Cuando el proveedor trata datos por cuenta de otro: una lectura comparada del encargado en Iberoamérica

En el primer artículo de esta serie, el escenario planteado por la CNIL permitía leer el artículo 28 RGPD desde una perspectiva práctica: qué ocurre cuando el subcontratista está en el centro de la crisis y el responsable necesita hechos, asistencia y evidencias para cumplir. La pregunta de fondo no era solo jurídica. Era operativa: ¿puede el proveedor ayudar al responsable a cumplir cuando el tratamiento entra en crisis?

Esa misma pregunta puede trasladarse al espacio iberoamericano, aunque con una cautela inicial: no todos los países utilizan la misma terminología, no todos regulan con la misma densidad la relación responsable–encargado y no todos han desarrollado guías o criterios específicos sobre cadena de suministro, subencargados, incidentes, evidencias o salida del servicio.

Este análisis se limita a países iberoamericanos que cuentan con legislación específica de protección de datos personales. No se incluyen jurisdicciones que, a la fecha de cierre del artículo, solo cuentan con referencias constitucionales, habeas data, normas sectoriales dispersas o proyectos legislativos no vigentes.

El objetivo no es establecer qué país “lo hace mejor”. La finalidad es distinta: analizar, desde una perspectiva de TPRM aplicado a protección de datos, qué marcos ofrecen una arquitectura más robusta para gobernar proveedores que tratan datos personales por cuenta de otro, dónde existen fortalezas claras y dónde las organizaciones deben reforzar contractualmente aquello que la ley, el reglamento, la autoridad o la práctica supervisora todavía no desarrollan con suficiente detalle.

1. Un mismo problema, distintas categorías jurídicas

Una entidad financiera contrata una plataforma cloud. Una universidad externaliza su sistema de admisión. Una clínica utiliza un proveedor de historias clínicas. Una empresa recurre a una plataforma de marketing digital. Una administración pública contrata soporte tecnológico. En todos esos casos hay un tercero que puede acceder, alojar, procesar, conservar, transmitir o suprimir datos personales por cuenta de otro.

La lógica funcional es reconocible: una entidad decide las finalidades y los medios esenciales del tratamiento; otra ejecuta determinadas operaciones siguiendo instrucciones, en el marco de una prestación de servicios.

Sin embargo, el lenguaje jurídico cambia de un país a otro. En el RGPD europeo hablamos de responsable y encargado. En Brasil, el equivalente funcional del encargado europeo no es el “encarregado”, sino el operador; el “encarregado” brasileño se aproxima más a la figura del DPO o canal de comunicación. La ANPD lo explica en su guía orientativa sobre agentes de tratamiento, donde distingue controlador, operador y encargado.

En Ecuador, Colombia, Uruguay, Paraguay, Chile, México, Perú, Costa Rica o El Salvador aparece con mayor claridad la distinción entre responsable y encargado, aunque con distintos niveles de desarrollo. Panamá utiliza una técnica propia, en la que resultan relevantes las figuras del responsable del tratamiento y del custodio de la base de datos. La guía de ANTAI para el sector privado sitúa el marco panameño en la Ley 81 de 2019 y su desarrollo reglamentario por el Decreto Ejecutivo 285 de 2021.

La primera lección comparada es metodológica: no debe compararse solo el nombre de la figura, sino la función que desempeña en la cadena de tratamiento.

2. Taxonomía comparada de roles

Para analizar la cadena de suministro de datos personales en Iberoamérica no basta con buscar una palabra equivalente a “encargado”. Algunos países utilizan esa expresión; otros hablan de operador, tercero mandatario, custodio, usuario o responsable de banco de datos. La comparación debe partir de la función: quién decide el tratamiento, quién lo ejecuta por cuenta de otro y qué grado de control, asistencia y responsabilidad se exige a ese tercero.

Esta taxonomía muestra que la región no carece de figuras para gobernar proveedores. Lo que varía es la densidad del estatuto: en algunos marcos la relación está más desarrollada; en otros, la organización debe completar mediante contrato, matriz de riesgos y controles TPRM aquello que la norma no detalla.

3. El artículo 28 RGPD como patrón de contraste

El artículo 28 RGPD ofrece una arquitectura especialmente completa para regular al encargado: selección diligente, contrato o acto jurídico, instrucciones documentadas, confidencialidad, seguridad, subencargados, asistencia al responsable, auditoría, puesta a disposición de evidencias y devolución o supresión de los datos al finalizar la prestación.

No tiene sentido utilizarlo como una vara de superioridad normativa. Sí tiene mucho sentido utilizarlo como patrón de contraste. Permite preguntar qué piezas están presentes en cada marco iberoamericano, cuáles aparecen de forma parcial y cuáles quedan todavía en manos del contrato, la práctica de la autoridad o la madurez organizativa.

Desde una perspectiva TPRM, las preguntas relevantes son muy concretas:

¿Está claro quién decide y quién trata por cuenta de otro?
¿Debe existir contrato o instrumento equivalente?
¿El proveedor actúa bajo instrucciones?
¿Tiene obligaciones propias de seguridad?
¿Debe informar incidentes al responsable?
¿Debe asistir en derechos, brechas, evaluaciones de impacto o auditorías?
¿Hay reglas sobre subproveedores o subencargados?
¿Debe aportar evidencias?
¿Debe devolver o suprimir los datos al finalizar el servicio?
¿Puede responder directamente si se aparta de las instrucciones o actúa como responsable de hecho?

Con esas preguntas, el análisis comparado se vuelve más útil que una simple descripción país por país.

4. Matriz legal e institucional: ley, reglamento, autoridad y utilidad TPRM

Para valorar la robustez TPRM de un marco nacional no basta con comprobar si existe una ley de protección de datos. Es necesario observar si esa ley está desarrollada por reglamento, si existe una autoridad activa, si hay guías, consultas o criterios públicos, y si todo ese conjunto permite convertir la relación con proveedores en contrato, instrucciones, seguridad, asistencia, evidencias y salida verificable.

La incorporación de los reglamentos matiza la lectura inicial. Perú gana peso por su nuevo Reglamento de 2024; Costa Rica, Panamá, Uruguay, Colombia y Argentina deben analizarse también desde sus decretos reglamentarios; Ecuador consolida una de las arquitecturas más densas de la región; y México exige una lectura separada por la coexistencia de nuevas leyes de 2025, desarrollo reglamentario previo y reconfiguración institucional.

5. Marcos con mayor densidad operativa TPRM

Ecuador

Ecuador destaca por la combinación de LOPDP, Reglamento General, guías de la SPDP y consultas absueltas por la autoridad. El Reglamento General a la LOPDP fue expedido mediante Decreto Ejecutivo n.º 904 y desarrolla la aplicación de la Ley; además, el texto reglamentario se aplica a responsables y encargados no establecidos en Ecuador cuando les resulte aplicable la legislación nacional.

Las consultas evacuadas por la SPDP permiten observar cómo la autoridad interpreta la relación responsable–encargado. En las consultas de 2026, la SPDP recoge expresamente que esa relación debe regirse por un contrato escrito, con instrucciones sobre el tratamiento y elementos como objeto, duración, naturaleza, finalidad y categorías de datos.

Desde la óptica del artículo 28 RGPD, Ecuador presenta varias fortalezas claras: contrato de encargo, instrucciones, delimitación del tratamiento, seguridad, asistencia, devolución o destrucción de datos al finalizar la prestación y posible responsabilidad del encargado si incumple las condiciones del tratamiento. Su principal cautela es que la práctica sancionadora y supervisora todavía está en consolidación.

Desde TPRM, Ecuador se sitúa entre los modelos más robustos de la región: permite construir un sistema de gobierno de encargados basado en contrato, instrucciones, seguridad, evidencias, asistencia y salida del servicio.

Brasil

Brasil es imprescindible en cualquier análisis regional, pero exige precisión. En la LGPD, el “encarregado” no equivale al encargado del RGPD. La figura funcionalmente comparable es el operador, que trata datos personales en nombre del controlador. El “encarregado” brasileño es la persona indicada por el controlador u operador para actuar como canal de comunicación con los titulares y con la ANPD.

La fortaleza brasileña está en la claridad conceptual de la ANPD y en la existencia de una autoridad activa. La ANPD dispone de orientación sobre agentes de tratamiento, sobre actuación del encarregado y sobre comunicación de incidentes de seguridad.

Su debilidad, frente al artículo 28 RGPD, es que el estatuto contractual del operador no aparece desarrollado con la misma granularidad: suboperadores, asistencia, evidencias, auditoría y salida suelen requerir una construcción contractual más cuidadosa.

Desde TPRM, Brasil es un marco sólido, pero exige traducción terminológica y contractual. Un contrato regional no puede hablar de “encargado” en sentido europeo sin aclarar la equivalencia funcional con el operador brasileño.

Colombia

Colombia aporta una pieza muy valiosa al análisis comparado: el principio de responsabilidad demostrada. La Ley 1581 de 2012 constituye el marco general de protección de datos personales en Colombia, y el Decreto 1377 de 2013 reglamenta parcialmente dicha ley.

La SIC ha recordado que los encargados obran por cuenta del responsable y ha recomendado que los contratos de prestación de servicios establezcan de manera clara las obligaciones especiales y deberes que deben cumplir los encargados en el tratamiento de datos personales. La noción colombiana de encargado está definida funcionalmente como la persona natural o jurídica que realiza tratamiento de datos personales por cuenta del responsable.

Colombia no reproduce la estructura del artículo 28 RGPD con el mismo detalle contractual, pero ofrece una base sólida para gobernar encargados desde tres ejes: transmisión, responsabilidad demostrada y práctica supervisora. Su fortaleza está en la cultura de evidencia y en la existencia de una autoridad con recorrido. Su debilidad comparada está en que aspectos como subencargados, asistencia operativa en brechas o devolución y supresión pueden necesitar mayor desarrollo contractual.

Uruguay

Uruguay cuenta con una autoridad consolidada, la URCDP, y con una guía general oficial de protección de datos personales. Su marco se apoya en la Ley 18.331, el Decreto 414/009 y el Decreto 64/020, que incorpora elementos relevantes sobre responsabilidad proactiva, vulneraciones y DPD.

La autoridad uruguaya también dispone de una guía para la gestión, documentación y comunicación de vulneraciones de seguridad en datos personales, orientada a responsables y encargados de bases de datos o de tratamiento. La guía indica que responsables y encargados pueden verse afectados por brechas o incidentes de seguridad y deben gestionarlos conforme al marco aplicable.

La fortaleza de Uruguay no está tanto en una réplica detallada del artículo 28 RGPD, sino en la madurez institucional, la estabilidad de la autoridad y la incorporación de criterios de responsabilidad proactiva, seguridad, vulneraciones y alcance extraterritorial. La debilidad comparada aparece en la menor granularidad sobre subencargados, asistencia y auditoría si se contrasta con el estatuto europeo.

6. Marcos de robustez media-alta o en transición

Perú

Perú debe mejorar su posición en la lectura comparada. Cuenta con la Ley 29733 y, de forma especialmente relevante, con un nuevo Reglamento aprobado por Decreto Supremo n.º 016-2024-JUS, publicado el 30 de noviembre de 2024, que sustituye al anterior Reglamento de 2013.

Este nuevo reglamento moderniza el marco peruano y exige revisar al alza su robustez TPRM. Desde la perspectiva de proveedores, encargados y cadena de suministro, conviene analizar con detalle cómo regula el encargado del tratamiento, las obligaciones de seguridad, la gestión de incidentes, las transferencias, las medidas organizativas y la trazabilidad.

Desde TPRM, Perú debe situarse como media-alta reforzada por nuevo reglamento, no como un marco secundario.

Costa Rica

Costa Rica cuenta con la Ley 8968 y con el Decreto Ejecutivo 37554-JP, Reglamento a la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, con reformas posteriores.

PRODHAB dispone de resoluciones públicas que recogen deberes propios del encargado, como tratar datos personales conforme a instrucciones del responsable y suprimirlos una vez cumplida la relación jurídica con el responsable. Esta línea confirma elementos funcionalmente cercanos al artículo 28 RGPD: instrucciones, limitación de finalidad y supresión al finalizar la relación.

Su robustez aumenta cuando se incorporan reglamento y práctica resolutiva, aunque sigue necesitando refuerzo en subencargados, incidentes, asistencia, evidencias y auditoría.

Panamá

Panamá se basa en la Ley 81 de 2019 y en el Decreto Ejecutivo 285 de 2021, que reglamenta dicha ley. ANTAI destaca que el decreto incluye disposiciones generales, requisitos para recabar información, funciones del Oficial de Protección de Datos Personales y criterios para la aplicación de sanciones.

Panamá no presenta un estatuto equivalente al artículo 28 RGPD en términos de encargado y subencargado. Sin embargo, sí contiene piezas relevantes para TPRM: responsable, custodio, mandato, confidencialidad, deber de diligencia, seguridad y autoridad de control.

Desde TPRM, Panamá debe entenderse como un marco que exige traducción funcional: identificar cuándo un custodio o proveedor está actuando como tercero que trata datos por cuenta de otro y regular contractualmente lo que la ley no detalla con la misma densidad.

Chile

Chile debe incorporarse necesariamente al análisis. Tiene la Ley 19.628 vigente y una reforma estructural ya aprobada: la Ley 21.719, publicada el 13 de diciembre de 2024, que regula la protección y el tratamiento de datos personales y crea la Agencia de Protección de Datos Personales. Su entrada en vigor está prevista para el 1 de diciembre de 2026.

Desde TPRM, Chile debe leerse como un marco en transición avanzada. La cuestión no es esperar a diciembre de 2026 para actuar, sino preparar desde ahora inventario de proveedores, contratos, instrucciones, medidas de seguridad, incidentes, evidencias, subproveedores y salida del servicio.

México

México debe tratarse con una nota específica. El marco cambió profundamente en 2025. El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación un decreto que expidió nuevas leyes en materia de transparencia y protección de datos personales, incluyendo una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares y una nueva Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados.

Además, el marco institucional cambió con la extinción del INAI, lo que obliga a analizar México con cautela: existe legislación específica vigente, pero la continuidad de criterios, procedimientos, guías y práctica administrativa debe revisarse bajo la nueva arquitectura institucional.

Desde TPRM, México no debe excluirse; al contrario, debe incorporarse como país con legislación específica y mercado relevante. Pero no debe tratarse como si el marco institucional fuese el anterior. Su posición en la matriz debe ser “en revisión por reforma legal e institucional 2025”.

Paraguay

Paraguay ha entrado recientemente en el mapa regional con la Ley 7593/2025 de Protección de Datos Personales. La fuente oficial del Congreso recoge una arquitectura moderna en la que aparecen responsable y encargado.

La novedad de Paraguay es su principal fortaleza y su principal cautela. Es una ley reciente, nacida en un contexto regional más maduro, con capacidad para desarrollar desde el inicio una visión moderna de responsable, encargado, seguridad, derechos, responsabilidad y gobernanza. Pero todavía requiere desarrollo reglamentario, criterios administrativos y práctica supervisora.

Desde TPRM, Paraguay tiene potencial alto, pero madurez práctica pendiente.

7. Marcos vigentes que requieren mayor refuerzo contractual o cautela

Argentina

Argentina cuenta con la Ley 25.326 y el Decreto Reglamentario 1558/2001. La autoridad institucional, la AAIP, mantiene información y criterios sobre protección de datos personales.

Sin embargo, el régimen vigente es anterior al RGPD y ofrece menor densidad específica sobre encargado, subencargados, asistencia, evidencias y cadena de suministro. Desde TPRM, Argentina exige un refuerzo contractual y metodológico importante. La autoridad y la tradición institucional son fortalezas; la menor actualización normativa frente a cadenas complejas de proveedores es la principal debilidad.

El Salvador

El Salvador cuenta con una Ley para la Protección de Datos Personales aprobada por Decreto n.º 144 de 2024. El texto oficial señala que la ley tiene por objeto establecer la regulación para la protección de los datos personales, determinando requisitos esenciales para el tratamiento legítimo e informado y el marco normativo para su recolección, uso, procesamiento, almacenamiento y otras actividades relacionadas.

Desde TPRM, El Salvador debe leerse como marco joven. Tiene la ventaja de haber nacido en un contexto regional más maduro, pero requiere consolidación institucional, guías, criterios y práctica supervisora.

Cuba

Cuba cuenta con la Ley 149/2022 de Protección de Datos Personales, publicada en la Gaceta Oficial No. 90 Ordinaria de 25 de agosto de 2022.

Debe incluirse en la cartografía porque existe una ley específica vigente. No obstante, desde una perspectiva TPRM, su análisis exige cautela: una cosa es la existencia formal de norma y otra la disponibilidad de autoridad independiente, guías públicas, doctrina administrativa, práctica supervisora y criterios específicos sobre encargados, subencargados y cadena de suministro.

Nicaragua

Nicaragua cuenta con la Ley 787 de Protección de Datos Personales, vigente desde 2012, cuyo objeto es la protección de la persona natural o jurídica frente al tratamiento, automatizado o no, de sus datos personales en ficheros públicos y privados.

También cuenta con el Decreto 36-2012, Reglamento de la Ley 787, aunque la evidencia pública de guías específicas sobre proveedores, subencargados, incidentes, asistencia y auditoría parece limitada frente a marcos más activos institucionalmente.

República Dominicana

República Dominicana cuenta con la Ley 172-13 sobre protección integral de datos personales, cuyo objeto es la protección de datos asentados en archivos, registros públicos, bancos de datos u otros medios técnicos de tratamiento de datos destinados a dar informes.

Desde TPRM, su técnica normativa no ofrece el mismo desarrollo moderno del encargado que el artículo 28 RGPD. Es un marco vigente y debe estar en la cartografía, pero los elementos de cadena de suministro, asistencia, subproveedores, incidentes, evidencias y salida requieren una construcción contractual especialmente cuidadosa.

8. Matriz sintética de hitos TPRM actualizada

La siguiente matriz no mide calidad democrática, independencia institucional ni eficacia real de supervisión. Mide algo más concreto: la densidad normativa y operativa disponible para construir un programa TPRM de protección de datos.

Leyenda:
● Exigido o claramente desarrollado.
◐ Reconocido parcialmente, deducible o pendiente de mayor desarrollo.
○ Poco desarrollado o no identificado de forma clara.

Esta matriz permite ver algo importante: la región no carece de figuras ni de bases normativas para gobernar proveedores. Lo que varía es la densidad operativa. Algunos países ofrecen una arquitectura más completa desde ley, reglamento, autoridad y guías. Otros requieren que la organización complete las carencias mediante contrato, matriz de riesgos, auditoría, evidencias y seguimiento del proveedor.

9. La cadena de suministro: fortalezas y carencias regionales

La principal fortaleza regional es que la figura del tercero que trata datos por cuenta de otro ya no es invisible. Con distintas categorías, los marcos analizados permiten identificar que una organización puede decidir el tratamiento y otra ejecutarlo. Esa distinción es la base de cualquier TPRM de protección de datos.

La segunda fortaleza es el avance de la responsabilidad proactiva o demostrada. Colombia la trabaja de forma especialmente clara; Ecuador la refuerza mediante guías, consultas y obligaciones de documentación; Uruguay incorpora orientación institucional; Brasil dispone de guía de agentes y seguridad; Paraguay, Chile y El Salvador nacen o transitan hacia sistemas más modernos; Perú refuerza su posición con el nuevo reglamento de 2024.

La tercera fortaleza es que, incluso donde la ley no reproduce el artículo 28 RGPD, es posible construir controles razonables: contrato, instrucciones, seguridad, incidentes, evidencias, salida y revisión periódica.

Las carencias aparecen en la parte más delicada de la cadena. En varios países, el régimen de subencargados o subproveedores no alcanza la precisión del artículo 28 RGPD. La asistencia del proveedor al responsable en derechos, brechas, EIPD o auditorías no siempre aparece como obligación sistemática. La entrega de evidencias y la auditabilidad pueden quedar demasiado abiertas. La devolución o supresión al finalizar la prestación existe en algunos marcos, pero no siempre como procedimiento verificable. Y las guías específicas de TPRM o cadena de suministro siguen siendo escasas.

La conclusión práctica es clara: donde la ley no desarrolla todo el estatuto del encargado, el contrato, la matriz de riesgos y el programa TPRM deben cerrar la brecha de gobierno.

10. Qué debería hacer una organización iberoamericana

Una organización que opere en Iberoamérica no debería limitarse a adaptar cláusulas país por país. Debería construir un estándar interno regional de gobierno de proveedores, suficientemente robusto para funcionar en todos los marcos y ajustable a las particularidades nacionales.

Ese estándar debería incluir:

• inventario de proveedores que tratan datos personales;
• validación del rol jurídico: responsable, encargado, operador, custodio o figura equivalente;
• clasificación de criticidad;
• contrato o instrumento jurídico con instrucciones claras;
• medidas de seguridad vinculadas al riesgo;
• régimen de subproveedores o subencargados;
• control de transferencias internacionales;
• procedimiento de brechas e incidentes;
• asistencia en derechos, comunicaciones, evaluaciones de impacto y auditorías;
• obligación de aportar evidencias;
• devolución, supresión y cierre verificable;
• revisión periódica y mejora.

La lógica no es copiar mecánicamente el artículo 28 RGPD. La lógica es utilizar su arquitectura para evitar que el proveedor que trata datos por cuenta de otro se convierta en una zona ciega.

11. El papel del DPO, DPD u oficial de protección de datos

La diversidad regional también afecta al rol de supervisión interna. No todos los países configuran igual el DPO, DPD, oficial o encargado de protección de datos. Pero la función que interesa para TPRM es muy similar: evitar que compras, tecnología, negocio o jurídico contraten proveedores sin verificar el impacto real sobre datos personales.

Ese rol debe ayudar a identificar qué proveedores tratan datos, qué riesgos introducen, qué contratos se han firmado, qué instrucciones existen, qué subproveedores participan, qué incidentes deben comunicarse, qué evidencias deben conservarse y qué ocurre al finalizar la prestación.

Su función no es bloquear la contratación ni sustituir la decisión gerencial. Es ordenar el razonamiento, advertir riesgos, exigir evidencias y ayudar a que la relación con el proveedor sea defendible.

Conclusión: del proveedor externo al tercero gobernado

El análisis iberoamericano muestra una convergencia clara: el proveedor que trata datos por cuenta de otro ya no puede ser una figura invisible del cumplimiento. Debe estar identificado, instruido, regulado, supervisado y preparado para asistir cuando el tratamiento falla.

Pero también muestra una diferencia importante frente al artículo 28 RGPD. En Europa, el estatuto del encargado está muy desarrollado en la propia norma. En Iberoamérica, la robustez depende más de la combinación entre ley, reglamento, guías, autoridad, consultas, práctica supervisora y contrato.

La pregunta, por tanto, no es si todos los marcos iberoamericanos reproducen el artículo 28 RGPD. La pregunta es si permiten gobernar de forma suficiente al proveedor que trata datos por cuenta de otro.

En algunos países, la respuesta está más desarrollada. En otros, dependerá todavía del contrato, de la matriz de riesgos y de la madurez organizativa. Pero la dirección común es clara: la cadena de suministro de datos personales debe dejar de ser una zona opaca.

La diferencia entre un proveedor externo y un encargado, operador, custodio o tercero verdaderamente gobernado no está solo en la etiqueta normativa.

Está en su capacidad de actuar bajo instrucciones, proteger los datos, asistir al responsable, aportar evidencias y responder cuando el tratamiento falla.

Bibliografía y fuentes consultadas

Unión Europea / referencia de contraste

Reglamento (UE) 2016/679, texto en EUR-Lex.
Reglamento (UE) 2016/679, artículo 28, Encargado del tratamiento.

Ecuador

Reglamento General a la Ley Orgánica de Protección de Datos Personales, Decreto Ejecutivo n.º 904.
SPDP. Portal institucional, guías y consultas absueltas.

Brasil

ANPD. Guía sobre agentes de tratamiento y encargado.
ANPD. Comunicación de incidentes de seguridad.

Colombia

Ley 1581 de 2012.
Decreto 1377 de 2013.

Uruguay

Ley 18.331 de Protección de Datos Personales y Acción de Habeas Data.
Decreto 414/009, reglamentario de la Ley 18.331.

Perú

Ley n.º 29733, Ley de Protección de Datos Personales.
Decreto Supremo n.º 016-2024-JUS, nuevo Reglamento de la Ley n.º 29733.

Costa Rica

Ley 8968 y Decreto Ejecutivo 37554-JP, Reglamento a la Ley 8968.

Panamá

Decreto Ejecutivo 285 de 2021, reglamentario de la Ley 81 de 2019.
ANTAI. Guías y preguntas frecuentes de protección de datos personales.

Chile

Ley 21.719, regula la protección y tratamiento de datos personales y crea la Agencia de Protección de Datos Personales.
Guía práctica de implementación de la nueva ley chilena de datos personales.

México

Nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, 2025.
DOF, decreto de 20 de marzo de 2025 sobre nuevas leyes en transparencia y protección de datos.

Paraguay

Ley n.º 7593/2025, de Protección de Datos Personales en la República del Paraguay.

Argentina

Ley 25.326 de Protección de Datos Personales.
Decreto Reglamentario 1558/2001.

El Salvador

Decreto n.º 144 de 2024, Ley para la Protección de Datos Personales.

Cuba

Ley 149/2022, de Protección de Datos Personales.

Nicaragua

Ley n.º 787, Ley de Protección de Datos Personales.
Decreto 36-2012, Reglamento de la Ley 787.

República Dominicana

Ley 172-13 sobre protección integral de datos personales.