Leyes de privacidad 2026: RGPD, CCPA, LGPD - guía práctica de tus derechos

Tres marcos jurídicos de la misma familia pero con perímetros distintos. **RGPD** (Reglamento General de Protección de Datos, aplicable desde mayo 2018): 27 países UE + 3 EEE, ~450 millones de habitantes, consentimiento explícito previo obligatorio, derechos extensos (acceso, rectificación, supresión, portabilidad, oposición), multas hasta el 4% del CA mundial. **CCPA/CPRA** (California Consumer Privacy Act reforzada por CPRA en 2023): ~40 millones de residentes californianos, modelo opt-out (por defecto autorizado salvo rechazo usuario), derecho a saber, suprimir, rechazar venta, corregir. **LGPD** (Lei Geral de Proteção de Dados, aplicable desde agosto 2020): 215 millones de brasileños, calcada del RGPD con consentimiento opt-in, derechos equivalentes, multas hasta el 2% del CA local con techo 50 M BRL. En 2026, el RGPD sigue siendo el estándar de referencia mundial - ~80% de las nuevas leyes de protección adoptadas desde 2020 (India DPDPA 2023, Australia revisión 2024, Japón APPI 2022) se inspiran directamente en él.

Procedimiento estructurado en 4 pasos. (1) **Identificar al responsable de tratamiento**: la sociedad que decide por qué y cómo se tratan tus datos (Meta para Facebook/Instagram, Google para Gmail/YouTube, Amazon para amazon.es). Su DPO (Data Protection Officer) es localizable por mail dedicado: `dpd@meta.com`, `data-protection-office@google.com`, `eu-privacy@amazon.es` notablemente. (2) **Enviar una solicitud escrita** precisando: tu identidad (copia documento de identidad aceptada pero con límites estrictos al estricto mínimo), naturaleza de la solicitud (acceso completo, fragmento específico), formato deseado (JSON, PDF, CSV). Modelo AEPD descargable en aepd.es. (3) **Plazo legal**: 1 mes, prorrogable 2 meses en caso de complejidad justificada. Más allá, denuncia AEPD directa vía [aepd.es](https://www.aepd.es/). (4) **Recepción**: recibes típicamente un export JSON voluminoso (Meta: 200-2000 archivos según antigüedad de la cuenta) cubriendo historial de posts, mensajes, conexiones, geolocalización, modelos publicitarios inferidos. Multas récord 2024: Meta condenada 1.200 millones € por DPC irlandesa por transferencias US insuficientemente protegidas.

No directamente. La CCPA protege a los residentes californianos definidos como personas físicas residiendo en California cualquiera que sea su nacionalidad - así que un español de viaje a Los Ángeles está temporalmente cubierto por CCPA para sus interacciones con empresas CCPA-elegibles (CA > 25 M$ USD, tratamiento de > 100k consumidores/año, o > 50% de CA generado por venta de datos). Inversamente, un residente permanente californiano viajando en Europa sigue cubierto por CCPA para sus intercambios con empresas CA-reguladas incluso vía VPN. El punto crítico: la **localización de residencia** prima, no la geolocalización IP temporal. Muchos sitios US muestran un banner «Do Not Sell My Personal Information» solo a las IP US - usar una VPN US permite acceder a esas opciones incluso desde Europa. Pero jurídicamente, los derechos CCPA solo se aplican a residentes CA - es un uso informacional, no un derecho ejercible.

Excelente pregunta raramente planteada. Cuando usas una VPN no-log, **la VPN se vuelve potencialmente responsable de tratamiento** en el sentido del RGPD para los datos mínimos conservados (cuenta cliente, mail facturación, pago). NordVPN (sede Panamá, estructura UE vía Lituania) aplica el RGPD íntegramente a los clientes UE desde 2018 - su DPO es `dpo@nordvpn.com` y puedes ejercer tus derechos de acceso, rectificación, supresión como para Meta. **Política no-log auditada** significa que ningún log de conexión (IP origen, sitios visitados, duración sesión) se conserva - no hay por tanto *nada que exportar* sobre tu actividad real. Solo puedes ejercer tus derechos sobre los datos de facturación y cuenta. Auditoría independiente Deloitte 2025 confirma esta política en NordVPN; PwC 2024 en ExpressVPN; Cure53 2024 en Mullvad. Para asegurarte del respeto: verificar el informe de transparencia anual publicado en el sitio de la VPN.

Procedimiento de escalado estructurado. (1) **Primer recordatorio escrito** al DPO de la empresa con mención explícita del plazo de un mes superado y amenaza de denuncia AEPD si no responde en 15 días. Adjuntar el historial de intercambios. (2) **Denuncia AEPD en línea** vía [aepd.es](https://www.aepd.es/) - formulario estructurado, instrucción en 6-12 meses de media. La AEPD puede emitir requerimiento, sanción financiera hasta el 4% CA mundial, o inyunción pública. (3) **Acción judicial civil**: recurso individual ante el juzgado de primera instancia con solicitud de daños y perjuicios. El artículo 82 RGPD prevé derecho a reparación del perjuicio moral y material. Precedentes 2024-2025: 500 € a 5000 € de media por ignorancia completa de una solicitud de supresión. (4) **Acción colectiva**: asociación de defensa (Facua, OCU, NOYB de Max Schrems) puede actuar en class action europea. NOYB ha obtenido 250 M € acumulados desde 2020 contra Meta, Google, Amazon.

Sí, pero retardado y desigual. Récords 2023-2025 acumulados: 5,9 mil millones € de sanciones RGPD pronunciadas en 5 años (2018-2023 según enforcementtracker.com). Top 3: Meta 1,2 Md € (mayo 2023, DPC irlandesa, transferencias US ilegales), Amazon 746 M € (julio 2021, CNPD luxemburguesa, segmentación publicitaria no consentida), TikTok 345 M € (septiembre 2023, DPC irlandesa, tratamiento datos de menores). Impacto observable: Meta re-arquitectó su tratamiento UE (Data Center Irlanda exclusivo post-2023), Amazon reforzó su consentimiento publicitario UE. **Límites**: apelaciones en curso retardan la ejecución (Meta obtuvo suspensión parcial en 2024), montos representan < 0,5% del CA anual de las GAFAM, y el ecosistema ad-tech sigue mayoritariamente no conforme pese a 6 años de RGPD (estudio CNIL enero 2026: 73% de los sitios franceses todavía no conformes en consentimiento publicitario). El RGPD es un avance fundamental pero no una victoria acabada.

Sí, con matices. **Suiza**: nLPD (nueva Ley de Protección de Datos, aplicable desde septiembre 2023) - calcada del RGPD con algunas flexibilidades (no DPO obligatorio sistemático, sanciones limitadas a 250k CHF). Reconocimiento de adecuación por UE desde 2000, confirmada 2024. **Reino Unido**: UK GDPR + DPA 2018 - casi idéntico al RGPD post-Brexit, ICO (Information Commissioner's Office) regulador independiente. Adecuación UE hasta 2025, renovación en curso. **Canadá**: LPRPDE (Ley de Protección de Información Personal y Documentos Electrónicos) federal + LCAP en Quebec + proyecto C-27 (Ley 25 Quebec 2024) que alinea progresivamente Quebec con RGPD. Adecuación UE existente para LPRPDE. A destacar: los EE.UU. **no** tienen ley federal equivalente - solo leyes sectoriales (HIPAA salud, FERPA educación, GLBA finanzas) y leyes Estados (CCPA California, VCDPA Virginia, CPA Colorado, CTDPA Connecticut desde 2023).

Siete señales objetivas a verificar. (1) **Banner de cookies conforme**: rechazo tan simple como aceptación (CNIL enero 2025 sancionó Yahoo 10 M € en este punto). Sin «aceptar todo» por defecto, sin botón de rechazo oculto a 3 clics. (2) **Política de privacidad clara**: longitud razonable (< 5000 palabras), lista exhaustiva de cookies de terceros y su finalidad, duraciones de conservación explícitas por tipo de dato. (3) **DPO mencionado**: dirección mail dedicada (`dpo@`, `data-protection@`), no un formulario genérico. (4) **Terceros explícitamente listados**: Meta Pixel, Google Analytics, Hotjar, etc. deben ser nombrados con su finalidad. (5) **Botón reinicializar preferencias** accesible en todo momento, no solo en la primera visita. (6) **Geolocalización UE detectada**: aplicar efectivamente el RGPD, no un banner US por defecto. (7) **Compatibilidad Schrems II**: transferencias hacia US enmarcadas vía Standard Contractual Clauses + Data Privacy Framework UE-US (julio 2023). Sitios que fallan en 2+ criterios: no conformes.

No - lo enmarca pero no lo prohíbe. El rastreo publicitario (cookies de terceros, fingerprinting, ID publicitario móvil) sigue siendo legal bajo RGPD bajo tres condiciones acumulativas: (1) **consentimiento previo explícito** del usuario (opt-in activo, sin pre-marcado), (2) **información transparente** sobre las finalidades y terceros involucrados, (3) **posibilidad de retirada** tan simple como el consentimiento. La realidad 2026: ~70% de los sitios UE recogen cookies de terceros sin consentimiento válido (estudio CNIL enero 2026), muchos usan dark patterns (botón «aceptar» coloreado vs «rechazar» en gris). Para realmente escapar del rastreo: (a) bloquear las cookies de terceros nativamente (Firefox desde 2019, Safari desde 2017 vía ITP, Chrome ha anunciado Privacy Sandbox progresivo), (b) usar un navegador privacy estricto (Brave, LibreWolf), (c) combinar con VPN no-log + DoH para neutralizar el tracking IP + DNS. El RGPD da el marco, la ejecución depende del usuario.

Siete derechos codificados en el CPRA (entrado en vigor enero 2023, reforzando el CCPA inicial 2018). (1) **Right to Know**: solicitar las categorías y elementos específicos de datos personales recogidos sobre ti (equivalente al derecho de acceso RGPD), respuesta en 45 días, prorrogable 45 días. (2) **Right to Delete**: solicitar la supresión de tus datos, salvo excepciones legales (obligaciones legales, transacciones en curso, seguridad). (3) **Right to Correct**: exigir la corrección de información inexacta. (4) **Right to Opt-Out of Sale**: rechazar la venta de tus datos a terceros - botón «Do Not Sell or Share My Personal Information» obligatorio en pie de página. (5) **Right to Opt-Out of Sharing for Cross-Context Behavioral Advertising**: rechazar el compartir con fines publicitarios comportamentales (nuevo CPRA 2023). (6) **Right to Limit Use of Sensitive Personal Information**: limitar el uso de datos sensibles (salud, finanzas, geolocalización precisa, contenido comunicaciones). (7) **Right to Non-Discrimination**: ningún desventaja si ejerces tus derechos - sin precio diferente, sin servicio degradado. Ejecución vía formulario empresa (típicamente página `privacy@empresa.com`) o denuncia CPPA (California Privacy Protection Agency) si rechazo.