Consentimento e banners

Navegando sancións e ámbitos territoriais: Unha ollada ás leis de privacidade máis estritas do mundo

7 de xullo de 2026 · 17 min de lectura

Resposta rápida: As leis de privacidade máis estritas do mundo, lideradas polo GDPR da UE, o PIPL de China e o CCPA de California, impoñen importantes sancións financeiras e estenden o seu alcance moito máis alá das súas fronteiras. Calquera organización que recolla ou procese datos persoais de residentes nestas xurisdicións debe cumprir, independentemente de onde estea fisicamente situada esa organización. Comprender o ámbito territorial e as estruturas de sancións é o primeiro paso para construír unha postura de cumprimento defendible.

Puntos clave

Máis de 160 países promulgaron unha lexislación integral de privacidade de datos, facendo do cumprimento global unha expectativa básica, non unha excepción [1].
O GDPR leva as sancións financeiras máis altas de calquera lei de privacidade: ata 20 millóns de euros ou o 4% dos ingresos anuais globais, o que sexa maior [1].
As multas de aplicación do GDPR superaron os 7 mil millóns de euros desde que comezou a aplicación, con importantes sancións contra Meta, Amazon e TikTok [7].
O PIPL de China e o GDPR da UE aplícanse extraterritorialmente; as empresas estranxeiras que presten servizos a residentes nesas xurisdicións deben cumprir [1].
Os EUA carecen dunha lei federal de privacidade unificada; o cumprimento depende do sector e do estado, sendo o CCPA de California o marco máis influente a nivel estatal [2].
O ámbito territorial determina que lei se aplica ao teu negocio; varias leis poden aplicarse simultaneamente a unha única organización.
As pequenas empresas non están automaticamente exentas; os limiares do CCPA e a proba de "establecemento" do GDPR poden abranguer empresas de moitos tamaños.
Os fallos comúns de cumprimento inclúen mecanismos de consentimento inadecuados, unha mala asignación de datos e ignorar as regras de transferencia transfronteiriza.
Unha plataforma de xestión de consentimento (CMP) como Biscotti CMP pode axudar ás organizacións a poñer en funcionamento os requisitos de consentimento baixo múltiples marcos.

Cales son as leis de privacidade máis estritas do mundo por país

As leis de privacidade máis estritas a nivel mundial son o Regulamento Xeral de Protección de Datos (GDPR) da UE, a Lei de Protección de Información Persoal (PIPL) de China, a Lei Xeral de Protección de Datos (LGPD) de Brasil e o CCPA/CPRA de California. Cada unha combina un amplo alcance territorial con mecanismos de aplicación significativos.

What Are the World's Strictest Privacy Laws by Country

Aquí tes unha comparación concisa dos principais marcos:

Lei	Xurisdición	Pena máxima	Extraterritorial?	En vigor desde
GDPR	Unión Europea	20 millóns de euros ou 4% dos ingresos globais	Si	Maio de 2018
UK GDPR	Reino Unido	17,5 millóns de libras ou 4% dos ingresos globais	Si	Xaneiro de 2021
PIPL	China	Ata 50 millóns de ¥ ou 5% dos ingresos anuais	Si	Novembro de 2021
CCPA/CPRA	California, EUA	Ata 7.988 $ por violación intencional	Limitado	Xaneiro de 2020
LGPD	Brasil	Ata 2% dos ingresos de Brasil, limitado a 50 millóns de R$	Si	Setembro de 2020

O GDPR segue sendo o referente global. A súa combinación de altas sancións, amplo alcance e aplicación activa convérteo no marco que a maioría das organizacións priorizan primeiro ao construír programas de cumprimento internacionais [1].

Como funcionan as sancións do GDPR e cales son as penas

As sancións do GDPR operan cunha estrutura de penas de dous niveis. As violacións de nivel inferior, como non manter rexistros das actividades de tratamento, poden resultar en multas de ata 10 millóns de euros ou o 2% da facturación anual global. As violacións de nivel superior, incluíndo o tratamento ilícito de datos persoais ou ignorar os dereitos dos interesados, conlevan sancións de ata 20 millóns de euros ou o 4% dos ingresos anuais globais, o que sexa maior [1].

Ademais das multas, as autoridades de supervisión poden emitir prohibicións temporais ou permanentes do tratamento de datos, o que na práctica pode ser máis prexudicial para un negocio que a propia sanción monetaria. Desde que comezou a aplicación, as multas acumuladas do GDPR superaron os 7 mil millóns de euros, con casos históricos contra Meta Ireland, Amazon Luxembourg e TikTok [7].

Factores clave que os reguladores consideran ao calcular as multas:

Natureza, gravidade e duración da violación
Se a violación foi intencional ou neglixente
Cooperación coa autoridade de supervisión
Historial de infraccións previas
Categorías de datos persoais afectados (os datos de saúde, financeiros ou biométricos atraen un escrutinio máis rigoroso)

Diferenza entre GDPR, CCPA e outras regulacións de privacidade

O GDPR e o CCPA comparten o mesmo obxectivo, protexer os datos persoais, pero difiren significativamente no alcance, os dereitos concedidos e os mecanismos de aplicación [2].

O GDPR aplícase a calquera organización que procese datos de residentes da UE, independentemente do tamaño da empresa. Require unha base legal para cada actividade de tratamento, esixe avaliacións de impacto na protección de datos para o tratamento de alto risco e concede aos individuos dereitos como o acceso, a supresión, a portabilidade e a oposición.

O CCPA/CPRA aplícase só a empresas con ánimo de lucro que cumpran polo menos un destes limiares: ingresos brutos anuais superiores a 25 millóns de dólares, compra ou venda de datos persoais de 100.000 ou máis consumidores de California anualmente, ou derivación do 50% ou máis dos ingresos anuais da venda de datos persoais [2]. Céntrase máis na transparencia e nos dereitos de exclusión voluntaria que en requirir unha base legal para o tratamento.

O PIPL (China) reflicte o GDPR na estrutura pero engade requisitos máis estritos de localización de datos e esixe avaliacións de seguridade gobernamentais antes de transferir datos "importantes" ao estranxeiro [1].

A diferenza práctica: O GDPR é de aceptación por defecto para a maioría dos tratamentos; o CCPA é en gran medida de exclusión voluntaria. O PIPL combina ambos os enfoques mentres engade capas de seguridade nacional das que carece o GDPR.

Que é o ámbito territorial na lei de privacidade

O ámbito territorial define os límites xeográficos dentro dos cales se aplica unha lei de privacidade e, de forma crítica, se alcanza a organizacións que operan fóra deses límites. A maioría das leis de privacidade modernas adoptaron un modelo extraterritorial, o que significa que a presenza física nun país xa non é necesaria para que se apliquen as obrigas de cumprimento.

O ámbito territorial do GDPR réxese polo artigo 3, que aplica o regulamento a calquera organización establecida na UE, e a organizacións fóra da UE que ofrezan bens ou servizos a residentes da UE ou que monitoricen o seu comportamento [1]. O UK GDPR segue un modelo idéntico [9].

O PIPL de China aplícase a entidades estranxeiras que ofrecen produtos ou servizos a individuos en China, analizan ou avalían o comportamento de individuos en China, ou se atopan baixo circunstancias definidas noutras leis aplicables [1].

Navegando sancións e ámbitos territoriais: unha ollada ás leis de privacidade máis estritas do mundo revela un patrón consistente: a tendencia é cara ao máximo alcance. Os reguladores queren evitar que as organizacións escapen das obrigas simplemente incorporándose no estranxeiro.

Como se aplican as leis de privacidade ás empresas fóra do seu país

As leis de privacidade aplícanse ás empresas estranxeiras a través do concepto de xurisdición extraterritorial. Unha empresa con sede en Singapur que xestiona un sitio web dirixido a consumidores alemáns e que recolle os seus enderezos de correo electrónico está suxeita ao GDPR, mesmo sen un só empregado ou oficina na UE.

Os desencadenantes da aplicación extraterritorial adoitan incluír:

Comercialización activa para residentes da xurisdición (idioma, moeda, métodos de pago locais)
Procesamento de datos persoais de residentes, mesmo pasivamente a través de análises ou cookies
Monitorización do comportamento (publicidade comportamental, píxeles de seguimento)
Operación dun establecemento local, mesmo unha pequena oficina de representación

O Programa de Seguridade de Datos do Departamento de Xustiza dos EUA, en vigor o 8 de abril de 2025, engade outra capa: impón controis de exportación para evitar que os adversarios estranxeiros accedan a datos persoais sensibles dos EUA, prohibindo certas transaccións de datos con "Países de Preocupación" designados [5].

Erro común: Asumir que, porque unha empresa non ten presenza física nunha xurisdición, non ten obrigas de cumprimento alí. Isto é incorrecto para o GDPR, PIPL, UK GDPR e LGPD.

Que lei de privacidade é máis difícil de cumprir

O GDPR é amplamente considerado a lei de privacidade máis esixente de cumprir, por tres razóns: a amplitude dos seus requisitos, a estrictez dos seus estándares de consentimento e o volume de accións de aplicación tomadas polas autoridades de supervisión da UE.

O cumprimento do GDPR require que as organizacións documenten cada actividade de tratamento, nomeen un Delegado de Protección de Datos en certos casos, realicen Avaliacións de Impacto na Protección de Datos para o tratamento de alto risco e implementen a "privacidade desde o deseño e por defecto" en todos os sistemas. O estándar de consentimento baixo o GDPR, libremente dado, específico, informado e inequívoco, é considerablemente máis esixente que o modelo de exclusión voluntaria baixo o CCPA [2].

O PIPL de China é un segundo próximo, especialmente para as empresas multinacionais, porque combina os requisitos de consentimento a nivel do GDPR con mandatos de localización de datos e procesos de revisión de seguridade gobernamentais para transferencias transfronteirizas [1][4].

Elixe o GDPR como o teu estándar de cumprimento de referencia se a túa organización serve a calquera residente da UE ou do Reino Unido. Cumprir os requisitos do GDPR satisfará a maioría das demandas substantivas do UK GDPR, e posicionarate ben para o cumprimento do LGPD e PIPL con axustes incrementais.

Que ocorre se violas as regulacións do GDPR ou do CCPA

As violacións do GDPR poden resultar en multas de ata 20 millóns de euros ou o 4% dos ingresos anuais globais, ordes de execución, prohibicións de tratamento e danos á reputación por notificacións de violación obrigatorias [1]. As autoridades de supervisión dos estados membros da UE demostraron unha clara vontade de impoñer multas significativas a empresas de todos os tamaños.

As violacións do CCPA son aplicadas pola Axencia de Protección da Privacidade de California (CPPA). As sancións civís alcanzan ata 2.663 $ por violación non intencional e 7.988 $ por violación intencional, axustadas anualmente pola inflación [3]. A diferenza do GDPR, o CCPA tamén ofrece un dereito de acción privada por violacións de datos, permitindo aos consumidores demandar directamente.

Ademais das sancións financeiras, as consecuencias secundarias adoitan ser máis prexudiciais:

Divulgación pública obrigatoria das accións de execución
Perda de confianza do consumidor e valor da marca
Interrupción operativa por prohibicións de tratamento
Aumento do escrutinio regulatorio noutras xurisdicións

As leis de privacidade aplícanse ás pequenas empresas ou só ás grandes empresas

As leis de privacidade poden aplicarse ás pequenas empresas, aínda que os limiares varían segundo o marco. O GDPR non ten limiar de ingresos nin de tamaño; se unha pequena empresa procesa datos persoais de residentes da UE, está suxeita ao GDPR. O CCPA, pola contra, só se aplica a empresas con ánimo de lucro que cumpran limiares específicos de ingresos ou volume de datos, o que significa que moitas pequenas empresas quedan fóra do seu alcance [2].

As exencións do GDPR para pequenas organizacións son estreitas: As empresas con menos de 250 empregados están parcialmente exentas de manter rexistros detallados das actividades de tratamento, pero só se o seu tratamento non é probable que resulte nun risco para os dereitos dos individuos, non é ocasional ou non implica categorías especiais de datos.

Caso límite: Un autónomo que xestiona unha tenda de comercio electrónico de nicho dirixida a clientes da UE e que utiliza ferramentas de publicidade comportamental está case con toda seguridade suxeito ao GDPR, independentemente dos ingresos anuais.

Erros comúns que cometen as empresas co cumprimento da lei de privacidade

Os fallos de cumprimento máis frecuentes non son técnicos, son organizativos. As empresas subestiman rutinariamente o alcance da súa recollida de datos, non actualizan os avisos de privacidade para reflectir o tratamento real e tratan o consentimento como unha caixa de verificación única en lugar dunha relación continua.

Os principais erros de cumprimento, clasificados por frecuencia:

Mecanismos de consentimento inadecuados, usando caixas premarcadas, consentimento agrupado ou consentimento oculto nos termos de servizo.
Non hai base legal documentada, procesando datos sen identificar e rexistrar unha base legal válida segundo o artigo 6 do GDPR.
Ignorar as regras de transferencia transfronteiriza, transferindo datos persoais a terceiros países sen Cláusulas Contractuais Tipo ou salvagardas equivalentes.
Mapeo de datos incompleto, non saber que datos persoais se recollen, onde se almacenan e quen ten acceso.
Non honrar as solicitudes dos interesados, perdendo a xanela de resposta de 30 días para solicitudes de acceso, supresión ou portabilidade.
Avisos de privacidade desactualizados, publicando un aviso que non describe con precisión as actividades de tratamento actuais.

Un CMP correctamente configurado como Biscotti CMP aborda varios destes puntos de fallo directamente xestionando a recollida, almacenamento e retirada do consentimento en múltiples marcos reguladores.

Como determinar que leis de privacidade se aplican ao teu negocio

Determinar as leis de privacidade aplicables require responder a catro preguntas: Onde está establecida a túa organización? Onde están situados os teus usuarios ou clientes? Que categorías de datos persoais procesas? E cumpres algún limiar específico da xurisdición?

Un marco de decisión práctico:

Se tes un establecemento na UE ou no Reino Unido, ou te dirixes activamente a residentes da UE/Reino Unido: aplícase o GDPR e/ou o UK GDPR [1][9].
Se ofreces bens ou servizos a consumidores chineses ou analizas o seu comportamento: aplícase o PIPL [1].
Se es unha empresa con ánimo de lucro que cumpre os limiares de ingresos ou volume de datos de California: aplícase o CCPA/CPRA [2].
Se operas en Brasil e procesas datos persoais de residentes brasileiros: aplícase o LGPD.
Se o teu negocio implica a transferencia internacional de datos persoais sensibles dos EUA: revisa os requisitos do Programa de Seguridade de Datos do Departamento de Xustiza [5].

Varias leis poden aplicarse simultaneamente. Unha empresa SaaS con sede nos EUA con clientes da UE, empregados de California e unha base de datos de marketing que inclúe clientes potenciais brasileiros pode necesitar cumprir o GDPR, o CCPA e o LGPD simultaneamente.

Hai leis de privacidade que non teñen alcance territorial

Algúns marcos de privacidade teñen un alcance territorial intencionadamente limitado. A Lei de Protección de Datos do DIFC en Dubai, por exemplo, aplícase aos responsables e encargados do tratamento incorporados no DIFC, ou a aqueles que procesan datos dentro do DIFC, pero non reclama un amplo alcance extraterritorial comparable ao GDPR [8]. Do mesmo xeito, moitas leis federais dos EUA máis antigas ou específicas do sector (HIPAA para datos de saúde, FERPA para rexistros educativos) aplícanse en función da natureza dos datos e do tipo de entidade, non da localización dos interesados.

Non obstante, a tendencia global é claramente cara a un alcance territorial máis amplo. Navegando sancións e ámbitos territoriais: unha ollada ás leis de privacidade máis estritas do mundo mostra que a lexislación máis recente, PIPL, LGPD e o UK GDPR post-Brexit, todas adoptaron modelos extraterritoriais, o que indica que os marcos de alcance limitado están a converterse na excepción en lugar da regra.

Como difiren as sancións entre o GDPR e outros marcos de privacidade

As sancións do GDPR son as máis severas e as máis activamente aplicadas de calquera marco de privacidade global, pero os mecanismos difiren significativamente entre os réximes.

Marco	Órgano de aplicación	Pena financeira máxima	Dereito de acción privada
GDPR	Autoridades nacionais de supervisión	20 millóns de euros ou 4% dos ingresos globais	Limitado (varía segundo o estado membro)
UK GDPR	ICO	17,5 millóns de libras ou 4% dos ingresos globais	Limitado
PIPL	CAC / reguladores sectoriais	50 millóns de ¥ ou 5% dos ingresos anuais	Si (para individuos)
CCPA/CPRA	CPPA	7.988 $ por violación intencional	Si (por violacións de datos)
LGPD	ANPD	2% dos ingresos de Brasil, máximo 50 millóns de R$	Si

O modelo de aplicación do GDPR é único en que opera a través dunha rede de 27 autoridades nacionais de protección de datos, creando inconsistencia na agresividade coa que os diferentes estados membros perseguen as violacións. O DPC de Irlanda, que supervisa moitas grandes empresas tecnolóxicas dos EUA debido á súa sede na UE, foi criticado pola lentitude na aplicación, aínda que as multas históricas contra Meta e TikTok demostran que o sistema pode producir resultados significativos [7].

Conclusión: Pasos accionables para navegar sancións e ámbitos territoriais

Navegando sancións e ámbitos territoriais: unha ollada ás leis de privacidade máis estritas do mundo deixa unha cousa clara, a era de tratar o cumprimento da privacidade como unha preocupación rexional rematou. Calquera organización cunha presenza en liña e unha base de usuarios internacional está, con toda probabilidade, suxeita a polo menos un marco de privacidade importante con consecuencias de aplicación reais.

Accións inmediatas a tomar:

Realizar un exercicio de mapeo de datos para identificar cada categoría de datos persoais recollidos, a súa fonte, localización de almacenamento e propósito de tratamento.
Identificar as leis aplicables utilizando os criterios de ámbito territorial descritos anteriormente; non asumas que a xeografía por si soa determina as túas obrigas.
Auditar os teus mecanismos de consentimento para asegurar que cumpren o estándar aplicable máis alto (o consentimento do GDPR é o referente máis estrito).
Revisar os acordos de transferencia de datos transfronteirizos e asegurar que as Cláusulas Contractuais Tipo ou salvagardas equivalentes están en vigor.
Implementar un CMP conforme, Biscotti CMP proporciona a infraestrutura para xestionar a recollida e documentación do consentimento en múltiples marcos reguladores.
Establecer un proceso de solicitude dos interesados con fluxos de traballo documentados e prazos de resposta.
Revisar anualmente, a lei de privacidade non é estática. O Programa de Seguridade de Datos do Departamento de Xustiza (en vigor en 2025), as regulacións de implementación do PIPL en evolución e a posible lexislación federal de privacidade dos EUA representan obxectivos en movemento [5].

As organizacións que traten o cumprimento da privacidade como unha disciplina operativa continua en lugar dun proxecto único estarán moito mellor posicionadas para evitar as sancións que definiron o panorama da aplicación dos últimos anos.

Preguntas frecuentes

P: Aplícase o GDPR a unha empresa estadounidense sen oficina na UE? Si. Se unha empresa estadounidense se dirixe activamente a residentes da UE, por exemplo, ofrecendo servizos en idiomas ou moedas europeas, o GDPR aplícase independentemente de onde estea incorporada a empresa [1].

P: Cal é a diferenza entre un responsable do tratamento e un encargado do tratamento segundo o GDPR? Un responsable do tratamento determina os fins e os medios do tratamento de datos persoais. Un encargado do tratamento procesa datos en nome dun responsable. Ambos teñen obrigas distintas segundo o GDPR, e os encargados do tratamento poden ser considerados directamente responsables de certas violacións.

P: Pode unha empresa enfrontarse a multas do GDPR e sancións do CCPA simultaneamente? Si. Unha empresa que serve tanto a residentes da UE como de California pode enfrontarse a accións de execución baixo ambos os marcos polas mesmas prácticas de datos subxacentes, xa que as leis son independentes entre si.

P: Que é unha base legal para o tratamento segundo o GDPR? O artigo 6 do GDPR require que cada actividade de tratamento se basee nunha das seis bases legais: consentimento, execución de contrato, obrigación legal, intereses vitais, tarefa pública ou intereses lexítimos. O tratamento sen unha base legal documentada é unha violación de nivel superior.

P: Como difire o PIPL de China do GDPR nas transferencias de datos transfronteirizas? O PIPL require unha avaliación de seguridade gobernamental antes de transferir datos "importantes" ao estranxeiro, ademais dos requisitos baseados no consentimento. O GDPR baséase en decisións de adecuación, Cláusulas Contractuais Tipo ou Normas Corporativas Vinculantes; non require a aprobación previa do goberno para a maioría das transferencias [1][4].

P: Hai sancións por non nomear un Delegado de Protección de Datos segundo o GDPR? Si. Non nomear un DPO cando é necesario (para autoridades públicas, monitorización sistemática a gran escala ou tratamento a gran escala de categorías especiais de datos) é unha violación do GDPR de nivel inferior, suxeita a multas de ata 10 millóns de euros ou o 2% dos ingresos globais.

P: Aplícase o CCPA ás organizacións sen ánimo de lucro? Non. O CCPA aplícase só a empresas con ánimo de lucro que cumpran os seus limiares. As organizacións sen ánimo de lucro están xeralmente exentas, aínda que poden estar suxeitas a outros estatutos de privacidade de California.

P: Que é o Programa de Seguridade de Datos do Departamento de Xustiza? En vigor o 8 de abril de 2025, o Programa de Seguridade de Datos do Departamento de Xustiza dos EUA impón controis de exportación para evitar que os adversarios estranxeiros accedan a datos persoais sensibles dos EUA. Prohíbe certas transaccións de datos con "Países de Preocupación" designados [5].

P: Con que rapidez debe notificarse unha violación de datos do GDPR? Os responsables do tratamento deben notificar á súa autoridade de supervisión nun prazo de 72 horas desde que teñen coñecemento dunha violación de datos persoais, cando sexa factible. Se a violación é probable que resulte nun alto risco para os individuos, eses individuos tamén deben ser notificados sen demora indebida.

P: Pode unha plataforma de xestión de consentimento axudar co cumprimento en varias xurisdicións? Si. Un CMP como Biscotti CMP pode xestionar a recollida, almacenamento e retirada do consentimento en diferentes marcos reguladores, axudando ás organizacións a manter probas documentadas de consentimento, un requisito fundamental tanto baixo o GDPR como o PIPL.