Leyes de Notificación de Violación de Datos en Alaska: Reglas y Plazos para Reportar (2026)

La Ley de Protección de Información Personal de Alaska, conforme a Alaska Stat. 45.48.010, exige que las empresas y las agencias gubernamentales notifiquen a los residentes afectados por una filtración de datos en el tiempo más expedito posible y sin demora injustificada. No existe un plazo fijo en días; el estándar es aplicado por el Fiscal General de Alaska contra las empresas y por el Departamento de Administración contra las agencias gubernamentales estatales y locales.

La ley de notificación de filtraciones de datos de Alaska entró en vigor el 1 de julio de 2009, lo que la convierte en uno de los últimos estados en adoptar requisitos de notificación de filtraciones. Lo que distingue a Alaska de la mayoría de los estados es su disposición de derecho de acción privado, que permite a los consumidores individuales llevar a las empresas a juicio por no proporcionar la notificación adecuada de la filtración.

La ley forma parte de la Ley de Protección de Información Personal de Alaska, codificada en AS 45.48.010 a 45.48.090. Se aplica a cualquier persona o entidad que posea, tenga licencia o mantenga información personal sobre residentes de Alaska, sin importar dónde esté ubicada la empresa.

Para una visión más amplia de las protecciones de privacidad en el estado, consulte la guía principal sobre las Leyes de Privacidad de Datos de Alaska.

Quién Debe Cumplir con la Ley de Notificación de Violación de Datos de Alaska

El estatuto se aplica de manera amplia a tres categorías de entidades a las que el AS 45.48.090(2) denomina "personas cubiertas":

• Empresas y organizaciones que posean, tengan licencia o mantengan información personal sobre residentes de Alaska en el curso de sus actividades comerciales
• Agencias gubernamentales a nivel estatal y local que recopilen o mantengan información personal, excepto las agencias del poder judicial, que el AS 45.48.090(3) excluye expresamente de la definición de "agencia gubernamental"
• Cualquier persona con más de 10 empleados, incluso si esa persona no está, de otro modo, "haciendo negocios" en Alaska

Los terceros también tienen obligaciones. Si usted mantiene información personal en nombre de otra entidad y descubre una filtración, debe notificar al propietario de la información "de inmediato" y cooperar compartiendo los detalles relevantes sobre la filtración. La única excepción es que no está obligado a compartir información comercial confidencial ni secretos comerciales.

La ley se aplica sin importar dónde esté ubicada físicamente la empresa. Si usted posee información personal de residentes de Alaska, está sujeto al requisito de notificación.

Qué Activa la Obligación de Notificar

Una violación de seguridad conforme a AS 45.48.090 significa la adquisición no autorizada, o la creencia razonable de adquisición no autorizada, de información personal que compromete la seguridad, confidencialidad o integridad de los datos.

La palabra "adquisición" se define de manera amplia. Incluye la obtención de datos mediante:

• Medios digitales (piratería informática, acceso no autorizado a un sistema informático)
• Fotocopiado o fax
• Cualquier otro método basado en papel
• Dispositivos, incluidas computadoras y lectores de identificación por radiofrecuencia (RFID)

Qué Se Considera Información Personal

Alaska define la información personal protegida como el nombre de una persona (nombre de pila o inicial del nombre y apellido) combinado con uno o más de los siguientes elementos de datos, cuando no estén cifrados ni redactados:

Esta definición es más limitada que la de muchos otros estados. La ley de Alaska no cubre identificadores biométricos, registros médicos, información de seguro médico, credenciales de correo electrónico ni números de identificación fiscal. Para obtener información sobre el enfoque de Alaska respecto a los datos biométricos, consulte Leyes de Privacidad Biométrica de Alaska.

El Puerto Seguro de Cifrado

Si la información personal estaba cifrada en el momento de la filtración y la clave de cifrado no fue accedida ni adquirida por la parte no autorizada, no se requiere notificación. Lo mismo se aplica a los datos que hayan sido redactados.

Este puerto seguro brinda a las empresas un fuerte incentivo para cifrar la información personal tanto en reposo como en tránsito. Si puede demostrar que el cifrado se mantuvo intacto y que las claves no fueron comprometidas, evita todo el proceso de notificación.

Cronograma y Proceso de Notificación

Con Qué Rapidez Debe Notificar

Alaska no establece un plazo fijo en días. En cambio, el estatuto exige la divulgación "en el tiempo más expedito posible y sin demora injustificada." Este estándar flexible permite tiempo para:

• Determinar el alcance de la filtración
• Restaurar la integridad razonable del sistema de información
• Cumplir con cualquier solicitud de retraso de las fuerzas del orden

Aunque la ley no especifica un número de días, la frase "tiempo más expedito posible" tiene consecuencias reales. El Fiscal General de Alaska puede tomar medidas de cumplimiento contra una empresa que retrase la notificación más allá de lo razonable según las circunstancias, y el Departamento de Administración puede actuar contra una agencia gubernamental estatal o local.

Métodos de Notificación

Conforme a AS 45.48.030, la notificación debe entregarse mediante uno de los siguientes métodos:

Aviso por escrito enviado directamente a la persona afectada.

Aviso electrónico que cumpla con la ley federal Electronic Signatures in Global and National Commerce Act (Ley E-SIGN, 15 U.S.C. 7001).

Aviso sustitutivo está disponible cuando:

• El costo de la notificación directa supera los $150,000
• La clase afectada supera los 300,000 residentes
• La entidad carece de información de contacto suficiente

El aviso sustitutivo requiere los tres elementos siguientes: notificación por correo electrónico (cuando se disponga de una dirección), publicación visible en el sitio web de la entidad y notificación a los principales medios de comunicación estatales.

Notificación a las Agencias de Informes Crediticios

Si una filtración afecta a más de 1,000 residentes de Alaska, la entidad también debe notificar a todas las agencias de informes crediticios de alcance nacional. Esta notificación debe incluir el momento, la distribución y el contenido de los avisos enviados a los consumidores. Las entidades sujetas a la Ley Gramm-Leach-Bliley (GLBA) están exentas de este requisito de notificación a las agencias de informes crediticios.

La Excepción del Umbral de Daño

La ley de Alaska incluye una excepción notable. Una entidad puede evitar el envío de notificaciones a los consumidores si, tras una investigación adecuada, determina que "no existe una probabilidad razonable de que el daño a los consumidores cuya información personal fue adquirida haya ocurrido o vaya a ocurrir."

Para usar esta excepción, la entidad debe:

1. Realizar una investigación adecuada
2. Proporcionar notificación por escrito al Fiscal General de Alaska explicando la determinación
3. Documentar la determinación por escrito
4. Conservar esa documentación durante cinco años

Esta es la única situación en la que se requiere notificación al Fiscal General conforme al estatuto. Alaska no exige la notificación rutinaria al Fiscal General por cada filtración.

Retraso por las Fuerzas del Orden

Conforme a AS 45.48.020, un recolector de información puede retrasar la notificación si una agencia de las fuerzas del orden determina que la divulgación interferiría con una investigación criminal. El retraso dura solo el tiempo que las fuerzas del orden determinen necesario.

Sanciones y Cumplimiento

Infracciones de Agencias Gubernamentales

Una agencia gubernamental que infrinja los requisitos de notificación enfrenta una sanción civil de hasta $500 por cada residente que no fue notificado, con un tope total de $50,000 por filtración.

Infracciones de Entidades No Gubernamentales

Para las empresas y organizaciones privadas, una infracción de la ley de notificación de filtraciones se trata como un acto o práctica desleal o engañosa conforme a la Ley de Prácticas Comerciales Desleales y Protección al Consumidor de Alaska (AS 45.50.471-561). Esto significa que el Fiscal General puede iniciar acciones de cumplimiento utilizando toda la gama de recursos de protección al consumidor.

Sin embargo, el estatuto establece límites específicos:

• La entidad no está sujeta a las sanciones civiles generales conforme a AS 45.50.551
• En cambio, la entidad enfrenta una sanción civil de hasta $500 por cada residente no notificado, con un tope total de $50,000
• Los daños otorgados a las personas se limitan a daños económicos reales que no superen los $500 por persona

Derecho de Acción Privado

Aquí es donde la ley de Alaska se destaca. Conforme a AS 45.48.080, una persona cuya información personal estuvo involucrada en una filtración por parte de un recolector de información no gubernamental puede presentar una acción civil para recuperar los daños económicos reales sufridos como resultado de la infracción. La orden judicial (injunction) prevista en AS 45.48.080(a) se aplica únicamente a la aplicación de la ley por parte del Departamento de Administración contra agencias gubernamentales; no está disponible en la acción civil privada de un individuo contra una empresa.

Los daños se limitan a daños económicos reales de hasta $500, más costas judiciales y honorarios de abogados. Aunque el tope por persona es modesto, el derecho a demandar directamente sin esperar a que actúe el Fiscal General es significativo. Solo unos 12 estados ofrecen este tipo de derecho de acción privado por infracciones a la notificación de filtraciones.

Los derechos y recursos bajo esta sección son adicionales a cualquier otro derecho o recurso disponible conforme a otras leyes.

Las Renuncias Son Nulas

Conforme a AS 45.48.060, cualquier renuncia a las protecciones establecidas en AS 45.48.010 a 45.48.090 es nula y no ejecutable. Una empresa no puede hacer que los consumidores renuncien a sus derechos de notificación de filtraciones mediante términos de servicio, contratos u otros acuerdos.

Medidas de Cumplimiento del Fiscal General de Alaska

Alaska ha participado en varias acciones importantes de cumplimiento multiestatal relacionadas con filtraciones de datos:

Acuerdo con Blackbaud (2023): Alaska se unió a otros 49 estados en un acuerdo de $49.5 millones con Blackbaud Inc. por un ataque de ransomware en 2020 que expuso información personal de millones de consumidores. Alaska recibió $358,925. El Fiscal General determinó que Blackbaud no había implementado medidas razonables de seguridad de datos y no proporcionó notificaciones de filtración oportunas ni completas.

Acuerdo con Marriott (2024): Alaska se unió a un acuerdo multiestatal de $52 millones con Marriott International por filtraciones de datos en el sistema de reservas de huéspedes Starwood que pasaron inadvertidas entre 2014 y 2018, exponiendo los registros de 131.5 millones de clientes estadounidenses. Alaska recibió $376,629. Marriott acordó implementar un programa integral de seguridad de la información con principios de confianza cero (zero trust), autenticación multifactor y auditorías de seguridad independientes de terceros cada dos años durante 20 años.

Acuerdo con Equifax (2019): Alaska formó parte del acuerdo de 50 estados por $600 millones con Equifax por la filtración de 2017 que expuso datos personales de aproximadamente 147 millones de estadounidenses.

Interacción con las Leyes Federales

La ley de notificación de filtraciones de Alaska opera junto con las regulaciones federales de seguridad de datos:

GLBA (Ley Gramm-Leach-Bliley): Las instituciones financieras cubiertas por la GLBA están exentas del requisito de notificación a las agencias de informes crediticios en AS 45.48.040, pero aún deben cumplir con las obligaciones centrales de notificación a las personas afectadas.

HIPAA: El estatuto no contiene una exención específica de HIPAA. Las entidades de atención médica cubiertas por HIPAA deben cumplir tanto con las reglas federales de notificación de filtraciones conforme a la Ley HITECH como con los requisitos de notificación estatales de Alaska, aunque la definición más limitada de información personal en la ley de Alaska significa que los datos de salud cubiertos únicamente por HIPAA no activarían por sí solos el estatuto estatal.

SB 134, Seguridad de Datos de Seguros (2024): Alaska promulgó la SB 134, que establece requisitos de seguridad de datos y reporte de filtraciones para los licenciatarios de seguros conforme a AS 21.23, con disposiciones que entran en vigor de manera escalonada desde el 1 de enero de 2025 hasta el 1 de enero de 2027. Esto complementa, en lugar de reemplazar, los requisitos generales de notificación de filtraciones.

Qué Hacer si Sufre una Filtración de Datos en Alaska

Si cree que su información personal fue comprometida en una filtración de datos, siga estos pasos:

1. Documente lo que recibió. Guarde cualquier carta o correo electrónico de notificación de filtración. Anote la fecha en que los recibió y la fecha en que la empresa indica que ocurrió la filtración.

2. Coloque una alerta de fraude o un congelamiento de crédito. Comuníquese con cualquiera de las tres agencias principales de crédito (Equifax, Experian o TransUnion) para colocar una alerta de fraude, que dura un año. Para una protección más fuerte, coloque un congelamiento de crédito con las tres agencias.

3. Supervise sus cuentas. Revise de cerca los estados de cuenta bancarios, los estados de cuenta de tarjetas de crédito y los informes de crédito en busca de actividad no autorizada.

4. Presente una queja. Si una empresa no le notificó sobre una filtración o retrasó la notificación de manera injustificada, puede presentar una queja ante la Unidad de Protección al Consumidor del Fiscal General de Alaska.

5. Considere una acción legal. El derecho de acción privado de Alaska significa que puede consultar con un abogado sobre presentar una demanda civil para recuperar daños económicos reales si una empresa infringió los requisitos de notificación.

Fuentes y Referencias

Este artículo hace referencia a los estatutos de Alaska y a publicaciones oficiales del gobierno. Para consultar el texto completo de la Ley de Protección de Información Personal de Alaska, visite el sitio web de la Legislatura Estatal de Alaska. Para conocer los recursos de protección al consumidor y los formularios de queja por filtraciones, visite el sitio web de la Unidad de Protección al Consumidor del Departamento de Justicia de Alaska.

Este artículo ofrece información legal general sobre las leyes de notificación de filtraciones de datos de Alaska. No constituye asesoría legal. Consulte a un abogado calificado para obtener orientación sobre su situación específica. Las leyes y regulaciones cambian con frecuencia. Verifique los requisitos vigentes a través de fuentes oficiales del gobierno de Alaska.

Preguntas frecuentes

¿Cuánto tiempo tiene una empresa para notificarme sobre una filtración de datos en Alaska?

Alaska no establece un plazo específico en días. La ley exige la notificación 'en el tiempo más expedito posible y sin demora injustificada' después de que la entidad descubre la filtración y determina su alcance. Este estándar flexible lo hace cumplir el Fiscal General contra las empresas y el Departamento de Administración contra las agencias gubernamentales, cualquiera de los cuales puede actuar ante retrasos injustificados. Algunos estados establecen plazos de 30 a 60 días, pero el estándar de Alaska depende de los hechos específicos de cada caso.

¿Puedo demandar a una empresa por no notificarme sobre una filtración de datos en Alaska?

Sí. Alaska es uno de aproximadamente 12 estados que ofrece un derecho de acción privado por infracciones a la notificación de filtraciones. Conforme a AS 45.48.080, puede presentar una demanda civil para recuperar daños económicos reales de hasta $500 por persona, más costas judiciales y honorarios de abogados. Este derecho existe independientemente de cualquier acción de cumplimiento por parte del Fiscal General.

¿La ley de notificación de filtraciones de Alaska cubre los registros médicos o los datos biométricos?

No. La definición de información personal protegida de Alaska se limita al nombre de una persona combinado con su número de Seguro Social, número de licencia de conducir o identificación estatal, o número de cuenta financiera con códigos de acceso. La ley no cubre registros médicos, información de seguro médico, identificadores biométricos, credenciales de correo electrónico ni números de identificación fiscal. Para conocer las protecciones de datos biométricos, consulte la página de Leyes de Privacidad Biométrica de Alaska.

¿Debo notificar al Fiscal General de Alaska sobre cada filtración de datos?

No en todos los casos. La notificación al Fiscal General solo se requiere cuando una entidad cubierta investiga una filtración y determina que no existe una probabilidad razonable de daño, y por lo tanto decide no notificar a los consumidores. En esa situación, la entidad debe proporcionar un aviso por escrito al Fiscal General explicando su determinación y conservar la documentación durante cinco años. Si está notificando a los consumidores, no existe un requisito separado de notificación al Fiscal General.

¿El cifrado protege a mi empresa de los requisitos de notificación de filtraciones de Alaska?

Sí, si el cifrado fue efectivo. La ley de Alaska incluye un puerto seguro de cifrado. Si la información personal estaba cifrada en el momento de la filtración y la clave de cifrado no fue comprometida ni adquirida por la parte no autorizada, no se requiere notificación. Lo mismo se aplica a los datos que fueron redactados correctamente. Esto brinda a las empresas un fuerte incentivo para cifrar los datos personales tanto en reposo como en tránsito.