Leyes de Privacidad de Datos de Maine: Privacidad de ISP y Derechos del Consumidor (2026)

Maine protege los datos de los residentes a través de un conjunto de leyes específicas por sector en lugar de una única ley integral de privacidad. La más distintiva es la 35-A MRSA 9301, que exige a los proveedores de servicios de internet de banda ancha obtener el consentimiento de inclusión voluntaria (opt-in) antes de usar o vender los datos de los clientes. Maine es el único estado con este requisito.

Maine ha construido uno de los marcos de privacidad de datos más distintivos de Estados Unidos. En 2019, el estado se convirtió en el primer y único estado en exigir a los proveedores de servicios de internet obtener el consentimiento de inclusión voluntaria antes de usar o vender los datos de los clientes. En 2021, Maine promulgó la prohibición gubernamental de reconocimiento facial más fuerte del país. Estas leyes emblemáticas se suman a los requisitos de notificación de violaciones de datos, las protecciones de datos estudiantiles, las reglas de información de salud y una nueva ley de vigilancia de empleadores que entró en vigor en el verano de 2026.

Maine no cuenta con una ley integral de privacidad de datos del consumidor. Tres proyectos de ley fracasaron en la sesión legislativa 2025-2026: el LD 1822 murió el 13 de abril de 2026, después de que la Cámara se negara a concurrir con las enmiendas del Senado; el LD 1088 y el LD 1224 recibieron cada uno recomendaciones de "No Debe Aprobarse" en junio de 2025. Esta guía cubre todos los estatutos de privacidad de Maine en vigor, sus derechos como residente, las obligaciones de las empresas y lo que agrega la ley federal.

Ley de Privacidad de ISP de Maine (35-A MRSA 9301)

La Ley para Proteger la Privacidad de la Información del Cliente en Línea, firmada por la gobernadora Janet Mills el 6 de junio de 2019, creó el 35-A MRSA Capítulo 94. La ley entró en vigor el 1 de julio de 2020, y sigue siendo única entre los cincuenta estados.

Por Qué Esta Ley Es Única

Maine es el único estado del país que exige a los proveedores de servicios de internet de banda ancha obtener el consentimiento afirmativo y de inclusión voluntaria de los clientes antes de usar, divulgar, vender o permitir el acceso a su información personal. Todos los demás estados con protecciones de privacidad del consumidor, incluido California, usan un modelo de exclusión voluntaria (opt-out) en el que las empresas pueden recopilar y usar datos a menos que el consumidor tome medidas para detenerlo.

Bajo el enfoque de Maine, todos los clientes de ISP están protegidos por defecto sin necesidad de tomar ninguna medida. La carga recae enteramente en el proveedor para obtener el consentimiento expreso.

A Quién se Aplica la Ley

La ley se aplica a cualquier proveedor de servicio de acceso a internet de banda ancha que opere en Maine y atienda a clientes ubicados físicamente en el estado. El servicio de acceso a internet de banda ancha se define como un servicio minorista de mercado masivo por cable o radio que proporciona la capacidad de transmitir datos hacia y recibir datos de todos o sustancialmente todos los puntos finales de internet. El servicio de acceso a internet por conexión telefónica (dial-up) está excluido.

Qué Información Está Protegida

La ley define la información personal del cliente de manera amplia en dos categorías.

Información de identificación personal incluye el nombre del cliente, la dirección de facturación, el número de Seguro Social y otros identificadores directos.

Información basada en el uso incluye el historial de navegación web, el historial de uso de aplicaciones, la información de geolocalización precisa, la información financiera, la información de salud, la información sobre menores, los identificadores de dispositivos y el contenido de las comunicaciones.

Este alcance es mucho más amplio que el de muchas leyes estatales de privacidad porque cubre no solo quién es usted, sino todo lo que hace en línea a través de su conexión de ISP.

Prohibiciones Principales

Un proveedor de banda ancha no puede usar, divulgar, vender ni permitir el acceso a la información personal del cliente a menos que el cliente consienta expresamente ese uso, divulgación, venta o acceso.

De manera crítica, la ley también prohíbe a los proveedores penalizar a los clientes que se nieguen a dar su consentimiento. Un proveedor no puede negarse a atender a un cliente, cobrar una penalización u ofrecer un descuento según si un cliente consiente el uso de sus datos. Esto evita los acuerdos de "pagar por privacidad" que socavan las protecciones de inclusión voluntaria.

Usos Permitidos Sin Consentimiento

Los proveedores pueden acceder a la información personal del cliente sin consentimiento para un conjunto limitado de propósitos: proporcionar el servicio de banda ancha en sí, comercializar servicios de comunicaciones directamente al cliente, cumplir con órdenes judiciales u otros procesos legales, facturación y cobro de pagos, prevención de fraude, y provisión de servicios de emergencia.

Requisitos de Seguridad y Transparencia

Los proveedores deben tomar medidas razonables para proteger la información personal del cliente del uso, divulgación o acceso no autorizados, considerando la naturaleza y el alcance de las actividades del proveedor, la sensibilidad de los datos y el estado actual de la tecnología.

Todo proveedor también debe dar a los clientes un aviso claro, visible y no engañoso en el punto de venta y en el sitio web de acceso público del proveedor, explicando las obligaciones del proveedor y los derechos del cliente bajo la ley.

Aplicación de la Ley

La Comisión de Servicios Públicos de Maine supervisa el cumplimiento de este estatuto. El estatuto no especifica un calendario de sanciones, y los comentaristas legales han señalado que la ausencia de una disposición expresa de aplicación otorga a la Comisión discreción normativa. Los clientes con quejas sobre las prácticas de datos de los ISP pueden contactar directamente a la Comisión.

Ley de Notificación de Violación de Datos (10 MRSA Capítulo 210-B)

La Ley de Aviso de Riesgo a los Datos Personales de Maine, codificada en 10 MRSA 1346-1350, establece los requisitos de notificación de violación de datos del estado. La ley se modificó en 2019 cuando se agregaron los municipios y las unidades administrativas escolares a la lista de entidades cubiertas.

Qué Activa una Notificación

Una violación de seguridad se define como la adquisición, divulgación o uso no autorizados de los datos computarizados de una persona que incluyen información personal y que comprometen la seguridad, confidencialidad o integridad de esa información.

La adquisición, divulgación o uso de buena fe de información personal por parte de un empleado o agente que actúa en nombre de la entidad no califica como una violación, siempre que la información no se use ni esté sujeta a divulgación no autorizada adicional.

Qué Cuenta como Información Personal

Bajo el 10 MRSA 1347, información personal significa el primer nombre o la inicial del primer nombre y el apellido de una persona combinados con uno o más de los siguientes elementos de datos cuando los datos no estén cifrados ni redactados:

• Número de Seguro Social
• Número de licencia de conducir o número de tarjeta de identificación estatal
• Número de cuenta financiera, número de tarjeta de crédito o número de tarjeta de débito (en combinación con cualquier código de seguridad, código de acceso o contraseña requerido)

La definición excluye los registros gubernamentales de disponibilidad pública y las bases de datos de reclamos de seguros de terceros.

Cronograma de Notificación

Las entidades deben proporcionar la notificación tan pronto como sea posible y sin demora injustificada, pero a más tardar 30 días después de tomar conocimiento de la violación e identificar su alcance.

Las entidades también deben notificar a los reguladores estatales correspondientes dentro del Departamento de Regulación Profesional y Financiera, o, si no están reguladas por ese departamento, al Fiscal General, siempre que se requiera notificar a los residentes afectados. La ley no establece un plazo separado para este aviso a los reguladores.

Si las fuerzas del orden determinan que la notificación comprometería una investigación criminal, la entidad puede retrasar la notificación. Una vez que las fuerzas del orden autorizan la notificación, esta debe enviarse dentro de 7 días hábiles.

A Quién se Debe Notificar

Los residentes afectados de Maine cuya información personal se vio comprometida en la violación deben recibir aviso.

El Fiscal General de Maine o el regulador estatal correspondiente debe ser notificado siempre que se requiera notificar a los residentes afectados; la ley no establece un plazo separado para este aviso.

Las agencias de informes de consumidores deben ser notificadas si la violación afecta a 1,000 o más personas.

Los terceros que poseen datos que mantienen información personal en nombre de otra persona deben notificar de inmediato al propietario de los datos cuando se descubra una violación, para que el propietario de los datos pueda iniciar sus propias obligaciones de notificación.

Métodos de Notificación

Las entidades pueden notificar a las personas afectadas mediante aviso por escrito, aviso electrónico (conforme a la ley federal E-SIGN, 15 U.S.C. 7001) o aviso sustitutivo.

El aviso sustitutivo se permite cuando el costo de la notificación directa supera los $5,000, cuando se debe notificar a más de 1,000 personas, o cuando la entidad carece de información de contacto suficiente. El aviso sustitutivo requiere una combinación de notificación por correo electrónico, publicación visible en el sitio web de la entidad y notificación a través de los medios de comunicación estatales.

Sanciones por Infracciones

Bajo el 10 MRSA 1349, las infracciones conllevan sanciones civiles de hasta $500 por infracción, con un máximo de $2,500 por día que una persona permanezca en infracción. Las entidades gubernamentales y las instituciones educativas públicas están exentas de sanciones monetarias.

El Fiscal General aplica la ley para la mayoría de las entidades, mientras que el Departamento de Regulación Profesional y Financiera la aplica para los licenciatarios y las entidades reguladas.

Existe una disposición importante de puerto seguro. Las entidades que cumplen con los requisitos federales o estatales de notificación de violaciones de seguridad de datos que cumplan o superen los estándares de la sección 1348 se consideran en cumplimiento con la ley de Maine.

Las empresas pueden reportar violaciones al estado a través de la página de Violaciones de Seguridad de Datos del Fiscal General de Maine o el formulario de notificación de violación de la Oficina de Seguros de Maine.

Prohibición de Reconocimiento Facial Gubernamental (25 M.R.S. 6001)

Maine promulgó el 25 M.R.S. 6001 en 2021 como la restricción gubernamental de reconocimiento facial más fuerte del país. La ley fue aprobada por unanimidad por la Cámara y el Senado de Maine el 16 y 17 de junio de 2021, promulgada sin firma el 1 de julio de 2021, y entró en vigor el 1 de octubre de 2021.

Alcance: Quién Está Cubierto

La prohibición se aplica a todos los departamentos, agencias gubernamentales estatales, del condado y municipales, y a sus empleados y funcionarios. Esto incluye a las agencias de las fuerzas del orden. La prohibición se extiende a todas las subdivisiones gubernamentales e instrumentalidades públicas. El uso del sector privado del reconocimiento facial no está restringido por este estatuto.

Qué Está Prohibido

Ningún departamento o funcionario gubernamental puede usar o poseer tecnología de vigilancia facial, ni celebrar ningún acuerdo con un tercero para obtener, acceder o usar dicha tecnología. La vigilancia facial se define como cualquier proceso automatizado o semiautomatizado que ayude a identificar o verificar a una persona, o a capturar información sobre una persona, basándose en las características físicas del rostro de esa persona.

Cualquier dato obtenido mediante vigilancia facial en infracción de esta sección debe eliminarse al descubrirse y es inadmisible en cualquier procedimiento ante cualquier funcionario público, departamento, organismo regulador o autoridad.

Excepción Limitada para las Fuerzas del Orden

Las agencias de las fuerzas del orden pueden solicitar una búsqueda de reconocimiento facial al investigar un "delito grave" definido (generalmente uno punible con un año o más de prisión, o delitos menores específicos enumerados) cuando exista causa probable para creer que una persona no identificada representada en una imagen lo cometió. La misma excepción también cubre las solicitudes realizadas para identificar a una persona fallecida o a una persona desaparecida o en peligro. Una solicitud para buscar en el propio sistema de vigilancia facial de Maine debe dirigirse a la Oficina de Vehículos Motorizados. Una solicitud que llegue a la agencia de acreditación de otro estado o al FBI generalmente debe canalizarse a través de la Policía Estatal, salvo en una emergencia que represente un peligro inminente de muerte o lesión grave, o cuando la propia Oficina de Vehículos Motorizados solicite dicha búsqueda para la prevención o investigación de fraude. Los resultados de cualquier búsqueda no pueden usarse como la única base para establecer causa probable para un arresto o para obtener una orden de registro.

Recursos

Una persona lesionada o agraviada por una infracción puede iniciar una acción para obtener medidas cautelares o declarativas o un auto de mandamus. Un empleado o funcionario público que infrinja la ley puede estar sujeto a medidas disciplinarias, incluida la reentrenamiento, suspensión o destitución.

Fracasos del Proyecto de Ley Integral de Privacidad de Maine (2025-2026)

Maine no cuenta con una ley integral de privacidad de datos del consumidor en vigor. Tres proyectos de ley intentaron establecer una en la sesión 2025-2026 de la 132ª Legislatura; los tres fracasaron.

LD 1822 (Ley de Privacidad de Datos en Línea de Maine): Presentado por la representante Amy Kuhn (D-Falmouth), el LD 1822 fue aprobado por la Cámara el 10 de febrero de 2026 y por el Senado el 5 de marzo de 2026 (18-16). Debido a que el Senado modificó el proyecto, este regresó a la Cámara para su concurrencia. El 9 de abril de 2026, la Cámara votó no ceder ni concurrir con las enmiendas del Senado. El proyecto fue colocado en Archivos Legislativos como MUERTO el 13 de abril de 2026.

LD 1088 (Ley de Privacidad de Datos del Consumidor de Maine): Remitido al Comité Judicial, el LD 1088 recibió un informe dividido del comité en junio de 2025. La recomendación de "No Debe Aprobarse" fue aceptada por una votación nominal de 18 votos a favor y 14 en contra. Esa votación le dio al LD 1088 una disposición final de Informe A Aceptado (No Debe Aprobarse) el 25 de junio de 2025, lo que cerró el proyecto para esa sesión en lugar de trasladarlo a la siguiente.

LD 1224 (Ley para Proteger de Manera Integral la Privacidad del Consumidor): El Comité Judicial reportó el LD 1224 con una recomendación de "No Debe Aprobarse" el 16 de junio de 2025, y el proyecto recibió una disposición final de "No Debe Aprobarse Conforme a la Regla Conjunta 310" el 17 de junio de 2025.

El fracaso de los tres proyectos deja a Maine sin derechos integrales de datos orientados al consumidor que cubran a la mayoría de las empresas del sector privado, más allá de los estatutos sectoriales descritos en este artículo. La legislación podría reintroducirse en sesiones futuras.

Ley de Datos del Derecho a Reparar de Maine

En noviembre de 2023, los votantes de Maine aprobaron la Pregunta 4 (la Ley del Derecho a Reparar) con un margen del 84%. La ley exige a los fabricantes de automóviles que venden vehículos en Maine proporcionar a los propietarios y a los talleres de reparación independientes acceso a los datos mecánicos de esos vehículos a través de una plataforma estandarizada, interoperable y autorizada por el propietario.

La implementación ha sido objeto de disputas. La Alianza para la Innovación Automotriz presentó una demanda en enero de 2025 impugnando la aplicación de la ley por parte del Fiscal General Aaron Frey, argumentando que el cumplimiento es imposible porque el Fiscal General no ha designado la "entidad independiente" que la ley requiere para establecer la plataforma de acceso estandarizada. Un Grupo de Trabajo sobre el Derecho a Reparar convocado por la Legislatura ha estado considerando enmiendas y recomendaciones propuestas.

Ley de Privacidad de la Información Estudiantil (20-A MRSA Capítulo 13)

Maine promulgó la Ley de Privacidad de la Información Estudiantil en 2015, con enmiendas en 2017 para ampliar las protecciones. La ley regula cómo los operadores de servicios en línea, los educadores y los terceros recopilan y usan la información personal de los estudiantes de K-12 inscritos en instituciones educativas de Maine.

Actividades Prohibidas

Bajo el 20-A MRSA 953, un operador no puede hacer intencionalmente ninguna de las siguientes cosas sin el consentimiento explícito, por escrito o electrónico, del padre de un estudiante o de un estudiante elegible:

• Vender datos de estudiantes. Los operadores no pueden vender datos de estudiantes, aunque se permiten las adquisiciones por parte de entidades sucesoras si las restricciones continúan aplicándose.
• Realizar publicidad dirigida. Los operadores no pueden usar los datos de los estudiantes para entregar publicidad dirigida en su propia plataforma o en cualquier otro sitio web.
• Construir perfiles no educativos. Los operadores no pueden crear perfiles de estudiantes a menos que los perfiles se usen estrictamente para fines educativos de K-12.
• Divulgar información de identificación personal, excepto para avanzar fines educativos, cumplir con requisitos legales, responder a un proceso judicial, proteger la seguridad, garantizar la seguridad del usuario, o compartirla con proveedores de servicios bajo restricciones contractuales.

Seguridad y Eliminación de Datos

Los operadores deben implementar y mantener procedimientos y prácticas de seguridad razonables para proteger los datos de los estudiantes del acceso, destrucción, uso, modificación y divulgación no autorizados.

Cuando una escuela solicita la eliminación de los datos de un estudiante, el operador debe eliminarlos dentro de 45 días.

El Departamento de Educación de Maine proporciona orientación sobre el cumplimiento de la privacidad de datos estudiantiles, y el estado participa en la Alianza de Privacidad Estudiantil de Maine.

Confidencialidad de la Información de Atención Médica (22 MRSA 1711-C)

La ley de confidencialidad de la información de atención médica de Maine, codificada en el 22 MRSA 1711-C, proporciona protecciones que complementan los requisitos federales de HIPAA. La ley se aplica a los profesionales de atención médica, las instalaciones, las farmacias, los proveedores de atención médica en el hogar y los programas de cuidados paliativos que operan en Maine.

Qué Está Protegido

La ley protege la información de atención médica, definida como los datos que identifican a una persona y se relacionan con su condición física, mental o conductual, historial médico o tratamiento recibido. Esto incluye la información genética y los componentes celulares individuales.

Requisitos de Consentimiento

La autorización por escrito requiere un documento firmado que especifique al destinatario, el tipo de información, el propósito de la divulgación y la duración de la autorización (máximo 30 meses para autorizaciones generales).

La autorización oral se permite cuando el consentimiento por escrito es poco práctico. El profesional debe documentar el nombre de la persona que autoriza, la fecha, la información divulgada y los detalles del destinatario.

Protecciones Clave

El estatuto incluye una restricción crítica sobre las comunicaciones de atención de salud reproductiva y de afirmación de género. Estos registros no pueden divulgarse en procedimientos civiles sin el consentimiento por escrito o una orden judicial que muestre causa justificada.

Sanciones: Las infracciones intencionales conllevan sanciones civiles de hasta $5,000 más costas. Las infracciones repetidas aumentan las sanciones a $10,000 para los profesionales individuales y $50,000 para las instalaciones. Las personas pueden demandar por medidas cautelares y recuperar daños bajo el derecho consuetudinario.

La Oficina de Privacidad del DHHS de Maine proporciona orientación sobre el cumplimiento de los requisitos estatales y federales de privacidad de la información de salud.

Ley de Monitoreo Electrónico de Empleados (LD 61)

Maine promulgó el LD 61, la Ley para Regular la Vigilancia de Empleadores para Proteger a los Trabajadores. La ley entró en vigor alrededor del 14 de julio de 2026, 90 días después del cierre de la sesión legislativa, y ya está vigente.

Definición de Vigilancia del Empleador

La ley define ampliamente la vigilancia del empleador como el monitoreo de un empleado a través de un dispositivo o sistema electrónico, incluyendo computadoras, teléfonos, sistemas por cable o radio, sistemas electromagnéticos o fotoeléctricos y tecnologías similares.

Prácticas Prohibidas

Los empleadores no pueden usar el monitoreo audiovisual en la residencia de un empleado, su vehículo personal o su propiedad privada a menos que el monitoreo sea requerido para las funciones del trabajo. Los empleadores tampoco pueden exigir a los empleados instalar software de vigilancia en dispositivos personales, aunque pueden solicitarlo. Los empleados tienen derecho a negarse.

Requisitos de Aviso

Los empleadores que usan vigilancia deben proporcionar aviso por escrito: a los posibles empleados durante el proceso de entrevista, a todos los empleados actuales al menos una vez por año calendario, y antes de implementar cualquier nuevo sistema de vigilancia.

El Departamento de Trabajo de Maine ha publicado un cartel obligatorio para el lugar de trabajo con los derechos de vigilancia de los empleados.

Exenciones y Sanciones

La ley exime a los sistemas de cámaras de seguridad y seguridad, el rastreo GPS y los sistemas de seguridad vehicular instalados en vehículos propiedad del empleador, y el monitoreo en entornos de servicios de cuidado personal con licencia. Las infracciones conllevan una multa civil de $100 a $500 por infracción, aplicada por el Departamento de Trabajo de Maine. Maine se une a Connecticut, Delaware y Nueva York como uno de los cuatro estados que regulan el monitoreo electrónico en el lugar de trabajo.

Marco Federal de Protección de Datos en Maine

Varios estatutos federales se aplican directamente a las personas y empresas en Maine.

Ley TAKE IT DOWN (Ley Pública 119-12, firmada el 19 de mayo de 2025): Esta ley federal convierte en delito la publicación intencional de imágenes íntimas no consensuadas o deepfakes sexuales generados por IA de personas reales en línea. Las prohibiciones penales entraron en vigor de inmediato tras la firma. Las plataformas que albergan contenido generado por usuarios deben eliminar el material marcado dentro de las 48 horas posteriores a un aviso de eliminación válido. Las obligaciones de las plataformas han sido aplicadas por la FTC desde el 19 de mayo de 2026, con sanciones civiles de hasta $53,088 por infracción. Esta ley se aplica a las plataformas con sede en Maine y beneficia por igual a los residentes de Maine.

HIPAA rige la información de salud en poder de las entidades cubiertas y sus asociados comerciales, complementada por el 22 MRSA 1711-C de Maine.

FERPA protege los registros educativos de los estudiantes en instituciones que reciben fondos educativos federales, complementado por la Ley de Privacidad de la Información Estudiantil de Maine.

COPPA restringe la recolección en línea de información personal de menores de 13 años. La ley de privacidad estudiantil de Maine extiende protecciones adicionales en el contexto de K-12.

La Ley Gramm-Leach-Bliley regula la recolección y divulgación de información financiera del consumidor por parte de las instituciones financieras, con aplicación por parte de la FTC y los reguladores financieros federales.

La Sección 5 de la Ley de la FTC prohíbe los actos o prácticas desleales o engañosas. La FTC ha presentado acciones de aplicación contra empresas en todos los estados por fallas de privacidad y seguridad de datos basándose en esta autoridad, independientemente de la ley estatal.

APRA (Ley Estadounidense de Derechos de Privacidad): Un borrador federal bicameral integral de privacidad en 2024 no fue aprobado. Se discutieron versiones revisadas en 2025. Hasta mayo de 2026, no se ha promulgado ninguna ley federal integral de privacidad del consumidor.

Tabla Comparativa de Sanciones

Cómo Presentar una Queja de Privacidad de Datos en Maine

Si cree que sus derechos de privacidad de datos han sido violados en Maine, puede presentar una queja a través de la División de Protección al Consumidor del Fiscal General de Maine. La oficina del Fiscal General maneja las quejas relacionadas con violaciones de datos, robo de identidad e infracciones de privacidad.

Para inquietudes específicas de privacidad de ISP, las quejas pueden dirigirse a la Comisión de Servicios Públicos de Maine.

Para infracciones de vigilancia en el lugar de trabajo, ahora que el LD 61 está vigente, las quejas deben presentarse ante el Departamento de Trabajo de Maine.

Para infracciones de información de salud, puede presentar quejas ante la Oficina de Privacidad del DHHS de Maine o, donde se aplique HIPAA, ante la Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos de EE. UU.

Más leyes de Maine

¿Busca información sobre otros temas legales de Maine? Explore las guías relacionadas:

• Leyes de Grabación de Reuniones con IA de Maine
• Leyes de Pensión Alimenticia de Maine
• Leyes de Empleo a Voluntad de Maine
• Leyes de Accidentes de Auto de Maine
• Leyes de Asientos de Seguridad para Niños de Maine
• Leyes de Custodia de los Hijos de Maine
• Leyes de Manutención de los Hijos de Maine
• Leyes de Matrimonio de Hecho de Maine
• Leyes de Deepfake de Maine
• Leyes de Divorcio de Maine
• Leyes de Mordedura de Perro de Maine
• Leyes de Emancipación de Maine
• Leyes de Eliminación de Antecedentes de Maine
• Leyes de Atropello y Fuga de Maine
• Leyes de Propietarios e Inquilinos de Maine
• Leyes Limón de Maine