Leyes de Privacidad de Datos de Arkansas: Notificación de Filtraciones y Derechos del Consumidor (2026)

Arkansas no cuenta con una ley integral de privacidad de datos del consumidor. Su principal protección de privacidad a nivel estatal es la Ley de Protección de Información Personal (Ark. Code 4-110-101), que exige la notificación de filtraciones y la seguridad de los datos, junto con las protecciones de datos de estudiantes y menores, y la aplicación activa del Fiscal General conforme a las leyes estatales de protección al consumidor.

Arkansas no cuenta con una ley integral de privacidad del consumidor. Los legisladores consideraron una en 2025, la Ley de Responsabilidad Digital, Seguridad y Confianza de Arkansas (SB258), pero murió en el aplazamiento sine die del 5 de mayo de 2025 y nunca entró en vigor. Las protecciones de los residentes de Arkansas provienen, en cambio, del estatuto estatal de notificación de filtraciones, las protecciones de datos de estudiantes y menores, y la autoridad de cumplimiento de protección al consumidor del Fiscal General.

Esta guía cubre todas las leyes de privacidad de datos de Arkansas significativas actualmente vigentes, las protecciones que tiene como consumidor, las obligaciones que deben cumplir las empresas y las sanciones por incumplimiento.

¿Tiene Arkansas una Ley Integral de Privacidad?

Arkansas no ha promulgado una ley integral de privacidad de datos del consumidor. A diferencia de estados como Virginia, Colorado y Connecticut, Arkansas no otorga a los residentes un derecho estatal general de acceder, corregir, eliminar o transferir los datos personales en poder de las empresas, ni impone obligaciones de evaluación de protección de datos, consentimiento o contratos con encargados del tratamiento fuera de sectores específicos.

El Intento Fallido de 2025

En la sesión legislativa de 2025, los legisladores de Arkansas presentaron el Proyecto de Ley del Senado 258, la Ley de Responsabilidad Digital, Seguridad y Confianza de Arkansas (ADRSTA), que habría creado un marco integral de privacidad al estilo de Virginia, con derechos del consumidor a acceder, corregir, eliminar y excluirse de la venta de datos personales. El proyecto de ley no logró superar una votación de tercera lectura en el Senado el 8 de abril, y nuevamente el 10 de abril de 2025, y murió formalmente en el calendario del Senado en el aplazamiento sine die del 5 de mayo de 2025. Nunca se convirtió en ley.

Desde entonces no se ha aprobado ningún proyecto de ley integral de privacidad que lo reemplace. Arkansas permanece entre los aproximadamente 30 estados sin un estatuto integral de privacidad del consumidor.

Qué Protege Realmente a los Consumidores de Arkansas

Ante la ausencia de una ley integral, las protecciones de privacidad de datos de los residentes de Arkansas provienen de un conjunto más reducido de estatutos estatales y federales que se explican a lo largo de esta guía:

• La Ley de Protección de Información Personal (Ark. Code 4-110-101 y siguientes), que exige seguridad de datos razonable y notificación de filtraciones, descrita en detalle más abajo.
• La Ley de Protección de Información Personal Estudiantil en Línea (Ark. Code 6-18-109), que restringe cómo los operadores de tecnología educativa usan los datos de los estudiantes de K-12.
• La Ley de Protección de la Privacidad en Línea de Niños y Adolescentes (Ley 952 de 2025), que amplía los requisitos de consentimiento a los menores de 13 a 16 años a partir del 1 de julio de 2026.
• Leyes federales sectoriales, incluidas HIPAA, la Ley Gramm-Leach-Bliley, COPPA y la FCRA.
• La aplicación del Fiscal General conforme a la Ley de Prácticas Comerciales Engañosas de Arkansas, que el Fiscal General ha utilizado contra empresas como TikTok y Temu por sus prácticas de datos, incluso sin un estatuto de privacidad dedicado.

Ninguno de estos estatutos otorga a los consumidores de Arkansas un derecho general a acceder, corregir, eliminar o excluirse de la venta de datos personales en poder de una empresa ordinaria. Un consumidor que busque esos derechos frente a una empresa con sede en Arkansas actualmente no tiene un reclamo estatal para hacerlo valer.

Ley de Protección de Información Personal de Arkansas

La Ley de Protección de Información Personal (PIPA) es la piedra angular del marco de notificación de filtraciones y seguridad de datos de Arkansas, y y sigue siendo el único estatuto de privacidad de uso general de Arkansas. Promulgada originalmente en 2005 mediante la Ley 1526, la ley fue modificada significativamente en 2019 por la Ley 1030 para ampliar la definición de información personal y reforzar los requisitos de notificación.

Qué Califica como Información Personal

Conforme a Ark. Code 4-110-103, información personal significa el nombre de pila o la inicial del nombre y el apellido de una persona, combinados con uno o más de los siguientes elementos de datos, cuando el nombre o el elemento de datos no estén cifrados ni redactados:

• Número de Seguro Social
• Número de licencia de conducir o número de tarjeta de identificación estatal
• Número de cuenta, número de tarjeta de crédito o número de tarjeta de débito, combinado con cualquier código de seguridad, código de acceso o contraseña requeridos que permitan el acceso a una cuenta financiera
• Información médica, incluida cualquier información sobre el historial médico, la condición mental o física, o el tratamiento o diagnóstico médico realizado por un profesional de la salud
• Número de póliza de seguro médico o número de identificación de suscriptor, combinado con cualquier identificador único utilizado por una aseguradora de salud para identificar a la persona
• Datos biométricos, definidos como datos generados por mediciones automáticas de las características biológicas de una persona utilizados para autenticar de manera única su identidad

La enmienda de 2019 mediante la Ley 1030 añadió la información médica, la información de seguro médico y los datos biométricos a esta definición. Antes de esa enmienda, la ley cubría únicamente los números de Seguro Social, los números de licencia de conducir y la información de cuentas financieras.

Requisitos de Seguridad de Datos

Conforme a Ark. Code 4-110-104, cualquier persona o empresa que adquiera, posea o tenga licencia sobre información personal de un residente de Arkansas debe implementar y mantener procedimientos y prácticas de seguridad razonables, apropiados para la naturaleza de la información. Estas medidas deben proteger la información personal contra el acceso, la destrucción, el uso, la modificación o la divulgación no autorizados.

El estatuto no define qué constituyen "procedimientos de seguridad razonables." Esto brinda a las empresas flexibilidad para diseñar programas de seguridad adecuados a su tamaño y a la sensibilidad de los datos que manejan, pero también significa que la idoneidad se juzga caso por caso si ocurre una filtración.

Requisitos de Destrucción de Registros

Ark. Code 4-110-104 también exige que cualquier persona o empresa tome todas las medidas razonables para destruir o disponer la destrucción de los registros de un cliente que contengan información personal que ya no deba conservarse. Los métodos de destrucción aceptables incluyen triturar, borrar o modificar de otra manera la información personal para hacerla ilegible o indescifrable por cualquier medio.

Esto se aplica tanto a los registros en papel como a los electrónicos. El objetivo es evitar que la información personal pueda recuperarse de los registros descartados.

Requisitos de Notificación de Filtraciones de Datos

Las disposiciones de notificación de filtraciones en Ark. Code 4-110-105 son la parte más detallada y significativa de la Ley de Protección de Información Personal.

Quién Debe Notificar

Cualquier persona o empresa que adquiera, posea o tenga licencia sobre datos computarizados que incluyan información personal debe divulgar cualquier violación de la seguridad del sistema a cualquier residente de Arkansas cuya información personal no cifrada haya sido, o se crea razonablemente que fue, adquirida por una persona no autorizada.

Esta obligación se extiende a los terceros que mantienen datos en nombre de otra empresa. Si un proveedor de servicios externo sufre una filtración que involucra datos pertenecientes a los clientes de otra entidad, el proveedor de servicios debe notificar al propietario de los datos, quien luego debe notificar a las personas afectadas.

Definición de una Filtración

Una "violación de la seguridad del sistema" significa la adquisición no autorizada de datos computarizados que compromete la seguridad, confidencialidad o integridad de la información personal mantenida por una persona o empresa. La palabra clave es "adquisición." No necesariamente ha ocurrido una filtración por el simple hecho de que se accedió a un sistema sin autorización. Debe existir evidencia de que la información personal fue efectivamente obtenida o de que razonablemente se cree que fue obtenida.

Plazo de Notificación

La notificación debe realizarse de la manera y en el tiempo más expedito posible y sin demora injustificada, de acuerdo con las necesidades legítimas de las fuerzas del orden o cualquier medida necesaria para determinar el alcance de la filtración y restaurar la integridad razonable del sistema de datos.

Notificación al Fiscal General

Si una filtración afecta la información personal de más de 1,000 personas, la persona o empresa también debe notificar al Fiscal General de Arkansas. Esta notificación debe realizarse al mismo tiempo que el aviso a las personas afectadas, o dentro de los 45 días posteriores a que la persona o empresa determine que existe una probabilidad razonable de daño a los clientes, lo que ocurra primero.

La notificación al Fiscal General debe presentarse a través del Formulario de Reporte de Filtraciones de Datos en el sitio web del Fiscal General de Arkansas.

Métodos de Notificación

La notificación puede proporcionarse mediante uno de los siguientes métodos:

• Aviso por escrito enviado a la dirección postal que figura en los registros de la persona o empresa
• Aviso electrónico si la persona o empresa tiene una dirección de correo electrónico de la persona afectada y el aviso es consistente con las disposiciones de la ley federal Electronic Signatures in Global and National Commerce Act (Ley E-SIGN)
• Aviso sustitutivo si se cumplen ciertas condiciones

Aviso Sustitutivo

El aviso sustitutivo se permite si la persona o empresa demuestra que el costo de proporcionar un aviso directo superaría los $250,000, que la clase afectada de personas supera las 500,000 personas, o que la persona o empresa no cuenta con información de contacto suficiente para proporcionar el aviso.

El aviso sustitutivo debe incluir todo lo siguiente:

• Aviso por correo electrónico a todas las personas afectadas para las cuales la empresa tenga una dirección de correo electrónico
• Publicación visible del aviso en el sitio web de la empresa
• Notificación a través de medios de comunicación estatales

Retraso por las Fuerzas del Orden

La notificación puede retrasarse si una agencia de las fuerzas del orden determina que la notificación impediría una investigación criminal. Una vez que la agencia de las fuerzas del orden determina que la notificación no comprometerá la investigación, la notificación debe realizarse.

Sanciones por Infringir la Ley de Protección de Información Personal

Conforme a Ark. Code 4-110-108, las infracciones a la Ley de Protección de Información Personal son sancionables mediante la acción del Fiscal General conforme a la Ley de Prácticas Comerciales Engañosas de Arkansas (Ark. Code 4-88-101 y siguientes).

Esto significa que el Fiscal General puede buscar toda la gama de recursos disponibles bajo la DTPA, incluidos:

• Sanciones civiles de hasta $10,000 por infracción
• Medidas cautelares que ordenen a la empresa cambiar sus prácticas de seguridad
• Restitución a los consumidores que sufrieron pérdidas determinables
• Honorarios de abogados y costos de investigación

Las infracciones intencionales y deliberadas de la Ley de Protección de Información Personal constituyen un delito menor de Clase A conforme a la ley de Arkansas, que conlleva posibles sanciones penales, incluidas multas y hasta un año de cárcel.

Ley de Protección de Información Personal Estudiantil en Línea

La Ley de Protección de Información Personal Estudiantil en Línea, codificada en Ark. Code 6-18-109 a 6-18-114, protege los datos de los estudiantes de K-12 que utilizan plataformas de tecnología educativa.

A Quién Cubre la Ley

La ley se aplica a los "operadores," definidos como los propietarios de sitios web, servicios en línea, aplicaciones en línea o aplicaciones móviles que tengan conocimiento efectivo de que el sitio web, servicio o aplicación se utiliza para fines escolares de K-12. La ley no se aplica a la División de Educación Primaria y Secundaria de Arkansas, a los distritos escolares ni a las escuelas chárter públicas de inscripción abierta.

Actividades Prohibidas

A los operadores cubiertos por la Ley de Protección de Información Personal Estudiantil en Línea se les prohíbe:

• Publicidad dirigida basada en información cubierta obtenida a través de la plataforma educativa K-12 del operador
• Compilar perfiles sobre los estudiantes utilizando información cubierta, excepto para promover fines escolares de K-12
• Vender información cubierta sobre los estudiantes, a menos que la transacción sea parte de una fusión corporativa, adquisición o bancarrota, y la entidad sucesora permanezca sujeta a las mismas restricciones
• Divulgar información cubierta, excepto en circunstancias limitadas y específicas

Requisitos de Seguridad y Eliminación

Los operadores deben implementar y mantener medidas de seguridad razonables apropiadas para la naturaleza de la información cubierta. Cuando una escuela o distrito escolar solicita la eliminación de la información cubierta de un estudiante, el operador debe eliminar los datos dentro de un plazo razonable.

Proveedores de Servicios de Terceros

Si un operador comparte información cubierta con un proveedor de servicios, el operador debe exigir contractualmente que el proveedor de servicios:

• Use la información únicamente para proporcionar el servicio contratado
• Se abstenga de divulgar la información a terceros adicionales, salvo que esté expresamente permitido
• Implemente y mantenga procedimientos y prácticas de seguridad razonables

Ley de Protección de la Privacidad en Línea de Niños y Adolescentes de Arkansas

En abril de 2025, Arkansas promulgó la Ley de Protección de la Privacidad en Línea de Niños y Adolescentes mediante la HB 1717, convertida en ley como la Ley 952. Esta ley entra en vigor el 1 de julio de 2026.

Arkansas es el primer estado en extender protecciones similares a COPPA específicamente a los adolescentes. Mientras que la ley federal Children's Online Privacy Protection Act (COPPA) solo cubre a los niños menores de 13 años, esta ley de Arkansas crea un marco de dos niveles que cubre tanto a niños como a adolescentes.

Marco de Consentimiento de Dos Niveles

La ley establece diferentes requisitos de consentimiento según la edad:

• Niños menores de 13 años: los operadores deben obtener el consentimiento parental verificable antes de recopilar información personal, de acuerdo con los requisitos federales de COPPA.
• Adolescentes de 13 a 16 años: ya sea el adolescente o su padre o madre puede otorgar el consentimiento para la recopilación, el uso y la divulgación de información personal, después de recibir un aviso claro de las prácticas de datos del operador.

Requisitos para los Operadores

Los operadores cubiertos por la ley deben:

• Proporcionar un aviso claro y visible de sus prácticas de recopilación, uso y divulgación de datos
• Atender las solicitudes de eliminación y corrección de los padres o los adolescentes
• Implementar medidas de seguridad razonables para proteger la información personal recopilada
• Evitar recopilar más información personal de la razonablemente necesaria

Quién Está Cubierto

La ley se aplica a los sitios web, servicios en línea, aplicaciones y aplicaciones móviles con fines de lucro dirigidos a niños o adolescentes, o que tengan conocimiento efectivo de que están recopilando información personal de estos grupos de edad. La definición de "operador" cubre a cualquier persona que, con fines comerciales, opere o proporcione un servicio en línea y recopile o mantenga información personal de los usuarios.

Exenciones

La ley exime a las organizaciones sin fines de lucro, a las plataformas de juegos interactivos que ya cumplen con la COPPA federal, a las entidades gubernamentales de Arkansas y a las entidades educativas públicas de Arkansas.

Cumplimiento

El Fiscal General de Arkansas tiene autoridad exclusiva para hacer cumplir la ley. No existe un derecho de acción privado. Esto significa que los consumidores individuales no pueden demandar directamente a las empresas por infracciones, pero el Fiscal General puede iniciar acciones de cumplimiento en nombre de los residentes de Arkansas.

Cumplimiento del Fiscal General

El Fiscal General Tim Griffin ha llevado a cabo acciones de cumplimiento relacionadas con la privacidad conforme a la Ley de Prácticas Comerciales Engañosas de Arkansas y la Ley de Protección de Información Personal, sin contar con un estatuto estatal integral de privacidad en el cual apoyarse.

En marzo de 2023, Griffin demandó a TikTok y a su empresa matriz ByteDance ante el Tribunal de Circuito del Condado de Cleburne, alegando prácticas engañosas relacionadas con la recopilación y el uso de la información personal de los usuarios de Arkansas. La demanda superó las mociones de desestimación anticipada.

En junio de 2024, Griffin demandó a Temu, la plataforma china de comercio electrónico, calificándola como "un negocio de robo de datos que vende productos en línea como un medio para un fin." La demanda alegaba infracciones a la ADTPA y la PIPA basadas en el presunto acceso de Temu a los datos del dispositivo, incluidos la cámara, la ubicación, los contactos y los mensajes de texto. Hasta principios de 2026, la demanda permanecía activa.

Estas acciones de cumplimiento indican que el Fiscal General utilizará toda la gama de estatutos estatales disponibles, incluso sin un estatuto integral de privacidad, para abordar las infracciones de privacidad de datos que afectan a los residentes de Arkansas.

Leyes Federales de Privacidad que Protegen a los Residentes de Arkansas

Los estatutos federales proporcionan importantes protecciones de privacidad para los residentes de Arkansas en sectores específicos.

Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA)

La Regla de Privacidad de HIPAA establece estándares nacionales para la protección de la información de salud individualmente identificable. HIPAA se aplica a las entidades cubiertas, incluidos los planes de salud, los proveedores de atención médica y las cámaras de compensación de atención médica, así como a sus asociados comerciales.

En 2023, el Departamento de Salud y Servicios Humanos de EE. UU. resolvió una acción de cumplimiento de HIPAA con el asociado comercial con sede en Arkansas, MedEvolve, por $350,000, después de que la empresa expusiera información de salud protegida en un servidor sin protección.

Ley Gramm-Leach-Bliley (GLBA)

La Ley Gramm-Leach-Bliley exige a las instituciones financieras explicar sus prácticas de intercambio de información a los clientes y proteger los datos sensibles. Los residentes de Arkansas que hacen negocios con bancos, cooperativas de crédito, compañías de seguros y firmas de valores están protegidos por las disposiciones de privacidad y seguridad de datos de la GLBA.

Ley de Protección de la Privacidad Infantil en Línea (COPPA)

La ley federal COPPA exige a los operadores de sitios web y servicios en línea dirigidos a niños menores de 13 años obtener el consentimiento parental verificable antes de recopilar información personal. A partir del 1 de julio de 2026, la Ley de Protección de la Privacidad en Línea de Niños y Adolescentes de Arkansas extenderá protecciones similares a los adolescentes de 13 a 16 años.

Ley de Informe Justo de Crédito (FCRA)

La FCRA regula la recopilación, difusión y uso de la información crediticia del consumidor. Esta ley otorga a los consumidores de Arkansas el derecho a acceder a sus informes de crédito, disputar información inexacta y limitar quién puede acceder a sus datos crediticios.

Ley TAKE IT DOWN (2025)

El Congreso promulgó la Ley TAKE IT DOWN (Pub. L. 119-12) el 19 de mayo de 2025. La ley prohíbe la publicación no consentida de representaciones visuales íntimas, incluidos los deepfakes generados por IA. Las plataformas cubiertas (incluidos los principales sitios de redes sociales, aplicaciones de citas y servicios de alojamiento de imágenes) debían implementar un proceso de aviso y eliminación a más tardar el 19 de mayo de 2026, con la obligación de eliminación que requiere actuar dentro de las 48 horas posteriores a una solicitud válida. La FTC comenzó a aplicar sanciones contra las plataformas que no cumplían en mayo de 2026.

Cómo Ejercen los Consumidores Sus Derechos

Los residentes de Arkansas no tienen un derecho estatal general a acceder, corregir o eliminar los datos personales en poder de la mayoría de las empresas, porque Arkansas no cuenta con una ley integral de privacidad. Los derechos que sí existen son de carácter sectorial.

Bajo la Ley de Protección de la Privacidad en Línea de Niños y Adolescentes, una vez que entre en vigor el 1 de julio de 2026, los padres y los adolescentes de 13 a 16 años podrán solicitar la eliminación y corrección de los datos personales recopilados por los operadores cubiertos.

Bajo HIPAA, los pacientes pueden solicitar sus registros médicos, pedir correcciones y recibir un Aviso de Prácticas de Privacidad que explique cómo se utiliza su información de salud.

Bajo la FCRA, los consumidores pueden solicitar informes de crédito anuales gratuitos de cada una de las tres agencias principales y disputar entradas inexactas.

Los consumidores que crean que una empresa ha infringido las leyes de privacidad de datos de Arkansas pueden presentar una queja ante la División de Protección al Consumidor de la oficina del Fiscal General de Arkansas.

Este artículo tiene fines exclusivamente informativos y no constituye asesoría legal. Las leyes de privacidad de datos cambian con frecuencia, y las interpretaciones de cumplimiento evolucionan con el tiempo. Consulte a un abogado con licencia en Arkansas para obtener asesoría sobre su situación específica. Última revisión: mayo de 2026.