Mississippi
Leyes de Notificación de Violación de Datos de Mississippi: Reglas de Reporte y Plazos (2026)
Mississippi exige que las empresas notifiquen a los residentes afectados de una violación de datos sin demora injustificada conforme al Miss. Code Ann. 75-24-29. La ley no establece un plazo fijo en días, incluye un puerto seguro por cifrado que elimina por completo la obligación de notificación, y no requiere notificación al Fiscal General.
Mississippi fue el estado número 46 en promulgar una ley de notificación de violación de datos. El gobernador Haley Barbour firmó el Proyecto de Ley de la Cámara 583 el 7 de abril de 2010, y la ley entró en vigor el 1 de julio de 2011. Codificado en el Miss. Code Ann. 75-24-29, el estatuto se encuentra dentro del capítulo de Regulación de Negocios para la Protección del Consumidor del estado.
Para una visión más amplia del marco de privacidad del estado, consulte la guía principal de Leyes de Privacidad de Datos de Mississippi.
En comparación con la mayoría de los estados, la ley de notificación de violaciones de Mississippi es mínima. Cubre un conjunto reducido de elementos de datos, no establece un plazo fijo de notificación, no requiere reporte gubernamental y no conlleva sanciones específicas del propio estatuto de violación. La aplicación se realiza a través del marco general de protección al consumidor del estado.
Quién Debe Cumplir con la Ley de Notificación de Violación de Datos de Mississippi
La ley se aplica a toda persona que realice actividades comerciales en Mississippi y que, en el curso ordinario de dichas actividades, posea, tenga licencia o mantenga información personal de residentes de Mississippi en forma electrónica.
Esto cubre a corporaciones, sociedades, propietarios únicos, organizaciones sin fines de lucro y cualquier otra entidad que maneje datos cubiertos. No importa si la empresa tiene su sede en Mississippi. Si la entidad realiza actividades comerciales en el estado y posee información personal de residentes del estado, la ley se aplica.
Los proveedores de servicios externos que mantienen, almacenan o procesan información personal en nombre de otra entidad tienen una obligación separada. Deben notificar al propietario de los datos "tan pronto como sea posible" después de descubrir que la información personal fue o se cree razonablemente que fue adquirida por una persona no autorizada con fines fraudulentos.
Entidades Gubernamentales
El estatuto de notificación de violaciones de Mississippi se aplica únicamente al sector privado. Las agencias estatales y locales del gobierno no están cubiertas por el Miss. Code Ann. 75-24-29. Sin embargo, los titulares de licencias de seguros en Mississippi deben cumplir con la Ley de Seguridad de Datos de Seguros de Mississippi separada (codificada en el Miss. Code Ann. 83-5-801 a 83-5-825), que entró en vigor el 1 de julio de 2019 y exige la notificación al Comisionado de Seguros dentro de los tres días hábiles siguientes a un evento de ciberseguridad que califique.
Qué Información Personal Está Protegida
Mississippi define la "información personal" de manera limitada. La ley solo cubre el primer nombre o la inicial del primer nombre y el apellido de una persona combinados con uno o más de los siguientes elementos de datos:
- Número de Seguro Social
- Número de licencia de conducir o número de tarjeta de identificación emitida por el estado
- Número de cuenta financiera, número de tarjeta de crédito o número de tarjeta de débito, combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permita el acceso a la cuenta
Esa es la lista completa. A diferencia de muchos otros estados, Mississippi no incluye:
- Registros médicos o información de salud
- Números de póliza de seguro médico
- Datos biométricos (huellas dactilares, reconocimiento facial, escaneos de retina)
- Nombres de usuario y contraseñas de cuentas en línea
- Números de pasaporte o de identificación militar
- Números de identificación fiscal (a menos que también se utilicen como SSN)
Los elementos de datos solo se consideran información personal cuando no están protegidos mediante cifrado u otro método de tecnología que vuelva los datos ilegibles o inutilizables. La información de disponibilidad pública obtenida legalmente de registros gubernamentales federales, estatales o locales también está excluida.
Cómo Define Mississippi una Violación de Seguridad
Una "violación de seguridad" conforme al estatuto significa la adquisición no autorizada de archivos electrónicos, medios, bases de datos o datos computarizados que contengan información personal de un residente de Mississippi cuando el acceso a esa información no haya sido protegido mediante cifrado o por cualquier otro método o tecnología que vuelva la información personal ilegible o inutilizable.
De esta definición surgen dos puntos importantes. Primero, se aplica únicamente a datos electrónicos. Los registros en papel no están cubiertos. Segundo, el puerto seguro por cifrado está incorporado directamente en la propia definición de violación. Si los datos comprometidos estaban cifrados, no ha ocurrido una violación conforme al estatuto, y no se requiere notificación.
La Exención Basada en el Daño
Incluso cuando ocurre una violación de información personal no cifrada, Mississippi no requiere automáticamente la notificación. El estatuto establece que la notificación no es necesaria si, tras una investigación apropiada, la entidad "determina razonablemente que la violación no es probable que resulte en daño a las personas afectadas".
Esta exención basada en el daño otorga a las empresas una discreción considerable. El estatuto no define "daño" ni especifica qué factores deben considerarse al hacer esta determinación. No exige que la entidad documente su razonamiento por escrito ni que conserve esa documentación por ningún período.
Esto hace que la exención de Mississippi sea más amplia y menos estructurada que los umbrales de daño en estados como Alabama, que exige documentación escrita de las determinaciones de ausencia de daño y su conservación durante cinco años.
Plazo de Notificación
Mississippi exige la notificación "sin demora injustificada", sujeto a la finalización de una investigación para determinar la naturaleza y el alcance del incidente, identificar a las personas afectadas, o restaurar la integridad razonable del sistema de datos.
El estatuto no establece un plazo específico en días. No existe un requisito de 30, 45 o 60 días. Esta es una de las disposiciones de tiempo más flexibles del país. Para comparar:
- Alabama exige la notificación dentro de 45 días
- Colorado exige la notificación dentro de 30 días
- La mayoría de los estados que usan "sin demora injustificada" también establecen un número máximo de días
El plazo abierto de Mississippi significa que el período de investigación puede extenderse tanto como la entidad considere necesario, siempre que la demora no sea "injustificada". No existe orientación publicada por el Fiscal General de Mississippi que defina qué constituye una demora injustificada.
Demora por las Fuerzas del Orden
La notificación puede retrasarse por un "período de tiempo razonable" si una agencia de las fuerzas del orden determina que la notificación impediría una investigación penal o comprometería la seguridad nacional. La agencia de las fuerzas del orden debe solicitar la demora. Una vez que la agencia determine que la notificación ya no comprometerá la investigación, la entidad debe proceder con la notificación.
Cómo Debe Proporcionarse la Notificación
El estatuto permite cuatro métodos de notificación:
Notificación por escrito enviada a la persona afectada.
Notificación telefónica a la persona afectada.
Notificación electrónica si el medio principal de comunicación de la entidad con la persona es electrónico, o si la notificación cumple con la Ley federal de Firmas Electrónicas en el Comercio Nacional y Global (Ley E-SIGN, 15 U.S.C. 7001).
Notificación sustitutiva está disponible cuando existe cualquiera de estas condiciones:
- El costo de proporcionar notificación directa superaría los $5,000
- La clase afectada supera los 5,000 residentes
- La entidad carece de información de contacto suficiente
La notificación sustitutiva requiere las tres siguientes acciones:
- Notificación por correo electrónico a las personas afectadas para las cuales la entidad tenga una dirección de correo electrónico
- Publicación visible en el sitio web de la entidad (si existe uno)
- Notificación a los principales medios de comunicación de todo el estado, incluidos periódicos, radio y televisión
El estatuto no especifica qué información debe incluirse en la propia notificación. Esta es otra área donde Mississippi se queda atrás de estados como Alabama, California y Nueva York, que exigen contenido específico como una descripción de la violación, los tipos de datos involucrados y los pasos que las personas pueden tomar para protegerse.
Sin Notificación al Fiscal General ni a las Agencias de Informes Crediticios
Mississippi es uno de los pocos estados restantes que no exige a las entidades notificar al Fiscal General después de una violación de datos, independientemente del número de personas afectadas.
La ley tampoco exige la notificación a las agencias de informes crediticios del consumidor (Equifax, Experian, TransUnion) en ningún umbral.
Esta ausencia es notable. La gran mayoría de los estados exigen la notificación al Fiscal General cuando las violaciones superan un cierto umbral (comúnmente 500 o 1,000 residentes afectados). Un proyecto de ley de 2025 (SB 2046) presentado por el senador Bradford Blackmon habría agregado un requisito de notificación al Fiscal General para las violaciones que afecten a más de 100 personas, pero fracasó en comité el 4 de febrero de 2025 sin recibir votación.
Puerto Seguro por Cifrado
El puerto seguro por cifrado de Mississippi está incorporado en la propia definición de "violación de seguridad". Si la información personal involucrada estaba protegida mediante cifrado o por cualquier otro método o tecnología que la vuelva ilegible o inutilizable, no ha ocurrido una violación conforme al estatuto.
La ley no aborda el escenario en el que la clave de cifrado también fue comprometida. En estados como Alabama y California, el puerto seguro no se aplica si la clave de cifrado o la credencial de seguridad fue obtenida junto con los datos cifrados. El estatuto de Mississippi no contiene tal calificación.
Políticas Internas de Notificación Existentes
El estatuto incluye un puerto seguro para las entidades que mantienen sus propios procedimientos de notificación como parte de una política de seguridad de la información. Si la política existente de la entidad es coherente con los requisitos de tiempo del estatuto (notificación sin demora injustificada), el cumplimiento de esa política interna satisface la ley estatal.
Exención de Cumplimiento Federal
Las entidades que cumplen con los requisitos de notificación de violaciones establecidos por su regulador federal primario o funcional se consideran en cumplimiento de la ley de Mississippi. Esta exención cubre:
- Instituciones financieras reguladas conforme a la Ley Gramm-Leach-Bliley (GLBA)
- Entidades de atención médica reguladas conforme a la HIPAA
- Otras entidades con obligaciones federales de notificación de violaciones
Esta exención es incondicional. A diferencia de estados como Alabama, Mississippi no exige que las entidades reguladas federalmente también notifiquen al Fiscal General estatal.
Aplicación y Sanciones
El estatuto de notificación de violaciones de Mississippi no contiene sus propias disposiciones de sanción. En cambio, la ley establece que el incumplimiento "constituirá una práctica comercial desleal y será aplicado por el Fiscal General".
Esto canaliza la aplicación a través de la Ley de Protección al Consumidor de Mississippi (Miss. Code Ann. 75-24-1 y siguientes). Conforme al Miss. Code Ann. 75-24-19, el Fiscal General puede buscar los siguientes remedios:
- Medidas cautelares: Medidas cautelares temporales o permanentes para detener las infracciones, además de acuerdos de cumplimiento voluntario
- Sanciones civiles: Hasta $10,000 por infracción para las infracciones conscientes e intencionales, basadas en evidencia clara y convincente
- Facultades de investigación: Autoridad de citación, producción obligatoria de documentos y audiencias de investigación
El estatuto establece explícitamente que "nada en esta sección podrá interpretarse como la creación de un derecho de acción privado". Los residentes de Mississippi no pueden demandar individualmente a las empresas por no proporcionar notificación de violación.
No existe registro publicado de que el Fiscal General de Mississippi haya emprendido una acción de aplicación independiente específicamente conforme al estatuto de notificación de violación de datos.
Comparación con Leyes Estatales Más Fuertes
La ley de notificación de violaciones de Mississippi se encuentra entre las más débiles del país. Así es como se compara en disposiciones clave:
| Disposición | Mississippi | Tendencia Nacional |
|---|---|---|
| Plazo de notificación | Sin plazo específico | La mayoría de los estados establecen límites de 30 a 60 días |
| Notificación al Fiscal General | No requerida | Requerida en más de 40 estados |
| Notificación a agencias de crédito | No requerida | Requerida en más de 30 estados |
| Categorías de datos protegidos | 3 categorías | La mayoría de los estados cubren 5-10+ categorías |
| Exención por daño | Amplia, no estructurada | Muchos estados requieren documentación escrita |
| Contenido de notificación requerido | No especificado | La mayoría de los estados exigen elementos específicos |
| Derecho de acción privado | Ninguno | Un número creciente de estados lo permite |
| Entidades gubernamentales cubiertas | No | Muchos estados incluyen al gobierno |
Cambios Legislativos Pendientes
Varios proyectos de ley han intentado fortalecer los requisitos de notificación de violaciones de Mississippi en años recientes, pero ninguno ha sido aprobado:
- SB 2046 (2025): Habría exigido la notificación al Fiscal General para las violaciones que afecten a más de 100 personas. Fracasó en comité el 4 de febrero de 2025.
- SB 2528 (2022): Propuso ampliar la ley. No avanzó.
- HB 1380 (2025): Abordó los estándares de ciberseguridad para entidades gubernamentales y ciertas entidades comerciales, incluidas protecciones de responsabilidad para las entidades que adopten marcos de ciberseguridad reconocidos. Este proyecto se enfocó en los escudos de responsabilidad en lugar de fortalecer los requisitos de notificación.
A partir de marzo de 2026, la ley de notificación de violación de datos de Mississippi permanece sin cambios desde su promulgación original en 2010.
Pasos Prácticos de Cumplimiento
A pesar del alcance limitado de la ley, las empresas que manejan información personal de residentes de Mississippi deben tomar estas medidas:
- Inventariar los datos cubiertos: Identifique dónde almacena nombres combinados con SSN, números de licencia de conducir o credenciales de cuentas financieras de residentes de Mississippi
- Cifrar en reposo y en tránsito: El cifrado elimina por completo la obligación de notificación conforme a la ley de Mississippi
- Desarrollar un plan de respuesta a incidentes: Aunque la ley permite flexibilidad en cuanto al tiempo, documentar un proceso claro reduce el riesgo legal
- Monitorear las obligaciones federales: Si está regulado por una agencia federal con sus propias reglas de notificación de violaciones (GLBA, HIPAA), el cumplimiento de esas reglas satisface los requisitos de Mississippi
- Seguir los cambios legislativos: Mississippi está bajo presión para modernizar su ley, y futuras enmiendas podrían agregar requisitos de notificación al Fiscal General, categorías de datos más amplias o plazos fijos
Más Leyes de Mississippi
- Leyes de Grabación de Reuniones con IA de Mississippi
- Leyes de Pensión Alimenticia de Mississippi
- Leyes de Empleo a Voluntad de Mississippi
- Leyes de Accidentes de Auto de Mississippi
- Leyes de Asientos de Seguridad para Niños de Mississippi
- Leyes de Custodia de los Hijos de Mississippi
- Leyes de Manutención de los Hijos de Mississippi
- Leyes de Matrimonio de Hecho de Mississippi
- Leyes de Deepfake de Mississippi
- Leyes de Divorcio de Mississippi
- Leyes de Mordedura de Perro de Mississippi
- Leyes de Emancipación de Mississippi
- Leyes de Eliminación de Antecedentes de Mississippi
- Leyes de Atropello y Fuga de Mississippi
- Leyes de Propietarios e Inquilinos de Mississippi
- Leyes Limón de Mississippi
Fuentes y Referencias
Este artículo hace referencia a la ley de notificación de violación de datos de Mississippi codificada en el Miss. Code Ann. 75-24-29. Para el texto original del proyecto de ley, consulte el HB 583 (2010) en el sitio web de la Legislatura de Mississippi. Para obtener información sobre el marco de aplicación de la Ley de Protección al Consumidor de Mississippi, visite la División de Protección al Consumidor del Fiscal General de Mississippi. Para la visión general nacional de la NCSL sobre las leyes de notificación de violaciones, consulte Security Breach Notification Laws.
Este artículo proporciona información legal general sobre los requisitos de notificación de violación de datos de Mississippi. No constituye asesoría legal. Consulte a un abogado calificado para obtener orientación sobre su situación específica. Las leyes y regulaciones cambian con frecuencia. Verifique los requisitos actuales a través de fuentes oficiales del gobierno de Mississippi.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Fuentes y referencias
- Miss. Code Ann. 75-24-29 Texto Completo(justia.com)
- HB 583 (2010) Historial Original del Proyecto de Ley(billstatus.ls.state.ms.us).gov
- División de Protección al Consumidor de la AG de Mississippi(ago.state.ms.us).gov
- Leyes de Notificación de Violación de Seguridad de la NCSL(ncsl.org)
- Miss. Code Ann. 75-24-19 Sanciones Civiles(justia.com)
- Ley de Seguridad de Datos de Seguros de Mississippi(mid.ms.gov).gov
- Rastreador del SB 2046 (2025)(billtrack50.com)
- Ley E-SIGN (15 U.S.C. 7001)(law.cornell.edu)