Louisiana
Leyes de Notificación de Violación de Datos de Luisiana: Reglas y Plazos para Reportar (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 14 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 14 de agosto de 2026. · 8 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
La Ley de Notificación de Violación de Seguridad de Bases de Datos de Luisiana exige que las empresas y agencias gubernamentales que posean o mantengan información personal computarizada notifiquen a los residentes afectados dentro de los 60 días posteriores a descubrir una violación, conforme a La. R.S. 51:3074. Un aviso por escrito separado al Fiscal General debe seguir dentro de los 10 días posteriores al envío de las notificaciones a los residentes.
La Ley de Notificación de Violación de Seguridad de Bases de Datos de Luisiana exige que cualquier persona o agencia que posea, tenga licencia o mantenga información personal computarizada notifique a los residentes afectados de Luisiana cuando esos datos se vean comprometidos. Promulgada originalmente en 2005, la ley se fortaleció significativamente en 2018 mediante el Proyecto de Ley del Senado 361, que agregó un plazo estricto de notificación de 60 días, amplió la definición de información personal para incluir datos biométricos y números de pasaporte, y creó obligaciones obligatorias de reporte al fiscal general.
Si su organización maneja datos que pertenecen a residentes de Luisiana, comprender estos requisitos no es opcional. El estado trata cada día de retraso en la notificación al Fiscal General como una infracción separada con sanciones de hasta $5,000.
Para un contexto más amplio sobre el marco general de privacidad de Luisiana, consulte la guía principal de Leyes de Privacidad de Datos de Luisiana.
Qué Activa el Requisito de Notificación
La ley de Luisiana define una "violación de la seguridad del sistema" como el compromiso de la seguridad, confidencialidad o integridad de los datos computarizados que resulta en la adquisición no autorizada de información personal. La palabra clave es "adquisición". El simple acceso no autorizado a un sistema no necesariamente activa la ley. La información personal debe haber sido realmente adquirida, o creerse razonablemente que fue adquirida, por una persona no autorizada.
Existe una excepción legal: la adquisición de buena fe de información personal por parte de un empleado o agente del titular de los datos no cuenta como una violación, siempre que la información no se utilice para fines no autorizados ni esté sujeta a divulgación no autorizada adicional.
La ley se aplica a tres categorías de entidades bajo La. R.S. 51:3074:
- Cualquier persona que realice negocios en Luisiana y posea o tenga licencia de datos computarizados que contengan información personal
- Cualquier agencia gubernamental que posea o tenga licencia de dichos datos
- Cualquier persona o agencia que mantenga datos computarizados que contengan información personal que no le pertenezca (estas entidades deben notificar al propietario o licenciatario de los datos)
Qué Cuenta como Información Personal Protegida
Bajo La. R.S. 51:3073, "información personal" significa el primer nombre o la inicial del primer nombre y el apellido de una persona combinados con uno o más de los siguientes elementos de datos:
- Número de Seguro Social
- Número de licencia de conducir o número de tarjeta de identificación estatal
- Número de cuenta financiera, número de tarjeta de crédito o número de tarjeta de débito, en combinación con cualquier código de seguridad, código de acceso o contraseña requerido que permitiera el acceso a la cuenta
- Número de pasaporte
- Datos biométricos, definidos como datos generados por mediciones automáticas de las características biológicas de una persona (como huellas dactilares, huellas de voz, retina o iris del ojo, u otras características biológicas únicas) utilizados para autenticar de manera única la identidad de una persona al acceder a un sistema o cuenta
El elemento de datos no debe estar cifrado ni redactado para calificar. Si los datos comprometidos estaban cifrados en el momento de la violación, el requisito de notificación no se aplica. Este es el puerto seguro (safe harbor) de cifrado de Luisiana.
La información disponible públicamente en registros gubernamentales federales, estatales o locales está excluida de la definición de información personal.
El Plazo de Notificación de 60 Días
La notificación debe realizarse "en el tiempo más expedito posible y sin demora injustificada", pero a más tardar 60 días desde la fecha en que se descubre la violación. Este plazo estricto fue agregado por las enmiendas del SB 361 de 2018 y reemplazó el estándar anterior, más abierto, de "el tiempo más expedito posible".
El reloj de 60 días comienza en la fecha de descubrimiento, no en la fecha en que realmente ocurrió la violación. El descubrimiento significa el momento en que la entidad se percata de que ha ocurrido una violación.
Retrasos Permitidos
Dos circunstancias permiten extender el período de notificación más allá de los 60 días:
Retraso por las fuerzas del orden. Si una agencia de las fuerzas del orden determina que la notificación impediría una investigación criminal, la notificación puede retrasarse hasta que las fuerzas del orden determinen que ya no comprometerá la investigación.
Retraso por alcance y remediación. Si la entidad determina que se necesita tiempo adicional para determinar el alcance de la violación, prevenir divulgaciones adicionales o restaurar la integridad razonable del sistema de datos, puede retrasar la notificación. Sin embargo, la entidad debe proporcionar al Fiscal General las razones por escrito del retraso dentro del período original de 60 días. El Fiscal General entonces otorga una extensión razonable.
En ambos casos, la entidad debe proporcionar justificación por escrito al Fiscal General dentro de los 60 días. No existe una excepción general que permita un retraso indefinido.
Requisitos de Notificación al Fiscal General
Luisiana impone una notificación obligatoria y separada a la oficina del Fiscal General. Bajo el Código Administrativo de Luisiana, Título 16, Parte III, Sección 701, las entidades deben:
- Enviar aviso por escrito a la Sección de Protección al Consumidor del Fiscal General dentro de 10 días posteriores a la distribución de los avisos de violación a los residentes de Luisiana
- Incluir los nombres de todos los ciudadanos de Luisiana afectados por la violación en la notificación
- Enviar la notificación a la Sección de Protección al Consumidor del Departamento de Justicia de Luisiana
El aviso se puede presentar a través del Formulario de Reporte en Línea de Violación de Seguridad de Bases de Datos de Luisiana o enviarse por correo a:
Departamento de Justicia de Luisiana Oficina del Fiscal General Sección de Protección al Consumidor 1885 N. Third Street Baton Rouge, LA 70802
No proporcionar una notificación oportuna al Fiscal General conlleva multas de hasta $5,000 por infracción, contando cada día de aviso tardío como una infracción separada.
Métodos de Notificación a las Personas
Luisiana permite tres métodos para notificar a las personas afectadas bajo La. R.S. 51:3074(G):
Notificación por escrito. Una carta física enviada a la persona afectada.
Notificación electrónica. Notificación por correo electrónico, siempre que cumpla con la ley federal E-SIGN Act (15 U.S.C. 7001).
Notificación sustitutiva. Disponible cuando el costo de la notificación directa superaría los $100,000, la clase afectada supera las 100,000 personas, o la entidad carece de información de contacto suficiente. La notificación sustitutiva requiere los tres elementos siguientes:
- Notificación por correo electrónico a las personas para quienes la entidad tiene direcciones de correo electrónico
- Publicación visible en el sitio web de la entidad
- Notificación a los principales medios de comunicación estatales
Las entidades que ya mantienen un procedimiento de notificación como parte de su política de seguridad de la información pueden usar ese procedimiento en su lugar, siempre que sea consistente con los requisitos de tiempo del estatuto.
Exención Basada en el Daño
No se requiere notificación si, tras una investigación razonable, la entidad determina que no existe una probabilidad razonable de daño a los residentes de Luisiana como resultado de la violación.
Esta exención conlleva requisitos de documentación. La entidad debe conservar una copia escrita de su determinación y la documentación de respaldo durante cinco años a partir de la fecha de descubrimiento. Si el Fiscal General solicita esta documentación por escrito, la entidad debe proporcionarla dentro de los 30 días.
Requisitos de Seguridad
Más allá de la notificación, la ley de Luisiana impone obligaciones afirmativas de seguridad de datos. Bajo La. R.S. 51:3074(A), cualquier entidad que realice negocios en Luisiana o posea o tenga licencia de información personal computarizada debe implementar y mantener "procedimientos y prácticas de seguridad razonables apropiados para la naturaleza de la información" para proteger la información personal del acceso, destrucción, uso, modificación o divulgación no autorizados.
La ley también exige a las entidades tomar "todas las medidas razonables" para destruir los registros que contengan información personal que ya no sea necesaria. Los métodos de destrucción aceptables incluyen triturar, borrar o hacer que la información sea ilegible e indescifrable de otro modo.
Aplicación de la Ley y Sanciones
Las infracciones a la Ley de Notificación de Violación de Seguridad de Bases de Datos constituyen actos o prácticas desleales bajo la Ley de Prácticas Comerciales Desleales y Protección al Consumidor de Luisiana (La. R.S. 51:1405). Esto significa que el Fiscal General puede iniciar acciones de aplicación utilizando toda la gama de recursos de protección al consumidor.
Para las fallas en la notificación al Fiscal General específicamente, las multas pueden alcanzar los $5,000 por infracción por día.
Bajo La. R.S. 51:3075, las personas también pueden presentar una acción civil para recuperar daños reales resultantes del incumplimiento de proporcionar una notificación oportuna de la violación. Sin embargo, Luisiana no proporciona un derecho de acción privado amplio por la violación en sí. La causa de acción privada se limita a los daños causados por el incumplimiento de notificar, no por la violación misma.
Historia Legislativa Notable
La ley de notificación de violaciones de Luisiana se ha modificado varias veces desde su promulgación en 2005:
Ley 499 (2005). Estableció la Ley de Notificación de Violación de Seguridad de Bases de Datos original, vigente desde el 1 de enero de 2006. Exigía la notificación en "el tiempo más expedito posible" sin un plazo estricto.
Ley 382 / SB 361 (2018). La revisión más significativa. Agregó el plazo de notificación de 60 días, amplió la información personal para incluir datos biométricos y números de pasaporte, creó la exención basada en el daño con retención de documentación de cinco años, exigió justificación por escrito al Fiscal General para notificaciones retrasadas, y agregó el requisito de procedimientos de seguridad razonables.
La Ley de Privacidad de Datos de Luisiana (SB 386, Ley 502 de 2026)
Luisiana promulgó una ley integral de privacidad de datos cuando el gobernador Landry firmó el Proyecto de Ley del Senado 386, patrocinado por el senador Connick, como la Ley 502 el 29 de mayo de 2026. La nueva ley entra en vigor el 1 de enero de 2027 y crea derechos de privacidad del consumidor más amplios más allá de la notificación de violaciones.
Las disposiciones clave de la ley promulgada incluyen:
- Se aplica a las empresas que realizan negocios en Luisiana, procesan o venden datos personales, y no son pequeñas empresas
- Prohíbe la venta de datos personales sensibles sin el consentimiento previo del consumidor
- Autoriza al Fiscal General a aplicar las infracciones con un período de subsanación de 30 días
- Sanciones civiles de hasta $7,500 por infracción no subsanada
- Exime a las agencias estatales, instituciones financieras, organizaciones sin fines de lucro, instituciones de educación superior y entidades ya reguladas por HIPAA o la GLBA
Con la Ley 502 promulgada, Luisiana se convirtió en el vigésimo segundo estado en adoptar un marco integral de privacidad del consumidor, complementando los requisitos existentes de notificación de violaciones. La ley se aplica a las empresas que superan los $25 millones en ingresos anuales, procesan los datos de 75,000 o más residentes, hogares o dispositivos de Luisiana, u obtienen más del 50 por ciento de sus ingresos de la venta de datos personales. El cumplimiento corresponde exclusivamente al Fiscal General, sin derecho de acción privado, y un período transitorio de subsanación de 30 días se mantiene vigente hasta su vencimiento el 31 de julio de 2027.
Más leyes de Luisiana
- Leyes de Grabación de Reuniones con IA de Luisiana
- Leyes de Pensión Alimenticia de Luisiana
- Leyes de Empleo a Voluntad de Luisiana
- Leyes de Accidentes de Auto de Luisiana
- Leyes de Asientos de Seguridad para Niños de Luisiana
- Leyes de Custodia de los Hijos de Luisiana
- Leyes de Manutención de los Hijos de Luisiana
- Leyes de Matrimonio de Hecho de Luisiana
- Leyes de Deepfake de Luisiana
- Leyes de Divorcio de Luisiana
- Leyes de Mordedura de Perro de Luisiana
- Leyes de Emancipación de Luisiana
- Leyes de Eliminación de Antecedentes de Luisiana
- Leyes de Atropello y Fuga de Luisiana
- Leyes de Propietarios e Inquilinos de Luisiana
- Leyes Limón de Luisiana
Este artículo ofrece información legal general sobre las leyes de notificación de violación de datos de Luisiana. No constituye asesoría legal. Las leyes y regulaciones cambian con frecuencia, y este contenido puede no reflejar los desarrollos más recientes. Consulte a un abogado calificado con licencia en Luisiana para obtener asesoría sobre su situación específica.
Preguntas frecuentes
¿Con qué rapidez debe una empresa notificar a los residentes de Luisiana sobre una violación de datos?
La ley de Luisiana exige la notificación en el tiempo más expedito posible y a más tardar 60 días desde la fecha en que se descubre la violación. Si una investigación de las fuerzas del orden o la necesidad de determinar el alcance de la violación requiere tiempo adicional, la entidad debe proporcionar razones por escrito al Fiscal General dentro del plazo de 60 días. El Fiscal General puede entonces otorgar una extensión razonable.
¿Exige Luisiana la notificación al Fiscal General después de una violación de datos?
Sí. Las entidades deben enviar aviso por escrito a la Sección de Protección al Consumidor del Fiscal General dentro de los 10 días posteriores a la distribución de los avisos a los residentes afectados de Luisiana. El aviso debe incluir los nombres de todos los ciudadanos de Luisiana afectados. La notificación tardía al Fiscal General conlleva multas de hasta $5,000 por infracción, contando cada día de retraso por separado.
¿Están exentos los datos cifrados de los requisitos de notificación de violaciones de Luisiana?
Sí. La ley de Luisiana solo se aplica a la información personal que no está cifrada ni redactada. Si los datos comprometidos estaban debidamente cifrados en el momento de la violación, el requisito de notificación no se aplica. Este puerto seguro de cifrado es una de las formas más sencillas para que las empresas limiten sus obligaciones de notificación de violaciones.
¿Pueden las personas demandar por una violación de datos en Luisiana?
Las personas pueden presentar una acción civil bajo La. R.S. 51:3075 para recuperar daños reales causados por el incumplimiento de proporcionar una notificación oportuna de la violación. Sin embargo, no existe un derecho de acción privado amplio por la violación en sí. La demanda debe basarse en el incumplimiento de la entidad en notificar, no en el acceso no autorizado a los datos. El Fiscal General maneja la aplicación más amplia bajo la Ley de Prácticas Comerciales Desleales.
¿La ley de notificación de violaciones de Luisiana cubre los datos biométricos?
Sí, desde las enmiendas de 2018 a través del SB 361. Luisiana define los datos biométricos como información generada por mediciones automáticas de características biológicas, como huellas dactilares, huellas de voz y escaneos de retina o iris, utilizados para autenticar la identidad de una persona al acceder a un sistema o cuenta. Si los datos biométricos combinados con el nombre de una persona se ven comprometidos en una violación, se aplican los requisitos de notificación.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Updated the SB 386 section to reflect its enactment as Act 502 (the Louisiana Consumer Privacy Act, effective January 1, 2027) with its applicability thresholds and enforcement structure, and repaired the Attorney General reporting-form link.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 5 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
Louisiana Revised Statutes
§ 51:1405Unfair acts or practices; interpretation and rulemaking authorityVigentecitada en 4 de nuestros artículos
A. Unfair methods of competition and unfair or deceptive acts or practices in the conduct of any trade or commerce are hereby declared unlawful. B. The attorney general may make rules and regulations interpreting the provisions of this Chapter consistent with the provisions in R.S. 51:1 through 461.1. Such rules and regulations shall be adopted in the form and manner prescribed by the Administrative Procedure Act, R.S. 49:950 et seq. The validity or applicability of a rule may be determined in an action for declaratory judgment in the district court of the parish in which the division is located or in the parish in which the plaintiff resides or is domiciled. Appeals may be had from any ruling of a district court in accordance with the Code of Civil Procedure, except that such appeals shall be given preference and heard in priority to other appeals.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en legis.la.gov
Citada en 214 opiniones judicialesAplicada por un tribunal por última vez: 2026
Casos destacados: Thibaut v. Thibaut (Louisiana Court of Appeal 1992, 607 So. 2d 587) · Capitol House v. PERRYMAN CONSULT., INC. (Louisiana Court of Appeal 1998, 725 So. 2d 523) · McFadden v. Import One, Inc. (Louisiana Court of Appeal 2011, 10 La.App. 3 Cir. 952)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
También citada en: Leyes de Privacidad Biométrica de Luisiana: Recolección, Consentimiento y Sanciones (2026)
§ 51:3071Short titleVigentecitada en 7 de nuestros artículos
This Chapter may be cited as the "Database Security Breach Notification Law".
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en legis.la.gov
Citada en 1 opiniones judicialesAplicada por un tribunal por última vez: 2007
Casos destacados: Ponder v. Pfizer, Inc. (District Court, M.D. Louisiana 2007, 522 F. Supp. 2d 793)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
También citada en: Leyes de Privacidad de Datos de Luisiana: Guía Integral (2026)
§ 51:3073DefinitionsVigentecitada en 4 de nuestros artículos
As used in this Chapter, the following terms shall have the following meanings: (1) "Agency" means the state, a political subdivision of the state, and any officer, agency, board, commission, department or similar body of the state or any political subdivision of the state. (2) "Breach of the security of the system" means the compromise of the security, confidentiality, or integrity of computerized data that results in, or there is a reasonable likelihood to result in, the unauthorized acquisition of and access to personal information maintained by an agency or person. Good faith acquisition of personal information by an employee or agent of an agency or person for the purposes of the agency or person is not a breach of the security of the system, provided that the personal information is not used for, or is subject to, unauthorized disclosure. (3) "Person" means any individual, corporation, partnership, sole proprietorship, joint stock company, joint venture, or any other legal entity.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en legis.la.gov
§ 51:3074Protection of personal information; disclosure upon breach in the security of personal information; notification requirements; exemptionVigentecitada en 6 de nuestros artículos
A. Any person that conducts business in the state or that owns or licenses computerized data that includes personal information, or any agency that owns or licenses computerized data that includes personal information, shall implement and maintain reasonable security procedures and practices appropriate to the nature of the information to protect the personal information from unauthorized access, destruction, use, modification, or disclosure. B. Any person that conducts business in the state or that owns or licenses computerized data that includes personal information, or any agency that owns or licenses computerized data that includes personal information shall take all reasonable steps to destroy or arrange for the destruction of the records within its custody or control containing personal information that is no longer to be retained by the person or business by shredding, erasing, or otherwise modifying the personal information in the records to make it unreadable or undecipherable through any means. C.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en legis.la.gov
Referencias cruzadas en el propio texto legal: § 51:1405
Citada en 1 opiniones judicialesAplicada por un tribunal por última vez: 2007
Casos destacados: Ponder v. Pfizer, Inc. (District Court, M.D. Louisiana 2007, 522 F. Supp. 2d 793)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 51:3075Recovery of damagesVigentecitada en 2 de nuestros artículos
A civil action may be instituted to recover actual damages resulting from the failure to disclose in a timely manner to a person that there has been a breach of the security system resulting in the disclosure of a person's personal information.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en legis.la.gov
Citada en 1 opiniones judicialesAplicada por un tribunal por última vez: 2007
Casos destacados: Ponder v. Pfizer, Inc. (District Court, M.D. Louisiana 2007, 522 F. Supp. 2d 793)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Fuentes y referencias
- Ley de Notificación de Violación de Seguridad de Bases de Datos de Luisiana (La. R.S. 51:3071 y siguientes)(legis.la.gov).gov
- La. R.S. 51:3073 definiciones de información personal y violación(legis.la.gov).gov
- La. R.S. 51:3074 requisitos de notificación y obligaciones de seguridad(legis.la.gov).gov
- La. R.S. 51:3075 acción civil por daños derivados de fallas de notificación(legis.la.gov).gov
- Ley de Prácticas Comerciales Desleales y Protección al Consumidor de Luisiana (La. R.S. 51:1405)(legis.la.gov).gov
- SB 361 (2018) versión promulgada que amplía los requisitos de notificación de violaciones(legis.la.gov).gov
- Código Administrativo de Luisiana, Título 16, Parte III, Sección 701, requisitos de reporte al Fiscal General(law.cornell.edu)
- Página de reporte de violación de datos del Fiscal General de Luisiana(ag.state.la.us).gov
- SB 386 (Ley 502 de 2026), la Ley de Privacidad de Datos de Luisiana(legis.la.gov).gov