Leyes de Privacidad de Datos de Idaho: Notificación de Violaciones y Derechos del Consumidor (2026)

Idaho no tiene una ley integral de privacidad de datos del consumidor a partir de mayo de 2026. El estado depende de su estatuto de notificación de violaciones, el Código de Idaho §§ 28-51-104 a 28-51-107, que exige a las empresas notificar a los residentes afectados sobre una violación de datos tan pronto como sea posible, junto con leyes específicas del sector y protecciones federales.

Idaho adopta un enfoque fragmentado hacia la privacidad de datos. A diferencia de California, Colorado, Connecticut, y aproximadamente 20 estados más que han promulgado estatutos integrales de privacidad de datos del consumidor, Idaho no tiene una sola ley que otorgue a los residentes derechos amplios para acceder, corregir, o eliminar su información personal en poder de las empresas.

En cambio, los residentes de Idaho dependen de una combinación de la ley de notificación de violaciones de datos del estado, los estatutos penales de robo de identidad, las protecciones de datos estudiantiles, una prohibición de contenido multimedia sintético, la Ley de Protección al Consumidor, y las leyes federales de privacidad que aplican a industrias específicas.

Esta guía cubre cada parte del marco de privacidad de datos de Idaho vigente a partir de mayo de 2026: qué protecciones existen, cuáles son sus derechos, quién aplica las reglas, y dónde permanecen las brechas. Para las reglas de consentimiento de grabación de Idaho, consulte Leyes de Grabación de Idaho.

La Ley de Notificación de Violación de Datos de Idaho

La piedra angular del marco de privacidad de datos de Idaho es la Ley de Robo de Identidad de Idaho, codificada en el Código de Idaho §§ 28-51-104 a 28-51-107. Promulgada en 2006, esta ley exige a las empresas, agencias gubernamentales, e individuos que manejan información personal computarizada notificar a los residentes de Idaho afectados cuando ocurre una violación de datos.

La ley no regula cómo las empresas recopilan o usan los datos personales. Se enfoca completamente en lo que sucede después de una violación.

Qué Cuenta como una Violación de Datos en Idaho

Bajo el Código de Idaho § 28-51-104, una violación es la "adquisición ilegal de datos computarizados no encriptados que compromete materialmente la seguridad, confidencialidad, o integridad de la información personal" mantenida por una agencia, individuo, o entidad comercial.

La ley incluye una excepción importante: la adquisición de buena fe de información personal por parte de un empleado o agente con fines comerciales legítimos no califica como una violación, siempre que la información no se use indebidamente ni se comparta sin autorización.

Qué es Información Personal Bajo la Ley de Idaho

El Código de Idaho § 28-51-104 define la información personal como el primer nombre o la inicial del primer nombre y el apellido de un residente de Idaho combinados con uno o más de los siguientes elementos de datos:

• Número de Seguro Social
• Número de licencia de conducir o número de tarjeta de identificación estatal
• Número de cuenta financiera, número de tarjeta de crédito, o número de tarjeta de débito, combinado con cualquier código de seguridad, código de acceso, o contraseña requerida que permitiría el acceso a la cuenta

La definición excluye la información obtenida legalmente de fuentes disponibles públicamente o de registros gubernamentales legalmente puestos a disposición del público en general.

Requisitos de Notificación

Las reglas de notificación bajo el Código de Idaho § 28-51-105 aplican a cualquier entidad que realice negocios en Idaho y posea o tenga licencia sobre datos computarizados que contengan información personal sobre residentes de Idaho.

Cuando se descubre una violación, la entidad debe realizar una investigación de buena fe, razonable, y pronta para determinar si la información personal ha sido o es razonablemente probable que sea mal utilizada. Si la investigación confirma que ocurrió un uso indebido o es probable que ocurra, la entidad debe notificar a los residentes afectados de Idaho "tan pronto como sea posible" sin demora injustificada.

Idaho no establece un número específico de días para la notificación, a diferencia de Colorado (30 días) o Florida (30 días). El estándar es la razonabilidad.

Notificación de Agencias Estatales a la Fiscalía General

Idaho somete a las agencias públicas a un estándar más estricto que a las empresas privadas. Bajo el § 28-51-105, cualquier agencia estatal que descubra una violación debe notificar a la Fiscalía General de Idaho dentro de las 24 horas. Este requisito existe además de la obligación de la agencia de notificar a los residentes afectados.

Las empresas privadas no están obligadas por la ley de Idaho a reportar violaciones a la Fiscalía General, aunque pueden hacerlo voluntariamente a través de la División de Protección al Consumidor de la Fiscalía General.

Métodos de Notificación

La ley de Idaho permite cuatro métodos para notificar a los residentes afectados, según se define en el § 28-51-104:

El aviso sustituto requiere las tres condiciones siguientes: aviso por correo electrónico a todas las direcciones de correo electrónico disponibles, publicación visible en el sitio web de la entidad, y notificación a través de medios de comunicación a nivel estatal.

Poseedores de Datos de Terceros

Si una empresa mantiene información personal en nombre de otra entidad (por ejemplo, un proveedor de servicios en la nube), el § 28-51-105 exige que el poseedor de los datos notifique al propietario de los datos inmediatamente después de descubrir una violación donde el uso indebido sea probable.

Demoras por Aplicación de la Ley

La notificación puede retrasarse si una agencia de aplicación de la ley aconseja que un aviso inmediato impediría una investigación penal. Una vez que la aplicación de la ley confirma que la notificación ya no comprometerá la investigación, la entidad debe proceder con el aviso sin demora injustificada.

Sanciones por Violar la Ley de Notificación de Violaciones de Idaho

La aplicación recae en el regulador principal de la entidad. Bajo el Código de Idaho § 28-51-107, el regulador principal puede iniciar una acción civil y buscar medidas cautelares contra cualquier entidad que no proporcione el aviso requerido.

El límite de $25,000 aplica por violación del sistema de seguridad, no por persona afectada individual. Una sola violación que afecte a miles de residentes todavía conlleva una multa máxima de $25,000.

Idaho no proporciona un derecho de acción privado bajo la ley de notificación de violaciones. La aplicación recae en los reguladores gubernamentales.

Puertos Seguros de Cumplimiento

El Código de Idaho § 28-51-106 proporciona dos puertos seguros para el cumplimiento:

1. Cumplimiento de política interna. Las entidades que mantienen sus propios procedimientos de notificación de violaciones como parte de una política de seguridad de la información se consideran conformes si sus procedimientos cumplen con los requisitos de tiempo del § 28-51-105 y siguen esos procedimientos cuando ocurre una violación.

2. Cumplimiento regulatorio. Las entidades reguladas por agencias estatales o federales que mantienen procedimientos de notificación de violaciones bajo las directrices de su regulador principal satisfacen los requisitos de Idaho al seguir esos procedimientos.

Estos puertos seguros significan que las instituciones financieras que siguen las reglas de violación de la GLBA y las entidades de atención médica que siguen las reglas de violación de HIPAA generalmente se consideran conformes con la ley de Idaho.

La Propuesta de Ley de Seguridad de Datos de Seguros de Idaho: Un Proyecto de Ley Que No Se Aprobó

Idaho no tiene una ley de seguridad de datos específica para el sector de seguros. En la sesión legislativa de 2025, los legisladores consideraron el Proyecto de Ley de la Cámara 117, que habría adoptado la ley modelo de Seguridad de Datos de Seguros de la Asociación Nacional de Comisionados de Seguros (NAIC). El proyecto de ley pasó el Comité de Negocios de la Cámara en marzo de 2025 y fue presentado para una tercera lectura, pero se estancó en el calendario y fue devuelto al comité el 20 de marzo de 2025. Nunca recibió una votación en el pleno de la Cámara, nunca llegó al Senado, y nunca fue firmado como ley.

El Título 41, Capítulo 58 del Código de Idaho, una cita a veces asociada con esta propuesta, es en realidad la Ley de Licencias de Ajustadores Públicos del estado y no tiene nada que ver con la seguridad de datos.

Qué Habría Exigido el Proyecto de Ley 117

De haberse aprobado, el Proyecto de Ley 117 habría exigido a los licenciatarios de seguros desarrollar programas escritos de seguridad de la información, implementar salvaguardas administrativas, técnicas, y físicas, realizar investigaciones prontas de eventos de ciberseguridad, y notificar al Director del Departamento de Seguros de Idaho dentro de los 10 días hábiles posteriores a un evento significativo de ciberseguridad. Ninguno de estos requisitos está actualmente en vigor.

Qué Aplica a los Licenciatarios de Seguros Hoy

Debido a que el Proyecto de Ley 117 no se convirtió en ley, los licenciatarios de seguros de Idaho no tienen ningún estatuto estatal específico de seguridad de datos que seguir. Permanecen sujetos a los requisitos generales de notificación de violaciones bajo el Título 28, Capítulo 51 del Código de Idaho, tratados anteriormente, junto con cualquier marco federal que ya aplique a su negocio, como HIPAA para líneas relacionadas con la salud o GLBA para licenciatarios afiliados con instituciones financieras.

Leyes Penales de Robo de Identidad de Idaho

El código penal de Idaho proporciona protecciones adicionales de datos personales a través de los estatutos de robo de identidad en el Título 18, Capítulo 31 del Código de Idaho.

Apropiación Indebida de Información Personal de Identificación (§ 18-3126)

El Código de Idaho § 18-3126 hace ilegal obtener o registrar la información personal de identificación de otra persona sin autorización cuando la intención es usar esa información para obtener fraudulentamente crédito, dinero, bienes, o servicios.

Este es un delito grave. Las sanciones incluyen hasta 5 años en prisión estatal, multas de hasta $50,000, o ambas. El estatuto fue promulgado originalmente en 1999 y reforzado mediante enmiendas en 2008.

Adquisición por Autoridad Falsa (§ 18-3126A)

El Código de Idaho § 18-3126A apunta a las personas que obtienen información personal de identificación al representar falsamente que tienen autoridad para acceder a ella. Esto cubre escenarios como hacerse pasar por un empleador, funcionario gubernamental, o institución financiera para engañar a alguien y que proporcione sus datos.

Esto también es un delito grave con las mismas sanciones: hasta 5 años de prisión y multas de hasta $50,000.

Ley de Contenido Multimedia Sintético y Deepfakes de Idaho

Idaho promulgó el Proyecto de Ley de la Cámara 575 en 2024, que tipifica como delito la divulgación de contenido multimedia sintético explícito, incluidas las imágenes íntimas no consentidas generadas por IA (NCII, por sus siglas en inglés).

Qué Cubre la Ley

Una persona comete el delito de divulgar contenido multimedia sintético explícito si divulga conscientemente dicho contenido y sabe, o razonablemente debería saber, que una persona identificable representada en el contenido no consintió su divulgación y que la divulgación probablemente cause angustia emocional sustancial.

El "contenido multimedia sintético explícito" incluye contenido generado por IA o manipulado digitalmente que representa a una persona identificable involucrada en conducta sexual o que muestra sus genitales o partes íntimas.

Sanciones

Complemento Federal: Ley TAKE IT DOWN

La Ley federal TAKE IT DOWN (Ley Pública 119-12, promulgada el 19 de mayo de 2025) agrega una capa de protección sobre la ley estatal de Idaho. La Ley prohíbe que cualquier persona publique conscientemente representaciones visuales íntimas no consentidas de adultos o cualquier representación visual íntima de menores, incluidos los deepfakes generados por IA.

De manera crítica, la Ley exige que las plataformas cubiertas (servicios de redes sociales y plataformas en línea similares) establezcan procedimientos para las solicitudes de retiro y eliminen el contenido reportado dentro de las 48 horas posteriores a recibir una solicitud válida. Estas obligaciones de las plataformas entraron en vigor el 19 de mayo de 2026, y son aplicadas por la Comisión Federal de Comercio.

Juntos, el Proyecto de Ley 575 de Idaho y la Ley TAKE IT DOWN crean tanto responsabilidad penal para los actores individuales de mala fe como un mecanismo federal de retiro dirigido a las plataformas que alojan contenido de NCII.

Ley de Protección al Consumidor de Idaho

La Ley de Protección al Consumidor de Idaho (Código de Idaho § 48-601 y siguientes) sirve como una herramienta de propósito general para abordar las prácticas comerciales injustas y engañosas, incluidas las que involucran datos personales.

Aunque la ley no menciona específicamente la privacidad de datos, el Código de Idaho § 48-603 prohíbe "participar en cualquier acto o práctica que sea de otro modo engañosa, falsa, o fraudulenta" en la conducción del comercio. Esta disposición general le otorga a la Fiscalía General de Idaho autoridad para perseguir a las empresas que participan en prácticas de recopilación de datos engañosas, tergiversan sus políticas de privacidad, o no cumplen con sus compromisos declarados de manejo de datos.

La oficina del Fiscal General Raul Labrador ha aumentado significativamente la aplicación de la protección al consumidor. En 2025, la oficina tomó 49 acciones de aplicación de la ley contra empresas que violaron las leyes de protección al consumidor de Idaho, un aumento respecto a las 17 de 2024 y las 8 de 2023. Aunque la mayoría de esas acciones abordaron prácticas engañosas más amplias, la Ley de Protección al Consumidor sigue siendo la principal herramienta para la mala conducta relacionada con datos fuera de la ley de notificación de violaciones.

La División de Protección al Consumidor de la Fiscalía General puede buscar:

• Medidas cautelares para detener prácticas engañosas
• Acuerdos voluntarios de cumplimiento
• Sanciones civiles a través de una acción en el tribunal de distrito

Los consumidores pueden presentar quejas directamente ante la oficina de la Fiscalía General. La Fiscalía General también puede aceptar garantías de cumplimiento voluntario de las empresas que se comprometen a corregir sus prácticas.

Protecciones de Privacidad de Datos Estudiantiles

El Código de Idaho § 33-133 establece protecciones específicas para los datos estudiantiles en el sistema de educación pública de Idaho. Esta ley se promulgó en 2014 para abordar las crecientes preocupaciones sobre cómo las escuelas y los proveedores de tecnología educativa manejan la información de los estudiantes.

Qué Datos Estudiantiles Están Protegidos

La ley define los "datos de identificación personal" para incluir el nombre del estudiante, los nombres de los padres o familiares, la dirección del estudiante o la familia, y cualquier identificador directo o indirecto que pudiera identificar a un estudiante específico.

Recopilación de Datos Prohibida

La ley de Idaho prohíbe explícitamente que los registros educativos contengan:

• Registros de delincuencia juvenil o antecedentes penales (a menos que la ley lo exija)
• Registros médicos o de salud
• Números de Seguro Social
• Información biométrica
• Registros de propiedad de armas de fuego
• Orientación sexual
• Afiliación religiosa

Requisitos para Proveedores

Los proveedores privados que acceden a los datos estudiantiles deben aceptar una prohibición completa de usos secundarios de los datos estudiantiles (sin venta, marketing, ni publicidad), o proporcionar una divulgación completa de los usos secundarios de datos y obtener el consentimiento de los padres antes de cualquier uso más allá del servicio contratado.

Sanciones

Las infracciones que resulten en la divulgación no autorizada de datos de identificación personal conllevan sanciones civiles de hasta $50,000 por infracción. Las escuelas también deben notificar a los padres y estudiantes afectados cuando ocurren divulgaciones no autorizadas.

Excepciones de Privacidad de la Ley de Registros Públicos

La Ley de Registros Públicos de Idaho (Título 74, Capítulo 1 del Código de Idaho) incluye excepciones relacionadas con la privacidad bajo el § 74-106 que restringen la divulgación de cierta información personal en poder de agencias gubernamentales.

Los registros exentos incluyen:

• Registros de personal de empleados públicos actuales o anteriores (excepto el historial de servicio público, el grado salarial, y el salario bruto)
• Direcciones y números de teléfono de empleados públicos jubilados
• Registros médicos y de salud, incluidas prescripciones, atención psiquiátrica, y registros de consejería
• Registros de enfermedades reportables mantenidos por los departamentos de salud
• Registros donde la divulgación constituiría una "invasión injustificada de la privacidad personal"

Estas exenciones protegen a las personas de que se divulgue información personal sensible a través de solicitudes de registros públicos, aunque solo aplican a los registros en poder del gobierno.

Leyes Federales de Privacidad que Aplican en Idaho

Debido a que Idaho carece de una ley integral de privacidad estatal, los estatutos federales proporcionan las principales protecciones de privacidad para muchos residentes y empresas de Idaho.

Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA)

HIPAA aplica a los proveedores de atención médica, planes de salud, cámaras de compensación de atención médica, y sus asociados de negocio en Idaho. Exige salvaguardas físicas, técnicas, y administrativas para proteger la información personal de salud (PHI). Las entidades de atención médica de Idaho deben cumplir tanto con la Regla de Privacidad como con la Regla de Seguridad de HIPAA.

Ley Gramm-Leach-Bliley (GLBA)

Las instituciones financieras que operan en Idaho deben cumplir con la GLBA, que exige programas escritos de seguridad de la información, avisos de privacidad al consumidor que expliquen las prácticas de intercambio de datos, y derechos de exclusión para los consumidores respecto al intercambio de datos con terceros. Idaho consideró pero no promulgó una ley estatal específica de seguridad de datos de seguros en 2025 (el Proyecto de Ley de la Cámara 117 se estancó en la Cámara sin aprobarse), por lo que las instituciones financieras que también tienen licencias de seguros en Idaho no están sujetas a ningún estatuto estatal adicional de seguridad de datos de seguros; la GLBA y, cuando corresponda, HIPAA siguen siendo los marcos que rigen para esos licenciatarios.

Ley de Protección de la Privacidad Infantil en Línea (COPPA)

Cualquier empresa de Idaho que opere un sitio web o servicio en línea dirigido a menores de 13 años, o que recopile conscientemente información personal de menores de 13 años, debe cumplir con COPPA. Los requisitos incluyen el consentimiento parental verificado antes de la recopilación de datos y restricciones sobre cómo se pueden usar o compartir los datos de los menores.

Ley de Derechos Educativos y Privacidad Familiar (FERPA)

FERPA protege la privacidad de los registros educativos de los estudiantes en las escuelas de Idaho que reciben fondos federales. Otorga a los padres (y a los estudiantes mayores de 18 años) el derecho a acceder, revisar, y solicitar correcciones a los registros educativos. FERPA funciona junto con la propia ley de protección de datos estudiantiles de Idaho (§ 33-133) para crear una capa dual de protección.

Ley de Informes Crediticios Justos (FCRA)

La FCRA regula cómo las agencias de informes al consumidor en Idaho recopilan, comparten, y usan la información crediticia. Los residentes de Idaho tienen el derecho de acceder a sus informes de crédito, disputar información inexacta, y limitar quién puede acceder a sus datos crediticios.

Sección 5 de la Ley de la FTC

La Comisión Federal de Comercio aplica la Sección 5 de la Ley de la FTC contra las prácticas de datos injustas o engañosas. Las empresas de Idaho que tergiversan sus políticas de privacidad o no implementan medidas razonables de seguridad de datos enfrentan la aplicación de la FTC sin importar si Idaho tiene una ley estatal específica que cubra la conducta.

Una Nota sobre la Legislación Federal Integral de Privacidad

La Ley de Derechos de Privacidad Estadounidense (APRA), que habría establecido una línea base federal para los derechos de privacidad de datos del consumidor, se presentó en 2024 pero expiró sin aprobarse al final del 118.º Congreso en enero de 2025. A partir de mayo de 2026, el proyecto de ley no ha sido reintroducido. No existe una ley federal integral de privacidad de datos del consumidor en vigor.

Cómo Reportar una Violación de Datos en Idaho

Para Empresas y Agencias

Contacte a la División de Protección al Consumidor de la Fiscalía General de Idaho:

• Correo electrónico: consumer_protection@ag.idaho.gov
• Dirección postal: P.O. Box 83720, Boise, ID 83720-0010
• Teléfono: 208-334-2400

Las agencias estatales deben reportar dentro de las 24 horas posteriores al descubrimiento. Las empresas privadas pueden reportar voluntariamente.

Para Consumidores

Si cree que su información personal se vio comprometida en una violación:

1. Contacte a la empresa o agencia que sufrió la violación
2. Presente una queja ante la Fiscalía General de Idaho
3. Coloque una alerta de fraude o un congelamiento de crédito con las tres principales agencias de crédito
4. Monitoree sus cuentas financieras e informes de crédito en busca de actividad sospechosa

La oficina de la Fiscalía General mantiene un registro público de violaciones reportadas que se remonta al 1 de enero de 2021.

Idaho vs. Otros Estados: ¿Dónde se Ubica Idaho?

A partir de mayo de 2026, más de 20 estados han promulgado leyes integrales de privacidad de datos del consumidor. Idaho no es uno de ellos. Así es como se compara Idaho con estados vecinos y notables.

La brecha es significativa. Los residentes de Idaho no tienen un derecho estatutario a saber qué datos personales tiene una empresa sobre ellos, ningún derecho a solicitar la eliminación, y ningún derecho a excluirse de la venta de su información personal.

Perspectiva de la Legislación de Privacidad

Idaho no ha promulgado una ley integral de privacidad de datos del consumidor a lo largo de la sesión legislativa de 2025. Ningún proyecto de ley integral de privacidad estaba en trámite activo en la sesión 2025-2026 a partir de mayo de 2026.

La tendencia nacional sigue siendo clara: el número de estados con leyes integrales de privacidad ha crecido de aproximadamente 5 en 2023 a más de 20 a mediados de 2026. Los factores que podrían acelerar la acción de Idaho incluyen:

• Presión de estados vecinos. La ley integral de privacidad de Montana entró en vigor en octubre de 2024. A medida que más estados de la región adoptan leyes de privacidad, las empresas de Idaho que operan a través de las fronteras estatales deben cumplir con esas leyes sin importar lo que exija Idaho.
• Posible línea base federal. Aunque la APRA no se aprobó en 2024 y no ha sido reintroducida, una renovada actividad federal podría establecer un piso nacional que todos los estados deban cumplir.
• Expansión sectorial. El intento de Idaho en 2025 de adoptar una Ley de Seguridad de Datos de Seguros basada en el modelo de la NAIC (Proyecto de Ley de la Cámara 117) muestra que los legisladores están dispuestos a considerar obligaciones de privacidad específicas del sector, aunque ese proyecto de ley en particular se estancó en la Cámara sin aprobarse. Una versión revivida, u otras leyes sectoriales en atención médica, servicios financieros, o tecnología educativa, podrían seguir en una sesión futura.

Hasta que Idaho actúe, los residentes deben entender que sus principales protecciones provienen de la ley de notificación de violaciones, los estatutos penales de robo de identidad, la prohibición de contenido multimedia sintético, y cualquier ley federal que aplique a la industria específica que maneja sus datos.

Más Leyes de Idaho

• Leyes de Grabación de Reuniones con IA de Idaho
• Leyes de Pensión Alimenticia de Idaho
• Leyes de Empleo a Voluntad de Idaho
• Leyes de Accidentes de Auto de Idaho
• Leyes de Asientos de Auto para Niños de Idaho
• Leyes de Custodia de Menores de Idaho
• Leyes de Manutención de Menores de Idaho
• Leyes de Matrimonio de Hecho de Idaho
• Leyes de Deepfakes de Idaho
• Leyes de Divorcio de Idaho
• Leyes sobre Mordeduras de Perro de Idaho
• Leyes de Emancipación de Idaho
• Leyes de Eliminación de Antecedentes de Idaho
• Leyes de Choque y Fuga de Idaho
• Leyes de Propietario e Inquilino de Idaho
• Leyes del Limón de Idaho

Este artículo tiene fines exclusivamente informativos y no constituye asesoría legal. Consulte a un abogado calificado con licencia en Idaho para obtener orientación sobre su situación específica. Las leyes y regulaciones pueden cambiar; verifique toda la información con fuentes estatales oficiales.