El marco legal
Estados Unidos no tiene ley federal general de protección de datos: la protección es sectorial — Children's Online Privacy Protection Act (COPPA, 1998: consentimiento parental verificable para los menores de 13 años, actualizada en 2025), Health Insurance Portability and Accountability Act (salud), Fair Credit Reporting Act (crédito), Gramm-Leach-Bliley (finanzas), Video Privacy Protection Act, Telephone Consumer Protection Act — y la Federal Trade Commission persigue las prácticas «injustas o engañosas» (Sección 5 de la FTC Act), con acciones contra aplicaciones de citas (Match Group: demanda de 2019 y acuerdo de 14 millones de dólares en 2024 por perfiles falsos y cancelaciones; Grindr investigada) y contra los intermediarios de datos que venden ubicaciones (Kochava, X-Mode, 2024); los proyectos de ley federal (American Privacy Rights Act, 2024) no han prosperado. Unos veinte estados han adoptado leyes generales desde 2018: California (CCPA de 2018 y CPRA de 2020, con la California Privacy Protection Agency, derechos de acceso, supresión, corrección, oposición a la venta y a la publicidad, límite de los datos sensibles incluida la orientación sexual, y la Delete Act de 2023 que permitirá desde 2026 borrar los datos en todos los intermediarios con una sola solicitud), Virginia, Colorado, Connecticut, Utah, Texas, Oregón, Montana, Iowa, Indiana, Tennessee, Delaware, Nueva Jersey, Nuevo Hampshire, Kentucky, Maryland (la más estricta, 2025), Minnesota, Rhode Island y Nebraska; Illinois protege la biometría (BIPA, con demandas colectivas contra Meta y Google). Cuarenta y ocho estados y el Distrito de Columbia castigan la difusión de imágenes íntimas sin consentimiento (revenge porn) con penas de hasta varios años, y la ley federal TAKE IT DOWN Act (19 de mayo de 2025) la tipifica federalmente (hasta 2 años, 3 con menores), incluidos los deepfakes sexuales, y obliga a las plataformas a establecer un procedimiento de retirada en 48 horas desde la notificación de la víctima, aplicable desde mayo de 2026 bajo la vigilancia de la FTC; la Violence Against Women Act de 2022 creó una acción civil federal por difusión de imágenes íntimas (daños de al menos 150 000 dólares). La Sección 230 exime a las plataformas del contenido de terceros en lo demás, y la Kids Online Safety Act sigue en debate.
Los puntos clave
| Norma federal | Sin ley general; COPPA (menores de 13), HIPAA, FCRA, GLBA; FTC Act sección 5 contra las prácticas engañosas; proyectos federales sin aprobar |
|---|---|
| Leyes estatales | Unos 20 estados con leyes generales (California CCPA/CPRA, Virginia, Colorado, Texas, Maryland…): acceso, supresión, corrección, oposición a la venta y a la publicidad; Illinois BIPA (biometría) |
| Autoridad | FTC; California Privacy Protection Agency; fiscales generales de los estados |
| Datos sensibles | Orientación sexual, salud, ubicación precisa limitados en las leyes estatales; acciones de la FTC contra la venta de ubicaciones |
| Imágenes íntimas | 48 estados y DC castigan la difusión; TAKE IT DOWN Act federal (2025): delito, deepfakes incluidos, retirada en 48 horas por las plataformas desde 2026; acción civil federal (VAWA 2022, 150 000 dólares mínimos) |
| Cifras | Más de 1,1 millones de denuncias de robo de identidad en 2024 (FTC); Match Group 14 millones de dólares (2024); demandas colectivas BIPA de cientos de millones contra Meta y Google |
En la práctica
- Ejercer los derechos de acceso, supresión y oposición a la venta que ofrecen las leyes estatales (California y otros; muchas empresas los aplican a todos los usuarios): formulario «Do Not Sell or Share My Personal Information» y solicitud de supresión, con respuesta en 45 días; denunciar ante el fiscal general del estado o la California Privacy Protection Agency.
- Ante una imagen íntima difundida: capturar las pruebas, notificar a la plataforma invocando la TAKE IT DOWN Act (retirada en 48 horas), denunciar a la policía (ley estatal) y al FBI si hay sextorsión (ic3.gov), pedir una orden de protección, y usar StopNCII.org para bloquear las imágenes por huella digital; la acción civil federal (VAWA 2022) permite reclamar daños; la Cyber Civil Rights Initiative (844-878-2274) acompaña.
- Denunciar las prácticas engañosas de una aplicación de citas (perfiles falsos, cancelación imposible, venta de datos) a la FTC (reportefraude.ftc.gov, en español) y a la Better Business Bureau.
- Los menores de 13 años están protegidos por COPPA y varios estados exigen verificación de edad o consentimiento parental hasta los 16 o 18 (Utah, Texas, Florida) para las redes sociales; las aplicaciones de citas exigen 18.
- Ante una brecha de datos, la empresa debe notificar según la ley estatal (todos los estados): congelar el crédito en los tres burós (gratuito), cambiar las contraseñas y vigilar; los inmigrantes latinos pueden acudir a las organizaciones (UnidosUS, Hispanic Federation) para orientación en español.
Coste y cobertura
Derechos estatales y denuncias ante la FTC y los fiscales generales gratuitos; congelación del crédito gratuita; acciones civiles con abogado (a menudo con honorarios de resultado; acciones colectivas frecuentes).
Cambios recientes
La TAKE IT DOWN Act (mayo de 2025) creó el primer delito federal de difusión de imágenes íntimas y deepfakes con retirada obligatoria en 48 horas; Maryland (2025) y otros estados adoptaron leyes generales; la FTC actualizó COPPA en 2025 y sancionó a intermediarios de ubicación; la Delete Act de California entra en vigor en 2026; el proyecto federal American Privacy Rights Act fracasó en 2024.
A quién dirigirse
- FTC — reportefraude.ftc.gov y consumidor.ftc.gov (en español).
- California Privacy Protection Agency (cppa.ca.gov) y fiscales generales de los estados.
- Cyber Civil Rights Initiative (cybercivilrights.org, 844-878-2274) y StopNCII.org: imágenes íntimas.
- Electronic Frontier Foundation (eff.org), EPIC: derechos digitales.
Conviene saber
Sin ley federal, los derechos dependen del estado: un californiano puede exigir la supresión y prohibir la venta de sus datos, un tejano también desde 2024, un residente de Florida o Nueva York no tiene ley general. Contra las imágenes íntimas, en cambio, la ley federal de 2025 se aplica a todos: retirada en 48 horas y delito. Y la ubicación de las aplicaciones de citas se vende a intermediarios: desactivarla.
Fuentes y enlaces oficiales
- TAKE IT DOWN Act (2025) — Congreso de Estados Unidos, en inglés
- California Privacy Protection Agency — derechos de los consumidores — en inglés y español
- International Association of Privacy Professionals — US State Privacy Legislation Tracker — estado por estado, en inglés
Enlaces verificados a fuentes oficiales o de referencia. Se abren en una pestaña nueva.