Minnesota
Leyes de Notificación de Violaciones de Datos de Minnesota: Reglas de Reporte y Plazos (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 15 de agosto de 2026. · 5 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Minnesota exige que las empresas notifiquen a los residentes afectados sobre una violación de datos en el plazo más expedito posible y sin demora injustificada, sin un límite de días fijo, según . La ley se aplica a cualquier entidad que posea o tenga licencia sobre datos personales pertenecientes a residentes de Minnesota.
La ley de notificación de violaciones de datos de Minnesota exige que cualquier empresa que posea o tenga licencia sobre datos personales notifique a los residentes afectados cuando esos datos se ven comprometidos. Codificada en Minn. Stat. 325E.61, la ley está vigente desde 2006 y se aplica a las entidades que realizan negocios en el estado, independientemente de dónde tengan su sede.
Esta guía cubre el alcance completo de los requisitos de notificación de violaciones de Minnesota, incluyendo quién debe cumplir, qué información personal activa la ley, el plazo de notificación, el puerto seguro de cifrado, las reglas para entidades gubernamentales según Minn. Stat. 13.055, y cómo la Ley de Privacidad de Datos del Consumidor de Minnesota (MCDPA) interactúa con las obligaciones de notificación de violaciones.
Quién Debe Cumplir con la Ley de Notificación de Violaciones de Minnesota
La ley de Minnesota se aplica a cualquier persona o empresa que realice negocios en el estado y posea o tenga licencia sobre datos que incluyan información personal. Esto cubre corporaciones, sociedades, propietarios únicos, organizaciones sin fines de lucro, y cualquier otra entidad que recopile o mantenga datos personales pertenecientes a residentes de Minnesota.
La ley distingue entre propietarios de datos y quienes mantienen los datos. Si un proveedor de servicios externo mantiene información personal en nombre de otra entidad, ese proveedor debe notificar al propietario de los datos inmediatamente después de descubrir una violación. El propietario de los datos entonces asume la obligación de notificar a los consumidores afectados.
Las instituciones financieras reguladas bajo la ley federal están exentas de la sección 325E.61 según la Subdivisión 4. Estas instituciones siguen marcos federales de notificación de violaciones como los establecidos por la Ley Gramm-Leach-Bliley.
Qué Califica Como una Violación Bajo la Ley de Minnesota
Según Minn. Stat. 325E.61, Subd. 1(d), una violación de la seguridad del sistema significa la adquisición no autorizada de datos computarizados que compromete la seguridad, confidencialidad o integridad de la información personal mantenida por la entidad.
El término "adquisición no autorizada" es amplio. Incluye la piratería informática, el robo, el mal uso interno, y la exposición accidental a partes no autorizadas.
Excepción de Buena Fe
La ley de Minnesota incluye una excepción de buena fe. La adquisición de información personal por parte de un empleado o agente de la entidad no cuenta como una violación si la información se obtuvo con un propósito lícito y no se usa ni divulga sin autorización.
El Puerto Seguro de Cifrado
Minnesota proporciona un puerto seguro claro para los datos cifrados. Si la información personal que fue violada estaba cifrada o se hizo ilegible de otra manera, no se requiere notificación. La condición crítica es que la clave de cifrado o contraseña no debe haber sido adquirida junto con los datos cifrados.
Esto significa que las empresas que cifran la información personal en reposo y en tránsito pueden evitar las obligaciones de notificación, pero solo cuando las claves permanecen seguras. Si tanto los datos cifrados como la clave de descifrado se ven comprometidos, se aplican los requisitos completos de notificación.
Información Personal que Activa la Notificación
La definición de información personal de Minnesota según Minn. Stat. 325E.61, Subd. 1(e) sigue el modelo tradicional de "nombre-más". Requiere el nombre o la inicial del nombre y el apellido de una persona combinados con uno o más de los siguientes elementos de datos:
- Número de Seguro Social
- Número de licencia de conducir o número de tarjeta de identificación del estado de Minnesota
- Número de cuenta, número de tarjeta de crédito o número de tarjeta de débito combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permita el acceso a la cuenta financiera de la persona
La información personal no incluye datos que se obtienen legalmente de fuentes disponibles al público o de registros gubernamentales federales, estatales o locales que están legalmente disponibles para el público en general.
Lo Que la Ley de Minnesota No Cubre
En comparación con muchos estados que han modernizado sus estatutos de notificación de violaciones en años recientes, la definición de información personal de Minnesota es notablemente restringida. La ley no cubre:
- Datos biométricos (huellas dactilares, escaneos de retina, huellas de voz, geometría facial)
- Información médica o de salud
- Números de identificación de seguro médico
- Números de pasaporte
- Credenciales de inicio de sesión (nombres de usuario combinados con contraseñas o preguntas de seguridad)
- Números de identificación fiscal (distintos del número de Seguro Social)
Este vacío significa que una violación que exponga miles de registros de huellas dactilares o historiales médicos pertenecientes a residentes de Minnesota no activaría la notificación bajo la sección 325E.61. La MCDPA clasifica los datos biométricos como datos personales sensibles que requieren consentimiento previo antes de su procesamiento, pero no extiende el activador de notificación de violaciones para cubrir las violaciones de datos biométricos.
Plazo de Notificación: "Sin Demora Injustificada"
Minnesota exige la notificación "en el plazo más expedito posible y sin demora injustificada" después del descubrimiento de una violación. A diferencia de estados como Indiana (45 días) o Florida (30 días), Minnesota no establece un número específico de días.
Este estándar brinda a las empresas cierta flexibilidad para investigar el alcance de una violación antes de enviar notificaciones, pero también crea ambigüedad. Lo que cuenta como "injustificado" depende de las circunstancias, y el Fiscal General puede evaluar los retrasos caso por caso.
Cuándo se Permite el Retraso
La notificación puede retrasarse si una agencia de aplicación de la ley determina que la divulgación impediría una investigación criminal. Una vez que las fuerzas del orden confirman que la notificación ya no comprometerá la investigación, la entidad debe notificar a las personas afectadas de inmediato.
Los retrasos para restaurar la integridad del sistema de datos y determinar el alcance de la violación también se consideran razonables, siempre que la entidad actúe con diligencia.
Quién Debe Ser Notificado
Personas Afectadas
La obligación principal es notificar a cada residente de Minnesota cuya información personal no cifrada fue, o se cree razonablemente que fue, adquirida por una persona no autorizada.
Agencias de Informes Crediticios del Consumidor
Según Minn. Stat. 325E.61, Subd. 2, cuando una violación afecta a más de 500 personas, la entidad debe notificar a las principales agencias nacionales de informes crediticios del consumidor dentro de las 48 horas. Esta ventana de 48 horas para la notificación a las agencias de informes crediticios es notablemente rápida en comparación con el estándar general de "sin demora injustificada" para la notificación individual.
Las tres agencias principales son:
- Equifax
- Experian
- TransUnion
Sin Requisito General de Notificación al Fiscal General
A diferencia de muchos estados, el estatuto general de notificación de violaciones de Minnesota (325E.61) no exige que las empresas notifiquen al Fiscal General estatal cuando ocurre una violación. Sin embargo, el Fiscal General de Minnesota conserva la autoridad de aplicación sobre el estatuto y puede investigar las violaciones de forma independiente. Las empresas también deben tener en cuenta que el Fiscal General puede solicitar detalles de la violación durante las acciones de aplicación de la ley.
Cómo Proporcionar la Notificación
La ley de Minnesota permite varios métodos para notificar a las personas afectadas según Minn. Stat. 325E.61, Subd. 1(g):
- Notificación escrita enviada por correo a la dirección más reciente registrada de la persona
- Notificación electrónica si el correo electrónico es el método principal de comunicación de la entidad con la persona, o si la notificación se proporciona de conformidad con las disposiciones sobre registros electrónicos de la ley federal de Firmas Electrónicas en el Comercio Global y Nacional (E-SIGN); el estatuto establece ambas condiciones como alternativas independientes
Notificación Sustitutiva
La notificación sustitutiva está disponible cuando el costo de la notificación estándar superaría los $250,000, cuando la clase afectada supera las 500,000 personas, o cuando la entidad carece de información de contacto suficiente. La notificación sustitutiva requiere las tres acciones siguientes:
- Notificación por correo electrónico a todas las personas afectadas para las cuales la entidad tenga direcciones de correo electrónico
- Publicación visible del aviso en el sitio web de la entidad
- Notificación a los principales medios de comunicación a nivel estatal
Datos de Tarjetas de Pago: Sección 325E.64
Minn. Stat. 325E.64 agrega protecciones específicas para los datos de tarjetas de pago. Este estatuto prohíbe a las empresas que aceptan tarjetas de crédito o débito conservar los códigos de seguridad de la tarjeta, los códigos de verificación de PIN, o los datos completos de la banda magnética después de que una transacción es autorizada (o dentro de las 48 horas para transacciones de débito con PIN).
Si una empresa infringe esta prohibición de retención y ocurre una violación, la empresa debe reembolsar a las instituciones financieras los costos razonables relacionados con la violación. Estos costos incluyen:
- Gastos de reemisión de tarjetas
- Costos de cierre y reapertura de cuentas
- Gastos de notificación al consumidor
- Pérdidas por transacciones no autorizadas
Esto convierte a Minnesota en uno de los pocos estados con un derecho legal que permite a las instituciones financieras recuperar los costos relacionados con la violación de los comerciantes y proveedores de servicios que conservaron indebidamente los datos de las tarjetas.
Violaciones de Entidades Gubernamentales: Sección 13.055
Las entidades gubernamentales estatales y locales de Minnesota siguen un estatuto separado de notificación de violaciones, Minn. Stat. 13.055. Esta ley cubre las violaciones de datos privados o confidenciales mantenidos por agencias gubernamentales.
Diferencias Clave con el Estatuto del Sector Privado
La notificación de violaciones gubernamentales bajo la sección 13.055 tiene varias características distintivas:
- Se requiere un informe de investigación: Las entidades gubernamentales deben preparar un informe por escrito que documente los tipos de datos a los que se accedió, el número de personas afectadas, los nombres de los empleados responsables (con excepciones limitadas), y cualquier resultado disciplinario.
- El umbral para las agencias de informes crediticios es de 1,000: Las entidades gubernamentales deben notificar a las agencias de informes crediticios del consumidor cuando las violaciones afectan a más de 1,000 personas, en comparación con el umbral de más de 500 personas para las entidades privadas bajo la sección 325E.61.
- Evaluaciones de seguridad anuales: Las entidades gubernamentales deben realizar evaluaciones de seguridad integrales anuales de la información personal que mantienen.
- Acceso del auditor: El Auditor Legislativo y el Auditor Estatal conservan acceso a los datos no públicos para las funciones oficiales de auditoría relacionadas con las investigaciones de violaciones.
El plazo de notificación refleja el estándar del sector privado: "en el plazo más expedito posible y sin demora injustificada."
Aplicación de la Ley y Sanciones
El Fiscal General de Minnesota hace cumplir la ley de notificación de violaciones según Minn. Stat. 325E.61, Subd. 6. La Sección 325E.61 no crea un derecho de acción privado expreso, y ningún tribunal de apelaciones de Minnesota ha resuelto de manera definitiva si el recurso privado del Minn. Stat. 8.31, subd. 3a (fiscal general privado) alcanza las infracciones de notificación de violaciones, por lo que las demandas privadas bajo esta teoría siguen sin estar probadas.
El Fiscal General puede iniciar acciones de aplicación de la ley bajo los estatutos de protección al consumidor del estado, incluyendo buscar medidas cautelares y sanciones civiles. El estatuto de fraude al consumidor de Minnesota permite al Fiscal General buscar sanciones de hasta $25,000 por infracción.
Aunque la ley de notificación de violaciones de Minnesota no especifica su propio calendario de sanciones, la autoridad de aplicación del Fiscal General a través de la ley de protección al consumidor proporciona una rendición de cuentas significativa. Las empresas que no notifican o retrasan injustificadamente la notificación enfrentan investigación y posibles sanciones.
Prohibición de Renuncia
Según Minn. Stat. 325E.61, Subd. 3, cualquier renuncia a los requisitos de notificación es nula e inaplicable por ser contraria al orden público. Las empresas no pueden incluir disposiciones contractuales que renuncien o limiten sus obligaciones de notificación de violaciones.
Cómo Interactúa la MCDPA con la Notificación de Violaciones
La Ley de Privacidad de Datos del Consumidor de Minnesota (MCDPA), vigente desde el 31 de julio de 2025, creó un marco integral de privacidad para Minnesota. Se aplica a las entidades que controlan o procesan datos personales de 100,000 o más consumidores anualmente, o que obtienen más del 25% de los ingresos brutos de la venta de datos personales y procesan datos de 25,000 o más consumidores.
La MCDPA no reemplaza ni enmienda el estatuto de notificación de violaciones. Según la Sección 325O.04(b)(2), los encargados del tratamiento de datos deben asistir a los responsables del tratamiento en relación con la "notificación de una violación de la seguridad del sistema según la sección 325E.61." Esto incorpora directamente el marco existente de notificación de violaciones a los acuerdos de encargados del tratamiento de la MCDPA.
La MCDPA agrega varias obligaciones que afectan la preparación ante violaciones:
- Prácticas de seguridad de datos: Los responsables del tratamiento deben implementar medidas de seguridad razonables administrativas, técnicas y físicas para proteger los datos personales.
- Minimización de datos: Los responsables del tratamiento deben limitar la recolección de datos a lo que sea adecuado, relevante y razonablemente necesario. Recopilar menos datos reduce la exposición a violaciones.
- Consentimiento para datos sensibles: Los datos biométricos, la geolocalización precisa, el origen racial o étnico, y otras categorías sensibles requieren consentimiento previo explícito antes de su procesamiento.
- Evaluaciones de protección de datos: Los responsables del tratamiento deben realizar evaluaciones para las actividades de procesamiento que presenten un riesgo elevado para los consumidores.
A pesar de estas protecciones, la MCDPA no amplía el activador de notificación de violaciones. Una violación que exponga datos biométricos o información de salud aún no requiere notificación bajo la sección 325E.61, a menos que la violación también involucre uno de los tres elementos de datos tradicionales (número de Seguro Social, número de licencia de conducir, o detalles de cuenta financiera).
Más Leyes de Minnesota
- Leyes de Grabación de Reuniones con IA de Minnesota
- Leyes de Pensión Alimenticia de Minnesota
- Leyes de Empleo a Voluntad de Minnesota
- Leyes de Accidentes Automovilísticos de Minnesota
- Leyes de Asientos de Seguridad para Niños de Minnesota
- Leyes de Custodia de Menores de Minnesota
- Leyes de Manutención Infantil de Minnesota
- Leyes de Matrimonio de Hecho de Minnesota
- Leyes sobre Deepfakes de Minnesota
- Leyes de Divorcio de Minnesota
- Leyes sobre Mordeduras de Perro de Minnesota
- Leyes de Emancipación de Minnesota
- Leyes de Eliminación de Antecedentes Penales de Minnesota
- Leyes de Fuga del Lugar del Accidente de Minnesota
- Leyes de Propietarios e Inquilinos de Minnesota
- Leyes del Limón de Minnesota
Este artículo proporciona información legal general sobre las leyes de privacidad de datos de Minnesota y los requisitos de notificación de violaciones. No constituye asesoría legal ni crea una relación abogado-cliente. La respuesta a una violación de datos implica obligaciones sensibles al tiempo. Consulte a un abogado calificado con licencia en Minnesota para obtener orientación específica sobre su situación.
Preguntas frecuentes
¿Con qué rapidez debe una empresa notificar a los residentes de Minnesota sobre una violación de datos?
Minnesota exige la notificación "en el plazo más expedito posible y sin demora injustificada." A diferencia de muchos estados, Minnesota no establece un número específico de días. El plazo depende de las circunstancias, incluyendo el tiempo necesario para investigar la violación y restaurar la integridad del sistema. Las fuerzas del orden también pueden solicitar un retraso si la notificación impediría una investigación criminal.
¿Exige Minnesota que las empresas notifiquen al Fiscal General después de una violación de datos?
No. El estatuto general de notificación de violaciones de Minnesota (Minn. Stat. 325E.61) no exige que las empresas notifiquen al Fiscal General. Sin embargo, cuando una violación afecta a más de 500 personas, la empresa debe notificar a las principales agencias de informes crediticios del consumidor (Equifax, Experian y TransUnion) dentro de las 48 horas. El Fiscal General conserva la autoridad de aplicación y puede investigar las violaciones de forma independiente.
¿El cifrado protege a las empresas de los requisitos de notificación de violaciones de Minnesota?
Sí. Minnesota proporciona un puerto seguro de cifrado. Si la información personal comprometida estaba cifrada o se hizo ilegible de otra manera, y la clave de cifrado no también fue adquirida durante la violación, no se requiere notificación. Si la persona no autorizada obtuvo tanto los datos cifrados como la clave de descifrado, se aplican las obligaciones completas de notificación.
¿La ley de notificación de violaciones de Minnesota cubre los datos biométricos?
No. El estatuto de notificación de violaciones de Minnesota (Minn. Stat. 325E.61) no incluye los datos biométricos en su definición de información personal. Una violación que exponga huellas dactilares, geometría facial o huellas de voz no activa la notificación bajo esta ley. La MCDPA clasifica los datos biométricos como datos personales sensibles que requieren consentimiento antes de su procesamiento, pero no extiende el activador de notificación de violaciones a los datos biométricos.
¿Cuáles son las sanciones por infringir la ley de notificación de violaciones de Minnesota?
El Fiscal General de Minnesota hace cumplir la ley de notificación de violaciones y puede iniciar acciones de aplicación bajo los estatutos estatales de protección al consumidor. El estatuto en sí no otorga a las personas un derecho expreso a demandar por fallas en la notificación, aunque no está resuelto si la disposición de fiscal general privado del Minn. Stat. 8.31 podría respaldar dicha demanda. El Fiscal General puede buscar medidas cautelares y sanciones civiles de hasta $25,000 por infracción. Cualquier renuncia contractual a los requisitos de notificación es nula e inaplicable por ser contraria al orden público.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Corrected the consumer reporting agency thresholds to the statutory more-than-500 and more-than-1,000 triggers, clarified the unsettled private-enforcement question under Minn. Stat. 8.31, and fixed two citation precision issues.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Corrected a miscited statute for the MCDPA processor breach-assistance duty. Minn. Stat. 325O.04 does not exist; the correct citation, confirmed against the live text at the Minnesota Office of the Revisor of Statutes, is Minn. Stat. 325M.13(b)(2), which is part of the MCDPA (chapter 325M) and contains the exact quoted language.
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 3 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
Minnesota Statutes, Chapter 13: GOVERNMENT DATA PRACTICES
§ 13.055DISCLOSURE OF BREACH IN SECURITY; NOTIFICATION AND INVESTIGATION REPORT REQUIREDVigente
Subdivision 1. Definitions. For purposes of this section, the following terms have the meanings given to them. (a) "Breach of the security of the data" means unauthorized acquisition of data maintained by a government entity that compromises the security and classification of the data. Good faith acquisition of or access to government data by an employee, contractor, or agent of a government entity for the purposes of the entity is not a breach of the security of the data, if the government data is not provided to or viewable by an unauthorized person, or accessed for a purpose not described in the procedures required by section 13.05, subdivision 5. For purposes of this paragraph, data maintained by a government entity includes data maintained by a person under a contract with the government entity that provides for the acquisition of or access to the data by an employee, contractor, or agent of the government entity. (b) "Contact information" means either name and mailing address or name and email address for each individual who is the subject of data maintained by the government entity.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en revisor.mn.gov
Citada en 2 opiniones judicialesAplicada por un tribunal por última vez: 2019
Casos destacados: KSTP-TV v. Metropolitan Council (Supreme Court of Minnesota 2016, 884 N.W.2d 342) · Pentel v. Shepard (District Court, D. Minnesota 2019)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Minnesota Statutes, Chapter 325E: TRADE PRACTICES
§ 325E.61DATA WAREHOUSES; NOTICE REQUIRED FOR CERTAIN DISCLOSURESVigentecitada en 2 de nuestros artículos
Subdivision 1. Disclosure of personal information; notice required. (a) Any person or business that conducts business in this state, and that owns or licenses data that includes personal information, shall disclose any breach of the security of the system following discovery or notification of the breach in the security of the data to any resident of this state whose unencrypted personal information was, or is reasonably believed to have been, acquired by an unauthorized person. The disclosure must be made in the most expedient time possible and without unreasonable delay, consistent with the legitimate needs of law enforcement, as provided in paragraph (c), or with any measures necessary to determine the scope of the breach, identify the individuals affected, and restore the reasonable integrity of the data system. (b) Any person or business that maintains data that includes personal information that the person or business does not own shall notify the owner or licensee of the information of any breach of the security of the data immediately following discovery, if the personal information was, or is reasonably believed to have been, acquired by an unauthorized person.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en revisor.mn.gov
Citada en 1 opiniones judicialesAplicada por un tribunal por última vez: 2014
Casos destacados: In re Target Corp. Customer Data Security Breach Litigation (District Court, D. Minnesota 2014, 66 F. Supp. 3d 1154)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 325E.64ACCESS DEVICES; BREACH OF SECURITYVigente
Subdivision 1. Definitions. (a) For purposes of this section, the terms defined in this subdivision have the meanings given them. (b) "Access device" means a card issued by a financial institution that contains a magnetic stripe, microprocessor chip, or other means for storage of information which includes, but is not limited to, a credit card, debit card, or stored value card. (c) "Breach of the security of the system" has the meaning given in section 325E.61, subdivision 1, paragraph (d). (d) "Card security code" means the three-digit or four-digit value printed on an access device or contained in the microprocessor chip or magnetic stripe of an access device which is used to validate access device information during the authorization process. (e) "Financial institution" means any office of a bank, bank and trust, trust company with banking powers, savings bank, industrial loan company, savings association, credit union, or regulated lender. (f) "Microprocessor chip data" means the data contained in the microprocessor chip of an access device. (g) "Magnetic stripe data" means the data contained in the magnetic stripe of an access device.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en revisor.mn.gov
Citada en 5 opiniones judicialesAplicada por un tribunal por última vez: 2019
Casos destacados: In re Target Corp. Customer Data Security Breach Litigation (District Court, D. Minnesota 2014, 64 F. Supp. 3d 1304) · Community Bank of Trenton v. Schnuck Markets, Incorporated (Court of Appeals for the Seventh Circuit 2018, 887 F.3d 803) · In re Heartland Payment Systems, Inc. (District Court, S.D. Texas 2011, 834 F. Supp. 2d 566)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Fuentes y referencias
- Minn. Stat. 325E.61(revisor.mn.gov).gov
- Minn. Stat. 325E.64(revisor.mn.gov).gov
- Minn. Stat. 13.055(revisor.mn.gov).gov
- Ley de Privacidad de Datos del Consumidor de Minnesota (HF 2309)(revisor.mn.gov).gov
- Fiscal General de Minnesota(ag.state.mn.us).gov