El marco legal
La ley de privacidad de los datos de 2012 (Data Privacy Act) reconoce los derechos de información, acceso, rectificación, supresión o bloqueo, indemnización de los daños y portabilidad de los datos, bajo el control de la National Privacy Commission (NPC, comisión nacional de privacidad). Su singularidad es penal: el tratamiento no autorizado, el acceso por negligencia y la divulgación maliciosa son delitos, castigados con prisión y multas, y la ley prevé además una indemnización para la persona afectada — una combinación poco habitual en la región, que hace que las reclamaciones merezcan la pena. Las organizaciones deben responder con prontitud a las solicitudes, según las pautas que fija la NPC. Los datos personales sensibles (sensitive personal information) incluyen la salud, la vida sexual y los identificadores oficiales (government identifiers); las violaciones de la seguridad que afectan a datos sensibles y suponen un riesgo de daño deben notificarse en 72 horas. Todo responsable del tratamiento (personal information controller) debe designar un delegado de protección de datos (data protection officer), cuyos datos de contacto deben publicarse, y los sistemas de tratamiento que superan ciertos umbrales deben registrarse. La NPC exige que se agote primero el procedimiento interno de la organización; después, la reclamación se presenta con su formulario oficial y es gratuita; la Comisión resuelve por mediación muchos litigios y emite también opiniones consultivas (advisory opinions). Ha sido especialmente activa frente a las aplicaciones de préstamos en línea que se apoderan de la lista de contactos del prestatario para avergonzarlo ante sus allegados, una práctica que ha sancionado repetidamente. Para los asuntos penales intervienen además las unidades contra el cibercrimen de la policía (PNP Anti-Cybercrime Group) y del NBI (National Bureau of Investigation, oficina nacional de investigación); el acoso sexual en internet lo cubre la Safe Spaces Act (véase la ficha sobre el consentimiento), y la Republic Act 9995 de 2009 (Anti-Photo and Video Voyeurism Act, ley contra el voyerismo fotográfico y en vídeo) prohíbe copiar, vender, distribuir o publicar imágenes de un acto sexual o de las partes íntimas de una persona aunque la grabación se hubiera hecho con consentimiento. Filipinas no pertenece a la Unión Europea: allí rige la Data Privacy Act, y el Reglamento (UE) 2016/679 (RGPD) se aplica, en cambio, a las empresas y las administraciones establecidas en España, también cuando la persona cuyos datos tratan vive en Filipinas, así como a los servicios de fuera de la Unión que se dirigen a personas que se encuentran en ella; las transferencias de datos desde España hacia Filipinas exigen las garantías que prevé el RGPD. En España, el RGPD y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) se aplican bajo el control de la Agencia Española de Protección de Datos (AEPD): respuesta en un mes, reclamación gratuita, edad de consentimiento digital de 14 años y un Canal Prioritario para retirar en horas las imágenes íntimas difundidas sin consentimiento, cuya difusión castiga el artículo 197.7 del Código Penal aunque la imagen se hubiera enviado voluntariamente.
Los puntos clave
| Ley | Data Privacy Act de 2012 (ley de privacidad de los datos) |
|---|---|
| Derechos | Información, acceso, rectificación, supresión o bloqueo, indemnización, portabilidad |
| Plazo de respuesta | Las organizaciones deben responder con prontitud; la NPC fija las pautas |
| Autoridad | National Privacy Commission (NPC): reclamaciones, mediación y opiniones consultivas |
| Sanciones penales | Prisión y multas por el tratamiento no autorizado, el acceso por negligencia y la divulgación maliciosa |
| Indemnización | Prevista por la ley, además de las penas |
| Datos sensibles | Entre ellos, la salud, la vida sexual y los identificadores oficiales |
| Violaciones de datos | Notificación obligatoria en 72 horas cuando afectan a datos sensibles y suponen un riesgo de daño |
| Delegado de protección de datos | Obligatorio para los responsables del tratamiento; datos de contacto publicados |
| Registro | Los sistemas de tratamiento que superan ciertos umbrales deben registrarse |
| Reclamación | Gratuita, con el formulario de la NPC, tras agotar el procedimiento interno de la organización |
| Comparación con España | RGPD y Ley Orgánica 3/2018; AEPD; respuesta en un mes; consentimiento digital a los 14 años; Canal Prioritario para las imágenes íntimas; artículo 197.7 del Código Penal |
| Españoles y latinoamericanos | En Filipinas, la Data Privacy Act y la NPC; frente a una empresa o una administración española, el RGPD y la AEPD, aunque viva en Filipinas; frente a un organismo latinoamericano, la ley de ese país |
En la práctica
- Escriba primero a la organización — a su delegado de protección de datos, cuyos datos de contacto deben publicarse —, citando el derecho que ejerce, y conserve la prueba de la fecha: la NPC exige que se haya agotado ese procedimiento interno.
- Diga claramente qué quiere: una copia de sus datos, su supresión o el fin de la publicidad.
- Sin una respuesta adecuada en el plazo, presente la reclamación ante la NPC con su formulario oficial: es gratuita, y la Comisión resuelve muchos litigios por mediación.
- En las aplicaciones de citas, de salud y de fertilidad, pregunte expresamente si sus datos se comunican a terceros y si se transfieren al extranjero.
- Si una aplicación de préstamos en línea ha accedido a sus contactos y les ha escrito, guarde capturas de pantalla de los mensajes y la política de privacidad de la aplicación: es una infracción reconocida, con una vía de reclamación consolidada ante la NPC. Para los hechos penales — acoso, amenazas, divulgación de sus datos —, denuncie también ante el PNP Anti-Cybercrime Group o la NBI Cybercrime Division.
- Ante una imagen íntima difundida sin consentimiento: capture las pruebas (dirección, fecha, perfil), pida la retirada a la plataforma y denuncie ante las unidades contra el cibercrimen; no negocie con el autor ni le pague. En Filipinas, la Republic Act 9995 castiga la difusión aunque usted hubiera consentido la grabación: consentir la grabación no es consentir su difusión. Si el autor es su pareja o su expareja, consulte también la ficha sobre la violencia: la ley VAWC cubre la violencia psicológica. Si la imagen circula también en España, el Canal Prioritario de la AEPD permite pedir su retirada urgente.
- Un español o un latinoamericano que vive en Filipinas ejerce estos derechos ante las organizaciones filipinas y, en caso de negativa, ante la NPC. Frente a una empresa o una administración establecida en España — un banco, una operadora, la Seguridad Social —, el RGPD se aplica aunque usted viva en Filipinas: tras dirigirse al responsable, puede reclamar ante la AEPD, en español. Frente a un organismo o una empresa de un país latinoamericano, infórmese sobre la ley de protección de datos de ese país.
- Para la comunidad filipina de España: el RGPD la protege sea cual sea su nacionalidad; los derechos se ejercen ante el responsable, con respuesta en un mes, y la reclamación ante la AEPD es gratuita. Para los datos que conservan organizaciones establecidas en Filipinas — aplicaciones de préstamos, bancos, operadoras —, la referencia sigue siendo la Data Privacy Act y la NPC.
Coste y cobertura
Las reclamaciones ante la NPC son gratuitas, y la Comisión resuelve por mediación muchos litigios; la ley prevé además una indemnización para la persona afectada, junto a las penas. En España, el ejercicio de los derechos, el Canal Prioritario y la reclamación ante la AEPD también son gratuitos; las acciones civiles exigen abogado, con asistencia jurídica gratuita según los ingresos.
Cambios recientes
La NPC ha sido especialmente activa frente a las aplicaciones de préstamos en línea que se apoderan de la lista de contactos de los prestatarios para avergonzarlos ante sus allegados, una práctica que ha sancionado repetidamente. En España, la AEPD superó en 2024 los 100 millones de euros de multas, el Código Penal se reformó en 2025 para castigar las ultrafalsificaciones sexuales (deepfakes), y el Canal Prioritario amplió su alcance a los contenidos generados por inteligencia artificial.
A quién dirigirse
- National Privacy Commission (NPC, comisión nacional de privacidad): reclamaciones, mediación y opiniones consultivas.
- Delegados de protección de datos (data protection officers) de las organizaciones, cuyos datos de contacto deben publicarse.
- PNP Anti-Cybercrime Group y NBI Cybercrime Division, para los asuntos penales.
- AEPD (aepd.es): reclamaciones contra las empresas y los organismos establecidos en España y Canal Prioritario para la retirada urgente de imágenes íntimas.
- En España: 017 de INCIBE, para la seguridad de las cuentas y de los dispositivos; Policía Nacional y Guardia Civil, para las denuncias por difusión de imágenes íntimas.
Conviene saber
Si una aplicación de préstamos ha accedido a sus contactos y les ha escrito, se trata de una infracción reconocida, con una vía de reclamación consolidada ante la NPC: las capturas de pantalla y la política de privacidad de la aplicación son las pruebas clave. La ley filipina combina penas de prisión e indemnización para la persona afectada, algo poco habitual en la región, y eso hace que reclamar merezca la pena. Respete el orden: primero la organización, después la NPC, que exige que se haya agotado la vía interna. Y para una pareja o una familia que vive entre los dos países, cada ley tiene su autoridad: la NPC para lo que se trata en Filipinas, la AEPD para lo que tratan las empresas y las administraciones españolas.
Fuentes y enlaces oficiales
- gov.ph — portal oficial del Gobierno de Filipinas — portal oficial, en inglés
- AEPD — Agencia Española de Protección de Datos — reclamaciones y Canal Prioritario
- Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales — Boletín Oficial del Estado
- Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos (RGPD) — EUR-Lex
Enlaces verificados a fuentes oficiales o de referencia. Se abren en una pestaña nueva.