Leyes de Notificación de Violación de Datos de Kentucky: Reglas y Plazos de Notificación (2026)

Conforme a KRS 365.732, las empresas de Kentucky que poseen o tienen licencia sobre información personal computarizada deben notificar a los residentes afectados después de una violación que involucre datos no encriptados, pero solo cuando sea razonablemente probable que la violación cause robo de identidad o fraude. La notificación debe realizarse sin demora injustificada. Los datos encriptados están exentos.

Si su empresa maneja datos personales pertenecientes a residentes de Kentucky, necesita comprender las reglas estatales de notificación de violación de datos. Una sola violación que afecte a miles de personas puede generar obligaciones de notificación que conllevan consecuencias legales para las empresas que no actúan con prontitud.

El marco de notificación de violación de Kentucky opera a través de dos estatutos independientes: uno para las entidades del sector privado y otro para las agencias gubernamentales. Ambos exigen la notificación sin demora injustificada, pero las reglas gubernamentales imponen requisitos más estrictos, incluido el reporte obligatorio a múltiples agencias estatales.

Para obtener una visión general del marco de privacidad más amplio de Kentucky, consulte la guía principal de Leyes de Privacidad de Datos de Kentucky.

Quién Debe Cumplir con KRS 365.732

La ley principal de notificación de violación de datos de Kentucky, KRS 365.732, se aplica a cualquier persona o entidad comercial que realiza actividades comerciales en Kentucky y que posee o tiene licencia sobre datos computarizados que incluyen información personal.

El estatuto cubre una amplia gama de entidades. Si mantiene registros computarizados que contienen información personal sobre residentes de Kentucky, independientemente de dónde esté ubicada físicamente su empresa, KRS 365.732 se aplica a usted.

Existen dos exenciones clave. Las entidades reguladas conforme a la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) están exentas, al igual que las instituciones financieras sujetas a la Ley Gramm-Leach-Bliley (GLBA). En cambio, estas entidades siguen sus propios marcos federales de notificación de violación.

Las agencias estatales y los gobiernos locales también quedan excluidos de KRS 365.732 porque están cubiertos por los estatutos independientes de notificación de violación gubernamental en KRS 61.931 a 61.934.

Qué Califica como Información Personal

Conforme a KRS 365.732, la información personal se define como el nombre o la inicial del nombre y el apellido de una persona, en combinación con uno o más de estos elementos de datos:

• Número de Seguro Social
• Número de licencia de conducir
• Número de cuenta, número de tarjeta de crédito o número de tarjeta de débito combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permitiría el acceso a la cuenta

Los datos deben estar en forma computarizada (electrónica). Los registros en papel no están cubiertos por este estatuto.

Qué Genera una Obligación de Notificación

Una violación ocurre cuando existe una adquisición no autorizada de datos computarizados no encriptados y no redactados que compromete la seguridad, confidencialidad o integridad de la información personal.

Kentucky añade un matiz importante. La notificación solo es obligatoria cuando la violación realmente causa, o la entidad cree razonablemente que ha causado o causará, robo de identidad o fraude contra los residentes afectados. Si la entidad determina, mediante su investigación, que no es razonablemente probable que ocurra un daño, no se requiere notificación.

Este umbral de riesgo de daño otorga a las empresas cierta discreción. Sin embargo, esa discreción conlleva responsabilidad. Si una empresa evalúa incorrectamente el riesgo y no notifica, podría enfrentar exposición legal.

Excepción de buena fe. La ley establece que la adquisición de información personal por parte de un empleado o agente de la entidad no constituye una violación, siempre que la información no se utilice de manera indebida ni se divulgue de forma no autorizada adicional.

Puerto Seguro de Encriptación

El estatuto de Kentucky no se aplica a la información que está encriptada o redactada. Este es un puerto seguro sencillo: si encripta la información personal y ocurre una violación, no está obligado a enviar notificaciones conforme a KRS 365.732.

Esto incentiva a las empresas a adoptar la encriptación como una práctica estándar de protección de datos. Si su organización almacena información personal electrónicamente, la encriptación elimina uno de los riesgos legales más significativos asociados con una violación.

Plazo y Método de Notificación

Cuando se requiere la notificación, las empresas deben actuar en el tiempo más expedito posible y sin demora injustificada, de forma coherente con las medidas necesarias para determinar el alcance de la violación y restaurar la integridad razonable del sistema de datos.

Kentucky no establece un plazo específico en días. El estándar de "sin demora injustificada" otorga a las empresas tiempo para investigar, pero también significa que la demora innecesaria podría considerarse una infracción.

Demora por investigación policial. Si una agencia de las fuerzas del orden determina que la notificación obstaculizaría una investigación penal, la empresa puede retrasar la notificación hasta que las fuerzas del orden la autoricen.

Métodos de Notificación

Las empresas pueden proporcionar la notificación mediante:

• Notificación escrita enviada a la última dirección conocida de la persona afectada
• Notificación electrónica conforme a la ley federal Electronic Signatures in Global and National Commerce Act (E-SIGN Act)

Notificación Sustitutiva

Si la notificación directa costaría más de $250,000, afectaría a más de 500,000 personas, o la entidad no cuenta con información de contacto suficiente, está disponible la notificación sustitutiva. La notificación sustitutiva requiere los tres elementos siguientes:

• Notificación por correo electrónico a todas las personas afectadas para las cuales la entidad cuenta con una dirección de correo electrónico
• Publicación visible en el sitio web de la entidad
• Notificación a los principales medios de comunicación de alcance estatal

Notificación a las Agencias de Información Crediticia

Cuando una violación afecta a más de 1,000 residentes de Kentucky, la entidad también debe notificar a todas las agencias de información crediticia y burós de crédito de alcance nacional sin demora injustificada. Esta notificación debe describir el momento, la distribución y el contenido de los avisos enviados a las personas afectadas.

Poseedores de Datos Externos

Si una entidad mantiene información personal en nombre de otra empresa (el propietario o licenciatario de los datos), la entidad que mantiene los datos debe notificar al propietario o licenciatario de la violación tan pronto como sea razonablemente práctico después de descubrirla. El propietario o licenciatario de los datos asume entonces la responsabilidad de notificar a las personas afectadas.

Requisitos para Entidades Gubernamentales (KRS 61.931 a 61.934)

Kentucky sujeta a las agencias gubernamentales a un estándar diferente y más detallado a través de KRS 61.931 a 61.934, vigente desde el 1 de enero de 2015.

Definición Más Amplia de Información Personal

Los estatutos gubernamentales definen la información personal de forma más amplia que la ley del sector privado. Conforme a KRS 61.931, la información personal incluye el nombre o la inicial del nombre y el apellido de una persona, una marca personal, o una impresión o imagen biométrica o genética única, en combinación con:

• Número de Seguro Social
• Número de identificación fiscal que incorpora un número de Seguro Social
• Número de licencia de conducir o número de tarjeta de identificación estatal
• Número de cuenta, número de tarjeta de crédito o número de tarjeta de débito con códigos de seguridad o contraseñas requeridas
• Otro número de identificación individual

Esta definición es más amplia que KRS 365.732 en dos aspectos: incluye los identificadores biométricos y genéticos como elementos que califican junto con el nombre, y añade los números de identificación fiscal como un elemento de datos cubierto.

Notificación Multiagencia Obligatoria

La notificación de las agencias gubernamentales conforme al KRS 61.933 se realiza en etapas, no como una lista fija de destinatarios.

Dentro de las 72 horas posteriores a determinar que ocurrió una violación, la agencia debe notificar al Fiscal General, al Auditor de Cuentas Públicas y a la Policía Estatal de Kentucky, además de un destinatario específico según el tipo de agencia: el secretario del Gabinete de Finanzas y Administración para las unidades del poder ejecutivo, el comisionado del Departamento de Gobierno Local para los gobiernos de condado o municipales, el comisionado del Departamento de Educación de Kentucky para los distritos escolares, o el presidente del Consejo de Educación Postsecundaria para los colegios y universidades públicas.

Dentro de las 48 horas posteriores a completar su investigación, la agencia debe notificar nuevamente a esos mismos funcionarios, además del comisionado del Departamento de Bibliotecas y Archivos.

Dentro de los 35 días posteriores a esa notificación de 48 horas, la agencia debe notificar a las personas afectadas por la violación.

Si se va a notificar a más de 1,000 personas, la agencia también debe notificar a la Oficina de Tecnología del Estado, o al equivalente departamental correspondiente, junto con las agencias de información crediticia de alcance nacional, al menos 7 días antes de notificar a las personas.

Este requisito de notificación escalonado y específico por rama refleja la responsabilidad reforzada que se espera de las entidades gubernamentales que manejan datos de los ciudadanos.

Obligaciones de Contratistas Externos

Las empresas privadas que contratan con agencias estatales de Kentucky y manejan información personal enfrentan obligaciones específicas conforme a KRS 61.932.

Para los contratos ejecutados o enmendados a partir del 1 de enero de 2015, los contratistas deben implementar procedimientos de seguridad e investigación de violaciones al menos tan estrictos como los exigidos a la propia agencia gubernamental.

Cuando un contratista descubre una violación, debe notificar a la agencia contratante en el tiempo más expedito posible y sin demora injustificada, pero a más tardar 72 horas después de determinar que ocurrió la violación. La agencia contratante asume entonces la responsabilidad de notificar a las personas afectadas y al Fiscal General.

Demoras Aprobadas por el Fiscal General

Si una agencia gubernamental determina que las medidas necesarias para restaurar la integridad de su sistema de datos no se pueden implementar dentro del plazo de notificación requerido, la agencia puede solicitar una demora. Esa demora debe ser aprobada por escrito por la Oficina del Fiscal General.

Medidas Cautelares

Conforme a KRS 61.933, el Fiscal General puede solicitar medidas cautelares contra las entidades que no cumplan con los requisitos gubernamentales de notificación de violación.

Cumplimiento y Sanciones

Sector Privado (KRS 365.732)

KRS 365.732 no contiene sanciones específicas ni un mecanismo de cumplimiento dedicado. El estatuto tampoco crea un derecho de acción privado explícito.

Sin embargo, las partes perjudicadas pueden tener recurso a través de KRS 446.070, el estatuto general de compensación de Kentucky. KRS 446.070 establece que una persona perjudicada por la infracción de cualquier estatuto puede recuperar daños del infractor mediante una acción civil. Esto crea una vía potencial, aunque no probada en muchos contextos de violación de datos, para que las personas afectadas busquen daños.

El Fiscal General también puede iniciar acciones de cumplimiento a través de los estatutos generales de protección al consumidor de Kentucky.

Entidades Gubernamentales (KRS 61.931 a 61.934)

El Fiscal General tiene la autoridad explícita de solicitar medidas cautelares contra las entidades gubernamentales y sus contratistas que infrinjan los requisitos de notificación de violación. Esto le otorga al Fiscal General la facultad de exigir el cumplimiento mediante órdenes judiciales.

El Impacto de la KCDPA en la Respuesta a Violaciones de Datos

La Ley de Protección de Datos del Consumidor de Kentucky (KCDPA), que entró en vigor el 1 de enero de 2026, no reemplaza los estatutos existentes de notificación de violación. Sin embargo, añade una nueva capa de obligaciones de protección de datos que afectan la forma en que las empresas manejan la información personal antes, durante y después de una violación.

Bajo la KCDPA, codificada en KRS 367.3611 a 367.3629, las empresas que cumplen con los umbrales de aplicabilidad deben:

• Implementar prácticas razonables de seguridad de datos proporcionales al volumen y la sensibilidad de los datos que procesan
• Clasificar los datos biométricos, los datos genéticos, los datos de geolocalización precisa y otras categorías sensibles como datos que requieren consentimiento expreso (opt-in)
• Responder a las solicitudes de eliminación y acceso del consumidor dentro de 45 días
• Realizar evaluaciones de protección de datos para las actividades de procesamiento de alto riesgo

La KCDPA otorga al Fiscal General autoridad de cumplimiento exclusiva, con sanciones de hasta $7,500 por infracción tras un período de subsanación de 30 días. Aunque la KCDPA no modifica directamente KRS 365.732, una violación de datos que resulte de prácticas de seguridad inadecuadas podría generar acciones de cumplimiento bajo ambos marcos.

La Oficina de Privacidad de Datos del Fiscal General de Kentucky, creada para hacer cumplir la KCDPA, se puede contactar al (502) 892-8538.

Ley de Seguridad de Datos de Seguros

Kentucky también promulgó una ley de seguridad de datos específica para seguros en KRS 304.3-750 a 304.3-768. Conforme a KRS 304.3-760(1), los aseguradores, agentes y otras entidades de seguros con licencia deben notificar al Comisionado de Seguros sobre un evento de ciberseguridad tan pronto como sea posible, pero en ningún caso más tarde de tres días hábiles a partir de la determinación de que ocurrió un evento de ciberseguridad. Tres desencadenantes independientes pueden iniciar ese plazo. Un asegurador domiciliado en Kentucky debe notificar al Comisionado siempre que sea razonablemente probable que un evento perjudique cualquier parte material de sus operaciones normales, independientemente de cuántos residentes estén afectados (KRS 304.3-760(1)(a)). Un agente cuyo estado de origen sea Kentucky debe notificar al Comisionado siempre que ocurra un evento de ciberseguridad, sin ningún calificador de daño o número de consumidores (KRS 304.3-760(1)(b)). Y cualquier entidad con licencia, esté o no domiciliada en Kentucky, debe notificar al Comisionado cuando crea razonablemente que el evento involucra a 250 o más consumidores que residen en Kentucky y el evento requiere notificación a un organismo gubernamental, agencia autorreguladora u otro organismo de supervisión conforme a la ley estatal o federal, o es razonablemente probable que perjudique materialmente a un consumidor de Kentucky o a una parte material de las operaciones normales de la entidad con licencia (KRS 304.3-760(1)(c)).

Las sanciones conforme a la ley de seguridad de datos de seguros pueden alcanzar los $10,000 por infracción para los aseguradores y de $1,000 a $2,000 para los agentes y ajustadores individuales.

Pasos a Seguir Después de una Violación en Kentucky

Si su empresa experimenta una violación de datos que involucra información personal de residentes de Kentucky, considere estos pasos:

1. Contener la violación y asegurar sus sistemas para prevenir un mayor acceso no autorizado
2. Investigar el alcance para determinar qué datos fueron comprometidos y cuántas personas están afectadas
3. Evaluar el riesgo de daño para determinar si es razonablemente probable que la violación cause robo de identidad o fraude
4. Notificar a las personas afectadas en el tiempo más expedito posible si el daño es probable
5. Notificar a las agencias de información crediticia si más de 1,000 residentes de Kentucky están afectados
6. Documentar su respuesta, incluidos los hallazgos de la investigación y el cronograma de notificación
7. Contactar a las fuerzas del orden si la violación involucra actividad delictiva

Si es un contratista gubernamental, recuerde el plazo de notificación de 72 horas a la agencia contratante.

Fuentes y Referencias

Este artículo hace referencia a los estatutos de Kentucky y a publicaciones oficiales del gobierno estatal. Para el texto completo de los estatutos de notificación de violación, visite el sitio web de la Legislatura de Kentucky. Para obtener orientación al consumidor sobre violaciones de datos y robo de identidad, visite el sitio web del Fiscal General de Kentucky. Para obtener información sobre la KCDPA y la Oficina de Privacidad de Datos, consulte la página de la KCDPA del Fiscal General.

Este artículo proporciona información legal general sobre las leyes de notificación de violación de datos de Kentucky. No constituye asesoría legal. Consulte a un abogado calificado para obtener orientación sobre su situación específica. Las leyes y regulaciones cambian con frecuencia. Verifique los requisitos actuales a través de fuentes oficiales del gobierno de Kentucky.

Preguntas frecuentes

¿Con qué rapidez debe una empresa notificar a los residentes de Kentucky sobre una violación de datos?

La ley de Kentucky exige la notificación en el tiempo más expedito posible y sin demora injustificada. El estado no establece un plazo específico en días. El cronograma debe tener en cuenta las medidas necesarias para determinar el alcance de la violación y restaurar la integridad del sistema de datos. La notificación también puede retrasarse si las fuerzas del orden determinan que obstaculizaría una investigación penal.

¿Kentucky exige que las empresas notifiquen al Fiscal General después de una violación de datos?

No. La ley de notificación de violación del sector privado (KRS 365.732) no exige que las empresas notifiquen al Fiscal General. Sin embargo, las agencias gubernamentales deben notificar al Fiscal General, junto con el Auditor de Cuentas Públicas, la Policía Estatal de Kentucky y otras entidades estatales, conforme a KRS 61.933. Las empresas aún pueden enfrentar el escrutinio del Fiscal General a través de la aplicación de la protección al consumidor.

¿Qué es el puerto seguro de encriptación de Kentucky para las violaciones de datos?

La ley de notificación de violación de Kentucky no se aplica a la información que estaba encriptada o redactada en el momento de la violación. Si encripta la información personal y una parte no autorizada obtiene acceso, no está obligado a enviar notificaciones de violación conforme a KRS 365.732. Este puerto seguro constituye un fuerte incentivo para que las empresas encripten los datos personales almacenados.

¿Pueden las personas demandar por daños después de una violación de datos en Kentucky?

KRS 365.732 no crea un derecho de acción privado explícito. Sin embargo, las personas pueden buscar daños conforme a KRS 446.070, el estatuto general de compensación de Kentucky, que permite que una persona perjudicada por cualquier infracción legal recupere daños. La Ley de Protección de Datos del Consumidor de Kentucky (KCDPA) tampoco proporciona un derecho de acción privado. El Fiscal General tiene autoridad de cumplimiento exclusiva bajo la KCDPA.

¿Cómo afecta la Ley de Protección de Datos del Consumidor de Kentucky a las obligaciones de violación de datos?

La KCDPA, vigente desde el 1 de enero de 2026, no reemplaza los estatutos existentes de notificación de violación. Añade obligaciones para que las empresas implementen prácticas razonables de seguridad de datos, obtengan consentimiento antes de procesar datos sensibles como los identificadores biométricos, y respondan a las solicitudes de derechos del consumidor. Una violación resultante de una seguridad inadecuada podría generar acciones de cumplimiento tanto bajo la KCDPA (hasta $7,500 por infracción) como bajo la ley existente de notificación de violación. La Oficina de Privacidad de Datos del Fiscal General hace cumplir la KCDPA.