Leyes de Privacidad de Datos de Hawai: Privacidad Constitucional y Derechos del Consumidor (2026)

Hawai no cuenta con una ley integral de privacidad de datos del consumidor. En su lugar, el estado depende de un derecho constitucional explícito a la privacidad bajo el Artículo I, Sección 6, de estatutos sectoriales que incluyen la ley de notificación de violaciones de datos bajo el Capítulo 487N del HRS, y de protecciones federales como la HIPAA y la GLBA para salvaguardar la información personal de los residentes.

Hawai adopta un enfoque único en materia de privacidad de datos entre los estados de EE. UU. Si bien el estado no ha promulgado una ley integral de protección de datos del consumidor, ofrece algo que la mayoría de los estados no tiene: un derecho constitucional explícito a la privacidad. Este fundamento constitucional, combinado con estatutos específicos que cubren la notificación de violaciones de datos, la protección del número de Seguro Social, y la eliminación de registros, crea un marco que las empresas que operan en Hawai deben navegar con cuidado.

Esta guía cubre cada una de las principales protecciones de privacidad de datos de Hawai, las obligaciones que deben cumplir las empresas, sus derechos como consumidor, y lo que ocurrió en la sesión legislativa de 2026.

El derecho constitucional a la privacidad de Hawai

Hawai se distingue de casi todos los demás estados del país al reconocer explícitamente un derecho a la privacidad en su constitución estatal. Esto no está implícito ni se infiere de otras disposiciones. Se establece directamente.

Artículo I, Sección 6: Derecho a la privacidad

El Artículo I, Sección 6 de la Constitución del Estado de Hawai establece:

"Se reconoce el derecho de las personas a la privacidad y no será infringido sin la demostración de un interés estatal apremiante. La legislatura tomará medidas afirmativas para implementar este derecho."

Esta disposición se agregó en 1978, cuando la Convención Constitucional del Estado de Hawai la propuso y el electorado la aprobó. Hawai estuvo entre los primeros estados en adoptar una garantía de privacidad tan explícita.

No se puede exagerar la importancia de este lenguaje. El gobierno no puede infringir su privacidad a menos que demuestre un interés estatal apremiante, que es el estándar más alto de revisión judicial. La constitución también impone un deber afirmativo a la legislatura de aprobar leyes que protejan la privacidad, en lugar de simplemente prohibir el exceso de autoridad gubernamental.

Artículo I, Sección 7: Registros, incautaciones e invasión de la privacidad

El Artículo I, Sección 7 proporciona protección adicional de privacidad:

"No se violará el derecho de las personas a la seguridad de sus personas, casas, documentos y efectos contra registros, incautaciones e invasiones de la privacidad irrazonables; y no se expedirá ninguna orden judicial sino por causa probable, respaldada por juramento o afirmación, y que describa particularmente el lugar que ha de ser registrado y las personas o cosas que han de ser incautadas o las comunicaciones que se pretenda interceptar."

Esta disposición refleja la Cuarta Enmienda federal, pero va más allá al incluir explícitamente las "invasiones de la privacidad" en sus protecciones. También aborda específicamente la interceptación de comunicaciones, proporcionando una base textual para proteger la privacidad digital que muchas otras constituciones estatales no tienen.

En conjunto, las Secciones 6 y 7 otorgan a los residentes de Hawai protecciones constitucionales de privacidad más sólidas que las de los residentes de la mayoría de los demás estados.

Ley de notificación de violaciones de datos (Capítulo 487N del HRS)

El principal estatuto de privacidad de datos de Hawai es la Ley de Violación de Seguridad de Información Personal, codificada como el Capítulo 487N del HRS. Esta ley establece los requisitos sobre cómo deben responder las empresas y las agencias gubernamentales cuando se compromete la información personal.

Quién debe cumplir

La ley se aplica a tres categorías de entidades:

• Cualquier empresa que posea o tenga licencia sobre información personal de residentes de Hawai
• Cualquier empresa que realice negocios en Hawai y posea o tenga licencia sobre información personal en cualquier forma, ya sea computarizada, en papel, o de otro tipo
• Cualquier agencia gubernamental que recopile información personal para fines gubernamentales específicos

La ley no establece un umbral de tamaño mínimo. Incluso una pequeña empresa con un solo cliente de Hawai cuya información personal se vea comprometida debe cumplir.

Qué activa una notificación

Una violación de seguridad se define como cualquier acceso no autorizado y adquisición de registros o datos no cifrados o no redactados que contengan información personal, cuando haya ocurrido, o sea razonablemente probable que ocurra, un uso ilegal de la información personal, y cuando dicho acceso y adquisición no autorizados creen un riesgo de daño para una persona.

La ley no se aplica a la información que está cifrada o redactada, siempre que la propia clave de cifrado no haya sido también accedida o adquirida durante la violación.

Definición de información personal

Bajo el Capítulo 487N del HRS, información personal significa el nombre o la inicial del nombre y el apellido de una persona combinados con uno o más de los siguientes elementos de datos, cuando el nombre o los elementos de datos no estén cifrados o redactados:

• Número de Seguro Social
• Número de licencia de conducir o de identificación de Hawai
• Número de cuenta, número de tarjeta de crédito o débito, código de acceso, o contraseña que permita el acceso a la cuenta financiera de una persona

Requisitos de notificación

Una vez que se descubre una violación, la empresa o agencia afectada debe notificar a las personas afectadas sin demora injustificada. La ley permite un tiempo razonable para que la empresa:

• Determine información de contacto suficiente para las personas afectadas
• Determine el alcance de la violación
• Restaure la integridad, seguridad y confidencialidad razonables del sistema de datos
• Atienda las necesidades legítimas de la aplicación de la ley

Hawai no establece un número específico de días para la notificación, a diferencia de estados como Texas (60 días) o Florida (30 días). El estándar es "sin demora injustificada", lo que le da a las empresas cierta flexibilidad pero también genera incertidumbre sobre el cumplimiento.

Notificación a agencias gubernamentales

Cuando una empresa notifica a más de 1,000 personas a la vez, también debe proporcionar notificación escrita sin demora injustificada a:

• La Oficina de Protección al Consumidor de Hawai (OCP)
• Todas las agencias de informes de crédito al consumidor que compilan y mantienen expedientes de consumidores a nivel nacional

La OCP mantiene una base de datos pública de violaciones de seguridad reportadas que se remonta a 2007, e incluye el nombre de la entidad, el tipo de violación, el número de residentes de Hawai afectados, y copias de las cartas de notificación.

Notificación sustitutiva

Si el costo de proporcionar la notificación directa superara los $100,000, la clase afectada superara las 200,000 personas, o la empresa no cuenta con información de contacto suficiente, la empresa puede proporcionar notificación sustitutiva mediante:

• Notificación por correo electrónico si hay direcciones disponibles
• Publicación visible en el sitio web de la empresa
• Notificación a los principales medios de comunicación estatales

Sanciones

Cualquier empresa que viole cualquier disposición del Capítulo 487N del HRS está sujeta a sanciones de no más de $2,500 por cada infracción. El Fiscal General o el director ejecutivo de la Oficina de Protección al Consumidor pueden iniciar una acción de cumplimiento.

Los residentes de Hawai que se vean perjudicados por una violación de datos también pueden presentar una demanda civil buscando daños reales y honorarios de abogado.

Sesión legislativa de 2026: intento de ampliar la notificación de violaciones de datos

La Legislatura de Hawai consideró el SB 3016 durante la sesión de 2026, un proyecto de ley que habría ampliado significativamente el alcance de la ley de notificación de violaciones de datos de Hawai. El proyecto de ley fue aprobado por el Senado de manera unánime (25-0) el 10 de marzo de 2026, y avanzó a través del Comité de Protección al Consumidor de la Cámara (49-0) el 24 de marzo de 2026. Sin embargo, el SB 3016 se estancó en el Comité Judicial y de Asuntos Hawaianos de la Cámara y fracasó cuando la legislatura levantó la sesión sine die el 8 de mayo de 2026 sin promulgarlo.

Como resultado, el Capítulo 487N del HRS permanece sin cambios en su forma actual. Las ampliaciones descritas en versiones anteriores de esta página no se convirtieron en ley.

Qué habría hecho el SB 3016

El proyecto de ley habría introducido un concepto de "identificador" que cubriría nombres, nombres de usuario, números de teléfono, y direcciones de correo electrónico, y una categoría de "elemento de datos especificado" que agregaría nueve tipos de información sensible: números de Seguro Social (incluidos los últimos cuatro dígitos), números de licencia de conducir, números de identificación fiscal, números de identificación militar, números de pasaporte, números de cuenta financiera y de tarjeta, códigos de seguridad y PIN, datos biométricos (huellas dactilares, huellas de voz, imágenes de iris), y números de identificación de seguro médico. También habría considerado explícitamente que los licenciatarios de seguros cumplen con los requisitos de notificación de violaciones de datos si ya cumplen con la Ley de Seguridad de Datos de Seguros. Ninguno de estos cambios entró en vigor.

Protección del número de Seguro Social (Capítulo 487J del HRS)

El Capítulo 487J del HRS proporciona protecciones específicas para los números de Seguro Social. La ley restringe cómo las empresas y las agencias gubernamentales pueden usar, mostrar y transmitir los números de Seguro Social.

Prohibiciones clave

Las empresas y las agencias gubernamentales de Hawai no pueden:

• Comunicar o poner a disposición del público en general, de manera intencional, el número de Seguro Social de una persona
• Imprimir el número de Seguro Social de una persona en cualquier tarjeta requerida para que esa persona acceda a productos o servicios
• Exigir que una persona transmita un número de Seguro Social por internet a menos que la conexión sea segura o el número esté cifrado
• Exigir que una persona use un número de Seguro Social para acceder a un sitio web a menos que también se requiera una contraseña o un número de identificación personal único
• Imprimir el número de Seguro Social de una persona en cualquier material enviado por correo a esa persona, a menos que la ley lo exija

Supervisión de agencias gubernamentales

Cada agencia gubernamental debe designar a un empleado para que tenga responsabilidades de política y supervisión sobre la protección de la información personal. Este empleado designado es responsable de garantizar el cumplimiento de los requisitos del capítulo.

Requisitos de reporte

Las agencias gubernamentales deben presentar un informe escrito a la legislatura dentro de los 20 días posteriores a descubrir una ocurrencia material de divulgación de un número de Seguro Social prohibida por el capítulo. El informe debe incluir:

• La naturaleza del incidente
• El número de personas afectadas
• Cualquier procedimiento implementado para prevenir la recurrencia

Sanciones

Las infracciones del Capítulo 487J del HRS conllevan sanciones de no más de $2,500 por cada infracción. El Fiscal General o el director ejecutivo de la Oficina de Protección al Consumidor pueden iniciar acciones de cumplimiento.

Destrucción de registros de información personal (Capítulo 487R del HRS)

La ley de eliminación de registros de Hawai (Capítulo 487R del HRS) exige que las empresas y las agencias gubernamentales tomen medidas razonables al eliminar registros que contengan información personal.

Requisitos

Cualquier empresa o agencia gubernamental que realice negocios en Hawai y mantenga o posea información personal de un residente de Hawai debe tomar medidas razonables para proteger contra el acceso o uso no autorizado de la información en relación con su eliminación o después de esta.

Las empresas deben describir sus procedimientos para la destrucción adecuada o la eliminación apropiada de los registros personales como política oficial en sus documentos escritos.

Eliminación por terceros

Una empresa o agencia gubernamental puede cumplir con sus obligaciones celebrando un contrato escrito con otra parte dedicada al negocio de destrucción de registros. El contrato debe exigir que el tercero destruya la información personal de una manera consistente con el estatuto.

Reporte gubernamental

Las agencias gubernamentales deben presentar un informe escrito a la legislatura dentro de los 20 días posteriores a descubrir una ocurrencia material de acceso no autorizado a registros de información personal en relación con su eliminación o después de esta.

Prácticas comerciales injustas y engañosas (Sección 480-2 del HRS)

Aunque no es un estatuto de privacidad de datos en el sentido tradicional, la ley de actos o prácticas injustas o engañosas de Hawai (Sección 480-2 del HRS) desempeña un papel importante en el cumplimiento de la privacidad de datos.

Los métodos de competencia injustos y los actos o prácticas injustas o engañosas en la realización de cualquier comercio son ilegales en Hawai. Esto significa que las empresas que hacen promesas de privacidad engañosas, no siguen sus propias políticas de privacidad, o participan en prácticas de datos engañosas pueden enfrentar acciones de cumplimiento.

La Oficina de Protección al Consumidor es la agencia principal responsable de revisar, investigar y procesar las denuncias de prácticas comerciales injustas o engañosas. El Fiscal General también puede iniciar acciones de cumplimiento.

Sanciones

Las infracciones de las leyes de prácticas comerciales injustas o engañosas de Hawai conllevan multas de no menos de $500 y no más de $10,000 por cada infracción. Esto hace que el cumplimiento de las UDAP (prácticas comerciales injustas o engañosas) sea potencialmente más costoso que las infracciones de la ley de notificación de violaciones de datos.

Ley Uniforme de Prácticas de Información (Capítulo 92F del HRS)

La Ley Uniforme de Prácticas de Información (UIPA), codificada como el Capítulo 92F del HRS, rige cómo las agencias gubernamentales manejan la información personal. La Oficina de Prácticas de Información (OIP) administra esta ley.

Equilibrio entre registros públicos y privacidad

La UIPA establece que todos los registros gubernamentales están abiertos a la inspección pública a menos que la ley restrinja o cierre el acceso. Sin embargo, la ley reconoce explícitamente que esta política de apertura debe equilibrarse con el derecho constitucional a la privacidad en el Artículo I, Secciones 6 y 7.

Protecciones de privacidad

La Sección 92F-13 permite que las agencias retengan los registros que constituirían una invasión claramente injustificada de la privacidad personal. Las categorías protegidas incluyen:

• Registros médicos, psiquiátricos o psicológicos
• Detalles de investigaciones criminales e identidades de informantes
• Números de Seguro Social
• Información financiera y datos de solvencia crediticia
• Expedientes de personal y detalles de mala conducta laboral
• Información que cree un riesgo sustancial y demostrable de daño físico

La Sección 92F-14 establece la prueba de equilibrio: la divulgación es permisible cuando el interés público en la divulgación supera los intereses de privacidad de la persona. La sección enumera diez categorías en las que las personas tienen un interés de privacidad significativo, incluidos el historial médico, los registros de investigaciones criminales, la elegibilidad para asistencia social, y la información financiera.

Derechos de las personas

Bajo la UIPA, las personas tienen el derecho a acceder a los registros gubernamentales que contengan su información personal y solicitar correcciones a los registros inexactos. Las agencias deben responder a las solicitudes durante el horario laboral regular.

Ley de Seguridad de Datos de Seguros (Capítulo 431, Artículo 3B del HRS)

Hawai adoptó la Ley de Seguridad de Datos de Seguros basada en la ley modelo de la Asociación Nacional de Comisionados de Seguros. Este estatuto se aplica específicamente a los licenciatarios de seguros que operan en el estado.

Requisitos clave

Cada licenciatario debe desarrollar, implementar y mantener un programa integral y por escrito de seguridad de la información basado en una evaluación de riesgos. El programa debe contener salvaguardas administrativas, técnicas y físicas para la protección de la información no pública, proporcionales al tamaño y la complejidad del licenciatario.

Notificación de eventos de ciberseguridad

Los licenciatarios deben notificar al Comisionado de Seguros lo más pronto posible, pero a más tardar tres días hábiles, después de determinar que ha ocurrido un evento de ciberseguridad que afecta a 250 o más consumidores.

Certificación anual

Los licenciatarios de seguros deben presentar certificaciones anuales de cumplimiento ante el Comisionado.

Protección de la privacidad en línea de empleados y estudiantes (Ley de 2021)

En 2021, Hawai promulgó la Ley Uniforme de Protección de la Privacidad en Línea de Empleados y Estudiantes mediante el HB 125. Esta ley prohíbe que los empleadores y las instituciones educativas accedan a las cuentas personales en línea de empleados, solicitantes de empleo, estudiantes, y futuros estudiantes.

Qué no pueden hacer los empleadores

Bajo esta ley, los empleadores en Hawai no pueden:

• Exigir que los empleados o solicitantes de empleo proporcionen contraseñas o acceso a cuentas personales en línea, incluidas las redes sociales
• Exigir que los empleados o solicitantes inicien sesión en cuentas personales en presencia del empleador
• Exigir que los empleados agreguen al empleador o a un agente a sus contactos o conexiones en cuentas personales
• Tomar represalias contra los empleados que se nieguen a proporcionar acceso a cuentas personales

Qué no pueden hacer las escuelas

Las instituciones educativas no pueden acceder a las cuentas personales en línea de los estudiantes, incluidas las redes sociales o las cuentas de correo electrónico ajenas a la escuela. Las mismas prohibiciones que se aplican a los empleadores se aplican a las escuelas respecto de los estudiantes y futuros estudiantes.

Cumplimiento

El Fiscal General puede iniciar una demanda civil por infracciones, con sanciones de hasta $1,000 por infracción y un tope de $100,000 para todas las infracciones causadas por el mismo evento. Los empleados y estudiantes también pueden presentar sus propias demandas civiles.

No discriminación por información genética

Hawai no cuenta con una ley independiente de privacidad de datos genéticos del consumidor. El gobernador Ige vetó el SB 2032, la Ley de Privacidad de Información Genética de Hawai, en julio de 2022. El proyecto de ley habría exigido que las empresas de pruebas genéticas directas al consumidor cumplieran con requisitos específicos de consentimiento, uso y divulgación para los datos genéticos. No se ha promulgado ninguna ley de reemplazo.

Sí existen dos protecciones sectoriales más estrechas. Bajo el Capítulo 378 del HRS, los empleadores en Hawai no pueden discriminar en la contratación, el despido, o las condiciones de empleo con base en la información genética de una persona, incluida la de sus familiares. Bajo la Sección 431:10A-118 del HRS, las aseguradoras de salud no pueden usar la información genética para negar cobertura, determinar elegibilidad, o establecer tarifas de primas.

Para las pruebas genéticas directas al consumidor, los consumidores en Hawai deben depender de las propias políticas de privacidad de las empresas y de las protecciones federales, incluido el cumplimiento de la Sección 5 de la Ley de la FTC para las prácticas engañosas.

Leyes federales de privacidad que se aplican en Hawai

Debido a que Hawai carece de una ley estatal integral de privacidad, los estatutos federales desempeñan un papel importante en la protección de los datos del consumidor para los residentes de Hawai.

Ley TAKE IT DOWN (Pub. L. 119-12)

La Ley TAKE IT DOWN fue firmada como ley el 19 de mayo de 2025. Establece una prohibición penal federal sobre la publicación de representaciones visuales íntimas no consensuadas, incluidos los deepfakes generados por IA. Las obligaciones de retiro de contenido para las plataformas entraron en vigor el 19 de mayo de 2026: las plataformas cubiertas (sitios web y aplicaciones públicas que alojan principalmente contenido generado por usuarios) ahora deben mantener un proceso público de notificación y retiro, y actuar sobre las solicitudes de retiro válidas dentro de las 48 horas. La FTC hace cumplir el cumplimiento de las plataformas como un acto o práctica injusta o engañosa bajo la Sección 5 de la Ley de la FTC.

Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA)

La HIPAA protege la información de salud en manos de entidades cubiertas, incluidos los proveedores de atención médica, los planes de salud, y las cámaras de compensación de atención médica. Los registros médicos de los residentes de Hawai están protegidos bajo la Regla de Privacidad y la Regla de Seguridad de la HIPAA, independientemente de la ausencia de una ley estatal de privacidad de datos de salud.

Ley Gramm-Leach-Bliley (GLBA)

La GLBA exige que las instituciones financieras expliquen sus prácticas de intercambio de información y protejan los datos sensibles. Los bancos, las cooperativas de crédito, las compañías de seguros, y otras instituciones financieras que atienden a clientes de Hawai deben cumplir con las disposiciones de privacidad y protección de la GLBA.

Ley de Protección de la Privacidad Infantil en Línea (COPPA)

La COPPA protege la privacidad en línea de los menores de 13 años. Los sitios web y servicios en línea dirigidos a menores, o que a sabiendas recopilen información de menores de 13 años, deben obtener el consentimiento verificable de los padres y cumplir con otros requisitos.

Ley de Informe Justo de Crédito (FCRA)

La FCRA regula cómo las agencias de informes de crédito al consumidor recopilan, difunden y usan la información del consumidor, incluidos los informes de crédito. Los residentes de Hawai tienen derecho a disputar información inexacta y a colocar alertas de fraude o congelaciones de crédito bajo esta ley.

Sección 5 de la Ley de la FTC

La Comisión Federal de Comercio hace cumplir la Sección 5 de la Ley de la FTC, que prohíbe los actos o prácticas injustas o engañosas en el comercio. La FTC ha utilizado esta autoridad para iniciar acciones de cumplimiento contra empresas con prácticas de seguridad de datos inadecuadas o políticas de privacidad engañosas, protegiendo a los consumidores en todos los estados, incluido Hawai.

Más Leyes de Hawai

• Leyes de Grabación en Reuniones con IA de Hawai
• Leyes de Pensión Alimenticia Conyugal de Hawai
• Leyes de Empleo a Voluntad de Hawai
• Leyes de Accidentes Automovilísticos de Hawai
• Leyes de Asientos de Auto para Niños de Hawai
• Leyes de Custodia de Menores de Hawai
• Leyes de Manutención Infantil de Hawai
• Leyes de Matrimonio de Hecho de Hawai
• Leyes sobre Deepfakes de Hawai
• Leyes de Divorcio de Hawai
• Leyes sobre Mordeduras de Perro de Hawai
• Leyes de Emancipación de Hawai
• Leyes de Eliminación de Antecedentes Penales de Hawai
• Leyes sobre Choque y Fuga de Hawai
• Leyes de Propietarios e Inquilinos de Hawai
• Leyes de Vehículos Defectuosos (Lemon Law) de Hawai

Este artículo tiene fines informativos únicamente y no constituye asesoría legal. Las leyes de privacidad de datos cambian con frecuencia, y las interpretaciones de cumplimiento evolucionan con el tiempo. Consulte a un abogado con licencia en Hawai para obtener asesoría sobre su situación específica. Última revisión: mayo de 2026.