Leyes de Notificación de Violaciones de Datos de Maryland: Reglas y Plazos de Reporte (2026)

La Ley de Protección de Información Personal de Maryland exige que las empresas notifiquen a los residentes afectados por una violación de datos dentro de un plazo de 45 días desde su descubrimiento, conforme a Md. Code Com. Law 14-3504. Antes de enviar las notificaciones individuales, las empresas deben notificar primero al Fiscal General de Maryland, lo que convierte a Maryland en uno de los pocos estados que exige la notificación al Fiscal General antes de contactar a los consumidores.

Maryland toma con seriedad la notificación de violaciones de datos. Conforme a la Ley de Protección de Información Personal de Maryland (MPIPA), las empresas que sufren una violación de seguridad deben actuar con rapidez, notificando tanto al Fiscal General como a las personas afectadas dentro de un plazo ajustado de 45 días. Este es uno de los plazos más cortos entre los estados de EE. UU., y el requisito de notificar primero al Fiscal General agrega una capa adicional de responsabilidad.

La ley, codificada en Md. Code, Com. Law § 14-3504, se aplica a cualquier empresa que posea, tenga bajo licencia o mantenga datos informatizados que contengan información personal de residentes de Maryland. Un estatuto separado, Md. Code, State Govt. § 10-1305, impone obligaciones paralelas a las agencias estatales y locales del gobierno.

Esta guía desglosa quién debe cumplir, qué activa la obligación de notificar, el proceso de reporte con prioridad al Fiscal General, los mecanismos de aplicación y cómo la nueva Ley de Privacidad de Datos en Línea de Maryland (MODPA) se suma a este panorama.

Qué Califica Como una Violación de Seguridad

Conforme al § 14-3504(a)(1), una "violación de la seguridad de un sistema" significa la adquisición no autorizada de datos informatizados que compromete la seguridad, confidencialidad o integridad de la información personal mantenida por una empresa.

La definición se centra en la adquisición real, no en el simple acceso. Si alguien accede a un sistema sin autorización pero no adquiere información personal, es posible que no se aplique el requisito de notificación.

Maryland incluye una excepción de buena fe en el § 14-3504(a)(2). Un empleado o agente que adquiere información personal en el curso normal del negocio no activa la notificación de violación de datos, siempre que la información no se utilice para un fin no autorizado ni se divulgue posteriormente.

El Puerto Seguro de Cifrado

Maryland proporciona un puerto seguro claro para los datos cifrados. Si la información personal comprometida estaba cifrada, redactada o convertida de otro modo en ilegible o inutilizable, no se aplica la obligación de notificar, independientemente de que la clave de cifrado se haya visto comprometida posteriormente.

Existe una excepción por clave de cifrado comprometida en la ley de Maryland, pero solo para las agencias estatales y locales del gobierno conforme a un estatuto separado, Md. Code, State Govt. § 10-1305: una entidad gubernamental no está obligada a notificar a menos que sepa que la clave de cifrado fue vulnerada. Esa excepción no se aplica a las empresas conforme al § 14-3504. Las empresas deben seguir documentando sus prácticas de cifrado para demostrar que el puerto seguro aplica.

Información Personal Que Activa la Notificación

Maryland tiene una de las definiciones más amplias de información personal protegida entre las leyes estatales de notificación de violaciones de datos. Conforme al § 14-3501(e), la información personal significa el nombre o la inicial del nombre de una persona combinado con su apellido, junto con uno o más de los siguientes elementos de datos (cuando no estén cifrados, redactados o protegidos de otro modo):

• Número de Seguro Social, número de identificación individual del contribuyente (ITIN) o número de pasaporte, u otro número de identificación emitido por el gobierno federal
• Número de licencia de conducir o número de tarjeta de identificación estatal de Maryland
• Número de cuenta financiera, número de tarjeta de crédito o de débito, combinado con cualquier código de seguridad, código de acceso o contraseña requerido que permita el acceso a la cuenta
• Información de salud, incluida la información sobre condiciones de salud mental o física, historial médico o tratamiento por parte de un profesional de la salud
• Número de póliza de seguro médico, número de identificación del suscriptor u otro identificador único utilizado por una aseguradora de salud, combinado con un identificador único utilizado por la aseguradora o el empleador
• Datos biométricos, incluidas las huellas dactilares, impresiones de voz, huellas genéticas, imágenes de retina o iris, y otras características biológicas únicas utilizadas para autenticación
• Información genética, incluidos los datos del análisis de ADN, cromosomas, alelos, genomas y polimorfismos de secuencias genéticas
• Nombre de usuario o dirección de correo electrónico combinado con una contraseña o pregunta de seguridad y su respuesta que permitiría el acceso a una cuenta en línea

Esta lista es notablemente completa. Maryland fue uno de los primeros estados en incluir los datos biométricos, la información genética y los identificadores de seguro médico como categorías protegidas.

Qué No Cuenta Como Información Personal

La información disponible públicamente y obtenida legalmente de registros gubernamentales federales, estatales o locales queda excluida de la definición. También queda excluida la información que una persona haya consentido que se difunda o se liste públicamente, y la información difundida o listada conforme a la ley federal de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA).

El Plazo de Notificación de 45 Días

Maryland impone un plazo firme de 45 días para notificar a las personas afectadas. Conforme al § 14-3504, las empresas deben proporcionar la notificación a más tardar 45 días después de descubrir la violación o ser notificadas de ella.

El plazo comienza a correr desde el descubrimiento, no desde la conclusión de una investigación. Esta es una distinción importante. Algunos estados hacen que el plazo comience solo después de que la empresa haya confirmado la violación mediante una investigación. El enfoque de Maryland ejerce más presión sobre las empresas para actuar con rapidez.

Requisito de Investigación

Antes de enviar las notificaciones, una empresa debe llevar a cabo una investigación de buena fe, razonable y oportuna para determinar si la información personal ha sido, o será, objeto de uso indebido como resultado de la violación. Si la investigación determina que el uso indebido de la información personal no ha ocurrido y no es razonablemente probable que ocurra, es posible que no se exija la notificación.

Sin embargo, la empresa debe documentar esa determinación y conservar los registros durante tres años. Este requisito de documentación le da al Fiscal General una base para revisar si la decisión de no notificar estuvo justificada.

Retraso por Aplicación de la Ley

La notificación puede retrasarse si una agencia de aplicación de la ley determina que impediría una investigación penal o pondría en riesgo la seguridad interior o la seguridad nacional. Una vez que la aplicación de la ley autoriza el retraso, el § 14-3504(d)(2)(i) fija el plazo según el punto en que se encuentre el plazo de 45 días: si el plazo original de 45 días ya transcurrió, la empresa cuenta con 7 días a partir de la autorización; si aún no ha transcurrido, la notificación sigue venciendo al final de ese plazo original de 45 días. El retraso no extiende el plazo más allá de 45 días por defecto.

La notificación separada que un manejador de datos externo debe al propietario de los datos conforme al inciso (c) funciona de manera distinta: en ese caso, el plazo siempre es de 7 días después de que la aplicación de la ley autorice el retraso.

Notificación al Fiscal General: La Regla de Prioridad al Fiscal General

Maryland se distingue entre las leyes estatales de notificación de violaciones de datos por su requisito de notificación con prioridad al Fiscal General. Conforme al § 14-3504, las empresas deben notificar a la Oficina del Fiscal General antes de enviar las notificaciones a las personas afectadas.

La notificación al Fiscal General debe incluir:

• El número de residentes de Maryland afectados por la violación
• Una descripción de la violación, incluido cuándo y cómo ocurrió
• Las medidas que la empresa ha tomado o planea tomar en respuesta a la violación
• El plazo en el que se enviarán las notificaciones individuales
• Una copia de muestra de la notificación que se enviará a las personas afectadas

Este enfoque de prioridad al Fiscal General le da a la oficina del Fiscal General la oportunidad de revisar la violación y la notificación planificada antes de que los consumidores la reciban. También permite al Fiscal General coordinarse con la empresa si la notificación es inadecuada o si la violación plantea preocupaciones más amplias de protección al consumidor.

Las notificaciones de violaciones de datos deben dirigirse a la Unidad de Robo de Identidad de la División de Protección al Consumidor, en 200 St. Paul Place, Baltimore, MD 21202, o por correo electrónico a idtheft@oag.state.md.us.

Métodos de Notificación Individual

Maryland permite varios métodos para notificar a las personas afectadas:

• Notificación escrita enviada por correo a la dirección más reciente registrada
• Notificación por correo electrónico, si la persona previamente consintió las comunicaciones electrónicas o si la empresa realiza sus negocios principalmente a través de transacciones en línea
• Notificación telefónica al número de teléfono más reciente registrado
• Notificación sustitutiva, disponible cuando se cumplen condiciones específicas

Notificación Sustitutiva

Una empresa puede utilizar la notificación sustitutiva únicamente si no cuenta con información de contacto suficiente para proporcionar una notificación directa. A diferencia de la regla paralela para las agencias gubernamentales, la disposición de notificación sustitutiva para empresas de Maryland no incluye un umbral de costo ni de número de personas afectadas.

La notificación sustitutiva requiere las tres acciones siguientes: enviar un correo electrónico a las personas afectadas cuyas direcciones estén disponibles, publicar un aviso visible en el sitio web de la empresa, y notificar a los principales medios impresos o de difusión en las áreas geográficas donde probablemente residan las personas afectadas.

Contenido Requerido de las Notificaciones Individuales

Las notificaciones individuales de violaciones de datos deben incluir:

• Una descripción de las categorías de información personal comprometida
• Información de contacto de la empresa
• Información de contacto de las agencias de informes crediticios
• Detalles de contacto de la Comisión Federal de Comercio y del Fiscal General de Maryland, junto con información sobre la prevención del robo de identidad

Regla Especial para Violaciones que Involucran Solo Correo Electrónico

Cuando una violación involucra únicamente el acceso a una cuenta de correo electrónico sin otra información personal, la empresa puede proporcionar una notificación simplificada indicando a la persona afectada que cambie su contraseña y sus preguntas de seguridad.

Manejadores de Datos Externos

Las empresas que mantienen información personal en nombre de otra entidad (como proveedores de servicios en la nube, procesadores de pagos o proveedores de TI) tienen obligaciones separadas. Un manejador de datos externo debe notificar al propietario de los datos dentro de los 10 días posteriores al descubrimiento de una violación.

El manejador externo no puede cobrar al propietario de los datos ninguna tarifa por proporcionar información sobre la violación. Esta disposición evita que los proveedores monetizen la información sobre violaciones de datos a expensas de una notificación oportuna.

Obligaciones de las Agencias Gubernamentales

Las agencias estatales y locales del gobierno de Maryland están sujetas a requisitos paralelos de notificación de violaciones de datos conforme a Md. Code, State Govt. § 10-1305. Las obligaciones son similares a las de las empresas privadas, con algunas diferencias.

Las agencias gubernamentales deben notificar a las personas afectadas "tan pronto como sea razonablemente posible" después de la investigación. También deben notificar al Fiscal General antes de la notificación individual. Ciertas agencias estatales están adicionalmente obligadas a notificar al Departamento de Tecnología de la Información.

Los umbrales de notificación sustitutiva difieren para las agencias gubernamentales: el umbral de costo es de $100,000 y el umbral de personas afectadas es de 175,000.

Aplicación y Sanciones

Aplicación por el Fiscal General a Través de la Ley de Protección al Consumidor

Conforme al § 14-3508, las infracciones a la ley de notificación de violaciones de datos de Maryland constituyen prácticas comerciales injustas o engañosas conforme al Título 13 del Artículo de Derecho Comercial, que es la Ley de Protección al Consumidor de Maryland.

Esto significa que la División de Protección al Consumidor del Fiscal General tiene plena autoridad de aplicación, incluida la facultad de:

• Emprender acciones civiles contra las empresas infractoras
• Emitir órdenes de cese y desistimiento
• Solicitar restitución para los consumidores afectados
• Imponer sanciones civiles

Montos de las Sanciones

Conforme al § 13-410, una empresa que infrinja la ley enfrenta multas de hasta $10,000 por infracción. Una empresa que repita la misma infracción después de una determinación previa enfrenta multas de hasta $25,000 por infracción reincidente.

Al calcular las sanciones, la División de Protección al Consumidor considera la gravedad de la infracción, los esfuerzos de buena fe de la empresa, su historial de infracciones previas y el efecto disuasorio del monto de la sanción.

Derecho de Acción Privada a Través de la Ley de Protección al Consumidor

El § 14-3504 no crea, por sí mismo, un derecho de acción privada independiente, y el cumplimiento cotidiano de los requisitos de notificación de violaciones recae principalmente en el Fiscal General. Pero el § 14-3508 convierte una infracción de la ley de notificación de violaciones en una práctica comercial injusta o engañosa bajo el Título 13 del Artículo de Derecho Comercial, la Ley de Protección al Consumidor de Maryland. La propia disposición de acción privada del Título 13, el § 13-408, permite que cualquier persona que sufra un perjuicio o pérdida por una práctica prohibida por el Título 13 presente una demanda civil, y una parte demandante que prevalezca puede recuperar honorarios de abogado razonables.

Debido a que una infracción de notificación de violaciones se considera una infracción del Título 13, los residentes de Maryland perjudicados por el incumplimiento pueden tener un derecho de acción privada a través de esta vía de la Ley de Protección al Consumidor, no solo mediante la facultad de aplicación del Fiscal General. Las personas también pueden seguir presentando reclamos bajo teorías de derecho consuetudinario, como negligencia, incumplimiento de contrato u otros estatutos aplicables.

Cómo Afecta la MODPA las Obligaciones de Violaciones de Datos

La Ley de Privacidad de Datos en Línea de Maryland (MODPA), que entró en vigor el 1 de octubre de 2025, agrega un marco integral de privacidad que opera junto a la ley de notificación de violaciones de datos existente. Aunque la MODPA no reemplaza ni modifica directamente el § 14-3504, tiene implicaciones significativas para la prevención y la respuesta a violaciones de datos.

La Minimización de Datos Reduce el Riesgo de Violaciones

La MODPA exige que las empresas limiten la recopilación de datos personales a lo "razonablemente necesario y proporcional" para proporcionar un producto o servicio específico solicitado por el consumidor. Este estricto estándar de minimización de datos significa que las empresas deberían mantener menos datos personales en general, lo que reduce tanto la probabilidad como el impacto potencial de una violación de datos.

Protecciones de Datos Sensibles

La MODPA define los datos sensibles en el § 14-4701(gg) e incluye los datos genéticos y biométricos, los datos de salud del consumidor, los datos de geolocalización precisa, los datos que revelan el origen racial o étnico, las creencias religiosas, la vida sexual, la orientación sexual, la condición de persona transgénero o no binaria, el origen nacional, o la condición de ciudadanía o estatus migratorio, y los datos personales de un consumidor que el controlador sabe o tiene razones para saber que es un menor. "Menor" tiene aquí el significado que le da la COPPA, es decir, una persona menor de 13 años, no menor de 18 años.

Maryland deliberadamente no adoptó el estándar de consentimiento que usan otras leyes estatales de privacidad para los datos sensibles. Conforme al § 14-4707(a)(1), un controlador no puede recopilar, procesar ni compartir datos sensibles en absoluto, excepto cuando la recopilación o el procesamiento sea estrictamente necesario para proporcionar o mantener un producto o servicio específico que el consumidor haya solicitado. Un consumidor no puede otorgar consentimiento más allá de ese límite. El § 14-4707(a)(2) prohíbe por separado la venta total de datos sensibles.

Los consumidores menores de 18 años están cubiertos por un par de reglas distintas, no por la definición de datos sensibles: el § 14-4707(a)(4) y (a)(5) prohíben la publicidad dirigida a, y la venta de los datos personales de, un consumidor que el controlador supiera o debiera haber sabido que es menor de 18 años.

Una violación que involucre datos sensibles podría activar la aplicación tanto bajo la MODPA como bajo el estatuto de notificación de violaciones de datos.

Capa Adicional de Aplicación

Las infracciones a la MODPA también se clasifican como prácticas comerciales injustas o engañosas, lo que otorga al Fiscal General autoridad de aplicación paralela. Antes de emprender una acción, el Fiscal General puede emitir un aviso de infracción y otorgar al menos 60 días para que la empresa subsane la infracción, si es posible subsanarla. Este periodo de subsanación de 60 días no se aplica a las obligaciones separadas de notificación de violaciones de datos bajo el § 14-3504.

Evaluaciones de Protección de Datos

La MODPA exige que las empresas realicen evaluaciones de protección de datos para las actividades de procesamiento de alto riesgo. Si una empresa no realiza las evaluaciones requeridas y posteriormente sufre una violación de datos, esa omisión podría fortalecer el caso de aplicación del Fiscal General tanto bajo la MODPA como bajo la ley de notificación de violaciones de datos.

Cómo se Compara Maryland

El plazo de notificación de 45 días de Maryland está entre los más cortos a nivel nacional. Florida exige la notificación dentro de 30 días, mientras que muchos estados utilizan un estándar más vago de "el tiempo más expedito posible" sin un plazo fijo. El requisito de notificación con prioridad al Fiscal General de Maryland también es distintivo. La mayoría de los estados exigen la notificación al Fiscal General al mismo tiempo que la notificación individual, o solo por encima de ciertos umbrales. El enfoque de Maryland de exigir la notificación al Fiscal General antes que la notificación individual le da al estado mayor supervisión del proceso.

La amplitud de la definición de información personal de Maryland, que cubre ocho categorías, incluidos los datos biométricos y genéticos, la coloca en el nivel superior de protecciones estatales.

Para una visión más amplia del panorama de privacidad de datos de Maryland, incluido el marco de la MODPA, consulte nuestra guía de Leyes de Privacidad de Datos de Maryland.

Más Leyes de Maryland

• Leyes de Grabación de Reuniones con IA de Maryland
• Leyes de Pensión Alimenticia Conyugal de Maryland
• Leyes de Empleo a Voluntad de Maryland
• Leyes sobre Accidentes de Auto de Maryland
• Leyes sobre Asientos de Auto para Niños de Maryland
• Leyes de Custodia de Menores de Maryland
• Leyes de Manutención Infantil de Maryland
• Leyes de Matrimonio de Hecho de Maryland
• Leyes sobre Deepfakes de Maryland
• Leyes de Divorcio de Maryland
• Leyes sobre Mordeduras de Perro de Maryland
• Leyes de Emancipación de Maryland
• Leyes de Eliminación de Antecedentes de Maryland
• Leyes sobre Fuga del Lugar del Accidente de Maryland
• Leyes de Arrendador-Inquilino de Maryland
• Ley del Limón de Maryland

Este artículo ofrece información legal general sobre los requisitos de notificación de violaciones de datos de Maryland. No constituye asesoría legal ni crea una relación abogado-cliente. La respuesta ante una violación de datos implica obligaciones sensibles al tiempo. Consulte a un abogado calificado con licencia en Maryland para obtener orientación específica sobre su situación.

Preguntas frecuentes

¿Con qué rapidez debe una empresa notificar a los residentes de Maryland sobre una violación de datos?

La ley de Maryland exige la notificación dentro de un plazo de 45 días después de que la empresa descubra o sea notificada de la violación. Este es uno de los plazos fijos más cortos entre los estados de EE. UU. El plazo puede extenderse si la aplicación de la ley determina que la notificación impediría una investigación penal o pondría en riesgo la seguridad interior o la seguridad nacional. Una vez que la aplicación de la ley autoriza el retraso, la notificación vence al final del plazo original de 45 días, o dentro de los 7 días posteriores a la autorización si ese plazo de 45 días ya transcurrió.

¿Exige Maryland la notificación al Fiscal General antes de notificar a las personas?

Sí. Maryland es uno de los pocos estados que exige a las empresas notificar al Fiscal General antes de enviar las notificaciones individuales. La notificación al Fiscal General debe incluir el número de residentes de Maryland afectados, una descripción de la violación, las medidas tomadas en respuesta, el plazo de notificación y una copia de muestra de la notificación que se enviará a las personas.

¿Están exentos los datos cifrados de la ley de notificación de violaciones de datos de Maryland?

Los datos cifrados califican para un puerto seguro bajo la ley de Maryland. Si la información personal estaba cifrada, redactada o convertida de otro modo en ilegible, no se exige la notificación para las empresas conforme al § 14-3504, independientemente de que la clave de cifrado se haya visto comprometida posteriormente. Una regla separada para las agencias estatales y locales del gobierno conforme al § 10-1305 sí elimina el puerto seguro si la entidad gubernamental sabe que la clave de cifrado fue vulnerada.

¿Pueden las personas demandar por una infracción de notificación de violación de datos en Maryland?

No directamente bajo el § 14-3504 en sí, pero el § 14-3508 considera que una infracción de notificación de violaciones es una práctica comercial injusta o engañosa bajo la Ley de Protección al Consumidor de Maryland (Título 13), y el § 13-408 del Título 13 permite que cualquier persona perjudicada por dicha infracción presente una demanda civil y recupere honorarios de abogado. Por lo tanto, las personas afectadas pueden tener un derecho de acción privada a través de esa vía, además de la autoridad de aplicación del Fiscal General. Las personas también pueden seguir presentando reclamos bajo teorías de derecho consuetudinario, como negligencia, incumplimiento de contrato u otros estatutos aplicables.

¿Cómo afecta la MODPA las obligaciones de violaciones de datos en Maryland?

La Ley de Privacidad de Datos en Línea de Maryland (MODPA), vigente desde el 1 de octubre de 2025, agrega un marco integral de privacidad sobre la ley de notificación de violaciones de datos existente. La MODPA exige una estricta minimización de datos, prohíbe recopilar o procesar datos sensibles salvo que sea estrictamente necesario para proporcionar o mantener un producto o servicio específico solicitado por el consumidor, y exige evaluaciones de protección de datos. Aunque no modifica directamente el estatuto de notificación de violaciones de datos, una violación que involucre datos regulados por la MODPA podría activar la aplicación bajo ambas leyes, con sanciones de hasta $10,000 por infracción bajo cada una.