Cómo solicitar sus datos personales: derechos por estado

Una solicitud de datos personales en Estados Unidos comienza con dos preguntas: quién conserva los registros y qué ley cubre a ese titular. Las leyes estatales de privacidad regulan a ciertas empresas privadas. Los registros de salud, crédito, educación y gobierno usan vías federales o estatales distintas. La residencia por sí sola no crea un derecho ni somete a una organización a una ley.

Información verificada por última vez con las fuentes citadas el 11 de septiembre de 2026. Este artículo aún no ha sido revisado por un abogado con licencia.

Alcance jurisdiccional: Esta guía cubre vías federales seleccionadas y los 50 estados más el District of Columbia al 11 de septiembre de 2026. No establece elegibilidad, no enumera todas las exenciones ni clasifica las 25 jurisdicciones pendientes como carentes de derechos de acceso.

¿Qué ley estadounidense de acceso a datos se aplica?

La ley correcta suele depender del titular y del motivo por el que existe el registro. El perfil de un cliente minorista, un expediente hospitalario, un archivo crediticio, un registro escolar y un archivo de una agencia federal no comparten un procedimiento único. Primero identifique a la organización y su aviso de privacidad; después relacione los datos con una ley confirmada.

Una ley estatal integral puede ofrecer confirmación, acceso, corrección, eliminación o portabilidad cuando cubre tanto al individuo como al controlador. Cada ley define “controlador” y establece sus propios umbrales. Una persona puede quedar fuera de la definición de consumidor cuando actúa en un contexto laboral o comercial. Una organización puede quedar excluida por tamaño, sector, condición sin fines de lucro, función gubernamental u otra regla.

Las exenciones de datos también importan. Una ley puede excluir a toda una entidad, solo datos regulados por otra norma o un procesamiento concreto. Los datos financieros, médicos, de seguros, educativos, laborales y gubernamentales suelen requerir otra vía. Que una empresa tenga un formulario no demuestra que todos sus derechos se apliquen a toda solicitud.

Esta guía usa cuatro etiquetas. “Vigente” significa que el marco integral revisado ya entró en vigor. “Futuro” significa que fue promulgado pero sus derechos aún no operan. “Específico” identifica un derecho limitado que no equivale al acceso a todos los datos. “Sin clasificación” significa que esta revisión no clasifica un marco integral y no implica que falten otros derechos.

Los registros de salud, crédito, educación y gobierno usan vías distintas

Las leyes federales sectoriales responden preguntas diferentes y deben mantenerse separadas de la tabla estatal.

HIPAA generalmente exige que una entidad cubierta actúe sobre una solicitud cubierta dentro de 30 días calendario y permite una prórroga escrita de 30 días en las circunstancias indicadas. FCRA exige que una agencia de informes del consumidor, previa solicitud e identificación apropiada, revele la información del archivo según la ley. FERPA usa definiciones propias y un plazo máximo de 45 días.

FOIA trata los registros de agencias federales, mientras Privacy Act puede ofrecer acceso a registros de una persona dentro de un sistema federal. Las agencias estatales y locales siguen sus propias leyes. Una solicitud de registros gubernamentales como llamadas al 911 plantea una pregunta distinta a una solicitud dirigida a un controlador privado.

Dónde se aplica un derecho estatal integral de acceso

Al 11 de septiembre de 2026, esta gu?a identifica 20 marcos estatales integrales vigentes: California, Colorado, Connecticut, Delaware, Florida, Indiana, Iowa, Kentucky, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon, Rhode Island, Tennessee, Texas, Utah y Virginia. Es un conteo de vigencia, no una promesa de que todo residente o negocio esté cubierto.

Alabama, Louisiana, Oklahoma y Vermont promulgaron marcos futuros. Alabama entra en vigor el 1 de mayo de 2027. Louisiana y Oklahoma entran en vigor el 1 de enero de 2027. El subcapítulo relevante de Vermont entra en vigor el 1 de enero de 2028 según Act 145. Una solicitud anterior no puede usar un derecho futuro como si ya estuviera vigente.

Nevada y Washington quedan en una categoría específica. El texto oficial recuperado de Nevada confirma una exclusión voluntaria para ciertas ventas por operadores en línea, con su propio plazo, no un derecho general de acceso. My Health My Data Act de Washington cubre datos de salud del consumidor, no toda categoría de datos personales.

Las preguntas comunes incluyen el rol del consumidor, ingresos o volumen de datos, actividad dirigida al estado y exenciones. Entidades gubernamentales, instituciones o datos financieros, entidades o información regulada por HIPAA, aseguradoras, organizaciones sin fines de lucro, educación superior y datos laborales reciben tratamientos distintos. El texto aplicable debe resolver cada elemento.

Florida muestra por qué se necesita precisión. Fla. Stat. § 501.702(9) cubre una entidad con fines de lucro que supera $1 billion en ingresos brutos globales anuales y cumple al menos una de tres ramas: al menos 50 percent de ingresos globales anuales por venta de publicidad en línea; operación del servicio especificado de altavoz inteligente o asistente de voz; u operación de una tienda de aplicaciones o plataforma de distribución con al menos 250,000 aplicaciones. También alcanza entidades dentro de la relación legal de control. Describir Florida como ampliamente aplicable omitiría esas condiciones.

Cómo presentar una solicitud verificable de acceso

Use el método indicado en el aviso de privacidad o instrucciones oficiales de la organización cubierta. Esta es una lista práctica derivada de disposiciones comunes, no una fórmula legal universal.

1. Identifique la cuenta, transacción, dispositivo, servicio u otra relación vinculada a los datos.
2. Nombre el derecho confirmado de acceso o confirmación y describa los datos con suficiente claridad.
3. Solicite la copia o formato portátil disponible bajo la ley aplicable.
4. Proporcione solo la autenticación razonablemente pedida mediante un canal seguro. Evite enviar documentos innecesarios por correo ordinario.
5. Conserve solicitud, fecha, comprobante, número de confirmación, autenticación, aviso de prórroga y respuesta.

Los agentes autorizados y solicitudes parentales siguen reglas específicas. Un controlador puede indicar que no logra autenticar al solicitante o relacionarlo con los datos. Eso no siempre es una denegación final; quizá falte completar un método seguro de verificación.

Combinar teorías no relacionadas puede dificultar el trámite. Una solicitud hospitalaria, crediticia, escolar, gubernamental y de privacidad puede requerir destinatarios y pruebas diferentes. Si la organización invoca una exención o rechaza actuar, pida la razón escrita y las instrucciones de apelación exigidas por la ley aplicable.

Plazos de respuesta, prórrogas, copias y cargos

No existe un plazo nacional único. Muchas leyes integrales usan 45 días para la respuesta inicial y permiten 45 días adicionales cuando sea razonablemente necesario, por lo general con aviso y motivos dentro del período original. La ley determina cuándo comienza el plazo, si usa días calendario y qué constituye una respuesta completa.

Iowa usa 90 días inicialmente bajo Iowa Code § 715D.3. Florida usa 45 días y permite una prórroga de 15 días cuando sea razonablemente necesaria y se avise a tiempo bajo Fla. Stat. § 501.706. El sistema de California tiene reglas propias sobre confirmación, verificación, frecuencia, período retrospectivo y divulgación.

Una confirmación de recibo no es la respuesta completa. Un aviso de prórroga no es necesariamente denegación. Algunas leyes permiten cobrar o rechazar solicitudes manifiestamente infundadas, excesivas, inviables o repetitivas, pero varían el texto y la carga. También cambian la frecuencia gratuita y el formato.

Registre la fecha de recepción y conserve la confirmación. Si la organización pide autenticación adicional, guarde el intercambio y la fecha de entrega. La cronología determina si ya procede una apelación o queja.

Qué hacer después de una denegación o falta de respuesta

Lea el motivo indicado antes de elegir la vía siguiente. Un controlador puede citar autenticación fallida, exención de entidad o datos, solicitudes excesivas, falta de control sobre los datos u otra razón legal. Un problema corregible de identidad puede resolverse por el canal seguro sin asumir una denegación definitiva.

Cuando exista apelación interna, siga el método indicado y conserve prueba. Florida exige un proceso visible similar al método original. Según Fla. Stat. § 501.707, el controlador debe dar resultado escrito y razones dentro de 60 días. La fuente también exige facilitar la vía legal de contacto cuando se deniega la apelación.

La futura ley de Vermont también establece un resultado en 60 días bajo § 2415d(d), pero su subcapítulo no entra en vigor hasta el 1 de enero de 2028. El texto vigente de Connecticut confirma 60 días, mientras el texto oficial recuperado de New Jersey confirma 45. Estos ejemplos no crean un plazo universal.

Si se rechaza la apelación, use solo la vía del regulador, fiscal general, queja o tribunal respaldada por la ley. La autoridad de aplicación, subsanación y remedios privados varía. La guía para presentar una queja de privacidad ayuda a organizar el expediente, mientras la guía para pedir eliminación de datos trata otro derecho.

Derechos de acceso del consumidor en los 50 estados y DC

Cada sección enlaza una guía estatal en español. Las filas vigentes y futuras identifican solo el proceso y plazo respaldados por la autoridad citada. No establecen elegibilidad ni contienen todas las exenciones. Las filas específicas quedan separadas y las no clasificadas no afirman ausencia de ley.

Alabama

Marco integral futuro, desde 2027-05-01. Alabama Personal Data Protection Act, Act 2026-552, Ala. Code § 8-44-5. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Alabama.

Alaska

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Alaska para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Arizona

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Arizona para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Arkansas

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Arkansas para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

California

Marco integral vigente, desde 2020-01-01; edición de la ley vigente desde 2026-01-01. California Consumer Privacy Act as amended, Cal. Civ. Code §§ 1798.100, 1798.110, 1798.115; implementing regulations. Respuesta: 45 días; posible prórroga: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de California.

Colorado

Marco integral vigente, desde 2023-07-01. Colorado Privacy Act, Colo. Rev. Stat. § 6-1-1306; 4 CCR 904-3. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Colorado.

Connecticut

Marco integral vigente, desde 2023-07-01. Connecticut Data Privacy Act, Conn. Gen. Stat. § 42-518. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Connecticut.

Delaware

Marco integral vigente, desde 2025-01-01. Delaware Personal Data Privacy Act, 6 Del. C. § 12D-104. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Delaware.

District of Columbia

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de District of Columbia para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Florida

Marco integral vigente, desde 2024-07-01. Florida Digital Bill of Rights, Fla. Stat. §§ 501.705-.707. Respuesta: 45 días; posible prórroga: 15 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Florida.

Georgia

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Georgia para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Hawaii

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Hawaii para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Idaho

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Idaho para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Illinois

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Illinois para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Indiana

Marco integral vigente, desde 2026-01-01. Indiana Consumer Data Protection Act, Ind. Code § 24-15-3-1. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Indiana.

Iowa

Marco integral vigente, desde 2025-01-01. Iowa Consumer Data Protection Act, Iowa Code § 715D.3. Respuesta: 90 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Iowa.

Kansas

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Kansas para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Kentucky

Marco integral vigente, desde 2026-01-01. Kentucky Consumer Data Protection Act, KRS 367.3615. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Kentucky.

Louisiana

Marco integral futuro, desde 2027-01-01. Louisiana Data Privacy Act, Act 502 (SB 386), La. R.S. 51:1780.3. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Louisiana.

Maine

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Maine para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Maryland

Marco integral vigente, desde 2025-10-01. Maryland Online Data Privacy Act, Md. Code, Commercial Law § 14-4605. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Maryland.

Massachusetts

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Massachusetts para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Michigan

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Michigan para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Minnesota

Marco integral vigente, desde 2025-07-31. Minnesota Consumer Data Privacy Act, Minn. Stat. § 325M.13. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Minnesota.

Mississippi

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Mississippi para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Missouri

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Missouri para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Montana

Marco integral vigente, desde 2023-10-01. Montana Consumer Data Privacy Act, Mont. Code Ann. § 30-14-2808. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Montana.

Nebraska

Marco integral vigente, desde 2025-01-01. Nebraska Data Privacy Act, Neb. Rev. Stat. § 87-1107. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Nebraska.

Nevada

Derecho específico. NRS 603A ofrece una exclusión voluntaria verificada para ciertas ventas de operadores en línea, no el derecho general de acceso comparado aquí. Consulte NRS 603A.340 creates a verified opt-out of covered sales, not the general access/confirmation right compared here y la guía de privacidad de Nevada.

New Hampshire

Marco integral vigente, desde 2025-01-01. New Hampshire Data Privacy Act, RSA 507-H:4. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de New Hampshire.

New Jersey

Marco integral vigente, desde 2025-01-15. New Jersey Data Privacy Act, N.J. Stat. § 56:8-166.8. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de New Jersey.

New Mexico

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de New Mexico para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

New York

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de New York para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

North Carolina

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de North Carolina para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

North Dakota

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de North Dakota para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Ohio

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Ohio para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Oklahoma

Marco integral futuro, desde 2027-01-01. Oklahoma consumer data privacy law, SB 546, Enrolled sections 2-4, to be codified at 75A O.S. §§ 301-303. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Oklahoma.

Oregon

Marco integral vigente, desde 2024-07-01. Oregon Consumer Privacy Act, ORS 646A.574 and 646A.578. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Oregon.

Pennsylvania

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Pennsylvania para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Rhode Island

Marco integral vigente, desde 2026-01-01. Rhode Island Data Transparency and Privacy Protection Act, R.I. Gen. Laws §§ 6-48.1-5 and 6-48.1-6. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Rhode Island.

South Carolina

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de South Carolina para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

South Dakota

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de South Dakota para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Tennessee

Marco integral vigente, desde 2025-07-01. Tennessee Information Protection Act, Tenn. Code Ann. § 47-18-3303. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Tennessee.

Texas

Marco integral vigente, desde 2024-07-01. Texas Data Privacy and Security Act, Tex. Bus. & Com. Code § 541.051. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Texas.

Utah

Marco integral vigente, desde 2023-12-31. Utah Consumer Privacy Act, Utah Code § 13-61-201. Respuesta: 45 días; posible prórroga: 45 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Utah.

Vermont

Marco integral futuro, desde 2028-01-01. Vermont Data Privacy and Online Surveillance Act, Act 145 (S.71), 9 V.S.A. chapter 61A, enacted § 2415d consumer rights. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Vermont.

Virginia

Marco integral vigente, desde 2023-01-01. Virginia Consumer Data Protection Act, Va. Code § 59.1-577. Respuesta: 45 días; posible prórroga: 45 días; resultado de apelación: 60 días. Cobertura y exenciones aún controlan. Consulte la guía de privacidad de Virginia.

Washington

Derecho específico. Chapter 19.373 RCW permite acceso a ciertos datos de salud del consumidor, no a todos los datos personales. Consulte RCW 19.373.040 for consumer health data y la guía de privacidad de Washington.

West Virginia

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de West Virginia para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Wisconsin

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Wisconsin para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Wyoming

Sin clasificación en esta comparación. Este artículo no afirma que falte una ley. Use la guía de privacidad de Wyoming para investigar derechos sectoriales o específicos; el enlace es navegación, no prueba de un derecho integral de acceso.

Para el panorama general, consulte leyes de privacidad de datos por estado y la guía para excluirse de corredores de datos.

Descargo de responsabilidad: Esta guía ofrece información general sobre vías de acceso a datos del consumidor al 11 de septiembre de 2026. La cobertura depende del solicitante, residencia, organización, datos, contexto, umbrales, exenciones y fecha. No es asesoramiento legal. Consulte la ley oficial vigente y el aviso de privacidad antes de confiar en un plazo o remedio. Consulte a un abogado con licencia en la jurisdicción pertinente para asesoramiento sobre un caso específico.

Sobre el autor: El equipo editorial de RecordingLaw investiga leyes de privacidad y grabación mediante estatutos y materiales oficiales.

Última actualización: 11 de septiembre de 2026.