Ley de Privacidad de Datos de Filipinas vs. GDPR: Diferencias Clave Comparadas (2026)

La Data Privacy Act of 2012 de Filipinas (RA 10173) y el GDPR de la UE comparten un antecesor común en la Directiva de Protección de Datos de 1995 de la UE, y sobre el papel sus capítulos de derechos parecen similares. La diferencia que realmente importa para el cumplimiento es estructural: la RA 10173 incorpora prisión penal real en el propio texto de la ley para ocho delitos distintos, y todavía mantiene un sistema de registro obligatorio que el GDPR abolió en 2018. Ninguna de las dos cosas es un detalle menor. Son las dos razones principales por las que una empresa que cumple cómodamente con el GDPR aún puede quedar expuesta bajo la ley filipina.

Información verificada por última vez el 2026-07-23. Este artículo aún no ha sido revisado por un abogado con licencia.

Alcance jurisdiccional: Este artículo compara la Data Privacy Act of 2012 de Filipinas (RA 10173), administrada por la National Privacy Commission (NPC), con el Reglamento General de Protección de Datos de la UE. Para el detalle a nivel de país del marco filipino, consulta nuestra guía de leyes de privacidad de datos de Filipinas. Para un recorrido completo del propio GDPR, consulta Qué Es el GDPR.

Ley de Privacidad de Datos de Filipinas vs. GDPR: Panorama General

Antecedentes y Contexto Legislativo

Filipinas promulgó la Data Privacy Act of 2012 (Republic Act No. 10173) y creó la National Privacy Commission como su regulador dedicado. Al igual que el GDPR, la RA 10173 tiene su origen en la Directiva de Protección de Datos de 1995 de la UE, lo cual explica en parte por qué ambas leyes comparten un vocabulario de derechos similar. Desde entonces, la NPC ha desarrollado el aparato de implementación de la Ley mediante circulares y avisos -- de forma más consecuente la Circular 2022-01 (multas administrativas, vigente desde August 2022) y la Circular 2022-04 (registro, notificación de toma de decisiones automatizada, y designación de DPO, December 2022).

El GDPR se aplica en todo el EEE desde May 25, 2018. Mientras la reforma de 2018 del GDPR se alejó deliberadamente del antiguo modelo de la UE cargado de registro, Filipinas fue en la dirección contraria en el mismo período, reconstruyendo y formalizando su propio sistema de registro mediante la Circular 2022-04. Esa divergencia -- un régimen que abandona el registro, el otro que lo refuerza -- es el hilo conductor de la mayoría de las diferencias prácticas que siguen.

Alcance y Aplicación Extraterritorial

La Sección 4 de la RA 10173 se aplica al tratamiento de información personal por cualquier persona natural o jurídica, incluidos controladores y procesadores no establecidos en Filipinas, si utilizan equipo ubicado en Filipinas o mantienen una oficina, sucursal o agencia allí. La Sección 4 excluye varias categorías: cierta información de empleados gubernamentales, el uso periodístico/artístico/literario/de investigación, las funciones del banco central y de aplicación de la ley, y el tratamiento relacionado con el secreto bancario/prevención de lavado de dinero.

Una exclusión importa específicamente para la tercerización: la Sección 4(g) excluye del alcance propio de la Ley la «información personal originalmente recopilada de residentes de jurisdicciones extranjeras conforme a las leyes de esas jurisdicciones extranjeras... que se está tratando en Filipinas». En la práctica, esto significa que la información de un cliente de la UE recopilada bajo el GDPR y luego tratada en Filipinas no queda automáticamente doblemente regulada bajo la RA 10173 para esa misma información; la ley de la jurisdicción de origen rige su recopilación. Este es un punto más limitado de lo que podría parecer -- se aplica a la recopilación original de la información, no a las propias obligaciones separadas de un procesador filipino bajo la Ley respecto de cómo maneja esos datos.

La Sección 6 (Aplicación Extraterritorial) alcanza actos realizados fuera de Filipinas cuando: el tratamiento se relaciona con un ciudadano o residente filipino; la entidad tiene un vínculo filipino y trata información en o sobre Filipinas (un contrato celebrado en Filipinas, gestión y control central con base en Filipinas, o una sucursal/agencia/filial filipina con acceso a los datos); o la entidad de otro modo realiza negocios en Filipinas o tiene información recopilada o en poder de una entidad con base en Filipinas.

Esta es una prueba distinta a la del Artículo 3(2) del GDPR, que gira en torno al targeting -- ofrecer bienes o servicios a los interesados de la UE, o monitorear su comportamiento. La Sección 6 es más amplia de otra manera: se basa en vínculos y establecimiento, y puede alcanzar el propio tratamiento de una entidad filipina sin importar de quién sean los datos, independientemente de si ocurre algún tipo de targeting al estilo de la UE. Describir a ambas simplemente como «ambas tienen alcance extraterritorial» subestima cuán distintas son en su construcción.

Por Qué Esto Importa para el BPO

Filipinas opera uno de los sectores de tercerización de procesos de negocio (BPO) más grandes del mundo, tratando datos de clientes de Estados Unidos y la UE para centros de llamadas, funciones de back-office, tramitación de reclamaciones y BPO de atención médica bajo contrato. Tres disposiciones se combinan para determinar cómo la RA 10173 alcanza ese trabajo:

• La Sección 14 vincula por completo a los procesadores de información personal: «The personal information processor shall comply with all the requirements of this Act and other applicable laws» (el procesador de información personal deberá cumplir con todos los requisitos de esta Ley y otras leyes aplicables). Un BPO filipino que trata los datos de clientes de un principal extranjero es, por derecho propio, un procesador de información personal bajo la Ley, no un simple intermediario exento del derecho filipino.
• La Sección 6 alcanza de forma independiente a una entidad extranjera que opera de forma remota pero que tiene los vínculos filipinos descritos anteriormente -- independientemente de si el propio BPO cumple con la ley.
• La Sección 24 fija un desencadenante de registro para contratistas gubernamentales y procesadores que manejan información personal sensible de 1,000 o más personas, lo cual se combina con los umbrales generales de la Circular 2022-04 (más abajo) para hacer que la mayoría de los BPO que manejan datos sensibles a gran escala, o con 250 o más empleados, queden sujetos directamente a los requisitos de registro obligatorio, designación de DPO y Seal of Registration de la NPC -- no solo a través del propio programa de cumplimiento de su cliente extranjero.

Definiciones: Información Personal vs. Información Personal Sensible

Las dos definiciones de consentimiento se leen de manera casi idéntica, lo que refleja su origen compartido en la era de la Directiva. Las diferencias prácticas aparecen más adelante, en cómo cada ley trata las bases legales y los derechos, no en las definiciones mismas.

Bases Legales para el Tratamiento

La Sección 12 de la RA 10173 establece seis motivos para el tratamiento de información personal ordinaria, de los cuales al menos uno debe aplicarse, y ninguno de los cuales anula una prohibición legal independiente: consentimiento; necesidad para la ejecución de un contrato o pasos precontractuales; cumplimiento de una obligación legal; protección de los intereses vitalmente importantes (vida o salud) del interesado; respuesta a una emergencia nacional o necesidad de orden/seguridad pública, o cumplimiento de la función de una autoridad pública; e interés legítimo del controlador o de un tercero, «salvo cuando dichos intereses sean anulados por los derechos y libertades fundamentales del interesado que requieren protección bajo la Constitución filipina».

La Sección 13 rige la información personal sensible y la información privilegiada, que está prohibida por defecto y solo se permite bajo seis excepciones enumeradas: consentimiento previo específico (para información privilegiada, de todas las partes del intercambio); una ley o reglamento que en sí mismo garantice protección; protección de la vida o la salud cuando el interesado no pueda otorgar consentimiento; objetivos lícitos no comerciales de una organización pública, limitados a sus miembros de buena fe con consentimiento previo; tratamiento médico con salvaguardas adecuadas; o reclamaciones legales, procedimientos judiciales, o una función gubernamental/de autoridad pública.

Esta estructura es en términos generales paralela al Artículo 6 del GDPR (seis bases) y al Artículo 9 (prohibición por defecto de categorías especiales más excepciones). Vale la pena señalar tres diferencias. Primero, la anulación del interés legítimo de la Sección 12(f) hace referencia a la Constitución filipina en lugar de una prueba de ponderación codificada en la ley. Segundo, la RA 10173 no tiene un equivalente directo a la base general de «tarea de interés público» del GDPR -- la Sección 12(e) es más limitada, vinculada a emergencias, orden/seguridad pública, o la propia función encomendada a una autoridad pública. Tercero, la Sección 13(a) exige consentimiento «específico para el propósito antes del tratamiento» de cada parte de un intercambio de información privilegiada, una estructura bilateral más estricta para la cual el Artículo 9 del GDPR no tiene un equivalente exacto.

Derechos de los Interesados

La Sección 16 de la RA 10173 enumera derechos en términos generales comparables al capítulo de derechos del GDPR, con algunas diferencias estructurales que vale la pena señalar individualmente:

• A ser informado de que se está realizando el tratamiento, y a recibir divulgaciones específicas antes de ingresar a un sistema de tratamiento (Sec. 16(b)): propósito, alcance y método, destinatarios, métodos de acceso automatizado, identidad del controlador, período de retención, y la existencia de estos derechos.
• Acceso razonable al contenido, las fuentes, los destinatarios, los métodos y las razones del tratamiento, además de información sobre el tratamiento automatizado y la fecha del último acceso (Sec. 16(c)).
• A impugnar la inexactitud y a que se corrija, con la obligación del controlador de notificar a terceros que recibieron los datos inexactos (Sec. 16(d)).
• Sección 16(e) -- a «suspender, retirar u ordenar el bloqueo, eliminación o destrucción» de información personal, pero solo «tras el descubrimiento y prueba sustancial» de que la información es incompleta, desactualizada, falsa, obtenida ilícitamente, usada para un fin no autorizado, o ya no necesaria. Este es el derecho correctamente denominado de «supresión o bloqueo», y está condicionado a probar uno de esos cinco defectos específicos -- no es un derecho al olvido independiente que un interesado pueda invocar simplemente retirando el consentimiento, como sí ocurre con varios de los motivos del Artículo 17 del GDPR.
• Sección 16(f) -- un derecho legal a ser indemnizado por los daños sufridos por el tratamiento de datos inexactos, incompletos, desactualizados, falsos, obtenidos ilícitamente, o usados sin autorización.
• Sección 17 (Transmisibilidad) -- los herederos y cesionarios pueden invocar estos derechos tras la muerte o incapacidad del interesado, algo que el GDPR generalmente no extiende a nivel de la UE.
• Sección 18 (Portabilidad de Datos) -- el derecho a obtener una copia de la información personal tratada electrónicamente, estructurada, en un formato de uso común, con la NPC facultada para prescribir estándares técnicos. Comparable en su forma al Artículo 20 del GDPR, aunque limitada de manera más general a la «personal information», sin el vínculo explícito del GDPR al tratamiento con base en consentimiento o contrato.
• Sección 19 (No Aplicabilidad) -- el capítulo de derechos no se aplica a la información utilizada únicamente para investigación científica o estadística de la cual no resulten decisiones específicas sobre el interesado, ni a la información recopilada para investigaciones penales, administrativas o de responsabilidad tributaria.

El Régimen de Registro: Una Bifurcación Estructural Respecto del GDPR

Aquí es donde las dos leyes divergen de forma más visible en las obligaciones de cumplimiento del día a día. La reforma de 2018 del GDPR reemplazó deliberadamente el sistema de notificación y registro ante la autoridad supervisora de la Directiva de 1995 por un modelo de responsabilidad proactiva: las organizaciones se autoevalúan y mantienen Records of Processing Activities bajo el Artículo 30, sin presentarlos ante un regulador para su aprobación. Los legisladores de la UE consideraron que el registro previo a 2018 era demasiado burocrático y no lo suficientemente protector como para mantenerlo.

Filipinas fue en la dirección contraria. La NPC Circular No. 2022-04 reconstruyó un sistema de registro obligatorio para los Data Processing Systems. El registro es obligatorio para todo controlador o procesador de información personal que:

• Emplee a 250 o más empleados; o
• Trate información personal sensible de 1,000 o más personas; o
• Realice tratamiento que probablemente represente un riesgo para los derechos y libertades de los interesados; o
• Realice toma de decisiones automatizada o perfilamiento, sin importar el tamaño de la organización.

Una entidad registrada recibe un Certificate of Registration y Seal of Registration, válido por un año, renovable solo dentro de una ventana de 30 días antes del vencimiento. El Seal debe exhibirse físicamente en la entrada principal del negocio de la organización y en su sitio web -- un marcador de cumplimiento visible sin equivalente en el GDPR. La Circular 2022-04 también cubre la notificación de toma de decisiones automatizada/perfilamiento y la designación de un oficial de protección de datos como parte del mismo paquete de registro. Las infracciones relacionadas con el registro alimentan la tabla de multas administrativas bajo la Circular 2022-01, por separado de cualquier exposición penal que también pudiera surgir si el tratamiento no registrado subyacente infringe de forma independiente el Chapter VIII.

Para las organizaciones que están construyendo una función de DPO para cumplir con este requisito, consulta nuestra guía sobre requisitos del oficial de protección de datos en distintas jurisdicciones.

Notificación de Brechas: Mismo Plazo, Dos Destinatarios

La NPC Circular 16-03 establece la regla de notificación. La Sección 17 exige notificar a la NPC «within seventy-two (72) hours upon knowledge of or the reasonable belief» (dentro de setenta y dos horas desde el conocimiento o la creencia razonable) de que ha ocurrido una brecha de datos personales, con un reporte completo debido dentro de cinco días. La Sección 18 exige notificar a los interesados afectados en el mismo plazo idéntico de 72 horas, a partir del mismo desencadenante.

Ese es un patrón estructuralmente distinto al del GDPR, que escalona las dos notificaciones: 72 horas a la autoridad supervisora (Artículo 33), pero solo «sin demora indebida» a las personas afectadas (Artículo 34), sin un número fijo de horas en el lado de la notificación individual. Filipinas ejecuta ambas notificaciones bajo un mismo plazo paralelo.

La notificación es obligatoria cuando la brecha involucra información personal sensible o datos que permiten el fraude de identidad, se cree razonablemente que fue adquirida por una persona no autorizada, y es probable que genere un riesgo real de daño grave (Circular 16-03, Sec. 11 y 13). La Sección 13 también enumera «al menos cien (100) personas» como uno de cuatro factores -- junto con el impacto en la seguridad nacional, la confidencialidad legalmente requerida, y los datos de grupos vulnerables -- que un controlador pondera en casos límite sobre si el deber se aplica en absoluto.

Este es un 100 distinto al que aparece en el capítulo de sanciones penales, y ambos nunca deben confundirse. La Sección 17(C) usa la cifra de 100 personas con un propósito más limitado y separado: fija una línea clara de que «no habrá demora en la notificación» -- lo que significa que el techo mismo de 72 horas no puede extenderse -- una vez que una brecha que involucre a 100 o más interesados, o una divulgación dañina de datos sensibles, ya esté sujeta al deber de notificación. Rige la urgencia dentro del plazo, no si el deber de notificar existe. La Sección 35, analizada más abajo, usa su propia cifra de «al menos 100 personas» para algo completamente distinto: el desencadenante de la pena penal máxima en una infracción a gran escala. Mantén estos dos umbrales separados -- uno es una regla de plazo de notificación, el otro es una regla de sentencia, y se encuentran en circulares/secciones distintas que rigen preguntas distintas.

Consulta nuestro resumen más amplio de plazos de notificación de brechas de datos por país para ver cómo se compara la estructura filipina de mismo plazo y doble destinatario con el patrón más común de un solo plazo regulatorio con un requisito de notificación individual separado o ausente.

Transferencias Transfronterizas de Datos

La Sección 21 de la RA 10173 (Principio de Responsabilidad) hace que cada controlador de información personal sea responsable de la información personal bajo su control o custodia, incluida la información transferida a un tercero para su tratamiento, tanto a nivel nacional como internacional. La Sección 21(a) exige que el controlador «use medios contractuales u otros medios razonables para proporcionar un nivel de protección comparable» mientras un tercero trata los datos. La Sección 21(b) exige que el controlador designe a una persona responsable cuya identidad se divulga a los interesados a solicitud.

Este es un modelo en el que la responsabilidad sigue al controlador, sin un aparato legal de decisión de adecuación o de Cláusulas Contractuales Tipo incorporado en la propia Ley -- un fuerte contraste con el Capítulo V del GDPR (Artículos 44-50), que establece decisiones de adecuación, SCC, Normas Corporativas Vinculantes y excepciones como un sistema estructurado de preautorización para las transferencias fuera del EEE. El modelo filipino no condiciona la transferencia misma a un mecanismo preaprobado; en cambio, hace responsable al controlador de lo que ocurra con los datos después, dondequiera que vayan, mediante los medios contractuales o razonables que establezca.

Esto tiene una consecuencia directa y bilateral para los acuerdos de BPO: una empresa de Estados Unidos o la UE que envía datos de clientes a un BPO filipino debe cumplir sus propios requisitos de mecanismo de transferencia saliente del GDPR de su lado de la relación, mientras que el BPO filipino que recibe y trata esos datos opera bajo el modelo de responsabilidad de la RA 10173 de su lado. Las reglas transfronterizas de ambos regímenes apuntan en direcciones distintas y no se satisfacen automáticamente entre sí -- el cumplimiento de uno no sustituye el cumplimiento del otro.

Sanciones Penales: El Diferenciador Central

Esta es la mayor diferencia estructural entre las dos leyes. El Artículo 83 del GDPR solo contempla multas administrativas a nivel de la UE -- el propio Reglamento no crea ningún delito penal. El Artículo 84 permite que cada estado miembro legisle sus propias sanciones penales para infracciones fuera del alcance del Artículo 83, y algunos estados (se cita comúnmente la BDSG de Alemania) han adoptado disposiciones penales limitadas, pero no existe una vía penal a nivel de toda la UE ni riesgo de prisión escrito en el propio Reglamento.

El Chapter VIII de la RA 10173 (Secciones 25-37) es un código penal completo incorporado dentro de una ley de protección de datos. Cada delito a continuación conlleva un rango real de prisión, sumado a las multas administrativas que la NPC evalúa por separado bajo la Circular 2022-01:

Son ocho delitos sustantivos distintos (varios divididos en un nivel de información personal y un nivel más severo de información personal sensible), que van de seis meses para la disposición indebida hasta siete años para el tratamiento de información personal sensible con fines no autorizados.

Mecánica de agravantes (Secciones 34-36): cuando el infractor es una corporación, sociedad u otra persona jurídica, la sanción penal recae sobre los funcionarios responsables que participaron en el acto o que, por negligencia grave, lo permitieron -- la entidad misma no puede ser encarcelada, aunque un tribunal puede suspender o revocar sus derechos bajo la Ley. Un infractor extranjero es deportado tras cumplir la sentencia. Un funcionario público condenado bajo las Secciones 27-28 enfrenta inhabilitación perpetua o temporal para ejercer cargos públicos, además de la sanción penal, y la Sección 36 generalmente duplica el plazo de inhabilitación para los infractores que sean funcionarios públicos.

La Sección 35 («Gran Escala») impone la sanción máxima dentro de la escala aplicable cuando la información personal de al menos 100 personas resulta dañada, afectada o involucrada. Este es un umbral distinto de la cifra de 100 interesados en la regla de urgencia de notificación de brechas de la Circular 16-03 analizada arriba -- el 100 de la Sección 35 es un desencadenante de agravación de sentencia para un delito penal ya establecido bajo las Secciones 25-33; no tiene nada que ver con si o cuándo se debe una notificación de brecha.

Multas Administrativas

Junto con la vía penal, la NPC Circular 2022-01 (vigente desde August 27, 2022) fija multas administrativas para infracciones que no necesariamente alcanzan el nivel de conducta penal: infracciones graves de 0.5-3% del ingreso bruto anual, infracciones mayores de 0.25-2%, y otras infracciones -- incluidas las fallas de registro -- de PHP 50,000-200,000. Todo esto está sujeto a un tope agregado de PHP 5,000,000 por procedimiento. La cifra de «3%» que suele citarse es el límite superior de la banda de infracciones graves, no un techo absoluto; el techo real para cualquier combinación de infracciones en un mismo caso es el tope agregado de PHP 5 millones.

En comparación, el Artículo 83(5) del GDPR fija una multa administrativa máxima de hasta EUR 20 million o 4% del volumen de negocio anual global, lo que sea mayor, sin un tope agregado equivalente en términos absolutos -- la estructura de porcentaje sobre el volumen de negocio significa que el techo práctico escala con el tamaño de la organización involucrada, a diferencia del tope fijo de PHP 5 millones de Filipinas.

Instrumentos Recientes de la NPC

• NPC Advisory 2024-04 (December 19, 2024) -- Directrices sobre IA.
• NPC Circular 2024-02 -- Sistemas de CCTV, que deroga el Advisory 2020-04. Directamente relevante para el cumplimiento de la ley de grabación en Filipinas, aunque este artículo no detalla su mecánica específica de consentimiento o señalización.
• NPC Circular 2025-01 -- Tratamiento de cámaras corporales (body-worn cameras).
• NPC Advisory 2026-01 -- Extracción de datos (data scraping) de información personal disponible públicamente.
• Orden de cese y desistimiento de la NPC contra Tools for Humanity, emitida el October 8, 2025, dirigida al programa de recopilación biométrica de escaneo de iris World App/Orb. La orden de la NPC citó consentimiento inválido (incentivos monetarios que socavan el consentimiento libremente otorgado), transparencia inadecuada, recopilación excesiva de datos biométricos desproporcionada respecto del propósito declarado de «prueba de humanidad», y el riesgo de inmutabilidad inherente a los datos biométricos, y señaló que las operaciones de Tools for Humanity ya habían sido suspendidas en Kenia y Hong Kong por motivos relacionados. Esta es una orden regulatoria de cese y desistimiento, no una condena penal -- las sanciones penales del Chapter VIII de la RA 10173 no se aplicaron en este asunto, y esta orden no debe leerse como un ejemplo de que la vía penal descrita arriba realmente haya resultado en prisión.

Orientación para el Cumplimiento Dual

Aviso Legal

Este artículo presenta información legal general sobre la Data Privacy Act of 2012 de Filipinas (RA 10173) y el Reglamento General de Protección de Datos de la UE. No constituye asesoría legal. Los instrumentos de la NPC sobre CCTV (Circular 2024-02), cámaras corporales (Circular 2025-01), y extracción de datos (Advisory 2026-01) se mencionan aquí solo por título y fecha; sus disposiciones sustantivas no fueron verificadas de forma independiente para este artículo. Las organizaciones sujetas a la RA 10173 o al GDPR deben consultar a un abogado con licencia en la jurisdicción correspondiente antes de basarse en este artículo para una decisión de cumplimiento.

Autoridades Citadas

1. National Privacy Commission, Filipinas -- texto completo de la Data Privacy Act of 2012 (RA 10173). https://privacy.gov.ph/data-privacy-act/
2. NPC Circular No. 2022-04 -- Registro del Sistema de Tratamiento de Datos Personales, Notificación sobre Toma de Decisiones Automatizada o Perfilamiento, Designación del Oficial de Protección de Datos, y el Seal of Registration de la NPC (December 5, 2022). https://privacy.gov.ph/wp-content/uploads/2023/05/Circular-2022-04-1.pdf
3. NPC Circular No. 2022-01 -- Directrices sobre Multas Administrativas (August 8, 2022). https://privacy.gov.ph/wp-content/uploads/2022/08/NPC-CIRCULAR-NO.-2022-01-GUIDELINES-ON-ADMINISTRATIVE-FINES-dated-08-AUGUST-2022-w-SGD.pdf
4. NPC Circular No. 16-03 -- Gestión de Brechas de Datos Personales (December 15, 2016). https://privacy.gov.ph/wp-content/uploads/2022/01/sgd-npc-circular-16-03-personal-data-breach-management.pdf
5. National Privacy Commission -- Orden de Cese y Desistimiento contra Tools for Humanity, comunicado de prensa (October 8, 2025). https://privacy.gov.ph/npc-issues-cease-and-desist-order-against-tools-for-humanity/
6. National Privacy Commission -- guía de registro y referencia de tarifas. https://privacy.gov.ph/pips-and-pics/register/
7. Regulation (EU) 2016/679 (Reglamento General de Protección de Datos). https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32016R0679

---

Última actualización: 2026-07-23.