Leyes de Notificación de Violación de Datos de Alabama: Reglas de Reporte y Plazos (2026)

La Ley de Notificación de Violación de Datos de Alabama de 2018 (Ala. Code 8-38-5) exige a las entidades cubiertas notificar a los residentes afectados dentro de 45 días posteriores a determinar que ocurrió una violación calificada. Las empresas también deben notificar al Fiscal General de Alabama dentro de ese mismo plazo de 45 días cuando se vean afectados más de 1,000 residentes.

Alabama fue el último estado del país en promulgar una ley de notificación de violación de datos. La gobernadora Kay Ivey firmó la Ley de Notificación de Violación de Datos de 2018 (Ley 2018-396) el 28 de marzo de 2018, con una fecha de vigencia del 1 de junio de 2018. La ley está codificada en el Ala. Code 8-38-1 a 8-38-12.

Para una visión general más amplia del marco de privacidad del estado, consulte la guía principal de Leyes de Privacidad de Datos de Alabama.

La ley exige a las empresas, agencias gubernamentales y otras entidades que manejan información personal sensible de residentes de Alabama investigar posibles violaciones, notificar a las personas afectadas y reportar incidentes a gran escala al Fiscal General.

Quién debe cumplir con la Ley de Notificación de Violación de Datos de Alabama

La ley se aplica a cualquier "entidad cubierta", que el Ala. Code 8-38-2 define de manera amplia. Incluye a cualquier persona, empresa unipersonal, sociedad, entidad gubernamental, corporación, organización sin fines de lucro, fideicomiso, patrimonio, asociación cooperativa u otra entidad comercial que adquiera o use información personal sensible identificable.

Los agentes externos, es decir, las entidades contratadas para mantener, almacenar o procesar datos en nombre de una entidad cubierta, también están sujetos a la ley. Deben notificar a la entidad cubierta dentro de los 10 días posteriores a descubrir una violación, conforme al Ala. Code 8-38-8.

Qué información activa la notificación

La ley de Alabama protege la "información personal sensible identificable" (SPII). Conforme al Ala. Code 8-38-2, la SPII significa el nombre o la inicial del nombre de un residente de Alabama junto con el apellido, combinado con uno o más de los siguientes elementos de datos:

• Número de Seguro Social o número de identificación fiscal sin truncar
• Número de licencia de conducir, número de identificación estatal, número de pasaporte, número de identificación militar u otro número de identificación único emitido por el gobierno, sin truncar
• Número de cuenta financiera, número de tarjeta de crédito o número de tarjeta de débito combinado con cualquier código de seguridad, código de acceso, contraseña, fecha de vencimiento o PIN necesario para acceder a la cuenta
• Información médica, definida como cualquier información sobre el historial médico, la condición mental o física, o el tratamiento médico o diagnóstico de una persona por parte de un profesional de la salud
• Número de póliza de seguro médico o número de identificación de suscriptor, junto con cualquier identificador único utilizado por una aseguradora de salud para identificar a la persona
• Nombre de usuario o dirección de correo electrónico combinado con una contraseña o pregunta y respuesta de seguridad que permita el acceso a una cuenta en línea que razonablemente pueda contener SPII

La ley solo se aplica a los datos en formato electrónico. Los registros en papel no están cubiertos por los requisitos de notificación.

Cómo define Alabama una violación de datos

Conforme al Ala. Code 8-38-2, una "violación de seguridad" significa la adquisición no autorizada de datos en formato electrónico que contengan SPII. Múltiples adquisiciones no autorizadas por la misma entidad durante un período de tiempo cuentan como una sola violación.

La definición excluye tres categorías de eventos:

• La adquisición de buena fe de datos por parte de un empleado o agente de una entidad cubierta, siempre que la información no se use para un propósito no relacionado ni esté sujeta a una divulgación no autorizada adicional
• La divulgación de registros públicos que de otro modo no estén sujetos a requisitos de confidencialidad
• Actividades legales de investigación, protección o inteligencia por parte de las fuerzas del orden o agencias de inteligencia

El umbral de daño sustancial

El requisito de notificación de Alabama incluye un umbral que muchos otros estados no tienen. Conforme al Ala. Code 8-38-4, la notificación solo es obligatoria cuando la entidad cubierta determina, tras una investigación de buena fe y oportuna, que la violación es "razonablemente probable que cause un daño sustancial" a las personas afectadas.

Esto significa que no toda violación técnica activa una obligación de notificación. La entidad cubierta debe evaluar factores que incluyen:

• Si la información está en posesión y control físico de una persona no autorizada (por ejemplo, un dispositivo perdido o robado)
• Si la información ha sido descargada o copiada
• Si la información fue utilizada por una persona no autorizada, como a través de cuentas fraudulentas o robo de identidad reportado

Si la entidad concluye, tras una investigación de buena fe, que es improbable un daño sustancial, puede optar por no notificar. Sin embargo, la entidad debe documentar esta determinación por escrito y conservar la documentación durante al menos cinco años.

Requisitos de investigación antes de la notificación

Cuando una entidad cubierta determina que ha ocurrido o puede haber ocurrido una violación, el Ala. Code 8-38-4 exige una investigación de buena fe y oportuna que cubra cuatro áreas:

• Evaluar la naturaleza y el alcance de la violación
• Identificar la SPII involucrada y las personas a las que se refiere
• Determinar si los datos fueron adquiridos, o si razonablemente se cree que fueron adquiridos, por una persona no autorizada, y si es razonablemente probable que causen un daño sustancial
• Implementar medidas para restaurar la seguridad y la confidencialidad de los sistemas comprometidos

Cronograma y métodos de notificación

Una vez que una entidad cubierta determina que se requiere notificación, el Ala. Code 8-38-5 exige que la notificación se proporcione "tan pronto como sea posible y sin demora injustificada", pero a más tardar 45 días después de la determinación de la entidad o de recibir la notificación de un agente externo.

La notificación puede entregarse a través de:

• Notificación por escrito enviada a la dirección postal registrada de la persona
• Notificación por correo electrónico enviada a la dirección de correo electrónico registrada de la persona

Qué debe incluirse en la notificación

Toda carta de notificación de violación debe contener, como mínimo:

• La fecha, fecha estimada o rango de fechas estimado de la violación
• Una descripción de los tipos de SPII adquiridos por la persona no autorizada
• Una descripción general de las medidas que la entidad cubierta ha tomado para restaurar la seguridad y la confidencialidad
• Una descripción general de las medidas que la persona afectada puede tomar para protegerse contra el robo de identidad
• Información de contacto (incluida una forma de comunicarse con la entidad cubierta para preguntas adicionales sobre la violación)

Notificación sustitutiva

Una entidad cubierta puede utilizar la notificación sustitutiva en lugar de la notificación directa cuando se cumpla alguna de las siguientes condiciones, conforme al Ala. Code 8-38-5:

• El costo de la notificación directa supera los $500,000
• La clase afectada supera las 100,000 personas
• La entidad carece de información de contacto suficiente para las personas

La notificación sustitutiva requiere publicar un aviso visible en el sitio web de la entidad durante al menos 30 días y proporcionar notificación a través de medios impresos y de difusión tanto en áreas urbanas como rurales donde residan las personas afectadas.

Retraso por las fuerzas del orden

La notificación puede retrasarse si una agencia de las fuerzas del orden determina por escrito que la notificación impediría una investigación penal o pondría en peligro la seguridad nacional. Una vez que la agencia levanta la solicitud por escrito, se reanuda el plazo de notificación de 45 días.

Requisitos de notificación al Fiscal General

Conforme al Ala. Code 8-38-6, si una violación afecta a más de 1,000 residentes de Alabama, la entidad cubierta también debe proporcionar notificación por escrito al Fiscal General de Alabama dentro del mismo plazo de 45 días.

La notificación al Fiscal General debe incluir:

• Una sinopsis de los eventos relacionados con la violación al momento de dar la notificación
• El número aproximado de residentes de Alabama afectados
• Cualquier servicio gratuito que la entidad ofrezca a las personas afectadas, junto con instrucciones para usar esos servicios
• El nombre, la dirección, el número de teléfono y la dirección de correo electrónico de una persona de contacto en la entidad cubierta

La entidad puede presentar información complementaria o actualizada al Fiscal General en cualquier momento. La información marcada como confidencial que se presenta al Fiscal General no está sujeta a las leyes de registros públicos de Alabama.

La oficina del Fiscal General proporciona un Formulario de Notificación de Violación de Datos en línea. La documentación complementaria para violaciones reportadas anteriormente puede enviarse a ConsumerInterest@AlabamaAG.gov.

Notificación a las agencias de informes crediticios

Cuando una violación afecta a más de 1,000 personas, el Ala. Code 8-38-7 también exige que la entidad cubierta notifique a las agencias de informes crediticios. La entidad debe proporcionar información sobre el momento, la distribución y el contenido de las notificaciones enviadas a las personas afectadas.

Medidas de seguridad requeridas

La ley de Alabama va más allá de la notificación. El Ala. Code 8-38-3 exige que toda entidad cubierta y agente externo implemente y mantenga "medidas de seguridad razonables" para proteger la SPII. Estas medidas deben ser factibles dados los recursos de la entidad y deben incluir:

• Designar a uno o más empleados para coordinar las medidas de seguridad (un propietario o gerente puede desempeñar este rol)
• Identificar los riesgos internos y externos de una violación y adoptar las salvaguardas adecuadas
• Contratar proveedores de servicios que estén obligados contractualmente a mantener las salvaguardas adecuadas
• Evaluar y ajustar las medidas de seguridad a medida que cambien las circunstancias

La ley no prescribe controles técnicos específicos. En cambio, utiliza un estándar de razonabilidad que toma en cuenta el costo de implementación de la entidad en relación con sus recursos disponibles.

Requisitos de eliminación de registros

El Ala. Code 8-38-10 exige a las entidades cubiertas y a los agentes externos tomar medidas razonables para eliminar los registros que contengan SPII cuando ya no sean necesarios para fines comerciales o legales. Los métodos de eliminación aceptables incluyen triturar, borrar o modificar de otro modo la información para hacerla ilegible por cualquier medio razonable conforme a los estándares de la industria.

Puerto seguro de encriptación

La ley de Alabama incluye un puerto seguro de encriptación. Si la SPII fue encriptada, asegurada o inutilizada de otro modo, no se requiere notificación. Sin embargo, esta protección no se aplica si la entidad cubierta sabe o tiene razones para saber que la clave de encriptación o la credencial de seguridad fue comprometida junto con los datos protegidos.

Sanciones por incumplimiento

Las infracciones de la ley de notificación de violaciones de Alabama se tratan como prácticas comerciales ilícitas conforme a la Ley de Prácticas Comerciales Engañosas de Alabama (Ala. Code Capítulo 19), conforme al Ala. Code 8-38-9. Esto significa:

• Sanciones civiles de hasta $5,000 por día por cada día consecutivo en que una entidad cubierta no tome medidas razonables para cumplir con los requisitos de notificación
• Un límite máximo de $500,000 por violación
• El Fiscal General tiene autoridad exclusiva para iniciar acciones de aplicación por sanciones civiles
• El Fiscal General también puede iniciar acciones por daños reales en nombre de las personas afectadas, más honorarios de abogados y costos razonables

Las infracciones no constituyen delitos penales conforme a la Ley de Prácticas Comerciales Engañosas, y no existe un derecho de acción privado. Los residentes de Alabama no pueden demandar individualmente por incumplimientos de notificación de violaciones.

Exenciones federales y estatales

Entidades cubiertas por la HIPAA

Conforme al Ala. Code 8-38-11, las entidades reguladas por las leyes federales de notificación de violación de datos (incluida la HIPAA) están exentas de la ley de Alabama, siempre que mantengan procedimientos conforme a la autoridad federal aplicable, proporcionen notificación según lo exige la ley federal y notifiquen oportunamente al Fiscal General de Alabama cuando se vean afectados más de 1,000 residentes.

Entidades reguladas por el estado

El Ala. Code 8-38-12 proporciona una exención similar para las entidades sujetas a leyes estatales con requisitos de notificación de violaciones que sean al menos tan exhaustivos como la ley de Alabama. Estas entidades deben cumplir con los requisitos estatales aplicables y notificar al Fiscal General cuando las violaciones superen el umbral de 1,000 residentes.

Instituciones financieras

Las instituciones financieras sujetas a la Ley Gramm-Leach-Bliley (GLBA) también están exentas si cumplen con los requisitos federales aplicables de notificación de violaciones y alcanzan el umbral de notificación al Fiscal General.

Aplicación por el Fiscal General en la práctica

Alabama ha participado en acciones multiestatales de aplicación por violaciones de datos desde que la ley entró en vigor. En octubre de 2023, el Fiscal General Steve Marshall anunció un acuerdo de $49.5 millones con Blackbaud, una empresa de software en la nube cuya violación de datos de 2020 expuso información sensible de más de 13,000 clientes a nivel nacional, incluidas organizaciones sin fines de lucro, escuelas y entidades de atención médica. Alabama recibió $1.6 millones del acuerdo. La acción alegó que Blackbaud no implementó medidas de seguridad razonables, retrasó la notificación y tergiversó el alcance de la violación ante los clientes afectados.

Más leyes de Alabama

• Leyes de Grabación de Reuniones con IA de Alabama
• Leyes de Pensión Alimenticia de Alabama
• Leyes de Empleo a Voluntad de Alabama
• Leyes de Accidentes de Auto de Alabama
• Leyes de Asientos de Seguridad para Niños de Alabama
• Leyes de Custodia de los Hijos de Alabama
• Leyes de Manutención de los Hijos de Alabama
• Leyes de Matrimonio de Hecho de Alabama
• Leyes de Deepfake de Alabama
• Leyes de Divorcio de Alabama
• Leyes de Mordedura de Perro de Alabama
• Leyes de Emancipación de Alabama
• Leyes de Eliminación de Antecedentes de Alabama
• Leyes de Atropello y Fuga de Alabama
• Leyes de Propietarios e Inquilinos de Alabama
• Leyes Limón de Alabama

Fuentes y referencias

Este artículo hace referencia a la Ley de Notificación de Violación de Datos de Alabama de 2018 (Ala. Code 8-38-1 a 8-38-12). Para el texto completo de la ley, visite el sitio web de la Legislatura de Alabama. Para información sobre cómo presentar una notificación de violación o una queja de consumidor, visite la página de Notificación de Violación de Datos del Fiscal General de Alabama.

Este artículo proporciona información legal general sobre los requisitos de notificación de violación de datos de Alabama. No constituye asesoría legal. Consulte a un abogado calificado para obtener orientación sobre su situación específica. Las leyes y regulaciones cambian con frecuencia. Verifique los requisitos actuales a través de fuentes oficiales del gobierno de Alabama.