Derechos del Consumidor bajo la TDPSA: Sus Derechos de Privacidad de Datos en Texas

Si una empresa de Texas tiene datos sobre usted, la Ley de Privacidad de Datos y Seguridad de Texas le otorga cinco derechos exigibles sobre esos datos, más un derecho separado de apelación en caso de denegación. Aquí se explica exactamente cómo usar cada uno, qué plazos se aplican y qué hacer cuando una empresa se niega.

La TDPSA (Tex. Bus. & Com. Code cap. 541) entró en vigor el 1 de julio de 2024, promulgada como H.B. 4 durante la 88ª Legislatura de Texas. Según la Sección 541.002(a), se aplica a cualquier persona que haga negocios en Texas o se dirija a residentes de Texas, procese o venda datos personales, y no sea una pequeña empresa según lo define la Administración de Pequeñas Empresas de EE. UU. Incluso una pequeña empresa sigue sujeta a la regla más específica de la Sección 541.107, que exige consentimiento antes de vender datos sensibles. Para un panorama más amplio de cómo funciona la ley, consulte el centro de Leyes de Privacidad de Datos de Texas. Para una explicación en lenguaje sencillo del alcance de la ley y a quién cubre, consulte ¿Qué es la TDPSA?

Sus Derechos bajo la TDPSA de un Vistazo

El Capítulo 541 del Código de Negocios y Comercio de Texas le otorga cinco derechos del consumidor sobre los datos personales que mantienen los controladores cubiertos, más un derecho separado de apelación. Según el § 541.051(b), los cinco derechos son:

1. Acceso y confirmación. Usted puede preguntar si una empresa está procesando sus datos personales y solicitar una copia de ellos.
2. Corrección. Usted puede exigir que una empresa corrija inexactitudes en sus datos personales, tomando en cuenta la naturaleza de los datos y el propósito del procesamiento.
3. Eliminación. Usted puede exigir que una empresa elimine los datos personales que obtuvo de usted o sobre usted.
4. Portabilidad. Usted puede solicitar sus datos en un formato portátil y legible por máquina que le permita transferirlos a otro controlador.
5. Exclusión. Usted puede impedir que una empresa use sus datos para publicidad dirigida, venda sus datos a terceros o realice un perfilamiento automatizado que produzca decisiones significativas sobre usted.

La Sección 541.053 añade una garantía separada junto a estos cinco derechos: usted puede apelar cualquier denegación, y si la apelación es denegada, puede escalar el caso al Fiscal General de Texas.

Estos derechos se aplican a los datos personales que usted proporcionó directamente y a los datos que la empresa obtuvo sobre usted de otras fuentes. La ley se promulgó como Acts 2023, 88ª Leg., R.S., Cap. 995 (H.B. 4), con disposiciones principales vigentes desde el 1 de julio de 2024 y el mandato de exclusión universal vigente desde el 1 de enero de 2025.

Cómo Presentar una Solicitud de Derechos bajo la TDPSA

Según el § 541.055(b), una empresa no puede exigirle que cree una nueva cuenta como condición para presentar una solicitud. Usted puede usar una cuenta existente si la tiene. Las empresas deben ofrecer al menos un método de presentación seguro y confiable, y la mayoría enlaza a su portal de derechos de privacidad en el pie de página de su sitio web o dentro de su política de privacidad.

Proceso paso a paso:

1. Vaya al sitio web de la empresa y busque en el pie de página o en la política de privacidad un enlace titulado "Texas Privacy Rights," "Your Privacy Rights," "Consumer Privacy Request," o "Do Not Sell My Personal Information."
2. Seleccione el derecho que desea ejercer (acceso, corrección, eliminación, portabilidad o exclusión).
3. Proporcione información de identificación para que la empresa pueda autenticarlo. Esto normalmente significa su nombre, la dirección de correo electrónico asociada con su cuenta y posiblemente detalles de la cuenta o respuestas a preguntas de seguridad.
4. Envíe la solicitud y guarde una copia: una captura de pantalla o un correo electrónico de confirmación es suficiente.
5. El plazo de respuesta de 45 días comienza a partir de la fecha de recepción autenticada según el § 541.052.

Según el § 541.052, las empresas deben proporcionar respuestas de manera gratuita al menos dos veces al año por consumidor. Si sus solicitudes se vuelven manifiestamente infundadas, excesivas o repetitivas, la empresa puede cobrar una tarifa razonable o negarse a actuar, pero la carga de demostrar que se cumple ese estándar recae en la empresa, no en usted.

Plazos: 45 Días, Una Extensión, Luego una Respuesta

La Sección 541.052 establece el plazo de respuesta. Una empresa debe responder sin demora indebida, y a más tardar el día 45 después de recibir su solicitud autenticada. Si una empresa necesita más tiempo, puede extender el plazo por 45 días adicionales, pero debe notificarle la extensión antes de que cierre el período inicial y explicar por qué la extensión es razonablemente necesaria.

Esto significa que, en el peor de los casos, usted debería recibir alguna respuesta dentro de 90 días en total. Si la empresa decide rechazar su solicitud en lugar de simplemente necesitar más tiempo de procesamiento, debe informarle sus razones y explicarle cómo apelar. Una empresa que guarda silencio después de 45 días sin notificarle una extensión ha infringido el § 541.052, lo que le da motivos para proceder directamente a una apelación o una queja.

Mantenga registros de cuándo presentó su solicitud. El período de 45 días corre a partir de la fecha de "recepción autenticada," por lo que si una empresa solicita verificación adicional y usted la proporciona, el plazo podría reiniciarse en ese momento. Confirme la fecha de recepción de la empresa por escrito cuando sea posible.

Su Derecho a Acceder y Corregir sus Datos

Acceso (§ 541.051(b)(1)): Usted puede pedirle a cualquier empresa cubierta que confirme si está procesando datos personales sobre usted y que le proporcione una copia de esos datos. El derecho tiene dos partes: confirmación (¿la empresa tiene mis datos?) y acceso (muéstreme lo que tiene). Este es el punto de partida natural antes de ejercer cualquier otro derecho.

Cómo ejercerlo: Presente una solicitud de acceso a través del canal de privacidad designado de la empresa. Es posible que deba especificar las categorías de datos que le interesan o solicitar todos los datos personales que la empresa mantiene. La empresa debe responder dentro de 45 días con confirmación y, si está procesando sus datos, una copia legible.

Corrección (§ 541.051(b)(2)): Una vez que haya visto sus datos, puede exigir la corrección de cualquier inexactitud "tomando en cuenta la naturaleza de los datos personales y los propósitos del procesamiento." Esto importa más para los datos usados para tomar decisiones sobre usted: perfiles crediticios, información relacionada con la salud, registros de contacto o clasificaciones de comportamiento.

Cómo ejercerlo: Presente una solicitud de corrección identificando la inexactitud específica y, cuando sea posible, proporcionando documentación de la información correcta. La empresa tiene 45 días para responder y debe indicarle qué cambió o por qué se negó. Una negativa activa su derecho de apelación.

Su Derecho a Eliminar Datos Personales

Según el § 541.051(b)(3), usted puede solicitar la eliminación de los datos personales "proporcionados por usted u obtenidos sobre" usted. El derecho cubre tanto los datos que usted proporcionó directamente (información de la cuenta, historial de compras, envíos de formularios) como los datos que la empresa adquirió sobre usted de otras fuentes (perfiles de comportamiento, registros de corredores de datos, atributos inferidos).

Cómo ejercerlo: Presente una solicitud de eliminación a través del portal de privacidad de la empresa o el método de contacto designado. Sea específico sobre lo que desea eliminar: categorías de datos, registros específicos o todos los datos personales que la empresa mantiene sobre usted. Se aplica el plazo de 45 días.

La eliminación tiene límites estatutarios. Una empresa puede conservar datos que sean necesarios para completar una transacción, detectar incidentes de seguridad, ejercer o defender reclamos legales, cumplir con una obligación legal, o llevar a cabo ciertas funciones de investigación o interés público. Cuando una empresa se niega a eliminar, debe explicar qué excepción aplica. Las negativas vagas o sin fundamento no son suficientes según el § 541.052.

Su Derecho a la Portabilidad de Datos

La Sección 541.051(b)(4) le permite obtener una copia de los datos personales que previamente proporcionó a la empresa en un formato portátil. El estatuto exige que el formato sea "fácilmente utilizable" y que le permita "transmitir los datos a otro controlador sin obstáculos" en la medida técnicamente factible.

Cómo ejercerlo: Solicite una exportación de datos a través del canal de derechos de privacidad de la empresa. Los formatos comunes incluyen CSV, JSON o hojas de cálculo estructuradas. El calificativo "técnicamente factible" significa que la empresa puede usar formatos estándar en lugar de construir una exportación personalizada; no le permite a la empresa proporcionar un volcado de datos inutilizable ni negarse por completo alegando complejidad.

La portabilidad se aplica a los datos que usted proporcionó al controlador. No necesariamente exige que la empresa exporte los datos que derivó o infirió internamente a partir de su actividad. Al igual que las solicitudes de acceso, las respuestas de portabilidad son gratuitas hasta dos veces al año y deben llegar dentro de 45 días.

Los Derechos de Exclusión: Anuncios Dirigidos, Ventas de Datos y Perfilamiento

La Sección 541.051(b)(5) le otorga el derecho de excluirse de tres usos distintos de sus datos personales:

1. Publicidad dirigida. Anuncios seleccionados para usted según su comportamiento en diferentes sitios web, aplicaciones o servicios que no están bajo propiedad o control común. Si una empresa comparte su historial de navegación o datos de compra con una red publicitaria para mostrarle anuncios de comportamiento, usted puede detener eso.
2. Venta de datos personales. La transferencia de sus datos personales a un tercero a cambio de una contraprestación monetaria u otra de valor. Según la TDPSA, esto incluye intercambios por un valor no monetario, lo cual es más amplio que la definición de Virginia, pero más restringido que el aspecto de "intercambio" (sharing) de la CPRA de California.
3. Perfilamiento en apoyo de decisiones significativas. El procesamiento automatizado que produce decisiones con efectos legales o de importancia similar para usted, cubriendo decisiones sobre crédito, seguros, empleo, vivienda, educación o acceso a bienes y servicios esenciales.

Cómo ejercerlo: Busque en el pie de página o en la política de privacidad de la empresa un enlace titulado "Do Not Sell My Personal Data," "Opt Out of Targeted Advertising," o "Privacy Choices." Presente la solicitud a través del canal designado. Según el § 541.052, la empresa debe respetar su exclusión dentro del plazo estándar de respuesta de 45 días.

Note la distinción entre los derechos de exclusión (anuncios dirigidos, venta, perfilamiento) y el requisito de inclusión (opt-in) para datos sensibles que se aborda más adelante. Los datos personales ordinarios tienen como valor predeterminado la exclusión. Los datos sensibles requieren consentimiento antes de que comience el procesamiento.

Para una comparación de cómo estas reglas de exclusión se comparan con otras leyes estatales, consulte la lista de verificación de cumplimiento de la TDPSA para empresas, que cubre en detalle las obligaciones del lado del controlador.

Control de Privacidad Global: La Exclusión a Nivel de Navegador

Texas es uno de los primeros estados en exigir el reconocimiento de las señales de exclusión universal. La Sección 541.055(e), vigente desde el 1 de enero de 2025, exige que los controladores cubiertos reconozcan y respeten las señales de Control de Privacidad Global (GPC) como solicitudes válidas de exclusión para la venta de datos personales y la publicidad dirigida, de manera automática, sin requerir ningún paso adicional de su parte.

Qué es el GPC: El Control de Privacidad Global es una señal a nivel de navegador que usted activa una sola vez. Cada sitio web que visite que esté sujeto a la ley de privacidad de un estado participante debe entonces tratar esa señal como una exclusión formal. Usted no necesita encontrar el portal de privacidad de la empresa, completar un formulario ni confirmar su identidad. La señal hace el trabajo.

Cómo activar el GPC:

• Firefox: Configuración > Privacidad y Seguridad > Active "Tell websites not to sell or share my data."
• Brave: Configuración > Privacidad y Seguridad > "Send a 'Do Not Sell My Personal Information' signal."
• Navegador DuckDuckGo: El GPC está activado de forma predeterminada.
• Chrome o Edge (mediante extensión): Instale la extensión de Control de Privacidad Global desde la Chrome Web Store o Edge Add-ons.

Una vez activada, cualquier empresa cubierta por la ley de Texas debe respetar esa señal como una exclusión válida de las ventas de datos y la publicidad dirigida según el § 541.055(e). La empresa no puede exigirle que además complete un formulario manual. Esta es la forma menos complicada de ejercer sus derechos de exclusión en Texas a gran escala, en docenas o cientos de sitios simultáneamente.

Datos Sensibles: las Empresas Necesitan su Permiso Primero

Para ciertas categorías de datos personales, la TDPSA invierte por completo el valor predeterminado. Según el § 541.101(b), un controlador no puede procesar sus datos sensibles en absoluto sin antes obtener su consentimiento afirmativo e informado. Este es un requisito de inclusión (opt-in): la empresa debe pedir permiso antes de que comience el procesamiento, no después.

Según el § 541.001(29), los datos sensibles incluyen:

• Origen racial o étnico
• Creencias religiosas
• Diagnósticos de salud o condiciones de salud mental
• Sexualidad
• Estatus de ciudadanía o inmigración
• Datos genéticos
• Datos biométricos procesados para identificarlo de manera única (huellas dactilares, geometría facial, escaneos de retina)
• Datos de geolocalización precisa (típicamente dentro de un radio definido por GPS o tecnología similar)
• Datos personales de niños conocidos

La acción de aplicación de enero de 2025 ilustra la seriedad con la que Texas trata esta categoría. El Fiscal General de Texas demandó a Allstate y a su subsidiaria Arity el 13 de enero de 2025, en la primera acción de aplicación bajo cualquier ley integral de privacidad estatal en Estados Unidos, por presuntamente recopilar datos de geolocalización precisa de más de 45 millones de personas sin aviso ni consentimiento, en infracción del § 541.101(b). El caso señala que las infracciones de datos sensibles son una prioridad principal de aplicación.

Si una empresa está procesando cualquiera de estas categorías sobre usted sin haber obtenido su consentimiento, eso constituye una infracción del § 541.101(b) y una base sólida para una queja ante el Fiscal General de Texas.

No Discriminación: las Empresas No Pueden Castigarlo por Ejercer sus Derechos

La Sección 541.101(b)(3) prohíbe que los controladores discriminen en su contra por ejercer cualquier derecho bajo la TDPSA. Una empresa no puede:

• Negarle bienes o servicios porque presentó una solicitud de privacidad
• Cobrarle un precio más alto porque se excluyó de las ventas de datos
• Ofrecerle una calidad de servicio inferior porque solicitó sus datos o pidió su eliminación
• Tomar represalias contra usted de cualquier otra forma por usar estos derechos

La Sección 541.054 va más allá: cualquier disposición contractual que intente renunciar o limitar sus derechos según los §§ 541.051 a 541.053 es "contraria al orden público y es nula e inaplicable." Usted no puede renunciar a sus derechos bajo la TDPSA por contrato, y ninguna empresa puede hacer que hacerlo sea una condición del servicio.

Si usted cree que una empresa lo ha penalizado por ejercer sus derechos, documente el trato cuidadosamente: la negación del servicio, la diferencia de precio o la brecha en la calidad. Incluya esa documentación cuando presente una queja ante el Fiscal General de Texas.

Cómo Apelar una Solicitud Denegada

Si una empresa rechaza su solicitud de acceso, corrección, eliminación, portabilidad o exclusión, debe decirle por qué y explicarle cómo apelar. Según el § 541.053(a)-(c), todo controlador cubierto debe establecer un proceso de apelación que esté disponible de manera visible y que funcione de manera similar al proceso de solicitud original.

Paso 1: Apelación interna ante el controlador. Presente su apelación a través del canal que designe la empresa, típicamente el mismo portal de privacidad usado para las solicitudes iniciales o un correo electrónico de apelación separado. No hay un formulario prescrito. Indique claramente que está apelando la denegación, identifique la solicitud original por fecha y tipo, y explique por qué cree que la denegación fue incorrecta. Guarde una copia de su apelación y la fecha en que la envió.

La empresa debe responder a su apelación dentro de 60 días de recibirla y debe proporcionar una explicación por escrito de su decisión. Note los distintos plazos: 45 días para las solicitudes iniciales, 60 días para las apelaciones. Si la empresa aprueba su apelación, debe tomar la medida correctiva con prontitud.

Paso 2: Escalación al Fiscal General de Texas. Según el § 541.053(d), si la empresa deniega su apelación, debe proporcionarle el mecanismo de queja en línea del Fiscal General de Texas descrito en el § 541.152. La empresa está legalmente obligada a entregarle ese enlace; usted no debería tener que buscarlo por su cuenta.

Si la empresa simplemente ignora su solicitud durante 45 días sin notificarle una extensión, usted no necesita pasar por una apelación formal. La falta de respuesta es en sí misma una infracción, y usted puede presentar una queja directamente ante el Fiscal General.

Cómo Presentar una Queja ante el Fiscal General de Texas

Según el § 541.152, el Fiscal General de Texas está obligado por ley a mantener en su sitio web oficial: (1) información sobre los derechos del consumidor según el Subcapítulo B de la TDPSA, y (2) un mecanismo en línea a través del cual los consumidores pueden presentar quejas sobre la TDPSA. Después de una denegación de apelación, la empresa debe dirigirlo directamente a ese mecanismo.

Dónde presentar la queja:

• Página de quejas de la TDPSA del Fiscal General de Texas: https://www.texasattorneygeneral.gov/consumer-protection/file-consumer-complaint/consumer-privacy-rights/texas-data-privacy-and-security-act
• Portal de Quejas del Consumidor del Fiscal General: https://consumerprotection.texasattorneygeneral.gov/consumercomplaintportal/s/

Qué incluir en su queja:

• El nombre de la empresa y su sitio web
• La fecha en que presentó su solicitud original
• El tipo de solicitud (acceso, eliminación, exclusión, etc.)
• La fecha y el contenido de la denegación de la empresa
• La fecha en que presentó su apelación
• La fecha y el contenido de la denegación de la apelación
• Copias de toda la correspondencia escrita

Cuanta más documentación proporcione, más sólida será su queja. La oficina de aplicación del Fiscal General busca patrones documentados de incumplimiento como disparadores para investigaciones, pero las quejas individuales bien documentadas también pueden dar lugar a acciones contra infractores específicos.

Según el § 541.154, el Fiscal General debe proporcionar al controlador un aviso por escrito de 30 días identificando la infracción alegada antes de presentar una demanda, durante el cual el controlador puede subsanar. Si la infracción no se subsana, el Fiscal General puede buscar sanciones civiles de hasta $7,500 por infracción según el § 541.155. El Fiscal General tiene autoridad exclusiva de aplicación según el § 541.151; no existe un derecho de acción privado. Usted no puede demandar a la empresa por su cuenta. Pero presentar una queja crea un registro formal y puede contribuir a las decisiones de prioridad de aplicación del Fiscal General.

Guías relacionadas

• ¿Qué es la TDPSA? Ley de Privacidad y Seguridad de Datos de Texas
• Lista de Verificación de Cumplimiento de la TDPSA para Empresas (2026)
• Leyes de Privacidad de Datos de Texas: Guía de la TDPSA y Derechos del Consumidor (2026)
• Leyes de Privacidad Biométrica de Texas: Recopilación, Consentimiento y Sanciones (2026)
• Tabla Comparativa de Leyes Estatales de Privacidad de EE. UU. (2026)