos: No hay una ley general de protección de datos personales. Rigen la Constitución, que protege la privacidad y prevé la Acción de Protección de Privacidad (arts. 130 y 131), y normas sectoriales como la Ley 164 de Telecomunicaciones y TIC. Hay proyectos de ley en trámite, ninguno promulgado a octubre de 2026.
Autoridad: No hay una autoridad de protección de datos. Tienen competencias sectoriales la AGETIC (https://www.agetic.gob.bo) y la ATT (https://www.att.gob.bo).
Derechos de las personas: La Acción de Protección de Privacidad permite conocer, objetar, rectificar o eliminar datos guardados en bases públicas o privadas, ante jueces y tribunales de garantías.
Transferencias internacionales: No hay reglas específicas sobre transferencias internacionales.
Aviso de incidentes: No hay un deber general de notificar incidentes; pueden aplicar reglas sectoriales.
Consumidor y comercio electrónico: Ley 453 General de los Derechos de las Usuarias y los Usuarios y de las Consumidoras y los Consumidores (2013), reglamentada por el DS 2130. La Ley 164 y sus reglamentos (DS 1793 y DS 3527) dan valor a los documentos y las firmas digitales.
Accesibilidad: Ley 223 General para Personas con Discapacidad (2012). La AGETIC fijó lineamientos para los sitios del Estado; no verificamos una obligación WCAG para privados.

Brasil

Protección de datos: Rige la Lei Geral de Proteção de Dados (LGPD, Ley 13.709/2018), con sanciones desde agosto de 2021. La Ley 15.352 de 2026 convirtió a la ANPD en agencia reguladora sin cambiar las obligaciones de fondo. El operador trata los datos según las instrucciones lícitas del controlador, aplica medidas de seguridad y responde de forma solidaria si las incumple.
Autoridad: Agência Nacional de Proteção de Dados (ANPD): https://www.gov.br/anpd/pt-br
Derechos de las personas: Confirmación y acceso, corrección, anonimización, bloqueo o eliminación, portabilidad, información sobre con quién se comparten los datos, revocación del consentimiento, oposición y revisión de decisiones automatizadas. Se ejercen gratis ante el controlador y luego ante la ANPD.
Transferencias internacionales: Por adecuación, con las cláusulas contractuales estándar de la ANPD (Resolución 19/2024) o con otros mecanismos. La Unión Europea y Brasil se reconocieron mutuamente como adecuados en enero de 2026; Estados Unidos no tiene adecuación.
Aviso de incidentes: El controlador comunica a la ANPD y a los titulares, dentro de 3 días hábiles, los incidentes que pueden causar un riesgo o daño relevante (Resolución 15/2024), y registra todos los incidentes.
Consumidor y comercio electrónico: Código de Defensa del Consumidor (Ley 8.078/1990), con 7 días de arrepentimiento en contratos a distancia, que puede proteger también a pequeños negocios; Decreto 7.962/2013 de comercio electrónico y Marco Civil de Internet (Ley 12.965/2014). La firma electrónica se rige por la MP 2.200-2/2001 y la Ley 14.063/2020.
Accesibilidad: La Ley Brasileña de Inclusión (Ley 13.146/2015, art. 63) exige accesibilidad en los sitios de empresas con sede o representación en Brasil. La norma ABNT NBR 17225:2025 se basa en WCAG 2.2.

Chile

Protección de datos: Hoy rige la Ley 19.628 sobre Protección de la Vida Privada (1999), y la Constitución protege los datos personales desde 2018 (art. 19 N° 4). La Ley 21.719, publicada en diciembre de 2024, modifica integralmente la Ley 19.628, crea la Agencia de Protección de Datos Personales y entra en vigor el 1 de diciembre de 2026. Un proyecto de ley para postergarla un año (Boletín 18.623-07) seguía en trámite en el Senado, sin aprobar, a octubre de 2026.
Autoridad: Hoy no hay una autoridad dedicada: las personas reclaman ante los tribunales, y el SERNAC actúa en las relaciones de consumo (https://www.sernac.cl). La Ley 21.719 crea la Agencia de Protección de Datos Personales, que todavía no está instalada.
Derechos de las personas: Con la Ley 19.628: acceso, rectificación, cancelación y bloqueo, más la acción judicial de habeas data. Con la Ley 21.719 se suman la oposición, la portabilidad y el derecho a no ser objeto de decisiones automatizadas, que se ejercen ante el responsable.
Transferencias internacionales: La Ley 19.628 no tiene un régimen específico. La Ley 21.719 permitirá transferir a países adecuados o con garantías, como cláusulas contractuales modelo; la lista de países y las cláusulas aún no se han dictado.
Aviso de incidentes: Hoy no existe un deber general de notificar. Con la Ley 21.719, el responsable debe reportar a la Agencia sin dilaciones indebidas e informar a los titulares en ciertos casos; la Ley 21.663 de ciberseguridad fija plazos propios para servicios esenciales.
Consumidor y comercio electrónico: Ley 19.496 de Protección de los Derechos de los Consumidores, reforzada por la Ley 21.398 (2021), con derecho de retracto en contratos a distancia, y Reglamento de Comercio Electrónico (DS 6/2021). La Ley 20.416 extiende ciertas protecciones a micro y pequeñas empresas, y la Ley 19.799 regula los documentos y la firma electrónica.
Accesibilidad: Ley 20.422 (2010) sobre igualdad de oportunidades para personas con discapacidad. La norma técnica web basada en WCAG (DS 1/2015) obliga a los órganos del Estado; para empresas privadas no hay una obligación WCAG general.

Colombia

Protección de datos: Rige la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios, compilados en el Decreto Único 1074 de 2015, junto con el habeas data del art. 15 de la Constitución. Hay proyectos de reforma en el Congreso, ninguno aprobado a octubre de 2026.
Autoridad: Superintendencia de Industria y Comercio (SIC), Delegatura para la Protección de Datos Personales: https://www.sic.gov.co
Derechos de las personas: Conocer, actualizar, rectificar y suprimir los datos, revocar la autorización, pedir prueba de ella y quejarse ante la SIC. Las consultas se responden en 10 días hábiles y los reclamos en 15, y antes de acudir a la SIC hay que reclamar al responsable o al encargado.
Transferencias internacionales: Solo a países con un nivel adecuado según la SIC, salvo excepciones. Enviar datos a un encargado en el extranjero (transmisión) no requiere autorización del titular si existe un contrato de transmisión, y la SIC adoptó en 2025 cláusulas modelo voluntarias.
Aviso de incidentes: El responsable y el encargado deben informar a la SIC las violaciones a los códigos de seguridad, a través del Registro Nacional de Bases de Datos, dentro de 15 días hábiles desde que las conocen.
Consumidor y comercio electrónico: Ley 1480 de 2011, Estatuto del Consumidor, con retracto de 5 días hábiles en ventas a distancia y reglas de comercio electrónico. La Ley 527 de 1999 regula los mensajes de datos y las firmas digitales, y la Ley 2300 de 2023 limita los horarios y canales de contacto con los consumidores.
Accesibilidad: Ley Estatutaria 1618 de 2013. La Resolución MinTIC 1519 de 2020 exige WCAG 2.1 AA a las entidades públicas.

Ecuador

Protección de datos: Rige la Ley Orgánica de Protección de Datos Personales (LOPDP, 2021), con régimen sancionador desde mayo de 2023 y un Reglamento General de noviembre de 2023. La Superintendencia dictó normas complementarias en 2025 y 2026, entre ellas sobre transferencias, inteligencia artificial y notificación de vulneraciones.
Autoridad: Superintendencia de Protección de Datos Personales (SPDP): https://spdp.gob.ec
Derechos de las personas: Información, acceso, rectificación y actualización, eliminación, oposición, portabilidad, suspensión del tratamiento y no ser objeto de decisiones basadas solo en valoraciones automatizadas. Se ejercen ante el responsable y luego ante la SPDP o con la acción de habeas data.
Transferencias internacionales: Se permite transferir a países adecuados o, si no lo son, con garantías como cláusulas contractuales tipo o normas corporativas vinculantes, según la Norma General de Transferencias de enero de 2026.
Aviso de incidentes: El encargado avisa al responsable en un máximo de 2 días, y el responsable notifica a la SPDP en un máximo de 5 días e informa a los titulares en lenguaje claro (art. 43 de la LOPDP y norma técnica de septiembre de 2026).
Consumidor y comercio electrónico: Ley Orgánica de Defensa del Consumidor (2000) y Ley de Comercio Electrónico, Firmas Electrónicas y Mensajes de Datos (2002), que exige el consentimiento del consumidor para usar medios electrónicos.
Accesibilidad: Ley Orgánica de Discapacidades (2012). El reglamento técnico RTE INEN 288 sobre contenido web, equivalente a WCAG 2.0, se orienta principalmente al sector público.

Guyana

Protección de datos: La Data Protection Act 2023 (Act No. 18 of 2023), de corte similar al RGPD, está promulgada, pero entra en vigor por orden ministerial y no encontramos esa orden publicada a octubre de 2026. Mientras tanto rigen la protección constitucional de la privacidad y el common law.
Autoridad: La ley prevé un Data Protection Commissioner que aún no está establecido. El Ministerio de Asuntos Legales coordina su implementación: https://mola.gov.gy
Derechos de las personas: La ley reconoce acceso, rectificación, supresión, restricción, portabilidad, oposición y derechos frente a decisiones automatizadas, que todavía no son operativos.
Transferencias internacionales: La ley regula las transferencias fuera de Guyana con protección adecuada o salvaguardas, pero esa parte aún no es operativa.
Aviso de incidentes: La ley prevé notificar al Commissioner y a los titulares. No verificamos el plazo, y hoy no hay un canal operativo.
Consumidor y comercio electrónico: Consumer Affairs Act 2011, aplicada por la Competition and Consumer Affairs Commission, y Electronic Communications and Transactions Act 2023 sobre contratos y firmas electrónicas.
Accesibilidad: Persons with Disabilities Act 2010, sin una obligación web específica verificada.

Paraguay

Protección de datos: La Ley 7593/2025 de Protección de Datos Personales, promulgada en noviembre de 2025, es la primera ley general del país. Tiene una transición de dos años, así que su plena exigibilidad se espera hacia fines de 2027, sujeta a reglamentación. Hasta entonces rigen el habeas data constitucional y leyes sectoriales, como la Ley 6534/2020 de datos crediticios.
Autoridad: La Ley 7593 crea la Agencia Nacional de Protección de Datos Personales dentro del MITIC, que aún está en formación: https://www.mitic.gov.py
Derechos de las personas: La Ley 7593 reconoce acceso, rectificación, supresión, oposición, portabilidad y revisión de decisiones automatizadas, entre otros. Mientras no sea plenamente exigible, se usa la acción de habeas data del art. 135 de la Constitución.
Transferencias internacionales: La Ley 7593 permite transferir a países adecuados o con garantías, como cláusulas contractuales; el detalle depende de la reglamentación pendiente.
Aviso de incidentes: Fuentes secundarias indican que la Ley 7593 exige notificar a la autoridad y a los afectados en 72 horas, pero no lo verificamos en el texto oficial. Antes de su plena vigencia no hay un deber general.
Consumidor y comercio electrónico: Ley 1334/1998 de Defensa del Consumidor y del Usuario, aplicada por SEDECO, y Ley 4868/2013 de Comercio Electrónico. La Ley 6822/2021 regula la firma electrónica y los servicios de confianza.
Accesibilidad: No verificamos una ley ni una norma técnica obligatoria de accesibilidad web.

Perú

Protección de datos: Rige la Ley 29733 de Protección de Datos Personales (2011) y su nuevo Reglamento (DS 016-2024-JUS), vigente desde el 30 de marzo de 2025, que suma responsabilidad proactiva, portabilidad y un Oficial de Datos Personales obligatorio cuando se tratan grandes volúmenes o datos sensibles, con plazos escalonados según el tamaño de la empresa. Los responsables inscriben sus bancos de datos en el Registro Nacional.
Autoridad: Autoridad Nacional de Protección de Datos Personales (ANPD), del Ministerio de Justicia y Derechos Humanos: https://www.gob.pe/institucion/anpd
Derechos de las personas: Derechos ARCO (acceso, rectificación, cancelación y oposición), más información, portabilidad y tratamiento objetivo frente a decisiones automatizadas. Se ejercen ante el titular del banco de datos y, si no responde, procede la tutela ante la ANPD.
Transferencias internacionales: Se permite el flujo transfronterizo a países adecuados o con garantías, como las cláusulas modelo de la ANPD, y debe comunicarse a la autoridad. No comunicarlo ha sido sancionado.
Aviso de incidentes: Hay que notificar a la ANPD dentro de 48 horas los incidentes graves, como los que afectan grandes volúmenes o datos sensibles, e informar a los titulares afectados. Todos los incidentes se documentan.
Consumidor y comercio electrónico: Código de Protección y Defensa del Consumidor (Ley 29571), a cargo de INDECOPI. La Ley 32495 (2025) extiende el Libro de Reclamaciones a las plataformas de comercio electrónico, y la Ley 27269 regula las firmas y los certificados digitales.
Accesibilidad: Ley 29973 General de la Persona con Discapacidad. Un lineamiento de 2025 basado en WCAG 2.2 es obligatorio para las entidades públicas.

Surinam

Protección de datos: No hay una ley general de protección de datos; un proyecto presentado en 2018 sigue pendiente según la información disponible. Rigen el art. 17 de la Constitución sobre la vida privada, la Wet Elektronisch Rechtsverkeer 2017 sobre los datos que recaban los proveedores electrónicos y el nuevo Código Civil, vigente desde mayo de 2025.
Autoridad: No hay una autoridad de protección de datos.
Derechos de las personas: No hay un catálogo legal de derechos. La privacidad se protege ante los tribunales y por la vía de la responsabilidad civil.
Transferencias internacionales: No hay restricciones legales específicas a las transferencias internacionales.
Aviso de incidentes: No hay una obligación legal general de notificar incidentes.
Consumidor y comercio electrónico: La Wet Elektronisch Rechtsverkeer 2017 regula los contratos y mensajes electrónicos. Un proyecto de ley de protección al consumidor de 2020 no consta aprobado.
Accesibilidad: No hay ley ni estándar de accesibilidad digital. Surinam ratificó en 2017 la Convención de la ONU sobre los Derechos de las Personas con Discapacidad.

Uruguay

Protección de datos: Rige la Ley 18.331 de Protección de Datos Personales (2008), con el Decreto 414/009, actualizada por la Ley 19.670 y el Decreto 64/020. La Unión Europea reconoce a Uruguay como país con protección adecuada.
Autoridad: Unidad Reguladora y de Control de Datos Personales (URCDP), de AGESIC: https://www.gub.uy/unidad-reguladora-control-datos-personales
Derechos de las personas: Acceso, rectificación, actualización, inclusión y supresión, además del derecho a ser informado. Se ejercen ante el responsable y, si no responde, procede la acción de habeas data o la denuncia ante la URCDP.
Transferencias internacionales: Solo a países adecuados o con garantías contractuales, según resoluciones de la URCDP; desde 2023 las organizaciones adheridas al Data Privacy Framework de Estados Unidos cuentan como adecuadas. La Ley 20.075 exige informar a las personas que habrá transferencia internacional.
Aviso de incidentes: El Decreto 64/020 exige iniciar medidas en 24 horas, comunicar el incidente a la URCDP en un máximo de 72 horas e informar a los titulares cuando sus derechos se afecten de forma significativa. El encargado avisa de inmediato al responsable.
Consumidor y comercio electrónico: Ley 17.250 de Relaciones de Consumo, con derecho de retracto en ventas fuera del local, incluidas las informáticas, y Decreto 167/021 sobre información en el comercio electrónico. La Ley 18.600 regula el documento y la firma electrónica.
Accesibilidad: Ley 18.651 de protección integral de personas con discapacidad. El Decreto 406/022 exige WCAG 2.1 A y AA al Estado y a las personas públicas no estatales; para privados no es obligatoria.

Venezuela

Protección de datos: No hay una ley general de protección de datos personales. Rigen la Constitución de 1999 (art. 28, habeas data, y art. 60, intimidad), la jurisprudencia del Tribunal Supremo de Justicia y normas sectoriales como la Ley Especial contra los Delitos Informáticos (2001).
Autoridad: No hay una autoridad de protección de datos: actúan los tribunales y la Defensoría del Pueblo. SUSCERTE es la autoridad de firma electrónica: https://www.suscerte.gob.ve
Derechos de las personas: Habeas data (art. 28 de la Constitución): acceder a los propios datos, conocer su uso y finalidad, y pedir su actualización, rectificación o destrucción cuando son erróneos o afectan derechos.
Transferencias internacionales: No hay reglas específicas sobre transferencias internacionales.
Aviso de incidentes: No hay un deber general de notificar incidentes.
Consumidor y comercio electrónico: Ley Orgánica de Precios Justos (2015), a cargo de la SUNDDE, con una reforma en discusión en 2026 cuyo estado no verificamos. El Decreto-Ley sobre Mensajes de Datos y Firmas Electrónicas (2001) da valor probatorio a los mensajes de datos.
Accesibilidad: Ley Orgánica para la Inclusión, Igualdad y Desarrollo Integral de las Personas con Discapacidad (2024). No verificamos un estándar WCAG obligatorio.

Centroamérica y el Caribe

Belice

Protección de datos: La Data Protection Act 2021 (Act No. 45 of 2021), de corte similar al RGPD, está promulgada, pero entra en vigor por orden ministerial y no verificamos que esa orden se haya publicado a octubre de 2026. Mientras tanto rigen la protección constitucional de la vida privada y el common law.
Autoridad: La ley prevé un Data Protection Commissioner, que no está nombrado.
Derechos de las personas: La ley reconoce acceso, rectificación, supresión, restricción, portabilidad, oposición, incluida la oposición al marketing directo, y derechos frente a decisiones automatizadas; todavía no son operativos.
Transferencias internacionales: La ley regula las transferencias fuera de Belice con protección adecuada, salvaguardas o normas corporativas vinculantes, pero esa parte aún no es operativa.
Aviso de incidentes: Una fuente secundaria indica que hay que notificar a la autoridad dentro de 72 horas cuando sea posible; no lo verificamos en el texto de la ley, y hoy no hay un canal operativo.
Consumidor y comercio electrónico: Electronic Transactions Act 2021 sobre contratos electrónicos. No hay una ley general de protección al consumidor.
Accesibilidad: Disabilities Act 2024, que cubre edificios, transporte y servicios esenciales; no verificamos obligaciones para sitios web.

Costa Rica

Protección de datos: Rige la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales (2011) y su reglamento. Exige consentimiento informado, expreso e inequívoco. En octubre de 2026 se presentó un proyecto de reforma sobre filtraciones (expediente 25.826), sin aprobar.
Autoridad: Agencia de Protección de Datos de los Habitantes (PRODHAB): http://www.prodhab.go.cr
Derechos de las personas: Acceso, rectificación y supresión, y revocación del consentimiento. Se reclama ante la PRODHAB o con un recurso de amparo ante la Sala Constitucional.
Transferencias internacionales: Transferir a terceros requiere consentimiento expreso y escrito. Las comunicaciones a proveedores tecnológicos que actúan por cuenta del responsable no se consideran transferencias.
Aviso de incidentes: Hay que notificar a la persona afectada y a la PRODHAB dentro de los 5 días hábiles siguientes a conocer la vulneración.
Consumidor y comercio electrónico: Ley 7472 de Promoción de la Competencia y Defensa Efectiva del Consumidor, con reglas de comercio electrónico en su reglamento, y Ley 8454 de Certificados, Firmas Digitales y Documentos Electrónicos. Según la Ley General de Telecomunicaciones, el marketing no solicitado requiere consentimiento previo.
Accesibilidad: Ley 7600 de Igualdad de Oportunidades para las Personas con Discapacidad. Una directriz de 2019 exige WCAG 2.1 al Poder Ejecutivo; no obliga a privados.

Cuba

Protección de datos: Rige la Ley 149/2022 de Protección de Datos Personales, vigente desde febrero de 2023, que distingue entre responsable y encargado. La Resolución 58/2022 del Ministerio de Comunicaciones fija requisitos de seguridad y de registro para las bases de datos electrónicas.
Autoridad: El Ministerio de Justicia como regulador, según fuentes secundarias, y el Ministerio de Comunicaciones para la seguridad de los datos electrónicos: https://www.mincom.gob.cu
Derechos de las personas: Acceso, rectificación y actualización, cancelación y oposición, que se ejercen ante el responsable o el encargado. No verificamos los plazos de respuesta.
Transferencias internacionales: La ley regula las transferencias internacionales, pero no verificamos el texto final de esas reglas.
Aviso de incidentes: No encontramos una obligación clara de notificar incidentes en la Ley 149.
Consumidor y comercio electrónico: No hay una ley general de protección al consumidor; rige la Resolución 54/2018 del Ministerio del Comercio Interior. El comercio en línea se regula por el Decreto-Ley 370/2018 y por normas de 2023 y 2026.
Accesibilidad: No identificamos una ley ni un estándar oficial de accesibilidad web.

El Salvador

Protección de datos: Rige la Ley para la Protección de Datos Personales (Decreto Legislativo 144 de 2024), reformada en septiembre de 2026 por el Decreto Legislativo 659, que eliminó la obligación de las empresas privadas de nombrar un delegado. Exige consentimiento expreso y da a las personas el derecho a saber quién resguarda sus datos, incluidos los proveedores de nube.
Autoridad: Agencia de Ciberseguridad del Estado (ACE), entidad rectora en datos personales. No verificamos una dirección web oficial.
Derechos de las personas: Derechos ARCO-POL: acceso, rectificación, cancelación, oposición, limitación, portabilidad y olvido. Se ejercen de forma gratuita ante el responsable.
Transferencias internacionales: Toda transferencia internacional requiere, salvo excepciones, el consentimiento previo de la persona, un contrato con el receptor con obligaciones equivalentes y poner el flujo en conocimiento de la ACE.
Aviso de incidentes: Hay que notificar a la ACE, a la Fiscalía General de la República y a los titulares afectados en un máximo de 72 horas desde que se conoce la vulneración, y llevar un registro de todas ellas.
Consumidor y comercio electrónico: Ley de Protección al Consumidor, con obligaciones para el comercio electrónico, aplicada por la Defensoría del Consumidor (https://www.defensoria.gob.sv). La Ley de Comercio Electrónico (2020) cubre los contratos electrónicos entre empresas, y la Ley de Firma Electrónica (2015) su validez.
Accesibilidad: Ley Especial de Inclusión de las Personas con Discapacidad. No identificamos un estándar web obligatorio para privados.

Guatemala

Protección de datos: No hay una ley general de protección de datos personales; hay iniciativas en el Congreso, como la 6464, sin aprobar a octubre de 2026. Rigen la Constitución, la jurisprudencia de la Corte de Constitucionalidad sobre autodeterminación informativa y la Ley de Acceso a la Información Pública (Decreto 57-2008), que aplica a los sujetos obligados.
Autoridad: No hay una autoridad de datos para el sector privado. En la Ley de Acceso a la Información Pública actúa el Procurador de los Derechos Humanos: https://www.pdh.org.gt
Derechos de las personas: Hábeas data frente a los sujetos obligados: acceso, actualización, rectificación y protección. Frente a privados no hay un régimen legal de derechos ARCO; la vía es el amparo constitucional.
Transferencias internacionales: No hay un régimen específico de transferencias internacionales.
Aviso de incidentes: No hay una obligación legal general de notificar incidentes.
Consumidor y comercio electrónico: Ley de Protección al Consumidor y Usuario (Decreto 006-2003), aplicada por la DIACO, y Ley para el Reconocimiento de las Comunicaciones y Firmas Electrónicas (Decreto 47-2008).
Accesibilidad: Ley de Atención a las Personas con Discapacidad (Decreto 135-96). No identificamos un estándar oficial de accesibilidad web obligatorio para privados.

Haití

Protección de datos: No hay una ley general de protección de datos. Un decreto reglamentario de 2018 exige consentimiento, y el Código Penal de 2020 tipifica el tratamiento ilícito de datos, aunque su vigencia no está clara. Nuestra confianza en esta información es baja.
Autoridad: No hay una autoridad nacional de protección de datos.
Derechos de las personas: No hay un catálogo legal de derechos. El decreto de 2018 implica derechos de acceso y modificación, y la Constitución de 1987 protege la vida privada.
Transferencias internacionales: No hay un régimen específico de transferencias internacionales.
Aviso de incidentes: No hay obligación de notificar incidentes.
Consumidor y comercio electrónico: Hay leyes sobre intercambios electrónicos y firma electrónica de 2017, actualizadas en 2025. No identificamos una ley general de protección al consumidor vigente.
Accesibilidad: Hay una ley de 2012 sobre la integración de las personas con discapacidad; no identificamos un estándar web oficial.

Honduras

Protección de datos: No hay una ley general vigente: el proyecto de Ley de Protección de Datos Personales impulsado por el IAIP seguía pendiente en agosto de 2026. Rigen el hábeas data del art. 182 de la Constitución y la Ley de Transparencia y Acceso a la Información Pública, que exige consentimiento expreso y escrito para transferir datos personales confidenciales.
Autoridad: No hay una autoridad específica de protección de datos. El Instituto de Acceso a la Información Pública tiene funciones parciales: https://www.iaip.gob.hn
Derechos de las personas: Hábeas data constitucional: acceso, rectificación, confidencialidad y supresión de datos falsos, mediante una acción ante la Sala de lo Constitucional.
Transferencias internacionales: No hay un régimen específico. La normativa de transparencia exige consentimiento expreso y escrito para transferir datos personales confidenciales, salvo excepciones.
Aviso de incidentes: No hay una obligación legal de notificar incidentes.
Consumidor y comercio electrónico: Ley de Protección al Consumidor (2008), con un reglamento vigente desde 2021, y Ley sobre Firmas Electrónicas (Decreto 149-2013). Existe además una ley de comercio electrónico de 2015 cuyo número no verificamos.
Accesibilidad: Ley de Equidad y Desarrollo Integral para las Personas con Discapacidad (Decreto 160-2005). No identificamos un estándar oficial de accesibilidad web.

Nicaragua

Protección de datos: La Ley 787 de Protección de Datos Personales (2012) y su reglamento (Decreto 36-2012) están formalmente vigentes, pero su aplicación práctica es mínima porque la autoridad prevista no se ha constituido. Exige consentimiento para el tratamiento, en especial de datos sensibles.
Autoridad: La Ley 787 prevé una Dirección de Protección de Datos Personales en el Ministerio de Hacienda y Crédito Público, que no está operativa.
Derechos de las personas: Acceso, rectificación, modificación, cancelación y revocación del consentimiento, según la Ley 787.
Transferencias internacionales: Las cesiones requieren el consentimiento previo de la persona, informándole la finalidad y quién recibe los datos. No hay un régimen operativo de transferencias internacionales.
Aviso de incidentes: No hay una obligación general de notificar incidentes.
Consumidor y comercio electrónico: Ley 842 de Protección de los Derechos de las Personas Consumidoras y Usuarias (2013), reformada en 2021, y Ley 729 de Firma Electrónica (2010).
Accesibilidad: Ley 763 de los Derechos de las Personas con Discapacidad (2011). No identificamos un estándar oficial de accesibilidad web.

Panamá

Protección de datos: Rige la Ley 81 de 2019 sobre Protección de Datos Personales, vigente desde marzo de 2021 y reglamentada por el Decreto Ejecutivo 285 de 2021. El encargado actúa según las instrucciones del responsable y debe avisarle de inmediato ante un incidente.
Autoridad: Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI), Dirección de Protección de Datos Personales: https://www.antai.gob.pa
Derechos de las personas: Acceso, rectificación, cancelación, oposición y portabilidad. Se ejercen ante el responsable y, si no responde, se denuncia ante la ANTAI.
Transferencias internacionales: La regla general es el consentimiento previo e informado. Se permiten transferencias a países con protección adecuada, entre empresas del mismo grupo o con garantías contractuales.
Aviso de incidentes: Hay que notificar a la ANTAI y a los titulares afectados de inmediato y dentro de 72 horas, documentando las causas, los efectos y las medidas tomadas.
Consumidor y comercio electrónico: Ley 45 de 2007 de protección al consumidor, aplicada por la ACODECO (https://www.acodeco.gob.pa), y Ley 51 de 2008 sobre documentos, firmas y comercio electrónico, que exige consentimiento previo y una opción de baja en el correo comercial.
Accesibilidad: Ley 42 de 1999 sobre equiparación de oportunidades, reformada por la Ley 15 de 2016. No hay un estándar web obligatorio.

Puerto Rico

Protección de datos: No hay una ley general de privacidad, ni federal ni de Puerto Rico. Rigen leyes sectoriales, como la Ley 111-2005 de notificación de brechas, y leyes federales como la FTC Act, CAN-SPAM, la TCPA para mensajes y llamadas automatizadas y COPPA para menores de 13 años.
Autoridad: Departamento de Asuntos del Consumidor (DACO): https://www.daco.pr.gov. Federal Trade Commission (FTC): https://www.ftc.gov
Derechos de las personas: No hay derechos ARCO generales en la ley. La Constitución de Puerto Rico protege la vida privada, también frente a particulares, y existen derechos sectoriales.
Transferencias internacionales: No hay restricciones generales a las transferencias internacionales.
Aviso de incidentes: Si alguien accede sin autorización a cierta información personal no cifrada, hay que notificar a los afectados lo antes posible y presentar un informe al DACO dentro de 10 días desde la detección (Ley 111-2005).
Consumidor y comercio electrónico: Ley Orgánica del DACO y sus reglamentos contra prácticas engañosas, Ley 148-2006 de Transacciones Electrónicas y la ley federal E-SIGN. Para suscripciones con renovación automática aplican ROSCA y la regla de opción negativa de la FTC.
Accesibilidad: La Ley 229-2003 obliga a las agencias del Gobierno a seguir las pautas WCAG. Para privados, la ADA (Título III) se interpreta de forma dividida y se usa WCAG 2.1 AA como referencia.

República Dominicana

Protección de datos: Rige la Ley 172-13 sobre Protección Integral de los Datos Personales (2013), que exige un consentimiento libre, inequívoco e informado, con excepciones, y medidas de seguridad. Un proyecto de reforma que crearía una autoridad independiente seguía en discusión en 2026.
Autoridad: No hay una autoridad general de protección de datos para el sector privado. Pro Consumidor actúa en las relaciones de consumo (https://proconsumidor.gob.do), y los tribunales conocen el hábeas data.
Derechos de las personas: Acceso, rectificación y cancelación o supresión, más la acción de hábeas data (arts. 44 y 70 de la Constitución).
Transferencias internacionales: Solo con la autorización expresa de la persona o cuando sea necesaria para ejecutar un contrato con ella.
Aviso de incidentes: No hay una obligación legal vigente de notificar incidentes.
Consumidor y comercio electrónico: Ley 358-05 General de Protección de los Derechos del Consumidor o Usuario y Ley 126-02 de Comercio Electrónico, Documentos y Firmas Digitales. La Ley 310-14 exige consentimiento y un mecanismo de baja en los correos comerciales.
Accesibilidad: Ley 5-13 sobre Discapacidad. La norma NORTIC B2 de accesibilidad web es obligatoria para los portales del Estado y voluntaria para los privados.

Norteamérica

Estados Unidos

Protección de datos: No hay una ley federal general de privacidad; la FTC sanciona las prácticas desleales o engañosas, incluidas las promesas de privacidad incumplidas. Cerca de veinte estados tienen leyes generales vigentes, como California (CCPA y CPRA), Virginia, Colorado o Texas, con umbrales que muchos negocios pequeños no alcanzan.
Autoridad: Federal Trade Commission (FTC): https://www.ftc.gov. En California, la California Privacy Protection Agency (https://cppa.ca.gov); en los demás estados, sus fiscales generales.
Derechos de las personas: En California: saber y acceder, suprimir, corregir, excluirse de la venta o el intercambio de datos y limitar el uso de información sensible. En los demás estados con ley general: acceso, corrección, supresión, portabilidad y exclusión de la publicidad dirigida y del perfilado.
Transferencias internacionales: No hay una restricción general. Una regla del Departamento de Justicia vigente desde abril de 2025 limita dar acceso a grandes volúmenes de datos sensibles de personas en Estados Unidos a ciertos países, entre ellos China, Rusia, Irán, Corea del Norte y Cuba. Venezuela también figuraba en la lista; conviene verificar si sigue en ella.
Aviso de incidentes: Todos los estados tienen leyes de notificación de brechas, con plazos que van desde sin demora irrazonable hasta 30 a 60 días. Quien trata datos por cuenta de otro debe avisar de inmediato al dueño de los datos.
Consumidor y comercio electrónico: FTC Act y ROSCA, que exige consentimiento informado y una forma simple de cancelar las suscripciones; la regla federal de cancelación con un clic fue anulada en 2025. California tiene su propia ley de renovación automática, y las leyes E-SIGN y UETA dan validez a los contratos y firmas electrónicas.
Accesibilidad: La ADA (Título III) se interpreta de forma dividida para los sitios privados, y en la práctica se usa WCAG 2.1 AA como referencia. Para los gobiernos estatales y locales rige una regla del Departamento de Justicia basada en WCAG 2.1 AA.

México

Protección de datos: Rige la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada el 20 de marzo de 2025, que reemplazó a la ley de 2010; el reglamento de 2011 se sigue aplicando en lo que no se oponga. El encargado trata los datos solo según las instrucciones del responsable y los suprime o devuelve al terminar la relación.
Autoridad: Secretaría Anticorrupción y Buen Gobierno, que asumió en 2025 las funciones del extinto INAI: https://www.gob.mx/buengobierno
Derechos de las personas: Derechos ARCO (acceso, rectificación, cancelación y oposición) y revocación del consentimiento. El responsable tiene hasta 20 días para responder; después procede el procedimiento de protección de derechos ante la autoridad.
Transferencias internacionales: Transferir a un tercero distinto del encargado requiere consentimiento, salvo excepciones legales. La remisión a encargados, aunque estén en otro país, no requiere consentimiento si hay contrato e instrucciones.
Aviso de incidentes: El responsable debe informar de inmediato a los titulares las vulneraciones que afecten de forma significativa sus derechos patrimoniales o morales. La ley no prevé notificar a la autoridad.
Consumidor y comercio electrónico: Ley Federal de Protección al Consumidor, con reglas de comercio electrónico y, desde diciembre de 2025, deberes sobre cargos recurrentes, avisos de renovación y cancelación simple. Una microempresa acreditada puede reclamar ante PROFECO, y el Código de Comercio regula los mensajes de datos y la firma electrónica.
Accesibilidad: Ley General para la Inclusión de las Personas con Discapacidad (2011). Las disposiciones de accesibilidad web de 2015 obligan solo a la Administración Pública Federal; para privados no hay un estándar obligatorio.

Europa

España

Protección de datos: Rigen el Reglamento General de Protección de Datos de la Unión Europea (RGPD, Reglamento 2016/679) y la Ley Orgánica 3/2018 (LOPDGDD). El encargado necesita un contrato con el contenido del art. 28 del RGPD. La reforma del RGPD conocida como Digital Omnibus sigue en trámite, sin aprobar.
Autoridad: Agencia Española de Protección de Datos (AEPD): https://www.aepd.es
Derechos de las personas: Acceso, rectificación, supresión, limitación, portabilidad, oposición y no ser objeto de decisiones individuales automatizadas. Se ejercen gratis ante el responsable, que responde en un mes prorrogable, y se reclama ante la AEPD.
Transferencias internacionales: Fuera del Espacio Económico Europeo, solo a países con decisión de adecuación, como Argentina, Uruguay, Brasil desde 2026 o empresas de Estados Unidos certificadas en el Data Privacy Framework, o con cláusulas contractuales tipo y una evaluación de impacto. Chile y la mayoría de Latinoamérica no tienen adecuación.
Aviso de incidentes: El responsable notifica a la AEPD en 72 horas, salvo que sea improbable un riesgo, e informa a los afectados si el riesgo es alto. El encargado avisa al responsable sin dilación indebida.
Consumidor y comercio electrónico: Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007), con 14 días de desistimiento para consumidores, y Ley 34/2002 de servicios de la sociedad de la información, que regula las comunicaciones comerciales y las cookies. La Ley 7/1998 sobre condiciones generales de la contratación aplica también entre empresas.
Accesibilidad: Ley 11/2023, que transpone la Ley Europea de Accesibilidad y aplica desde junio de 2025 a los servicios de comercio electrónico a consumidores, con exención para las microempresas que prestan servicios. El estándar técnico es EN 301 549.

Portugal

Protección de datos: Rigen el RGPD y la Lei 58/2019, que lo ejecuta en Portugal; la autoridad decidió no aplicar algunas de sus disposiciones por considerarlas incompatibles con el RGPD. El subcontratante, como se llama allí al encargado, necesita un contrato con el contenido del art. 28 del RGPD.
Autoridad: Comissão Nacional de Proteção de Dados (CNPD): https://www.cnpd.pt
Derechos de las personas: Acceso, rectificación, supresión, limitación, portabilidad, oposición y no ser objeto de decisiones automatizadas. Se ejercen ante el responsable, que responde en un mes prorrogable, y se reclama ante la CNPD.
Transferencias internacionales: Las mismas reglas del RGPD que en España: adecuación, cláusulas contractuales tipo con evaluación de impacto o normas corporativas vinculantes.
Aviso de incidentes: El responsable notifica a la CNPD en 72 horas y a los titulares si el riesgo es alto. El encargado avisa al responsable sin demora injustificada.
Consumidor y comercio electrónico: Lei 24/96 de Defesa do Consumidor, Decreto-Lei 24/2014 sobre contratos a distancia, con 14 días para consumidores, Decreto-Lei 7/2004 de comercio electrónico y Decreto-Lei 446/85 sobre cláusulas generales, que aplica también entre empresas. El Livro de Reclamações electrónico aplica a quien presta servicios a consumidores.
Accesibilidad: Decreto-Lei 82/2022, que transpone la Ley Europea de Accesibilidad desde junio de 2025, y Decreto-Lei 83/2018 para el sector público (WCAG 2.1 AA).

Por qué importan las transferencias

La aplicación y la base de datos de Trazza funcionan en São Paulo (Brasil), y algunos proveedores están en Estados Unidos. Por eso conviene revisar qué exige la ley de cada país para enviar datos al extranjero.

Muchas leyes de la región permiten enviar datos a un encargado en otro país si hay un contrato que lo respalde. Otras exigen además el consentimiento de la persona o avisar a la autoridad.

Lo que se repite en casi todos los países

Informar a las personas qué datos se recogen y para qué, con una política o un aviso de privacidad.

Pedir consentimiento para los mensajes promocionales y respetar a quien pide no recibirlos.

Tener un contrato con quien trata datos por tu cuenta, como Trazza.

Proteger los datos con medidas de seguridad razonables y saber qué hacer ante un incidente.

Actualizaciones

Revisamos esta página de forma periódica. Si ves un dato desactualizado, avísanos por el canal de contacto indicado al final de esta página.

Antes de tomar decisiones importantes, consulta la fuente oficial o a un abogado de tu país.

Otros documentos legales

Volver al centro legal

Contacto

Si tienes preguntas sobre este documento o sobre tus datos, escríbenos a contacto@trazza.pro.

Quién opera Trazza

El servicio Trazza Pro se opera desde Santiago de Chile. Para consultas legales, de privacidad o sobre tus datos, escríbenos a contacto@trazza.pro.

Qué encontrarás aquí

Es información general, vigente a octubre de 2026, y no constituye asesoría legal. Las leyes cambian y algunas fuentes no pudimos verificarlas en el texto oficial; cuando es así, lo decimos.

Quién responde de qué

Cada negocio es responsable de cumplir las leyes de su país frente a sus clientes y su equipo.

Cómo leer cada país

Cuando una ley está aprobada pero aún no se aplica, o cuando solo existe un proyecto, lo indicamos de forma expresa. Un proyecto no obliga a nadie hasta que se aprueba y se publica.

Abre un país para ver su detalle. Puedes abrir varios a la vez.

Sudamérica

Argentina

Protección de datos: Rige la Ley 25.326 de Protección de los Datos Personales (2000), reglamentada por el Decreto 1558/2001, y la Ley 27.699 aprobó el Convenio 108+. Hay proyectos de reforma en el Congreso, como el expediente 3397-D-2026, sin sanción a octubre de 2026.
Autoridad: Agencia de Acceso a la Información Pública (AAIP): https://www.argentina.gob.ar/aaip
Derechos de las personas: Acceso (gratuito cada seis meses), rectificación, actualización, supresión y confidencialidad, ante el responsable. Si no responde, procede la denuncia ante la AAIP o la acción de habeas data.
Transferencias internacionales: La ley prohíbe transferir a países sin protección adecuada, salvo consentimiento o garantías contractuales. La autoridad aprobó cláusulas modelo (Disposición 60-E/2016 y Resolución AAIP 198/2023), y Estados Unidos no figura en la lista de países adecuados.
Aviso de incidentes: No hay un deber legal de notificar incidentes. La Resolución AAIP 47/2018 recomienda notificarlos a la AAIP y documentarlos.
Consumidor y comercio electrónico: Ley 24.240 de Defensa del Consumidor y Código Civil y Comercial, que da 10 días para revocar contratos a distancia. Las normas del botón de arrepentimiento y del botón de baja aplican a las ventas en línea a consumidores, y la Ley 25.506 regula la firma digital.
Accesibilidad: Ley 26.653 de accesibilidad web, con el Decreto 656/2019 y el estándar WCAG 2.0 AA. Obliga al Estado y a ciertas empresas vinculadas con él, no en general a las privadas.

Bolivia

Protección de datos: No hay una ley general de protección de datos personales. Rigen la Constitución, que protege la privacidad y prevé la Acción de Protección de Privacidad (arts. 130 y 131), y normas sectoriales como la Ley 164 de Telecomunicaciones y TIC. Hay proyectos de ley en trámite, ninguno promulgado a octubre de 2026.
Autoridad: No hay una autoridad de protección de datos. Tienen competencias sectoriales la AGETIC (https://www.agetic.gob.bo) y la ATT (https://www.att.gob.bo).
Derechos de las personas: La Acción de Protección de Privacidad permite conocer, objetar, rectificar o eliminar datos guardados en bases públicas o privadas, ante jueces y tribunales de garantías.
Transferencias internacionales: No hay reglas específicas sobre transferencias internacionales.
Aviso de incidentes: No hay un deber general de notificar incidentes; pueden aplicar reglas sectoriales.
Consumidor y comercio electrónico: Ley 453 General de los Derechos de las Usuarias y los Usuarios y de las Consumidoras y los Consumidores (2013), reglamentada por el DS 2130. La Ley 164 y sus reglamentos (DS 1793 y DS 3527) dan valor a los documentos y las firmas digitales.
Accesibilidad: Ley 223 General para Personas con Discapacidad (2012). La AGETIC fijó lineamientos para los sitios del Estado; no verificamos una obligación WCAG para privados.

Brasil

Protección de datos: Rige la Lei Geral de Proteção de Dados (LGPD, Ley 13.709/2018), con sanciones desde agosto de 2021. La Ley 15.352 de 2026 convirtió a la ANPD en agencia reguladora sin cambiar las obligaciones de fondo. El operador trata los datos según las instrucciones lícitas del controlador, aplica medidas de seguridad y responde de forma solidaria si las incumple.
Autoridad: Agência Nacional de Proteção de Dados (ANPD): https://www.gov.br/anpd/pt-br
Derechos de las personas: Confirmación y acceso, corrección, anonimización, bloqueo o eliminación, portabilidad, información sobre con quién se comparten los datos, revocación del consentimiento, oposición y revisión de decisiones automatizadas. Se ejercen gratis ante el controlador y luego ante la ANPD.
Transferencias internacionales: Por adecuación, con las cláusulas contractuales estándar de la ANPD (Resolución 19/2024) o con otros mecanismos. La Unión Europea y Brasil se reconocieron mutuamente como adecuados en enero de 2026; Estados Unidos no tiene adecuación.
Aviso de incidentes: El controlador comunica a la ANPD y a los titulares, dentro de 3 días hábiles, los incidentes que pueden causar un riesgo o daño relevante (Resolución 15/2024), y registra todos los incidentes.
Consumidor y comercio electrónico: Código de Defensa del Consumidor (Ley 8.078/1990), con 7 días de arrepentimiento en contratos a distancia, que puede proteger también a pequeños negocios; Decreto 7.962/2013 de comercio electrónico y Marco Civil de Internet (Ley 12.965/2014). La firma electrónica se rige por la MP 2.200-2/2001 y la Ley 14.063/2020.
Accesibilidad: La Ley Brasileña de Inclusión (Ley 13.146/2015, art. 63) exige accesibilidad en los sitios de empresas con sede o representación en Brasil. La norma ABNT NBR 17225:2025 se basa en WCAG 2.2.

Chile

Protección de datos: Hoy rige la Ley 19.628 sobre Protección de la Vida Privada (1999), y la Constitución protege los datos personales desde 2018 (art. 19 N° 4). La Ley 21.719, publicada en diciembre de 2024, modifica integralmente la Ley 19.628, crea la Agencia de Protección de Datos Personales y entra en vigor el 1 de diciembre de 2026. Un proyecto de ley para postergarla un año (Boletín 18.623-07) seguía en trámite en el Senado, sin aprobar, a octubre de 2026.
Autoridad: Hoy no hay una autoridad dedicada: las personas reclaman ante los tribunales, y el SERNAC actúa en las relaciones de consumo (https://www.sernac.cl). La Ley 21.719 crea la Agencia de Protección de Datos Personales, que todavía no está instalada.
Derechos de las personas: Con la Ley 19.628: acceso, rectificación, cancelación y bloqueo, más la acción judicial de habeas data. Con la Ley 21.719 se suman la oposición, la portabilidad y el derecho a no ser objeto de decisiones automatizadas, que se ejercen ante el responsable.
Transferencias internacionales: La Ley 19.628 no tiene un régimen específico. La Ley 21.719 permitirá transferir a países adecuados o con garantías, como cláusulas contractuales modelo; la lista de países y las cláusulas aún no se han dictado.
Aviso de incidentes: Hoy no existe un deber general de notificar. Con la Ley 21.719, el responsable debe reportar a la Agencia sin dilaciones indebidas e informar a los titulares en ciertos casos; la Ley 21.663 de ciberseguridad fija plazos propios para servicios esenciales.
Consumidor y comercio electrónico: Ley 19.496 de Protección de los Derechos de los Consumidores, reforzada por la Ley 21.398 (2021), con derecho de retracto en contratos a distancia, y Reglamento de Comercio Electrónico (DS 6/2021). La Ley 20.416 extiende ciertas protecciones a micro y pequeñas empresas, y la Ley 19.799 regula los documentos y la firma electrónica.
Accesibilidad: Ley 20.422 (2010) sobre igualdad de oportunidades para personas con discapacidad. La norma técnica web basada en WCAG (DS 1/2015) obliga a los órganos del Estado; para empresas privadas no hay una obligación WCAG general.

Colombia

Protección de datos: Rige la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios, compilados en el Decreto Único 1074 de 2015, junto con el habeas data del art. 15 de la Constitución. Hay proyectos de reforma en el Congreso, ninguno aprobado a octubre de 2026.
Autoridad: Superintendencia de Industria y Comercio (SIC), Delegatura para la Protección de Datos Personales: https://www.sic.gov.co
Derechos de las personas: Conocer, actualizar, rectificar y suprimir los datos, revocar la autorización, pedir prueba de ella y quejarse ante la SIC. Las consultas se responden en 10 días hábiles y los reclamos en 15, y antes de acudir a la SIC hay que reclamar al responsable o al encargado.
Transferencias internacionales: Solo a países con un nivel adecuado según la SIC, salvo excepciones. Enviar datos a un encargado en el extranjero (transmisión) no requiere autorización del titular si existe un contrato de transmisión, y la SIC adoptó en 2025 cláusulas modelo voluntarias.
Aviso de incidentes: El responsable y el encargado deben informar a la SIC las violaciones a los códigos de seguridad, a través del Registro Nacional de Bases de Datos, dentro de 15 días hábiles desde que las conocen.
Consumidor y comercio electrónico: Ley 1480 de 2011, Estatuto del Consumidor, con retracto de 5 días hábiles en ventas a distancia y reglas de comercio electrónico. La Ley 527 de 1999 regula los mensajes de datos y las firmas digitales, y la Ley 2300 de 2023 limita los horarios y canales de contacto con los consumidores.
Accesibilidad: Ley Estatutaria 1618 de 2013. La Resolución MinTIC 1519 de 2020 exige WCAG 2.1 AA a las entidades públicas.

Ecuador

Protección de datos: Rige la Ley Orgánica de Protección de Datos Personales (LOPDP, 2021), con régimen sancionador desde mayo de 2023 y un Reglamento General de noviembre de 2023. La Superintendencia dictó normas complementarias en 2025 y 2026, entre ellas sobre transferencias, inteligencia artificial y notificación de vulneraciones.
Autoridad: Superintendencia de Protección de Datos Personales (SPDP): https://spdp.gob.ec
Derechos de las personas: Información, acceso, rectificación y actualización, eliminación, oposición, portabilidad, suspensión del tratamiento y no ser objeto de decisiones basadas solo en valoraciones automatizadas. Se ejercen ante el responsable y luego ante la SPDP o con la acción de habeas data.
Transferencias internacionales: Se permite transferir a países adecuados o, si no lo son, con garantías como cláusulas contractuales tipo o normas corporativas vinculantes, según la Norma General de Transferencias de enero de 2026.
Aviso de incidentes: El encargado avisa al responsable en un máximo de 2 días, y el responsable notifica a la SPDP en un máximo de 5 días e informa a los titulares en lenguaje claro (art. 43 de la LOPDP y norma técnica de septiembre de 2026).
Consumidor y comercio electrónico: Ley Orgánica de Defensa del Consumidor (2000) y Ley de Comercio Electrónico, Firmas Electrónicas y Mensajes de Datos (2002), que exige el consentimiento del consumidor para usar medios electrónicos.
Accesibilidad: Ley Orgánica de Discapacidades (2012). El reglamento técnico RTE INEN 288 sobre contenido web, equivalente a WCAG 2.0, se orienta principalmente al sector público.

Guyana

Protección de datos: La Data Protection Act 2023 (Act No. 18 of 2023), de corte similar al RGPD, está promulgada, pero entra en vigor por orden ministerial y no encontramos esa orden publicada a octubre de 2026. Mientras tanto rigen la protección constitucional de la privacidad y el common law.
Autoridad: La ley prevé un Data Protection Commissioner que aún no está establecido. El Ministerio de Asuntos Legales coordina su implementación: https://mola.gov.gy
Derechos de las personas: La ley reconoce acceso, rectificación, supresión, restricción, portabilidad, oposición y derechos frente a decisiones automatizadas, que todavía no son operativos.
Transferencias internacionales: La ley regula las transferencias fuera de Guyana con protección adecuada o salvaguardas, pero esa parte aún no es operativa.
Aviso de incidentes: La ley prevé notificar al Commissioner y a los titulares. No verificamos el plazo, y hoy no hay un canal operativo.
Consumidor y comercio electrónico: Consumer Affairs Act 2011, aplicada por la Competition and Consumer Affairs Commission, y Electronic Communications and Transactions Act 2023 sobre contratos y firmas electrónicas.
Accesibilidad: Persons with Disabilities Act 2010, sin una obligación web específica verificada.

Paraguay

Protección de datos: La Ley 7593/2025 de Protección de Datos Personales, promulgada en noviembre de 2025, es la primera ley general del país. Tiene una transición de dos años, así que su plena exigibilidad se espera hacia fines de 2027, sujeta a reglamentación. Hasta entonces rigen el habeas data constitucional y leyes sectoriales, como la Ley 6534/2020 de datos crediticios.
Autoridad: La Ley 7593 crea la Agencia Nacional de Protección de Datos Personales dentro del MITIC, que aún está en formación: https://www.mitic.gov.py
Derechos de las personas: La Ley 7593 reconoce acceso, rectificación, supresión, oposición, portabilidad y revisión de decisiones automatizadas, entre otros. Mientras no sea plenamente exigible, se usa la acción de habeas data del art. 135 de la Constitución.
Transferencias internacionales: La Ley 7593 permite transferir a países adecuados o con garantías, como cláusulas contractuales; el detalle depende de la reglamentación pendiente.
Aviso de incidentes: Fuentes secundarias indican que la Ley 7593 exige notificar a la autoridad y a los afectados en 72 horas, pero no lo verificamos en el texto oficial. Antes de su plena vigencia no hay un deber general.
Consumidor y comercio electrónico: Ley 1334/1998 de Defensa del Consumidor y del Usuario, aplicada por SEDECO, y Ley 4868/2013 de Comercio Electrónico. La Ley 6822/2021 regula la firma electrónica y los servicios de confianza.
Accesibilidad: No verificamos una ley ni una norma técnica obligatoria de accesibilidad web.

Perú

Protección de datos: Rige la Ley 29733 de Protección de Datos Personales (2011) y su nuevo Reglamento (DS 016-2024-JUS), vigente desde el 30 de marzo de 2025, que suma responsabilidad proactiva, portabilidad y un Oficial de Datos Personales obligatorio cuando se tratan grandes volúmenes o datos sensibles, con plazos escalonados según el tamaño de la empresa. Los responsables inscriben sus bancos de datos en el Registro Nacional.
Autoridad: Autoridad Nacional de Protección de Datos Personales (ANPD), del Ministerio de Justicia y Derechos Humanos: https://www.gob.pe/institucion/anpd
Derechos de las personas: Derechos ARCO (acceso, rectificación, cancelación y oposición), más información, portabilidad y tratamiento objetivo frente a decisiones automatizadas. Se ejercen ante el titular del banco de datos y, si no responde, procede la tutela ante la ANPD.
Transferencias internacionales: Se permite el flujo transfronterizo a países adecuados o con garantías, como las cláusulas modelo de la ANPD, y debe comunicarse a la autoridad. No comunicarlo ha sido sancionado.
Aviso de incidentes: Hay que notificar a la ANPD dentro de 48 horas los incidentes graves, como los que afectan grandes volúmenes o datos sensibles, e informar a los titulares afectados. Todos los incidentes se documentan.
Consumidor y comercio electrónico: Código de Protección y Defensa del Consumidor (Ley 29571), a cargo de INDECOPI. La Ley 32495 (2025) extiende el Libro de Reclamaciones a las plataformas de comercio electrónico, y la Ley 27269 regula las firmas y los certificados digitales.
Accesibilidad: Ley 29973 General de la Persona con Discapacidad. Un lineamiento de 2025 basado en WCAG 2.2 es obligatorio para las entidades públicas.

Surinam

Protección de datos: No hay una ley general de protección de datos; un proyecto presentado en 2018 sigue pendiente según la información disponible. Rigen el art. 17 de la Constitución sobre la vida privada, la Wet Elektronisch Rechtsverkeer 2017 sobre los datos que recaban los proveedores electrónicos y el nuevo Código Civil, vigente desde mayo de 2025.
Autoridad: No hay una autoridad de protección de datos.
Derechos de las personas: No hay un catálogo legal de derechos. La privacidad se protege ante los tribunales y por la vía de la responsabilidad civil.
Transferencias internacionales: No hay restricciones legales específicas a las transferencias internacionales.
Aviso de incidentes: No hay una obligación legal general de notificar incidentes.
Consumidor y comercio electrónico: La Wet Elektronisch Rechtsverkeer 2017 regula los contratos y mensajes electrónicos. Un proyecto de ley de protección al consumidor de 2020 no consta aprobado.
Accesibilidad: No hay ley ni estándar de accesibilidad digital. Surinam ratificó en 2017 la Convención de la ONU sobre los Derechos de las Personas con Discapacidad.

Uruguay

Protección de datos: Rige la Ley 18.331 de Protección de Datos Personales (2008), con el Decreto 414/009, actualizada por la Ley 19.670 y el Decreto 64/020. La Unión Europea reconoce a Uruguay como país con protección adecuada.
Autoridad: Unidad Reguladora y de Control de Datos Personales (URCDP), de AGESIC: https://www.gub.uy/unidad-reguladora-control-datos-personales
Derechos de las personas: Acceso, rectificación, actualización, inclusión y supresión, además del derecho a ser informado. Se ejercen ante el responsable y, si no responde, procede la acción de habeas data o la denuncia ante la URCDP.
Transferencias internacionales: Solo a países adecuados o con garantías contractuales, según resoluciones de la URCDP; desde 2023 las organizaciones adheridas al Data Privacy Framework de Estados Unidos cuentan como adecuadas. La Ley 20.075 exige informar a las personas que habrá transferencia internacional.
Aviso de incidentes: El Decreto 64/020 exige iniciar medidas en 24 horas, comunicar el incidente a la URCDP en un máximo de 72 horas e informar a los titulares cuando sus derechos se afecten de forma significativa. El encargado avisa de inmediato al responsable.
Consumidor y comercio electrónico: Ley 17.250 de Relaciones de Consumo, con derecho de retracto en ventas fuera del local, incluidas las informáticas, y Decreto 167/021 sobre información en el comercio electrónico. La Ley 18.600 regula el documento y la firma electrónica.
Accesibilidad: Ley 18.651 de protección integral de personas con discapacidad. El Decreto 406/022 exige WCAG 2.1 A y AA al Estado y a las personas públicas no estatales; para privados no es obligatoria.

Venezuela

Protección de datos: No hay una ley general de protección de datos personales. Rigen la Constitución de 1999 (art. 28, habeas data, y art. 60, intimidad), la jurisprudencia del Tribunal Supremo de Justicia y normas sectoriales como la Ley Especial contra los Delitos Informáticos (2001).
Autoridad: No hay una autoridad de protección de datos: actúan los tribunales y la Defensoría del Pueblo. SUSCERTE es la autoridad de firma electrónica: https://www.suscerte.gob.ve
Derechos de las personas: Habeas data (art. 28 de la Constitución): acceder a los propios datos, conocer su uso y finalidad, y pedir su actualización, rectificación o destrucción cuando son erróneos o afectan derechos.
Transferencias internacionales: No hay reglas específicas sobre transferencias internacionales.
Aviso de incidentes: No hay un deber general de notificar incidentes.
Consumidor y comercio electrónico: Ley Orgánica de Precios Justos (2015), a cargo de la SUNDDE, con una reforma en discusión en 2026 cuyo estado no verificamos. El Decreto-Ley sobre Mensajes de Datos y Firmas Electrónicas (2001) da valor probatorio a los mensajes de datos.
Accesibilidad: Ley Orgánica para la Inclusión, Igualdad y Desarrollo Integral de las Personas con Discapacidad (2024). No verificamos un estándar WCAG obligatorio.

Centroamérica y el Caribe

Belice

Protección de datos: La Data Protection Act 2021 (Act No. 45 of 2021), de corte similar al RGPD, está promulgada, pero entra en vigor por orden ministerial y no verificamos que esa orden se haya publicado a octubre de 2026. Mientras tanto rigen la protección constitucional de la vida privada y el common law.
Autoridad: La ley prevé un Data Protection Commissioner, que no está nombrado.
Derechos de las personas: La ley reconoce acceso, rectificación, supresión, restricción, portabilidad, oposición, incluida la oposición al marketing directo, y derechos frente a decisiones automatizadas; todavía no son operativos.
Transferencias internacionales: La ley regula las transferencias fuera de Belice con protección adecuada, salvaguardas o normas corporativas vinculantes, pero esa parte aún no es operativa.
Aviso de incidentes: Una fuente secundaria indica que hay que notificar a la autoridad dentro de 72 horas cuando sea posible; no lo verificamos en el texto de la ley, y hoy no hay un canal operativo.
Consumidor y comercio electrónico: Electronic Transactions Act 2021 sobre contratos electrónicos. No hay una ley general de protección al consumidor.
Accesibilidad: Disabilities Act 2024, que cubre edificios, transporte y servicios esenciales; no verificamos obligaciones para sitios web.

Costa Rica

Protección de datos: Rige la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales (2011) y su reglamento. Exige consentimiento informado, expreso e inequívoco. En octubre de 2026 se presentó un proyecto de reforma sobre filtraciones (expediente 25.826), sin aprobar.
Autoridad: Agencia de Protección de Datos de los Habitantes (PRODHAB): http://www.prodhab.go.cr
Derechos de las personas: Acceso, rectificación y supresión, y revocación del consentimiento. Se reclama ante la PRODHAB o con un recurso de amparo ante la Sala Constitucional.
Transferencias internacionales: Transferir a terceros requiere consentimiento expreso y escrito. Las comunicaciones a proveedores tecnológicos que actúan por cuenta del responsable no se consideran transferencias.
Aviso de incidentes: Hay que notificar a la persona afectada y a la PRODHAB dentro de los 5 días hábiles siguientes a conocer la vulneración.
Consumidor y comercio electrónico: Ley 7472 de Promoción de la Competencia y Defensa Efectiva del Consumidor, con reglas de comercio electrónico en su reglamento, y Ley 8454 de Certificados, Firmas Digitales y Documentos Electrónicos. Según la Ley General de Telecomunicaciones, el marketing no solicitado requiere consentimiento previo.
Accesibilidad: Ley 7600 de Igualdad de Oportunidades para las Personas con Discapacidad. Una directriz de 2019 exige WCAG 2.1 al Poder Ejecutivo; no obliga a privados.

Cuba

Protección de datos: Rige la Ley 149/2022 de Protección de Datos Personales, vigente desde febrero de 2023, que distingue entre responsable y encargado. La Resolución 58/2022 del Ministerio de Comunicaciones fija requisitos de seguridad y de registro para las bases de datos electrónicas.
Autoridad: El Ministerio de Justicia como regulador, según fuentes secundarias, y el Ministerio de Comunicaciones para la seguridad de los datos electrónicos: https://www.mincom.gob.cu
Derechos de las personas: Acceso, rectificación y actualización, cancelación y oposición, que se ejercen ante el responsable o el encargado. No verificamos los plazos de respuesta.
Transferencias internacionales: La ley regula las transferencias internacionales, pero no verificamos el texto final de esas reglas.
Aviso de incidentes: No encontramos una obligación clara de notificar incidentes en la Ley 149.
Consumidor y comercio electrónico: No hay una ley general de protección al consumidor; rige la Resolución 54/2018 del Ministerio del Comercio Interior. El comercio en línea se regula por el Decreto-Ley 370/2018 y por normas de 2023 y 2026.
Accesibilidad: No identificamos una ley ni un estándar oficial de accesibilidad web.

El Salvador

Protección de datos: Rige la Ley para la Protección de Datos Personales (Decreto Legislativo 144 de 2024), reformada en septiembre de 2026 por el Decreto Legislativo 659, que eliminó la obligación de las empresas privadas de nombrar un delegado. Exige consentimiento expreso y da a las personas el derecho a saber quién resguarda sus datos, incluidos los proveedores de nube.
Autoridad: Agencia de Ciberseguridad del Estado (ACE), entidad rectora en datos personales. No verificamos una dirección web oficial.
Derechos de las personas: Derechos ARCO-POL: acceso, rectificación, cancelación, oposición, limitación, portabilidad y olvido. Se ejercen de forma gratuita ante el responsable.
Transferencias internacionales: Toda transferencia internacional requiere, salvo excepciones, el consentimiento previo de la persona, un contrato con el receptor con obligaciones equivalentes y poner el flujo en conocimiento de la ACE.
Aviso de incidentes: Hay que notificar a la ACE, a la Fiscalía General de la República y a los titulares afectados en un máximo de 72 horas desde que se conoce la vulneración, y llevar un registro de todas ellas.
Consumidor y comercio electrónico: Ley de Protección al Consumidor, con obligaciones para el comercio electrónico, aplicada por la Defensoría del Consumidor (https://www.defensoria.gob.sv). La Ley de Comercio Electrónico (2020) cubre los contratos electrónicos entre empresas, y la Ley de Firma Electrónica (2015) su validez.
Accesibilidad: Ley Especial de Inclusión de las Personas con Discapacidad. No identificamos un estándar web obligatorio para privados.

Guatemala

Protección de datos: No hay una ley general de protección de datos personales; hay iniciativas en el Congreso, como la 6464, sin aprobar a octubre de 2026. Rigen la Constitución, la jurisprudencia de la Corte de Constitucionalidad sobre autodeterminación informativa y la Ley de Acceso a la Información Pública (Decreto 57-2008), que aplica a los sujetos obligados.
Autoridad: No hay una autoridad de datos para el sector privado. En la Ley de Acceso a la Información Pública actúa el Procurador de los Derechos Humanos: https://www.pdh.org.gt
Derechos de las personas: Hábeas data frente a los sujetos obligados: acceso, actualización, rectificación y protección. Frente a privados no hay un régimen legal de derechos ARCO; la vía es el amparo constitucional.
Transferencias internacionales: No hay un régimen específico de transferencias internacionales.
Aviso de incidentes: No hay una obligación legal general de notificar incidentes.
Consumidor y comercio electrónico: Ley de Protección al Consumidor y Usuario (Decreto 006-2003), aplicada por la DIACO, y Ley para el Reconocimiento de las Comunicaciones y Firmas Electrónicas (Decreto 47-2008).
Accesibilidad: Ley de Atención a las Personas con Discapacidad (Decreto 135-96). No identificamos un estándar oficial de accesibilidad web obligatorio para privados.

Haití

Protección de datos: No hay una ley general de protección de datos. Un decreto reglamentario de 2018 exige consentimiento, y el Código Penal de 2020 tipifica el tratamiento ilícito de datos, aunque su vigencia no está clara. Nuestra confianza en esta información es baja.
Autoridad: No hay una autoridad nacional de protección de datos.
Derechos de las personas: No hay un catálogo legal de derechos. El decreto de 2018 implica derechos de acceso y modificación, y la Constitución de 1987 protege la vida privada.
Transferencias internacionales: No hay un régimen específico de transferencias internacionales.
Aviso de incidentes: No hay obligación de notificar incidentes.
Consumidor y comercio electrónico: Hay leyes sobre intercambios electrónicos y firma electrónica de 2017, actualizadas en 2025. No identificamos una ley general de protección al consumidor vigente.
Accesibilidad: Hay una ley de 2012 sobre la integración de las personas con discapacidad; no identificamos un estándar web oficial.

Honduras

Protección de datos: No hay una ley general vigente: el proyecto de Ley de Protección de Datos Personales impulsado por el IAIP seguía pendiente en agosto de 2026. Rigen el hábeas data del art. 182 de la Constitución y la Ley de Transparencia y Acceso a la Información Pública, que exige consentimiento expreso y escrito para transferir datos personales confidenciales.
Autoridad: No hay una autoridad específica de protección de datos. El Instituto de Acceso a la Información Pública tiene funciones parciales: https://www.iaip.gob.hn
Derechos de las personas: Hábeas data constitucional: acceso, rectificación, confidencialidad y supresión de datos falsos, mediante una acción ante la Sala de lo Constitucional.
Transferencias internacionales: No hay un régimen específico. La normativa de transparencia exige consentimiento expreso y escrito para transferir datos personales confidenciales, salvo excepciones.
Aviso de incidentes: No hay una obligación legal de notificar incidentes.
Consumidor y comercio electrónico: Ley de Protección al Consumidor (2008), con un reglamento vigente desde 2021, y Ley sobre Firmas Electrónicas (Decreto 149-2013). Existe además una ley de comercio electrónico de 2015 cuyo número no verificamos.
Accesibilidad: Ley de Equidad y Desarrollo Integral para las Personas con Discapacidad (Decreto 160-2005). No identificamos un estándar oficial de accesibilidad web.

Nicaragua

Protección de datos: La Ley 787 de Protección de Datos Personales (2012) y su reglamento (Decreto 36-2012) están formalmente vigentes, pero su aplicación práctica es mínima porque la autoridad prevista no se ha constituido. Exige consentimiento para el tratamiento, en especial de datos sensibles.
Autoridad: La Ley 787 prevé una Dirección de Protección de Datos Personales en el Ministerio de Hacienda y Crédito Público, que no está operativa.
Derechos de las personas: Acceso, rectificación, modificación, cancelación y revocación del consentimiento, según la Ley 787.
Transferencias internacionales: Las cesiones requieren el consentimiento previo de la persona, informándole la finalidad y quién recibe los datos. No hay un régimen operativo de transferencias internacionales.
Aviso de incidentes: No hay una obligación general de notificar incidentes.
Consumidor y comercio electrónico: Ley 842 de Protección de los Derechos de las Personas Consumidoras y Usuarias (2013), reformada en 2021, y Ley 729 de Firma Electrónica (2010).
Accesibilidad: Ley 763 de los Derechos de las Personas con Discapacidad (2011). No identificamos un estándar oficial de accesibilidad web.

Panamá

Protección de datos: Rige la Ley 81 de 2019 sobre Protección de Datos Personales, vigente desde marzo de 2021 y reglamentada por el Decreto Ejecutivo 285 de 2021. El encargado actúa según las instrucciones del responsable y debe avisarle de inmediato ante un incidente.
Autoridad: Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI), Dirección de Protección de Datos Personales: https://www.antai.gob.pa
Derechos de las personas: Acceso, rectificación, cancelación, oposición y portabilidad. Se ejercen ante el responsable y, si no responde, se denuncia ante la ANTAI.
Transferencias internacionales: La regla general es el consentimiento previo e informado. Se permiten transferencias a países con protección adecuada, entre empresas del mismo grupo o con garantías contractuales.
Aviso de incidentes: Hay que notificar a la ANTAI y a los titulares afectados de inmediato y dentro de 72 horas, documentando las causas, los efectos y las medidas tomadas.
Consumidor y comercio electrónico: Ley 45 de 2007 de protección al consumidor, aplicada por la ACODECO (https://www.acodeco.gob.pa), y Ley 51 de 2008 sobre documentos, firmas y comercio electrónico, que exige consentimiento previo y una opción de baja en el correo comercial.
Accesibilidad: Ley 42 de 1999 sobre equiparación de oportunidades, reformada por la Ley 15 de 2016. No hay un estándar web obligatorio.

Puerto Rico

Protección de datos: No hay una ley general de privacidad, ni federal ni de Puerto Rico. Rigen leyes sectoriales, como la Ley 111-2005 de notificación de brechas, y leyes federales como la FTC Act, CAN-SPAM, la TCPA para mensajes y llamadas automatizadas y COPPA para menores de 13 años.
Autoridad: Departamento de Asuntos del Consumidor (DACO): https://www.daco.pr.gov. Federal Trade Commission (FTC): https://www.ftc.gov
Derechos de las personas: No hay derechos ARCO generales en la ley. La Constitución de Puerto Rico protege la vida privada, también frente a particulares, y existen derechos sectoriales.
Transferencias internacionales: No hay restricciones generales a las transferencias internacionales.
Aviso de incidentes: Si alguien accede sin autorización a cierta información personal no cifrada, hay que notificar a los afectados lo antes posible y presentar un informe al DACO dentro de 10 días desde la detección (Ley 111-2005).
Consumidor y comercio electrónico: Ley Orgánica del DACO y sus reglamentos contra prácticas engañosas, Ley 148-2006 de Transacciones Electrónicas y la ley federal E-SIGN. Para suscripciones con renovación automática aplican ROSCA y la regla de opción negativa de la FTC.
Accesibilidad: La Ley 229-2003 obliga a las agencias del Gobierno a seguir las pautas WCAG. Para privados, la ADA (Título III) se interpreta de forma dividida y se usa WCAG 2.1 AA como referencia.

República Dominicana

Protección de datos: Rige la Ley 172-13 sobre Protección Integral de los Datos Personales (2013), que exige un consentimiento libre, inequívoco e informado, con excepciones, y medidas de seguridad. Un proyecto de reforma que crearía una autoridad independiente seguía en discusión en 2026.
Autoridad: No hay una autoridad general de protección de datos para el sector privado. Pro Consumidor actúa en las relaciones de consumo (https://proconsumidor.gob.do), y los tribunales conocen el hábeas data.
Derechos de las personas: Acceso, rectificación y cancelación o supresión, más la acción de hábeas data (arts. 44 y 70 de la Constitución).
Transferencias internacionales: Solo con la autorización expresa de la persona o cuando sea necesaria para ejecutar un contrato con ella.
Aviso de incidentes: No hay una obligación legal vigente de notificar incidentes.
Consumidor y comercio electrónico: Ley 358-05 General de Protección de los Derechos del Consumidor o Usuario y Ley 126-02 de Comercio Electrónico, Documentos y Firmas Digitales. La Ley 310-14 exige consentimiento y un mecanismo de baja en los correos comerciales.
Accesibilidad: Ley 5-13 sobre Discapacidad. La norma NORTIC B2 de accesibilidad web es obligatoria para los portales del Estado y voluntaria para los privados.

Norteamérica

Estados Unidos

Protección de datos: No hay una ley federal general de privacidad; la FTC sanciona las prácticas desleales o engañosas, incluidas las promesas de privacidad incumplidas. Cerca de veinte estados tienen leyes generales vigentes, como California (CCPA y CPRA), Virginia, Colorado o Texas, con umbrales que muchos negocios pequeños no alcanzan.
Autoridad: Federal Trade Commission (FTC): https://www.ftc.gov. En California, la California Privacy Protection Agency (https://cppa.ca.gov); en los demás estados, sus fiscales generales.
Derechos de las personas: En California: saber y acceder, suprimir, corregir, excluirse de la venta o el intercambio de datos y limitar el uso de información sensible. En los demás estados con ley general: acceso, corrección, supresión, portabilidad y exclusión de la publicidad dirigida y del perfilado.
Transferencias internacionales: No hay una restricción general. Una regla del Departamento de Justicia vigente desde abril de 2025 limita dar acceso a grandes volúmenes de datos sensibles de personas en Estados Unidos a ciertos países, entre ellos China, Rusia, Irán, Corea del Norte y Cuba. Venezuela también figuraba en la lista; conviene verificar si sigue en ella.
Aviso de incidentes: Todos los estados tienen leyes de notificación de brechas, con plazos que van desde sin demora irrazonable hasta 30 a 60 días. Quien trata datos por cuenta de otro debe avisar de inmediato al dueño de los datos.
Consumidor y comercio electrónico: FTC Act y ROSCA, que exige consentimiento informado y una forma simple de cancelar las suscripciones; la regla federal de cancelación con un clic fue anulada en 2025. California tiene su propia ley de renovación automática, y las leyes E-SIGN y UETA dan validez a los contratos y firmas electrónicas.
Accesibilidad: La ADA (Título III) se interpreta de forma dividida para los sitios privados, y en la práctica se usa WCAG 2.1 AA como referencia. Para los gobiernos estatales y locales rige una regla del Departamento de Justicia basada en WCAG 2.1 AA.

México

Protección de datos: Rige la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada el 20 de marzo de 2025, que reemplazó a la ley de 2010; el reglamento de 2011 se sigue aplicando en lo que no se oponga. El encargado trata los datos solo según las instrucciones del responsable y los suprime o devuelve al terminar la relación.
Autoridad: Secretaría Anticorrupción y Buen Gobierno, que asumió en 2025 las funciones del extinto INAI: https://www.gob.mx/buengobierno
Derechos de las personas: Derechos ARCO (acceso, rectificación, cancelación y oposición) y revocación del consentimiento. El responsable tiene hasta 20 días para responder; después procede el procedimiento de protección de derechos ante la autoridad.
Transferencias internacionales: Transferir a un tercero distinto del encargado requiere consentimiento, salvo excepciones legales. La remisión a encargados, aunque estén en otro país, no requiere consentimiento si hay contrato e instrucciones.
Aviso de incidentes: El responsable debe informar de inmediato a los titulares las vulneraciones que afecten de forma significativa sus derechos patrimoniales o morales. La ley no prevé notificar a la autoridad.
Consumidor y comercio electrónico: Ley Federal de Protección al Consumidor, con reglas de comercio electrónico y, desde diciembre de 2025, deberes sobre cargos recurrentes, avisos de renovación y cancelación simple. Una microempresa acreditada puede reclamar ante PROFECO, y el Código de Comercio regula los mensajes de datos y la firma electrónica.
Accesibilidad: Ley General para la Inclusión de las Personas con Discapacidad (2011). Las disposiciones de accesibilidad web de 2015 obligan solo a la Administración Pública Federal; para privados no hay un estándar obligatorio.

Europa

España

Protección de datos: Rigen el Reglamento General de Protección de Datos de la Unión Europea (RGPD, Reglamento 2016/679) y la Ley Orgánica 3/2018 (LOPDGDD). El encargado necesita un contrato con el contenido del art. 28 del RGPD. La reforma del RGPD conocida como Digital Omnibus sigue en trámite, sin aprobar.
Autoridad: Agencia Española de Protección de Datos (AEPD): https://www.aepd.es
Derechos de las personas: Acceso, rectificación, supresión, limitación, portabilidad, oposición y no ser objeto de decisiones individuales automatizadas. Se ejercen gratis ante el responsable, que responde en un mes prorrogable, y se reclama ante la AEPD.
Transferencias internacionales: Fuera del Espacio Económico Europeo, solo a países con decisión de adecuación, como Argentina, Uruguay, Brasil desde 2026 o empresas de Estados Unidos certificadas en el Data Privacy Framework, o con cláusulas contractuales tipo y una evaluación de impacto. Chile y la mayoría de Latinoamérica no tienen adecuación.
Aviso de incidentes: El responsable notifica a la AEPD en 72 horas, salvo que sea improbable un riesgo, e informa a los afectados si el riesgo es alto. El encargado avisa al responsable sin dilación indebida.
Consumidor y comercio electrónico: Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007), con 14 días de desistimiento para consumidores, y Ley 34/2002 de servicios de la sociedad de la información, que regula las comunicaciones comerciales y las cookies. La Ley 7/1998 sobre condiciones generales de la contratación aplica también entre empresas.
Accesibilidad: Ley 11/2023, que transpone la Ley Europea de Accesibilidad y aplica desde junio de 2025 a los servicios de comercio electrónico a consumidores, con exención para las microempresas que prestan servicios. El estándar técnico es EN 301 549.

Portugal

Protección de datos: Rigen el RGPD y la Lei 58/2019, que lo ejecuta en Portugal; la autoridad decidió no aplicar algunas de sus disposiciones por considerarlas incompatibles con el RGPD. El subcontratante, como se llama allí al encargado, necesita un contrato con el contenido del art. 28 del RGPD.
Autoridad: Comissão Nacional de Proteção de Dados (CNPD): https://www.cnpd.pt
Derechos de las personas: Acceso, rectificación, supresión, limitación, portabilidad, oposición y no ser objeto de decisiones automatizadas. Se ejercen ante el responsable, que responde en un mes prorrogable, y se reclama ante la CNPD.
Transferencias internacionales: Las mismas reglas del RGPD que en España: adecuación, cláusulas contractuales tipo con evaluación de impacto o normas corporativas vinculantes.
Aviso de incidentes: El responsable notifica a la CNPD en 72 horas y a los titulares si el riesgo es alto. El encargado avisa al responsable sin demora injustificada.
Consumidor y comercio electrónico: Lei 24/96 de Defesa do Consumidor, Decreto-Lei 24/2014 sobre contratos a distancia, con 14 días para consumidores, Decreto-Lei 7/2004 de comercio electrónico y Decreto-Lei 446/85 sobre cláusulas generales, que aplica también entre empresas. El Livro de Reclamações electrónico aplica a quien presta servicios a consumidores.
Accesibilidad: Decreto-Lei 82/2022, que transpone la Ley Europea de Accesibilidad desde junio de 2025, y Decreto-Lei 83/2018 para el sector público (WCAG 2.1 AA).

Por qué importan las transferencias

Muchas leyes de la región permiten enviar datos a un encargado en otro país si hay un contrato que lo respalde. Otras exigen además el consentimiento de la persona o avisar a la autoridad.

Lo que se repite en casi todos los países

Informar a las personas qué datos se recogen y para qué, con una política o un aviso de privacidad.

Pedir consentimiento para los mensajes promocionales y respetar a quien pide no recibirlos.

Tener un contrato con quien trata datos por tu cuenta, como Trazza.

Proteger los datos con medidas de seguridad razonables y saber qué hacer ante un incidente.

Actualizaciones

Revisamos esta página de forma periódica. Si ves un dato desactualizado, avísanos por el canal de contacto indicado al final de esta página.

Antes de tomar decisiones importantes, consulta la fuente oficial o a un abogado de tu país.

Otros documentos legales

Volver al centro legal

Contacto

Si tienes preguntas sobre este documento o sobre tus datos, escríbenos a contacto@trazza.pro.

Quién opera Trazza

El servicio Trazza Pro se opera desde Santiago de Chile. Para consultas legales, de privacidad o sobre tus datos, escríbenos a contacto@trazza.pro.

Marco legal por país

Qué encontrarás aquí

Quién responde de qué

Cómo leer cada país

Sudamérica

Centroamérica y el Caribe

Norteamérica

Europa

Por qué importan las transferencias

Lo que se repite en casi todos los países

Actualizaciones

Otros documentos legales

Contacto

Quién opera Trazza

Cargando Trazza Pro

Marco legal por país

Qué encontrarás aquí

Quién responde de qué

Cómo leer cada país

Sudamérica

Centroamérica y el Caribe

Norteamérica

Europa

Por qué importan las transferencias

Lo que se repite en casi todos los países

Actualizaciones

Otros documentos legales

Contacto

Quién opera Trazza