Connecticut
Leyes de Notificación de Violaciones de Datos de Connecticut: Reglas y Plazos de Reporte (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 14 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 14 de agosto de 2026. · 7 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
La ley de Connecticut exige que las empresas que descubran una violación de datos notifiquen a los residentes afectados y al Fiscal General del estado sin demora injustificada y a más tardar 60 días después de su descubrimiento, según Conn. Gen. Stat. 36a-701b. Los datos cifrados que sean vulnerados no generan esta obligación a menos que la clave de cifrado también haya sido comprometida.
Connecticut tiene una de las leyes de notificación de violaciones de datos más detalladas de Estados Unidos. Codificada en Conn. Gen. Stat. 36a-701b, la ley exige que toda persona o empresa que sea propietaria, licencie o mantenga datos informatizados que contengan información personal notifique a los residentes afectados de Connecticut y al Fiscal General del estado tras descubrir una violación de seguridad.
La ley ha sido enmendada varias veces desde su promulgación original en 2005; la más reciente amplió la definición de información personal para incluir datos de geolocalización precisa (vigente desde el 1 de octubre de 2023). Un plazo firme de notificación de 60 días, el monitoreo de crédito obligatorio y un puerto seguro de cifrado convierten a esta ley en uno de los estatutos de notificación de violaciones de datos más exigentes del país.
Para una visión más amplia del marco general de privacidad de Connecticut, consulte la guía principal sobre las Leyes de Privacidad de Datos de Connecticut.
Quién Debe Cumplir con la Ley
El estatuto se aplica a toda persona que realice negocios en Connecticut y sea propietaria, licencie o mantenga datos informatizados que incluyan información personal de residentes de Connecticut. Esto abarca corporaciones, LLC, propietarios únicos, organizaciones sin fines de lucro y agencias gubernamentales.
Los proveedores de servicios externos que mantienen datos en nombre de otra entidad tienen una obligación separada. Deben notificar al propietario de los datos inmediatamente al descubrir una violación, para que este pueda cumplir con sus deberes de notificación.
Los contratistas estatales que manejan información confidencial de agencias gubernamentales enfrentan requisitos adicionales según un estatuto complementario, Conn. Gen. Stat. 4e-70, que impone estándares mínimos de seguridad y sus propias obligaciones de reporte de violaciones tanto a la agencia contratante como al Fiscal General.
Qué Califica Como Información Personal
Connecticut define la información personal en dos categorías que generan obligaciones de notificación.
Categoría 1: Nombre Más un Elemento de Datos Sensibles
El nombre o la inicial del nombre y el apellido de una persona, combinados con uno o más de los siguientes:
- Número de Seguro Social o número de identificación fiscal
- PIN de protección de identidad del IRS
- Número de licencia de conducir, número de identificación estatal, número de pasaporte, identificación militar u otra identificación emitida por el gobierno comúnmente utilizada para verificar la identidad
- Número de tarjeta de crédito o débito
- Número de cuenta financiera en combinación con cualquier código de seguridad, código de acceso o contraseña requeridos
- Información médica, incluida cualquier información sobre el historial médico, la condición mental o física, o el tratamiento o diagnóstico médico de una persona
- Número de póliza de seguro de salud, número de identificación de suscriptor, o cualquier identificador único utilizado por una aseguradora de salud
- Datos biométricos generados por mediciones electrónicas de las características físicas únicas de una persona, como huellas dactilares, huellas de voz o imágenes de retina e iris
- Datos de geolocalización precisa (agregado el 1 de octubre de 2023)
Categoría 2: Credenciales de Cuentas en Línea
Un nombre de usuario o dirección de correo electrónico combinado con una contraseña o una pregunta y respuesta de seguridad que permitiría el acceso a una cuenta en línea. No se requiere el nombre para que esta categoría genere la obligación de notificar.
Exclusiones
La información disponible públicamente y puesta a disposición legalmente a partir de registros gubernamentales federales, estatales o locales queda excluida de la definición de información personal.
Qué Constituye una Violación de Seguridad
Según el estatuto, una "violación de seguridad" significa el acceso no autorizado a, o la adquisición no autorizada de, archivos electrónicos, medios, bases de datos o datos informatizados que contengan información personal, cuando el acceso a dicha información no haya estado protegido mediante cifrado o cualquier otro método o tecnología que la vuelva ilegible o inutilizable.
Esta definición tiene dos características importantes. Primero, se centra en el acceso o la adquisición no autorizados, no solo en la adquisición. Segundo, incorpora directamente el puerto seguro de cifrado, lo que significa que los datos cifrados que sean vulnerados no generan la obligación de notificar a menos que la clave de cifrado también haya sido comprometida.
El Plazo de Notificación de 60 Días
Connecticut impone un plazo estricto de 60 días. Las entidades deben notificar a los residentes afectados sin demora injustificada y a más tardar 60 días después de descubrir la violación. Si la ley federal establece un plazo más corto, prevalece el requisito federal.
Cuándo Comienza a Correr el Plazo
El período de 60 días comienza en el momento en que la entidad descubre la violación, no cuando finaliza su investigación. Esto es más estricto que en los estados donde el plazo comienza a correr una vez concluida la investigación.
Víctimas Descubiertas Tardíamente
Si se identifican residentes afectados adicionales después del plazo inicial de 60 días, la entidad debe notificar a esas personas "tan pronto como sea posible" y de buena fe. No existe un segundo plazo específico, pero el estándar de "tan pronto como sea posible" tiene peso real bajo la aplicación de la CUTPA.
Retraso por Solicitud de las Autoridades
El plazo de notificación puede extenderse si una agencia de las fuerzas del orden determina que la notificación obstaculizaría una investigación criminal y solicita el retraso. El retraso dura solo el tiempo que las autoridades lo soliciten.
Notificación al Fiscal General
Toda entidad que descubra una violación debe notificar al Fiscal General de Connecticut a más tardar en el momento en que se notifica a los residentes afectados. No existe un número mínimo de personas afectadas para que se active la obligación de notificar al Fiscal General. Incluso una violación que afecte a un solo residente de Connecticut requiere notificación al Fiscal General.
La oficina del Fiscal General ofrece un formulario en línea para el envío de reportes de violaciones como el método preferido de reporte. Tras el envío, la entidad que reporta recibe un correo electrónico de confirmación seguido de un número de caso con el formato PR más siete dígitos. Las actualizaciones o complementos a una violación previamente reportada deben enviarse por correo electrónico a ag.breach@ct.gov junto con el número de caso.
Monitoreo de Crédito y Servicios de Protección Contra el Robo de Identidad
Connecticut va más allá de la simple notificación al exigir servicios activos de protección de identidad. Cuando una violación involucra números de Seguro Social o números de identificación fiscal, la entidad afectada debe:
- Ofrecer servicios de prevención de robo de identidad sin costo para el residente afectado
- Ofrecer servicios de mitigación de robo de identidad, si corresponde
- Proporcionar estos servicios durante un mínimo de 24 meses
- Incluir información sobre cómo el residente puede colocar un congelamiento de crédito en su expediente crediticio
Este mandato de monitoreo de crédito de 24 meses es más extenso que lo que exigen muchos otros estados. Varios estados imponen mínimos de 12 meses, y otros dejan la decisión enteramente a discreción de la entidad afectada.
Cómo Debe Proporcionarse la Notificación
El estatuto permite varios métodos de notificación directa:
- Notificación escrita enviada a la dirección postal de la persona
- Notificación telefónica entregada directamente a la persona
- Notificación electrónica que cumpla con la Ley federal E-SIGN ( y siguientes)
En el caso de violaciones que involucren credenciales de cuentas en línea (nombre de usuario o correo electrónico más contraseña), la entidad debe indicar al residente que cambie su contraseña y sus preguntas de seguridad. Si la violación involucró la cuenta de correo electrónico de la persona, la notificación no puede enviarse a esa dirección comprometida. La entidad debe usar otro método de contacto verificado.
Notificación Sustitutiva
La notificación sustitutiva está disponible cuando el costo de la notificación directa superaría los $250,000, el grupo afectado supera las 500,000 personas, o la entidad carece de información de contacto suficiente. La notificación sustitutiva requiere las tres acciones siguientes:
- Notificación por correo electrónico a todas las personas afectadas de las que la entidad tenga una dirección de correo electrónico
- Publicación visible en el sitio web de la entidad
- Notificación a los principales medios de comunicación estatales
Puerto Seguro de Cifrado
Connecticut ofrece un puerto seguro de cifrado claro. Si la información personal involucrada en la violación estaba cifrada o protegida por otro método que la vuelve ilegible o inutilizable, no se aplican los requisitos de notificación de violaciones. Sin embargo, si la clave de cifrado también fue comprometida en la violación, el puerto seguro no protege a la entidad y se requiere la notificación.
Exenciones para HIPAA e Instituciones Financieras
El estatuto ofrece exenciones de cumplimiento para ciertas entidades reguladas:
- Entidades cubiertas por HIPAA: El cumplimiento de la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) y de la Ley de Tecnología de la Información de Salud para la Economía y la Salud Clínica (HITECH) satisface los requisitos de notificación de violaciones de Connecticut. Sin embargo, la entidad debe notificar de todos modos al Fiscal General de Connecticut a más tardar cuando notifique a los residentes afectados, y debe ofrecer servicios de protección contra el robo de identidad cuando se comprometan números de Seguro Social.
- Instituciones financieras: Las entidades que cumplen con las directrices interinstitucionales federales sobre programas de respuesta ante el acceso no autorizado a la información de los clientes (emitidas conforme a la Ley Gramm-Leach-Bliley) se consideran en cumplimiento con el estatuto estatal, sujetas a los mismos requisitos de notificación al Fiscal General y de protección contra el robo de identidad.
Aplicación de la Ley Bajo la CUTPA
El incumplimiento de cualquier disposición de la sección 36a-701b constituye una práctica comercial desleal según la Ley de Prácticas Comerciales Desleales de Connecticut (CUTPA, Conn. Gen. Stat. 42-110a y siguientes). Esto significa que el Fiscal General puede buscar:
- Sanciones civiles de hasta $5,000 por infracción intencional
- Medidas cautelares que ordenen a la entidad cumplir
- Restitución a los consumidores afectados
- Recuperación de las ganancias obtenidas mediante la infracción
Las sanciones civiles recaudadas se destinan a una cuenta de protección de la privacidad administrada por la oficina del Fiscal General.
No existe un derecho de acción privada bajo el estatuto de notificación de violaciones. Los consumidores individuales no pueden demandar directamente por fallas en la notificación. La aplicación de la ley recae exclusivamente en el Fiscal General.
Actividad Reciente de Aplicación de la Ley
El Fiscal General de Connecticut ha aplicado activamente las obligaciones de seguridad de datos y privacidad. En 2025, la oficina finalizó un acuerdo de $200,000 con PharMerica por una violación que afectó a 105,000 residentes de Connecticut, y un acuerdo de $200,000 con WebTPA Employer Services. Aunque estas acciones se presentaron bajo el marco más amplio de la CTDPA, demuestran la disposición del Fiscal General a buscar sanciones significativas por fallas en la seguridad de datos.
Cómo Interactúa Esta Ley con la CTDPA
El estatuto de notificación de violaciones de Connecticut (36a-701b) y la Ley de Privacidad de Datos de Connecticut (CTDPA, Conn. Gen. Stat. 42-515 y siguientes) son leyes separadas pero complementarias.
El estatuto de notificación de violaciones regula lo que sucede después de un incidente de seguridad. Indica a las entidades cuándo notificar, a quién notificar y qué servicios ofrecer. La CTDPA regula las obligaciones continuas de privacidad de datos, incluidos los requisitos de consentimiento, los derechos del consumidor, la minimización de datos y las evaluaciones de protección de datos.
Un solo incidente de datos podría generar obligaciones bajo ambas leyes. Por ejemplo, una violación de datos biométricos requeriría notificación según la sección 36a-701b (porque los datos biométricos son información personal) y también podría exponer infracciones de la CTDPA si la entidad carecía de un consentimiento adecuado o de medidas de seguridad apropiadas para esos datos biométricos desde un principio.
Proyecto de Ley de Reporte Forense de 2026: el SB 117 Aprobó el Senado pero Murió en la Cámara
La sesión legislativa de 2026 de Connecticut consideró el Proyecto de Ley del Senado 117, que habría enmendado la sección 36a-701b para exigir un examen forense y un reporte obligatorios en el caso de violaciones a gran escala. Las disposiciones clave del proyecto tal como fue aprobado por el Senado incluían:
- Una nueva categoría denominada "violación masiva de seguridad" que afecte a 100,000 o más residentes de Connecticut
- Contratación obligatoria de un examinador forense externo calificado inmediatamente después del descubrimiento
- Presentación del reporte forense al Fiscal General dentro de los 90 días posteriores al descubrimiento
- Si la entidad no cumple, el Fiscal General puede contratar directamente a una firma forense y facturar el costo a la entidad
- Sanciones civiles de hasta $500,000 (o $100,000 para pequeñas empresas), además de las sanciones existentes de la CUTPA
El SB 117 aprobó el Senado con enmiendas el 29 de abril de 2026, y fue transmitido a la Cámara, donde quedó pendiente en el calendario de la Cámara el 30 de abril de 2026. La Cámara no realizó una votación en el pleno antes de que la sesión regular 2026 de Connecticut concluyera a principios de mayo, por lo que el proyecto murió sin convertirse en ley. No se promulgó ninguna Ley Pública, y el mandato de reporte forense propuesto para el 1 de octubre de 2026 no entró en vigor. El proyecto podría reintroducirse en una futura sesión legislativa.
Más Leyes de Connecticut
- Leyes de Grabación de Reuniones con IA de Connecticut
- Leyes de Pensión Alimenticia Conyugal de Connecticut
- Leyes de Empleo a Voluntad de Connecticut
- Leyes de Accidentes de Auto de Connecticut
- Leyes de Asientos de Auto para Niños de Connecticut
- Leyes de Custodia de Menores de Connecticut
- Leyes de Manutención Infantil de Connecticut
- Leyes de Matrimonio de Hecho de Connecticut
- Leyes sobre Deepfakes de Connecticut
- Leyes de Divorcio de Connecticut
- Leyes sobre Mordeduras de Perro de Connecticut
- Leyes de Emancipación de Connecticut
- Leyes de Eliminación de Antecedentes Penales de Connecticut
- Leyes de Choque y Fuga de Connecticut
- Leyes de Propietarios e Inquilinos de Connecticut
- Leyes del Limón de Connecticut
Aviso Legal
Este artículo proporciona información legal general sobre los requisitos de notificación de violaciones de datos de Connecticut y no constituye asesoría legal. Las leyes y regulaciones cambian con frecuencia, y su aplicación varía según las circunstancias específicas. Consulte a un abogado calificado con licencia en Connecticut para obtener orientación sobre su situación particular.
Preguntas frecuentes
¿Qué tan rápido debe una empresa reportar una violación de datos en Connecticut?
Connecticut exige la notificación a los residentes afectados y al Fiscal General dentro de los 60 días posteriores al descubrimiento de la violación. Se trata de un plazo estricto según Conn. Gen. Stat. 36a-701b. La única excepción es que las autoridades soliciten un retraso porque la notificación obstaculizaría una investigación criminal.
¿Exige Connecticut monitoreo de crédito después de una violación de datos?
Sí, pero solo cuando la violación involucra números de Seguro Social o números de identificación fiscal. En esos casos, la entidad afectada debe ofrecer al menos 24 meses de servicios gratuitos de prevención de robo de identidad y monitoreo de crédito. La entidad también debe proporcionar información sobre cómo colocar un congelamiento de crédito.
¿Existe un puerto seguro de cifrado bajo la ley de notificación de violaciones de Connecticut?
Sí. Si la información personal estaba cifrada o se volvió ilegible o inutilizable mediante otro método al momento de la violación, no se requiere notificación. Sin embargo, si la clave de cifrado también fue comprometida, el puerto seguro no se aplica y la entidad debe notificar a los residentes afectados y al Fiscal General.
¿Pueden las personas demandar por fallas en la notificación de violaciones en Connecticut?
No. Connecticut no otorga un derecho de acción privada bajo su estatuto de notificación de violaciones. Solo el Fiscal General puede hacer cumplir la ley. Las infracciones se tratan como prácticas comerciales desleales según la CUTPA, y el Fiscal General puede buscar sanciones civiles de hasta $5,000 por infracción intencional, medidas cautelares y restitución.
¿Incluye Connecticut los datos de geolocalización en su ley de notificación de violaciones?
Sí. Desde el 1 de octubre de 2023, los datos de geolocalización precisa están incluidos en la definición de información personal según Conn. Gen. Stat. 36a-701b. Connecticut es uno de los pocos estados que incluye específicamente los datos de geolocalización como factor desencadenante de la notificación de violaciones. Una violación que involucre el nombre de un residente combinado con sus datos de geolocalización precisa requiere la misma notificación que una violación que involucre números de Seguro Social o información de cuentas financieras.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Updated the SB 117 forensic-reporting section to reflect that the bill passed the Senate but died in the House without becoming law (no October 1, 2026 mandate took effect), and corrected two wording errors in the law-enforcement-delay and health-insurance-identifier provisions to match the current text of Conn. Gen. Stat. 36a-701b.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 3 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
Connecticut General Statutes, Title 36a (The Banking Law of Connecticut), Chapter 669
§ 36a-701bBreach of security re computerized data containing personal information. Notice of breach. Provision of identity theft prevention services and identity theft mitigation services. Delay for criminal investigation. Means of notice. Exemption from public disclosure. Unfair trade practices.Vigentecitada en 2 de nuestros artículos
(a) For purposes of this section, (1) “breach of security” means unauthorized access to or unauthorized acquisition of electronic files, media, databases or computerized data, containing personal information when access to the personal information has not been secured by encryption or by any other method or technology that renders the personal information unreadable or unusable; and (2) “personal information” means an individual's (A) first name or first initial and last name in combination with any one, or more, of the following data: (i) Social Security number; (ii) taxpayer identification number; (iii) identity protection personal identification number issued by the Internal Revenue Service; (iv) driver's license number, state identification card number, passport number, military identification number or other identification number issued by the government that is commonly used to verify identity; (v) credit or debit card number; (vi) financial account number in combination with any required security code, access code or password that would permit access to such financial account; (vii) medical information regarding an individual's medical history, mental or physical condition,…
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en cga.ct.gov
Citada en 3 opiniones judicialesAplicada por un tribunal por última vez: 2019
Casos destacados: Recall Total Infomation Management, Inc. v. Federal Insurance Co. (Connecticut Appellate Court 2014, 147 Conn. App. 450) · In re Target Corp. Customer Data Security Breach Litigation (District Court, D. Minnesota 2014, 66 F. Supp. 3d 1154) · In re Equifax, Inc. (District Court, N.D. Georgia 2019, 362 F. Supp. 3d 1295)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Connecticut General Statutes, Title 04e (State Contracting), Chapter 62a
§ 4e-70Requirements for state contractors who receive confidential information. Definitions. Minimum requirements. Prohibitions. Breach. Violation. Ban. Effect on other applicable laws.Vigente
(a) As used in this section and section 4e-71: (1) “Contractor” means an individual, business or other entity that is receiving confidential information from a state contracting agency or agent of the state pursuant to a written agreement to provide goods or services to the state. (2) “State agency” means any agency with a department head, as defined in section 4-5. (3) “State contracting agency” means any state agency disclosing confidential information to a contractor pursuant to a written agreement with such contractor for the provision of goods or services for the state.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en cga.ct.gov
United States Code Title 15
§ 7001General rule of validityVigentecitada en 18 de nuestros artículos
Notwithstanding any statute, regulation, or other rule of law (other than this subchapter and subchapter II), with respect to any transaction in or affecting interstate or foreign commerce— a signature, contract, or other record relating to such transaction may not be denied legal effect, validity, or enforceability solely because it is in electronic form; and a contract relating to such transaction may not be denied legal effect, validity, or enforceability solely because an electronic signature or electronic record was used in its formation. This subchapter does not— limit, alter, or otherwise affect any requirement imposed by a statute, regulation, or rule of law relating to the rights and obligations of persons under such statute, regulation, or rule of law other than a requirement that contracts or other records be written, signed, or in nonelectronic form; or require any person to agree to use or accept electronic records or electronic signatures, other than a governmental agency with respect to a record other than a contract to which it is a party.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en uscode.house.gov
Citada en 132 opiniones judicialesAplicada por un tribunal por última vez: 2026
En los tribunales (resumen editorial, verificado de forma independiente):Los tribunales han aplicado la regla del § 7001 de que las firmas y registros electrónicos tienen efecto legal, incluyendo en Metropolitan Regional Information Systems, Inc. v. American Home Realty Network, Inc. (2012), donde el tribunal rechazó un argumento en contra del mantenimiento de registros electrónicos bajo la Ley E-SIGN.
Casos destacados: Metropolitan Regional Information Systems, Inc. v. American Home Realty Network, Inc. (District Court, D. Maryland 2012, 904 F. Supp. 2d 530) · Cutrone v. Mortgage Electronic Registration Systems, Inc. (District Court, E.D. New York 2013, 981 F. Supp. 2d 144) · Blatt v. Capital One Auto Finance, Inc. (District Court, M.D. Tennessee 2017, 237 F. Supp. 3d 688)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Fuentes y referencias
- Conn. Gen. Stat. 36a-701b(cga.ct.gov).gov
- Fiscal General de CT: Cómo Reportar una Violación de Datos(portal.ct.gov).gov
- Formulario de Reporte de Violaciones de Datos del Fiscal General de CT(portal.ct.gov).gov
- Fiscal General de CT: Privacidad y Seguridad de Datos(portal.ct.gov).gov
- Conn. Gen. Stat. 4e-70(cga.ct.gov).gov
- Reporte de Aplicación de la CTDPA 2025 del Fiscal General de CT(portal.ct.gov).gov
- SB 117 (2026)(cga.ct.gov).gov