Leyes de privacidad 2026: RGPD, CCPA, LGPD — guía práctica de tus derechos

Tres leyes enmarcan el ecosistema de los datos personales en 2026 — el RGPD europeo (desde 2018), el CCPA/CPRA californiano (2018 reforzado 2023), y la LGPD brasileña (2020). Juntas, cubren ~700 millones de personas y estructuran el cumplimiento de los gigantes tech (Meta, Google, Amazon, Apple, Microsoft) en la mayoría del mundo occidental y latino. Entender qué derechos puedes ejercer, cómo ejercerlos concretamente, y qué hacer cuando una empresa los ignora — ése es el tema de esta guía práctica 2026.

RGPD UE — el estándar mundial en 2026

El Reglamento General de Protección de Datos (RGPD), aplicable desde el 25 de mayo de 2018, sigue siendo en 2026 la referencia mundial de protección de datos personales. Seis años después de su entrada en vigor, el ecosistema de cumplimiento ha madurado: DPO obligatorios en toda organización tratando > 250 empleados o tratando datos sensibles, registro de actividades de tratamiento estandarizado, análisis de impacto (PIA) integrados en los procesos de producto en la mayoría de las empresas tech UE.

Perímetro: 27 países UE + 3 países EEE (Noruega, Islandia, Liechtenstein), cubriendo ~450 millones de habitantes. El RGPD se aplica también a las empresas no-UE que apuntan a residentes UE (extraterritorialidad art. 3) — por eso Meta, Google, Amazon, Microsoft aplican el RGPD globalmente a sus usuarios europeos.

Seis derechos fundamentales consagrados por los artículos 15 a 22:

• Derecho de acceso (art. 15): obtener una copia de todos los datos relativos a ti.
• Derecho de rectificación (art. 16): corregir datos inexactos o incompletos.
• Derecho al borrado / al olvido (art. 17): hacer suprimir los datos cuando el tratamiento ya no se justifica.
• Derecho a la limitación (art. 18): congelar el tratamiento temporalmente.
• Derecho a la portabilidad (art. 20): recuperar tus datos en un formato estructurado, comúnmente legible, para transferirlos a otro proveedor.
• Derecho de oposición (art. 21): rechazar ciertos tratamientos, especialmente marketing directo (absoluto) o interés legítimo (condicional).

Procedimiento de ejercicio estandarizado:

1. Identificar al responsable de tratamiento (la empresa que decide por qué/cómo se tratan tus datos) y a su DPO (Data Protection Officer).
2. Enviar una solicitud escrita al DPO con: identidad, naturaleza de la solicitud, formato deseado.
3. La empresa dispone de 1 mes para responder (prorrogable 2 meses en caso de complejidad).
4. En caso de rechazo o no respuesta: denuncia AEPD (aepd.es) o autoridad de protección nacional (CNIL Francia, ICO UK, Garante Italia, Datatilsynet Noruega).

Sanciones récord 2024-2026

El RGPD ha demostrado su alcance disuasivo con sanciones récord:

Tendencia 2025-2026: la AEPD multiplica las sanciones medias (5-50 M €) sobre el consentimiento a cookies — 73% de los sitios franceses eran no conformes en enero de 2026 según la auditoría anual CNIL, las cifras españolas son similares.

CCPA / CPRA California — modelo opt-out

La California Consumer Privacy Act (CCPA) entró en vigor el 1 de enero de 2020, reforzada por la California Privacy Rights Act (CPRA) el 1 de enero de 2023. Protege a los residentes californianos definidos como personas físicas residiendo en California cualquiera que sea su nacionalidad.

Diferencia fundamental con el RGPD: la CCPA sigue el modelo opt-out por defecto (la recopilación se autoriza salvo si te opones), mientras que el RGPD sigue el opt-in (el consentimiento previo es requerido). Este modelo refleja la cultura jurídica estadounidense más permisiva sobre el tratamiento publicitario.

Perímetro de aplicación: empresas que cumplen al menos uno de los tres criterios:

• CA anual mundial > 25 M$ USD; O
• Tratamiento de > 100.000 consumidores u hogares californianos/año; O

• 50% de CA generado por la venta o el compartir de datos personales.

Siete derechos CPRA (extendidos desde el CCPA inicial):

1. Right to Know — Solicitar qué categorías y elementos específicos de datos se recopilan. Respuesta 45 días, prorrogable.
2. Right to Delete — Hacer suprimir los datos (con excepciones legales).
3. Right to Correct — Corregir la información inexacta (añadido por CPRA 2023).
4. Right to Opt-Out of Sale — Rechazar la venta a terceros. Botón «Do Not Sell or Share My Personal Information» obligatorio en pie de página.
5. Right to Opt-Out of Sharing for Cross-Context Behavioral Advertising — Rechazar el compartir con fines publicitarios comportamentales cruzados (añadido por CPRA 2023).
6. Right to Limit Use of Sensitive Personal Information — Limitar el uso de datos sensibles (geolocalización precisa, salud, finanzas, contenido comunicaciones). Nuevo derecho CPRA.
7. Right to Non-Discrimination — Ningún desventaja comercial si ejerces tus derechos.

Ejecución: vía formulario dedicado de la empresa (típicamente página privacy@), o denuncia ante la California Privacy Protection Agency (CPPA), creada por CPRA en 2023. La CPPA dispone de poder de sanción directo desde julio 2023.

Impacto práctico para los usuarios europeos

La CCPA no se aplica a los residentes europeos, salvo viaje temporal a California. Pero en la práctica, muchas empresas tech aplican los derechos CCPA mundialmente por simplificación operacional — es el «California effect»: el estándar más estricto se convierte en el estándar por defecto.

Concretamente, en mayo 2026:

• El botón «Do Not Sell or Share My Personal Information» aparece en ~85% de los sitios US visibles desde IP US.
• Muchos sitios US lo ocultan a las IP no-US — usar una VPN US permite mostrarlo y ejercerlo (con dirección postal CA proporcionada).
• Apple generalizó el App Tracking Transparency a todos los usuarios mundiales tras CCPA (abril 2021).

LGPD Brasil — América Latina 2026

La Lei Geral de Proteção de Dados (LGPD), aplicable desde el 18 de agosto de 2020, traspone el modelo RGPD a Brasil. Perímetro: 215 millones de brasileños + empresas tratando datos de residentes brasileños incluso fuera de Brasil.

Seis bases legales idénticas al RGPD: consentimiento, ejecución contrato, obligación legal, interés vital, interés público, interés legítimo. Derechos usuarios casi idénticos: confirmación de existencia, acceso, corrección, anonimización/bloqueo/eliminación, portabilidad, información sobre compartir con terceros, retirada de consentimiento.

Sanciones: hasta el 2% del CA brasileño limitado a 50 millones de Reales brasileños (~9 M €) por infracción. Significativamente más débil que RGPD pero representa riesgo real para los actores brasileños. Récords 2024-2025:

• Cielo (pago) — 7 M BRL (~1,3 M €) por compartir no consentido con socios marketing.
• Locaweb (alojamiento) — 2,5 M BRL por fallo de seguridad no declarado a la ANPD.

La ANPD (Autoridade Nacional de Proteção de Dados) regulador, operacional desde 2020, sube progresivamente en potencia en 2025-2026.

Cómo ejercer concretamente tus derechos

Procedimiento unificado aplicable RGPD / CCPA / LGPD:

Etapa 1 — Identificar al interlocutor

Etapa 2 — Redactar la solicitud

Modelo mínimo para derecho de acceso RGPD:

Asunto: Solicitud de ejercicio del derecho de acceso RGPD (art. 15)

Estimado/a DPO,

Deseo ejercer mi derecho de acceso en virtud del artículo 15 del RGPD. Le ruego me comunique, en el plazo de un mes previsto en el artículo 12.3:

1. La copia completa de los datos personales relativos a mí que ustedes tratan;
2. Las finalidades del tratamiento;
3. Las categorías de destinatarios (terceros, proveedores, socios);
4. La duración de conservación prevista;
5. El origen de los datos si no recogidos de mí.

Adjunto copia de mi documento de identidad para verificación.

[Nombre, apellido, dirección, identificadores de cuenta afectados]

Conservar una traza del envío (mail con acuse de recibo, correo certificado). Esta traza es necesaria en caso de denuncia AEPD.

Etapa 3 — Seguimiento y escalado

Etapa 4 — Denuncia si rechazo

Las trampas RGPD/CCPA a conocer en 2026

Trampa 1 — Dark patterns sobre el consentimiento. 73% de los sitios franceses en 2026 todavía usan diseños engañosos: botón «Aceptar» coloreado vs «Rechazar» en gris al pie de página, scroll obligatorio antes de rechazo, re-mostrado del banner en cada visita si rechazo. CNIL multiplica las sanciones (Yahoo 10 M € enero 2025). A detectar: si rechazar lleva más de 2 clics, es no conforme.

Trampa 2 — Falso DPO o formulario genérico. Muchas empresas listan un formulario genérico «contacto» en lugar de un DPO localizable. El RGPD impone un email dedicado al DPO. Si la empresa no proporciona uno, es un incumplimiento RGPD en sí mismo (art. 37-39).

Trampa 3 — Respuesta parcial al derecho de acceso. Meta ha sido condenada varias veces (DPC 2023, CNIL 2024) por proporcionar exports incompletos — omitiendo las inferencias publicitarias, los modelos de engagement, los datos de inferencia. Verificar el export recibido: debe contener > 50 archivos JSON/CSV para una cuenta Meta de > 5 años.

Trampa 4 — «Datos anonimizados» no realmente anónimos. Muchas empresas argumentan que los datos «pseudonimizados» ya no caen bajo RGPD. Falso — los datos pseudonimizados siguen siendo personales según TJUE (sentencias CFLA 2019, OC Vilna 2023). Solo los datos verdaderamente anónimos (irreversibles, k-anonymity > 5) escapan al RGPD.

Trampa 5 — Transferencia internacional no enmarcada. Desde la invalidación del Privacy Shield (TJUE Schrems II, julio 2020), las transferencias hacia los USA exigen Standard Contractual Clauses + Data Privacy Framework UE-US (julio 2023). Verificar en la política privacy: la mención DPF debe aparecer explícitamente para transferencias US.

Herramientas prácticas 2026

Lo esencial a recordar

El RGPD, el CCPA/CPRA y la LGPD constituyen en 2026 el trío jurídico mundial que enmarca el ecosistema de los datos personales. Tus derechos son reales y ejecutables — no simbólicos. El ejercicio exige método (email DPO dedicado, seguimiento en 30/45 días, escalado hacia regulador si rechazo) pero termina con éxito en la mayoría de los casos. Las sanciones récord (Meta 1,2 Md €, Amazon 746 M €) prueban que los reguladores tienen los medios de imponer el cumplimiento a los gigantes tech.

Combinar estos derechos jurídicos con herramientas técnicas (VPN no-log auditada, DoH, ECH, navegador privacy) maximiza la protección efectiva. El RGPD da el marco, las herramientas técnicas ejecutan la protección día a día. Ver nuestro comparativo de VPN no-log auditadas y nuestra guía DNS over HTTPS para la capa técnica.