Leyes de Privacidad de Datos de Idaho: Notificación de Violaciones y Derechos del Consumidor (2026)

Idaho no tiene una ley integral de privacidad de datos del consumidor a partir de mayo de 2026. El estado depende de su estatuto de notificación de violaciones, el Código de Idaho §§ 28-51-104 a 28-51-107, que exige a las empresas notificar a los residentes afectados sobre una violación de datos tan pronto como sea posible, junto con leyes específicas del sector y protecciones federales.

Idaho adopta un enfoque fragmentado hacia la privacidad de datos. A diferencia de California, Colorado, Connecticut, y aproximadamente 20 estados más que han promulgado estatutos integrales de privacidad de datos del consumidor, Idaho no tiene una sola ley que otorgue a los residentes derechos amplios para acceder, corregir, o eliminar su información personal en poder de las empresas.

En cambio, los residentes de Idaho dependen de una combinación de la ley de notificación de violaciones de datos del estado, los estatutos penales de robo de identidad, las protecciones de datos estudiantiles, una ley de privacidad de pruebas genéticas, una ley de redes sociales para menores de 2026, una prohibición de contenido multimedia sintético, la Ley de Protección al Consumidor, y las leyes federales de privacidad que aplican a industrias específicas.

Esta guía cubre cada parte del marco de privacidad de datos de Idaho vigente a partir de mayo de 2026: qué protecciones existen, cuáles son sus derechos, quién aplica las reglas, y dónde permanecen las brechas. Para las reglas de consentimiento de grabación de Idaho, consulte Leyes de Grabación de Idaho.

La Ley de Notificación de Violación de Datos de Idaho

La piedra angular del marco de privacidad de datos de Idaho es la Ley de Robo de Identidad de Idaho, codificada en el Código de Idaho §§ 28-51-104 a 28-51-107. Promulgada en 2006, esta ley exige a las empresas, agencias gubernamentales, e individuos que manejan información personal computarizada notificar a los residentes de Idaho afectados cuando ocurre una violación de datos.

La ley no regula cómo las empresas recopilan o usan los datos personales. Se enfoca completamente en lo que sucede después de una violación.

Qué Cuenta como una Violación de Datos en Idaho

Bajo el Código de Idaho § 28-51-104, una violación es la "adquisición ilegal de datos computarizados no encriptados que compromete materialmente la seguridad, confidencialidad, o integridad de la información personal" mantenida por una agencia, individuo, o entidad comercial.

La ley incluye una excepción importante: la adquisición de buena fe de información personal por parte de un empleado o agente con fines comerciales legítimos no califica como una violación, siempre que la información no se use indebidamente ni se comparta sin autorización.

Qué es Información Personal Bajo la Ley de Idaho

El Código de Idaho § 28-51-104 define la información personal como el primer nombre o la inicial del primer nombre y el apellido de un residente de Idaho combinados con uno o más de los siguientes elementos de datos:

• Número de Seguro Social
• Número de licencia de conducir o número de tarjeta de identificación estatal
• Número de cuenta financiera, número de tarjeta de crédito, o número de tarjeta de débito, combinado con cualquier código de seguridad, código de acceso, o contraseña requerida que permitiría el acceso a la cuenta

La definición excluye la información obtenida legalmente de fuentes disponibles públicamente o de registros gubernamentales legalmente puestos a disposición del público en general.

Requisitos de Notificación

Las reglas de notificación bajo el Código de Idaho § 28-51-105 aplican a cualquier entidad que realice negocios en Idaho y posea o tenga licencia sobre datos computarizados que contengan información personal sobre residentes de Idaho.

Cuando se descubre una violación, la entidad debe realizar una investigación de buena fe, razonable, y pronta para determinar si la información personal ha sido o es razonablemente probable que sea mal utilizada. Si la investigación confirma que ocurrió un uso indebido o es probable que ocurra, la entidad debe notificar a los residentes afectados de Idaho "tan pronto como sea posible" sin demora injustificada.

Idaho no establece un número específico de días para la notificación, a diferencia de Colorado (30 días) o Florida (30 días). El estándar es la razonabilidad.

Notificación de Agencias Públicas a la Fiscalía General

Idaho somete a las agencias públicas a un estándar más estricto que a las empresas privadas. Bajo el § 28-51-105, cualquier agencia pública que descubra una violación debe notificar a la Fiscalía General de Idaho dentro de las 24 horas.

Esto abarca más que el gobierno estatal. La Sección 28-51-105(1) comienza con «una ciudad, condado o agencia estatal», y el § 28-51-104 define «agencia» como cualquier «agencia pública» según se define en el Código de Idaho § 74-101, que cubre un condado, ciudad, distrito escolar, corporación municipal, distrito, distrito de salud pública, o subdivisión política además de las agencias estatales. La oficina de la Fiscalía General expresa la obligación de la misma manera: una agencia pública de Idaho debe notificar dentro de las 24 horas posteriores a descubrir una violación de su sistema de seguridad. Este requisito existe además de la obligación de la agencia de notificar a los residentes afectados.

Las empresas privadas no están obligadas por la ley de Idaho a reportar violaciones a la Fiscalía General, aunque pueden hacerlo voluntariamente a través de la División de Protección al Consumidor de la Fiscalía General.

Métodos de Notificación

La ley de Idaho permite cuatro métodos para notificar a los residentes afectados, según se define en el § 28-51-104:

El aviso sustituto requiere las tres condiciones siguientes: aviso por correo electrónico a todas las direcciones de correo electrónico disponibles, publicación visible en el sitio web de la entidad, y notificación a través de medios de comunicación a nivel estatal.

Poseedores de Datos de Terceros

Si una empresa mantiene información personal en nombre de otra entidad (por ejemplo, un proveedor de servicios en la nube), el § 28-51-105 exige que el poseedor de los datos notifique al propietario de los datos inmediatamente después de descubrir una violación donde el uso indebido sea probable.

Demoras por Aplicación de la Ley

La notificación puede retrasarse si una agencia de aplicación de la ley aconseja que un aviso inmediato impediría una investigación penal. Una vez que la aplicación de la ley confirma que la notificación ya no comprometerá la investigación, la entidad debe proceder con el aviso sin demora injustificada.

Sanciones por Violar la Ley de Notificación de Violaciones de Idaho

La aplicación recae en el regulador principal de la entidad. Bajo el Código de Idaho § 28-51-107, el regulador principal puede iniciar una acción civil y buscar medidas cautelares contra cualquier entidad que no proporcione el aviso requerido.

El límite de $25,000 aplica por violación del sistema de seguridad, no por persona afectada individual. Una sola violación que afecte a miles de residentes todavía conlleva una multa máxima de $25,000.

Idaho no proporciona un derecho de acción privado bajo la ley de notificación de violaciones. La aplicación recae en los reguladores gubernamentales.

Puertos Seguros de Cumplimiento

El Código de Idaho § 28-51-106 proporciona dos puertos seguros para el cumplimiento:

1. Cumplimiento de política interna. Las entidades que mantienen sus propios procedimientos de notificación de violaciones como parte de una política de seguridad de la información se consideran conformes si sus procedimientos cumplen con los requisitos de tiempo del § 28-51-105 y siguen esos procedimientos cuando ocurre una violación.

2. Cumplimiento regulatorio. Las entidades reguladas por agencias estatales o federales que mantienen procedimientos de notificación de violaciones bajo las directrices de su regulador principal satisfacen los requisitos de Idaho al seguir esos procedimientos.

Estos puertos seguros significan que las instituciones financieras que siguen las reglas de violación de la GLBA y las entidades de atención médica que siguen las reglas de violación de HIPAA generalmente se consideran conformes con la ley de Idaho.

La Propuesta de Ley de Seguridad de Datos de Seguros de Idaho: Un Proyecto de Ley Que No Se Aprobó

Idaho no tiene una ley de seguridad de datos específica para el sector de seguros. En la sesión legislativa de 2025, los legisladores consideraron el Proyecto de Ley de la Cámara 117, que habría adoptado la ley modelo de Seguridad de Datos de Seguros de la Asociación Nacional de Comisionados de Seguros (NAIC). El proyecto de ley pasó el Comité de Negocios de la Cámara en marzo de 2025 y fue presentado para una tercera lectura, pero se estancó en el calendario y fue devuelto al comité el 20 de marzo de 2025. Nunca recibió una votación en el pleno de la Cámara, nunca llegó al Senado, y nunca fue firmado como ley.

El Título 41, Capítulo 58 del Código de Idaho, una cita a veces asociada con esta propuesta, es en realidad la Ley de Licencias de Ajustadores Públicos del estado y no tiene nada que ver con la seguridad de datos.

Qué Habría Exigido el Proyecto de Ley 117

De haberse aprobado, el Proyecto de Ley 117 habría exigido a los licenciatarios de seguros desarrollar programas escritos de seguridad de la información, implementar salvaguardas administrativas, técnicas, y físicas, realizar investigaciones prontas de eventos de ciberseguridad, y notificar al Director del Departamento de Seguros de Idaho dentro de los 10 días hábiles posteriores a un evento significativo de ciberseguridad. Ninguno de estos requisitos está actualmente en vigor.

Qué Aplica a los Licenciatarios de Seguros Hoy

Debido a que el Proyecto de Ley 117 no se convirtió en ley, los licenciatarios de seguros de Idaho no tienen ningún estatuto estatal específico de seguridad de datos que seguir. Permanecen sujetos a los requisitos generales de notificación de violaciones bajo el Título 28, Capítulo 51 del Código de Idaho, tratados anteriormente, junto con cualquier marco federal que ya aplique a su negocio, como HIPAA para líneas relacionadas con la salud o GLBA para licenciatarios afiliados con instituciones financieras.

Leyes Penales de Robo de Identidad de Idaho

El código penal de Idaho proporciona protecciones adicionales de datos personales a través de los estatutos de robo de identidad en el Título 18, Capítulo 31 del Código de Idaho.

Apropiación Indebida de Información Personal de Identificación (§ 18-3126)

El Código de Idaho § 18-3126 hace ilegal obtener o registrar la información personal de identificación de otra persona sin autorización cuando la intención es usar esa información para obtener fraudulentamente crédito, dinero, bienes, o servicios.

Este es un delito grave. Las sanciones incluyen hasta 5 años en prisión estatal, multas de hasta $50,000, o ambas. El estatuto fue promulgado originalmente en 1999 y reforzado mediante enmiendas en 2008.

Adquisición por Autoridad Falsa (§ 18-3126A)

El Código de Idaho § 18-3126A apunta a las personas que obtienen información personal de identificación al representar falsamente que tienen autoridad para acceder a ella. Esto cubre escenarios como hacerse pasar por un empleador, funcionario gubernamental, o institución financiera para engañar a alguien y que proporcione sus datos.

Esto también es un delito grave con las mismas sanciones: hasta 5 años de prisión y multas de hasta $50,000.

Ley de Contenido Multimedia Sintético y Deepfakes de Idaho

Idaho promulgó el Proyecto de Ley de la Cámara 575 en 2024, que tipifica como delito la divulgación de contenido multimedia sintético explícito, incluidas las imágenes íntimas no consentidas generadas por IA (NCII, por sus siglas en inglés).

Qué Cubre la Ley

Una persona comete el delito de divulgar contenido multimedia sintético explícito si divulga conscientemente dicho contenido y sabe, o razonablemente debería saber, que una persona identificable representada en el contenido no consintió su divulgación y que la divulgación probablemente cause angustia emocional sustancial.

El "contenido multimedia sintético explícito" incluye contenido generado por IA o manipulado digitalmente que representa a una persona identificable involucrada en conducta sexual o que muestra sus genitales o partes íntimas.

Sanciones

Complemento Federal: Ley TAKE IT DOWN

La Ley federal TAKE IT DOWN (Ley Pública 119-12, promulgada el 19 de mayo de 2025) agrega una capa de protección sobre la ley estatal de Idaho. La Ley prohíbe que cualquier persona publique conscientemente representaciones visuales íntimas no consentidas de adultos o cualquier representación visual íntima de menores, incluidos los deepfakes generados por IA.

De manera crítica, la Ley exige que las plataformas cubiertas (servicios de redes sociales y plataformas en línea similares) establezcan procedimientos para las solicitudes de retiro y eliminen el contenido reportado dentro de las 48 horas posteriores a recibir una solicitud válida. Estas obligaciones de las plataformas entraron en vigor el 19 de mayo de 2026, y son aplicadas por la Comisión Federal de Comercio.

Juntos, el Proyecto de Ley 575 de Idaho y la Ley TAKE IT DOWN crean tanto responsabilidad penal para los actores individuales de mala fe como un mecanismo federal de retiro dirigido a las plataformas que alojan contenido de NCII.

Ley de Protección al Consumidor de Idaho

La Ley de Protección al Consumidor de Idaho (Código de Idaho § 48-601 y siguientes) sirve como una herramienta de propósito general para abordar las prácticas comerciales injustas y engañosas, incluidas las que involucran datos personales.

Aunque la ley no menciona específicamente la privacidad de datos, el Código de Idaho § 48-603 prohíbe "participar en cualquier acto o práctica que sea de otro modo engañosa, falsa, o fraudulenta" en la conducción del comercio. Esta disposición general le otorga a la Fiscalía General de Idaho autoridad para perseguir a las empresas que participan en prácticas de recopilación de datos engañosas, tergiversan sus políticas de privacidad, o no cumplen con sus compromisos declarados de manejo de datos.

La oficina del Fiscal General Raul Labrador ha aumentado significativamente la aplicación de la protección al consumidor. En 2025, la oficina tomó 49 acciones de aplicación de la ley contra empresas que violaron las leyes de protección al consumidor de Idaho, un aumento respecto a las 17 de 2024 y las 8 de 2023. Aunque la mayoría de esas acciones abordaron prácticas engañosas más amplias, la Ley de Protección al Consumidor sigue siendo la principal herramienta para la mala conducta relacionada con datos fuera de la ley de notificación de violaciones.

La División de Protección al Consumidor de la Fiscalía General puede buscar:

• Medidas cautelares para detener prácticas engañosas
• Acuerdos voluntarios de cumplimiento
• Sanciones civiles a través de una acción en el tribunal de distrito

Los consumidores pueden presentar quejas directamente ante la oficina de la Fiscalía General. La Fiscalía General también puede aceptar garantías de cumplimiento voluntario de las empresas que se comprometen a corregir sus prácticas.

Protecciones de Privacidad de Datos Estudiantiles

El Código de Idaho § 33-133 establece protecciones específicas para los datos estudiantiles en el sistema de educación pública de Idaho. Esta ley se promulgó en 2014 para abordar las crecientes preocupaciones sobre cómo las escuelas y los proveedores de tecnología educativa manejan la información de los estudiantes.

Qué Datos Estudiantiles Están Protegidos

La ley define los "datos de identificación personal" para incluir el nombre del estudiante, los nombres de los padres o familiares, la dirección del estudiante o la familia, y cualquier identificador directo o indirecto que pudiera identificar a un estudiante específico.

Recopilación de Datos Prohibida

La ley de Idaho prohíbe explícitamente que los registros educativos contengan:

• Registros de delincuencia juvenil o antecedentes penales (a menos que la ley lo exija)
• Registros médicos o de salud
• Números de Seguro Social
• Información biométrica
• Registros de propiedad de armas de fuego
• Orientación sexual
• Afiliación religiosa

Requisitos para Proveedores

Los proveedores privados que acceden a los datos estudiantiles deben aceptar una prohibición completa de usos secundarios de los datos estudiantiles (sin venta, marketing, ni publicidad), o proporcionar una divulgación completa de los usos secundarios de datos y obtener el consentimiento de los padres antes de cualquier uso más allá del servicio contratado.

Sanciones

Las infracciones que resulten en la divulgación no autorizada de datos de identificación personal conllevan sanciones civiles de hasta $50,000 por infracción. Las escuelas también deben notificar a los padres y estudiantes afectados cuando ocurren divulgaciones no autorizadas.

Ley de Privacidad de Pruebas Genéticas de Idaho

La información genética tiene su propio estatuto en Idaho. La Ley de Privacidad de Pruebas Genéticas, Título 39, Capítulo 83 del Código de Idaho (§§ 39-8301 a 39-8305), se promulgó en 2006 y se enmendó en 2022.

Restricciones para los Empleadores

El Código de Idaho § 39-8303 prohíbe a un empleador, en relación con una decisión de contratación, promoción, retención, o relacionada, hacer cualquiera de lo siguiente:

• Acceder o de otro modo tomar en consideración información genética privada sobre una persona
• Solicitar o exigir que una persona consienta una divulgación con el propósito de acceder a información genética privada
• Solicitar o exigir que una persona o un pariente consanguíneo se someta a una prueba genética
• Indagar sobre el hecho de que una persona o un pariente consanguíneo se haya sometido o haya rechazado someterse a una prueba genética

El estatuto establece excepciones limitadas, incluido el caso en que una persona ha puesto en cuestión su propia salud en un procedimiento legal y el caso en que el empleador tiene motivos razonables para creer que una condición de salud crea un riesgo genuino de seguridad.

Aplicación y Disposiciones Relacionadas

La Sección 39-8304 proporciona el mecanismo de aplicación del capítulo. El capítulo también contiene el § 39-8305, una prohibición sobre ciertos secuenciadores genéticos y tecnologías de análisis genético.

Ley Contra los Daños de las Redes Sociales Adictivas

La Ley Contra los Daños de las Redes Sociales Adictivas (Stop Harms from Addictive Social Media Act), Título 48, Capítulo 21 del Código de Idaho (§§ 48-2101 a 48-2106), fue agregada por la legislatura de 2026 (2026, cap. 268). Es una ley sectorial de privacidad infantil en lugar de un estatuto general de privacidad del consumidor, pero es el mandato de manejo de datos más sustancial que Idaho ha impuesto a una industria desde la ley de notificación de violaciones.

Estimación de Edad

El Código de Idaho § 48-2103 exige que una plataforma de redes sociales cubierta, dentro de los 14 días posteriores a la primera fecha de activación, use medios y esfuerzos razonables, tomando en cuenta la tecnología disponible y los datos en su posesión, para estimar la edad del titular de la cuenta.

Requisitos para las Cuentas de Menores

Bajo el § 48-2104, una plataforma cubierta debe exigir a los solicitantes que proporcionen una fecha de nacimiento y debe obtener el consentimiento parental verificable antes de crear una cuenta para un menor. La información recopilada para obtener ese consentimiento no puede usarse para ningún otro propósito y debe eliminarse inmediatamente después del intento de consentimiento, salvo cuando la ley exija su conservación.

La sección también exige que una cuenta para un menor tenga toda la configuración de privacidad establecida de manera predeterminada en los niveles más privados, y que las plataformas ofrezcan a los padres una opción de contraseña separada para monitorear el tiempo de uso, establecer límites diarios o semanales, y restringir los horarios de acceso. No se pueden ofrecer a los menores funciones de interfaz adictivas ni publicidad paga basada en perfiles. Un menor puede solicitar la terminación de la cuenta dentro de 7 días, y un padre dentro de 14 días.

Recursos y Aplicación

La Sección 48-2105 otorga a un menor o a un padre un derecho de acción privado para obtener medidas declarativas o cautelares, daños que incluyen daño a la salud mental y angustia emocional, costas judiciales, y honorarios razonables de abogado. Para una infracción imprudente o consciente, la parte perjudicada puede recuperar los daños reales establecidos en el juicio o $10,000 en daños estatutarios, lo que sea mayor, y los daños punitivos están disponibles cuando la conducta es un patrón consistente de comportamiento imprudente o consciente. Una acción civil debe presentarse dentro de los 3 años posteriores a la fecha en que el demandante supo, o razonablemente debería haber sabido, de la infracción. La Fiscalía General también puede investigar y procesar infracciones conscientes o imprudentes, tratándolas como infracciones del Código de Idaho § 48-603.

Ese derecho de acción privado es una desviación real del resto del marco de privacidad de Idaho, que no otorga a los residentes ninguna manera de demandar. La Sección 48-2106 establece exclusiones y prohíbe la renuncia a las protecciones del capítulo. Las secciones publicadas del estatuto no incluyen una fecha de vigencia declarada, por lo que se debe consultar la ley de la sesión 2026 antes de basarse en una fecha de cumplimiento específica.

Excepciones de Privacidad de la Ley de Registros Públicos

La Ley de Registros Públicos de Idaho (Título 74, Capítulo 1 del Código de Idaho) incluye excepciones relacionadas con la privacidad bajo el § 74-106 que restringen la divulgación de cierta información personal en poder de agencias gubernamentales.

Los registros exentos incluyen:

• Registros de personal de empleados públicos actuales o anteriores (excepto el historial de servicio público, el grado salarial, y el salario bruto)
• Direcciones y números de teléfono de empleados públicos jubilados
• Registros médicos y de salud, incluidas prescripciones, atención psiquiátrica, y registros de consejería
• Registros de enfermedades reportables mantenidos por los departamentos de salud
• Registros donde la divulgación constituiría una "invasión injustificada de la privacidad personal"

Estas exenciones protegen a las personas de que se divulgue información personal sensible a través de solicitudes de registros públicos, aunque solo aplican a los registros en poder del gobierno.

Leyes Federales de Privacidad que Aplican en Idaho

Debido a que Idaho carece de una ley integral de privacidad estatal, los estatutos federales proporcionan las principales protecciones de privacidad para muchos residentes y empresas de Idaho.

Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA)

HIPAA aplica a los proveedores de atención médica, planes de salud, cámaras de compensación de atención médica, y sus asociados de negocio en Idaho. Exige salvaguardas físicas, técnicas, y administrativas para proteger la información personal de salud (PHI). Las entidades de atención médica de Idaho deben cumplir tanto con la Regla de Privacidad como con la Regla de Seguridad de HIPAA.

Ley Gramm-Leach-Bliley (GLBA)

Las instituciones financieras que operan en Idaho deben cumplir con la GLBA, que exige programas escritos de seguridad de la información, avisos de privacidad al consumidor que expliquen las prácticas de intercambio de datos, y derechos de exclusión para los consumidores respecto al intercambio de datos con terceros. Idaho consideró pero no promulgó una ley estatal específica de seguridad de datos de seguros en 2025 (el Proyecto de Ley de la Cámara 117 se estancó en la Cámara sin aprobarse), por lo que las instituciones financieras que también tienen licencias de seguros en Idaho no están sujetas a ningún estatuto estatal adicional de seguridad de datos de seguros; la GLBA y, cuando corresponda, HIPAA siguen siendo los marcos que rigen para esos licenciatarios.

Ley de Protección de la Privacidad Infantil en Línea (COPPA)

Cualquier empresa de Idaho que opere un sitio web o servicio en línea dirigido a menores de 13 años, o que recopile conscientemente información personal de menores de 13 años, debe cumplir con COPPA. Los requisitos incluyen el consentimiento parental verificado antes de la recopilación de datos y restricciones sobre cómo se pueden usar o compartir los datos de los menores.

Ley de Derechos Educativos y Privacidad Familiar (FERPA)

FERPA protege la privacidad de los registros educativos de los estudiantes en las escuelas de Idaho que reciben fondos federales. Otorga a los padres (y a los estudiantes mayores de 18 años) el derecho a acceder, revisar, y solicitar correcciones a los registros educativos. FERPA funciona junto con la propia ley de protección de datos estudiantiles de Idaho (§ 33-133) para crear una capa dual de protección.

Ley de Informes Crediticios Justos (FCRA)

La FCRA regula cómo las agencias de informes al consumidor en Idaho recopilan, comparten, y usan la información crediticia. Los residentes de Idaho tienen el derecho de acceder a sus informes de crédito, disputar información inexacta, y limitar quién puede acceder a sus datos crediticios.

Sección 5 de la Ley de la FTC

La Comisión Federal de Comercio aplica la Sección 5 de la Ley de la FTC contra las prácticas de datos injustas o engañosas. Las empresas de Idaho que tergiversan sus políticas de privacidad o no implementan medidas razonables de seguridad de datos enfrentan la aplicación de la FTC sin importar si Idaho tiene una ley estatal específica que cubra la conducta.

Una Nota sobre la Legislación Federal Integral de Privacidad

La Ley de Derechos de Privacidad Estadounidense (APRA), que habría establecido una línea base federal para los derechos de privacidad de datos del consumidor, se presentó en 2024 pero expiró sin aprobarse al final del 118.º Congreso en enero de 2025. A partir de mayo de 2026, el proyecto de ley no ha sido reintroducido. No existe una ley federal integral de privacidad de datos del consumidor en vigor.

Cómo Reportar una Violación de Datos en Idaho

Para Empresas y Agencias

Contacte a la División de Protección al Consumidor de la Fiscalía General de Idaho:

• Correo electrónico: consumer_protection@ag.idaho.gov
• Dirección postal: P.O. Box 83720, Boise, ID 83720-0010
• Teléfono: 208-334-2400

Las agencias públicas, estatales y locales, deben reportar dentro de las 24 horas posteriores al descubrimiento. Las empresas privadas pueden reportar voluntariamente.

Para Consumidores

Si cree que su información personal se vio comprometida en una violación:

1. Contacte a la empresa o agencia que sufrió la violación
2. Presente una queja ante la Fiscalía General de Idaho
3. Coloque una alerta de fraude o un congelamiento de crédito con las tres principales agencias de crédito
4. Monitoree sus cuentas financieras e informes de crédito en busca de actividad sospechosa

La oficina de la Fiscalía General mantiene un registro público de violaciones reportadas que se remonta al 1 de enero de 2021.

Idaho vs. Otros Estados: ¿Dónde se Ubica Idaho?

A partir de mayo de 2026, más de 20 estados han promulgado leyes integrales de privacidad de datos del consumidor. Idaho no es uno de ellos. Así es como se compara Idaho con estados vecinos y notables.

La brecha es significativa. Los residentes de Idaho no tienen un derecho estatutario a saber qué datos personales tiene una empresa sobre ellos, ningún derecho a solicitar la eliminación, y ningún derecho a excluirse de la venta de su información personal. Para los listados de corredores de datos y de búsqueda de personas, aún puede usar las exclusiones propias de cada corredor: nuestro directorio de exclusión de corredores de datos explica cómo excluirse de cada corredor listado, y la mayoría de esas exclusiones son gratuitas.

Perspectiva de la Legislación de Privacidad

Idaho no ha promulgado una ley integral de privacidad de datos del consumidor a lo largo de la sesión legislativa de 2025. Ningún proyecto de ley integral de privacidad estaba en trámite activo en la sesión 2025-2026 a partir de mayo de 2026.

La tendencia nacional sigue siendo clara: el número de estados con leyes integrales de privacidad ha crecido de aproximadamente 5 en 2023 a más de 20 a mediados de 2026. Los factores que podrían acelerar la acción de Idaho incluyen:

• Presión de estados vecinos. La ley integral de privacidad de Montana entró en vigor en octubre de 2024. A medida que más estados de la región adoptan leyes de privacidad, las empresas de Idaho que operan a través de las fronteras estatales deben cumplir con esas leyes sin importar lo que exija Idaho.
• Posible línea base federal. Aunque la APRA no se aprobó en 2024 y no ha sido reintroducida, una renovada actividad federal podría establecer un piso nacional que todos los estados deban cumplir.
• Expansión sectorial. Aquí es donde Idaho realmente avanza. La sesión de 2026 promulgó la Ley Contra los Daños de las Redes Sociales Adictivas (Código de Idaho §§ 48-2101 a 48-2106), que impone estimación de edad, consentimiento parental verificable, y configuraciones de privacidad predeterminadas a las plataformas de redes sociales, y les atribuye un derecho de acción privado. El intento de Idaho en 2025 de adoptar una Ley de Seguridad de Datos de Seguros basada en el modelo de la NAIC (Proyecto de Ley de la Cámara 117) se estancó en la Cámara sin aprobarse, pero una versión revivida, u otras leyes sectoriales en atención médica, servicios financieros, o tecnología educativa, podrían seguir en una sesión futura.

Hasta que Idaho actúe, los residentes deben entender que sus principales protecciones provienen de la ley de notificación de violaciones, los estatutos penales de robo de identidad, la ley de privacidad de pruebas genéticas, la ley de redes sociales para menores, la prohibición de contenido multimedia sintético, y cualquier ley federal que aplique a la industria específica que maneja sus datos.

Más Leyes de Idaho

• Leyes de Grabación de Reuniones con IA de Idaho
• Leyes de Pensión Alimenticia de Idaho
• Leyes de Empleo a Voluntad de Idaho
• Leyes de Accidentes de Auto de Idaho
• Leyes de Asientos de Auto para Niños de Idaho
• Leyes de Custodia de Menores de Idaho
• Leyes de Manutención de Menores de Idaho
• Leyes de Matrimonio de Hecho de Idaho
• Leyes de Deepfakes de Idaho
• Leyes de Divorcio de Idaho
• Leyes sobre Mordeduras de Perro de Idaho
• Leyes de Emancipación de Idaho
• Leyes de Eliminación de Antecedentes de Idaho
• Leyes de Choque y Fuga de Idaho
• Leyes de Propietario e Inquilino de Idaho
• Leyes del Limón de Idaho

Este artículo tiene fines exclusivamente informativos y no constituye asesoría legal. Consulte a un abogado calificado con licencia en Idaho para obtener orientación sobre su situación específica. Las leyes y regulaciones pueden cambiar; verifique toda la información con fuentes estatales oficiales.

Preguntas frecuentes

¿Idaho tiene una ley integral de privacidad de datos?

No. A partir de mayo de 2026, Idaho no tiene una ley integral de privacidad de datos del consumidor. A diferencia de California, Colorado, Virginia, y el vecino Montana, Idaho no ha promulgado legislación que otorgue a los residentes derechos amplios para acceder, eliminar, o controlar cómo las empresas usan sus datos personales. Idaho depende de su ley de notificación de violaciones de datos (Código de Idaho §§ 28-51-104 a 28-51-107), los estatutos penales de robo de identidad, y las leyes federales de privacidad que aplican a industrias específicas.

¿Qué debo hacer si mi información personal se expone en una violación de datos en Idaho?

Primero, contacte a la empresa o agencia que sufrió la violación para obtener detalles sobre qué información se vio comprometida. Luego presente una queja ante la División de Protección al Consumidor de la Fiscalía General de Idaho en consumer_protection@ag.idaho.gov o llame al 208-334-2400. Coloque una alerta de fraude o un congelamiento de crédito con las tres principales agencias de crédito (Equifax, Experian, y TransUnion). Monitoree de cerca sus cuentas bancarias e informes de crédito en busca de actividad no autorizada. La ley de Idaho exige que la entidad que sufrió la violación le notifique tan pronto como sea posible si su información personal se vio comprometida.

¿Con qué rapidez debe una empresa notificarme sobre una violación de datos en Idaho?

El Código de Idaho § 28-51-105 exige que las entidades notifiquen a los residentes afectados 'tan pronto como sea posible' después de determinar que la información personal ha sido o es razonablemente probable que sea mal utilizada. La ley no establece un número específico de días, a diferencia de Colorado (30 días) o Montana (60 días). Las agencias públicas enfrentan un estándar más estricto y deben notificar a la Fiscalía General de Idaho dentro de las 24 horas posteriores al descubrimiento de una violación. Esa obligación alcanza a ciudades, condados, distritos escolares y otras subdivisiones políticas, no solo a las agencias estatales.

¿Cuáles son las sanciones por robo de identidad en Idaho?

El robo de identidad es un delito grave en Idaho bajo el Código de Idaho § 18-3126. Obtener o registrar la información personal de identificación de alguien sin autorización, con la intención de obtener fraudulentamente crédito, dinero, bienes, o servicios, conlleva sanciones de hasta 5 años en prisión estatal, multas de hasta $50,000, o ambas. Adquirir información personal alegando falsamente tener autoridad (§ 18-3126A) conlleva las mismas sanciones.

¿Puedo demandar a una empresa en Idaho por manejar mal mis datos personales?

La ley de notificación de violaciones de Idaho no incluye un derecho de acción privado. Usted no puede presentar una demanda directamente bajo el § 28-51-105 por la falta de una empresa en notificarle sobre una violación. La aplicación la maneja el regulador principal de la entidad, que puede buscar multas de hasta $25,000 por violación. Sin embargo, usted puede tener otras opciones legales. Puede presentar una queja ante la Fiscalía General de Idaho bajo la Ley de Protección al Consumidor (Código de Idaho § 48-601 y siguientes), y en algunos casos puede presentar reclamos de derecho consuetudinario como negligencia si sufrió daños reales por una violación de datos.

¿Aprobó Idaho una Ley de Seguridad de Datos de Seguros?

No. El Proyecto de Ley de la Cámara 117 (2025) habría creado una Ley de Seguridad de Datos de Seguros de Idaho basada en la ley modelo de la NAIC, pero se estancó en la Cámara de Idaho y fue devuelto al comité el 20 de marzo de 2025 sin una votación en el pleno. Nunca se convirtió en ley, por lo que no existe un estatuto estatal específico de seguridad de datos de seguros en Idaho. Los licenciatarios de seguros permanecen sujetos a las reglas generales de notificación de violaciones bajo el Código de Idaho §§ 28-51-104 a 28-51-107, además de HIPAA o GLBA cuando esas ya aplican.

¿Es ilegal compartir imágenes íntimas generadas por IA de alguien en Idaho sin su consentimiento?

Sí. El Proyecto de Ley de la Cámara 575 de Idaho (promulgado en 2024) tipifica como delito la divulgación consciente de contenido multimedia sintético explícito, incluidas las imágenes íntimas no consentidas generadas por IA, cuando la persona representada no consintió y la divulgación probablemente cause angustia emocional sustancial. Una primera infracción es un delito menor (hasta 6 meses y multa de $1,000). Una segunda infracción o subsiguiente dentro de 5 años es un delito grave (hasta 10 años y multa de $25,000). Además, la Ley federal TAKE IT DOWN (vigente desde el 19 de mayo de 2026) exige que las plataformas en línea eliminen las imágenes íntimas no consentidas reportadas dentro de las 48 horas posteriores a una solicitud válida de retiro.