Leyes de Notificación de Violación de Datos de Mississippi: Reglas de Reporte y Plazos (2026)

Mississippi exige que las empresas notifiquen a los residentes afectados de una violación de datos sin demora injustificada conforme al Miss. Code Ann. 75-24-29. La ley no establece un plazo fijo en días, incluye un puerto seguro por cifrado que elimina por completo la obligación de notificación, y no requiere notificación al Fiscal General.

Mississippi fue el estado número 46 en promulgar una ley de notificación de violación de datos. El gobernador Haley Barbour firmó el Proyecto de Ley de la Cámara 583 el 7 de abril de 2010, y la ley entró en vigor el 1 de julio de 2011. Codificado en el Miss. Code Ann. 75-24-29, el estatuto se encuentra dentro del capítulo de Regulación de Negocios para la Protección del Consumidor del estado.

Para una visión más amplia del marco de privacidad del estado, consulte la guía principal de Leyes de Privacidad de Datos de Mississippi.

En comparación con la mayoría de los estados, la ley de notificación de violaciones de Mississippi es mínima. Cubre un conjunto reducido de elementos de datos, no establece un plazo fijo de notificación, no requiere reporte gubernamental y no conlleva sanciones específicas del propio estatuto de violación. La aplicación se realiza a través del marco general de protección al consumidor del estado.

Quién Debe Cumplir con la Ley de Notificación de Violación de Datos de Mississippi

La ley se aplica a toda persona que realice actividades comerciales en Mississippi y que, en el curso ordinario de dichas actividades, posea, tenga licencia o mantenga información personal de residentes de Mississippi en forma electrónica.

Esto cubre a corporaciones, sociedades, propietarios únicos, organizaciones sin fines de lucro y cualquier otra entidad que maneje datos cubiertos. No importa si la empresa tiene su sede en Mississippi. Si la entidad realiza actividades comerciales en el estado y posee información personal de residentes del estado, la ley se aplica.

Los proveedores de servicios externos que mantienen, almacenan o procesan información personal en nombre de otra entidad tienen una obligación separada. Deben notificar al propietario de los datos "tan pronto como sea posible" después de descubrir que la información personal fue o se cree razonablemente que fue adquirida por una persona no autorizada con fines fraudulentos.

Entidades Gubernamentales

El estatuto de notificación de violaciones de Mississippi se aplica únicamente al sector privado. Las agencias estatales y locales del gobierno no están cubiertas por el Miss. Code Ann. 75-24-29. Sin embargo, los titulares de licencias de seguros en Mississippi deben cumplir con la Ley de Seguridad de Datos de Seguros de Mississippi separada (codificada en el Miss. Code Ann. 83-5-801 a 83-5-825), que entró en vigor el 1 de julio de 2019 y exige la notificación al Comisionado de Seguros dentro de los tres días hábiles siguientes a un evento de ciberseguridad que califique.

Qué Información Personal Está Protegida

Mississippi define la "información personal" de manera limitada. La ley solo cubre el primer nombre o la inicial del primer nombre y el apellido de una persona combinados con uno o más de los siguientes elementos de datos:

• Número de Seguro Social
• Número de licencia de conducir, número de tarjeta de identificación emitida por el estado, o número de tarjeta de identificación tribal
• Número de cuenta financiera, número de tarjeta de crédito o número de tarjeta de débito, combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permita el acceso a la cuenta

Esa es la lista completa. A diferencia de muchos otros estados, Mississippi no incluye:

• Registros médicos o información de salud
• Números de póliza de seguro médico
• Datos biométricos (huellas dactilares, reconocimiento facial, escaneos de retina)
• Nombres de usuario y contraseñas de cuentas en línea
• Números de pasaporte o de identificación militar
• Números de identificación fiscal (a menos que también se utilicen como SSN)

Los elementos de datos solo se consideran información personal cuando no están protegidos mediante cifrado u otro método de tecnología que vuelva los datos ilegibles o inutilizables. La información de disponibilidad pública obtenida legalmente de registros gubernamentales federales, estatales o locales también está excluida.

Cómo Define Mississippi una Violación de Seguridad

Una "violación de seguridad" conforme al estatuto significa la adquisición no autorizada de archivos electrónicos, medios, bases de datos o datos computarizados que contengan información personal de un residente de Mississippi cuando el acceso a esa información no haya sido protegido mediante cifrado o por cualquier otro método o tecnología que vuelva la información personal ilegible o inutilizable.

De esta definición surgen dos puntos importantes. Primero, se aplica únicamente a datos electrónicos. Los registros en papel no están cubiertos. Segundo, el puerto seguro por cifrado está incorporado directamente en la propia definición de violación. Si los datos comprometidos estaban cifrados, no ha ocurrido una violación conforme al estatuto, y no se requiere notificación.

La Exención Basada en el Daño

Incluso cuando ocurre una violación de información personal no cifrada, Mississippi no requiere automáticamente la notificación. El estatuto establece que la notificación no es necesaria si, tras una investigación apropiada, la entidad "determina razonablemente que la violación no es probable que resulte en daño a las personas afectadas".

Esta exención basada en el daño otorga a las empresas una discreción considerable. El estatuto no define "daño" ni especifica qué factores deben considerarse al hacer esta determinación. No exige que la entidad documente su razonamiento por escrito ni que conserve esa documentación por ningún período.

Esto hace que la exención de Mississippi sea más amplia y menos estructurada que los umbrales de daño en estados como Alabama, que exige documentación escrita de las determinaciones de ausencia de daño y su conservación durante cinco años.

Plazo de Notificación

Mississippi exige la notificación "sin demora injustificada", sujeto a la finalización de una investigación para determinar la naturaleza y el alcance del incidente, identificar a las personas afectadas, o restaurar la integridad razonable del sistema de datos.

El estatuto no establece un plazo específico en días. No existe un requisito de 30, 45 o 60 días. Esta es una de las disposiciones de tiempo más flexibles del país. Para comparar:

• Alabama exige la notificación dentro de 45 días
• Colorado exige la notificación dentro de 30 días
• La mayoría de los estados que usan "sin demora injustificada" también establecen un número máximo de días

El plazo abierto de Mississippi significa que el período de investigación puede extenderse tanto como la entidad considere necesario, siempre que la demora no sea "injustificada". No existe orientación publicada por el Fiscal General de Mississippi que defina qué constituye una demora injustificada.

Demora por las Fuerzas del Orden

La notificación puede retrasarse por un "período de tiempo razonable" si una agencia de las fuerzas del orden determina que la notificación impediría una investigación penal o comprometería la seguridad nacional. La agencia de las fuerzas del orden debe solicitar la demora. Una vez que la agencia determine que la notificación ya no comprometerá la investigación, la entidad debe proceder con la notificación.

Cómo Debe Proporcionarse la Notificación

El estatuto permite cuatro métodos de notificación:

Notificación por escrito enviada a la persona afectada.

Notificación telefónica a la persona afectada.

Notificación electrónica si el medio principal de comunicación de la entidad con la persona es electrónico, o si la notificación cumple con la Ley federal de Firmas Electrónicas en el Comercio Nacional y Global (Ley E-SIGN, 15 U.S.C. 7001).

Notificación sustitutiva está disponible cuando existe cualquiera de estas condiciones:

• El costo de proporcionar notificación directa superaría los $5,000
• La clase afectada supera los 5,000 residentes
• La entidad carece de información de contacto suficiente

La notificación sustitutiva requiere las tres siguientes acciones:

1. Notificación por correo electrónico a las personas afectadas para las cuales la entidad tenga una dirección de correo electrónico
2. Publicación visible en el sitio web de la entidad (si existe uno)
3. Notificación a los principales medios de comunicación de todo el estado, incluidos periódicos, radio y televisión

El estatuto no especifica qué información debe incluirse en la propia notificación. Esta es otra área donde Mississippi se queda atrás de estados como Alabama, California y Nueva York, que exigen contenido específico como una descripción de la violación, los tipos de datos involucrados y los pasos que las personas pueden tomar para protegerse.

Sin Notificación al Fiscal General ni a las Agencias de Informes Crediticios

Mississippi es uno de los pocos estados restantes que no exige a las entidades notificar al Fiscal General después de una violación de datos, independientemente del número de personas afectadas.

La ley tampoco exige la notificación a las agencias de informes crediticios del consumidor (Equifax, Experian, TransUnion) en ningún umbral.

Esta ausencia es notable. La gran mayoría de los estados exigen la notificación al Fiscal General cuando las violaciones superan un cierto umbral (comúnmente 500 o 1,000 residentes afectados). Un proyecto de ley de 2025 (SB 2046) presentado por el senador Bradford Blackmon habría agregado un requisito de notificación al Fiscal General para las violaciones que afecten a más de 100 personas, pero fracasó en comité el 4 de febrero de 2025 sin recibir votación.

Puerto Seguro por Cifrado

El puerto seguro por cifrado de Mississippi está incorporado en la propia definición de "violación de seguridad". Si la información personal involucrada estaba protegida mediante cifrado o por cualquier otro método o tecnología que la vuelva ilegible o inutilizable, no ha ocurrido una violación conforme al estatuto.

La ley no aborda el escenario en el que la clave de cifrado también fue comprometida. En estados como Alabama y California, el puerto seguro no se aplica si la clave de cifrado o la credencial de seguridad fue obtenida junto con los datos cifrados. El estatuto de Mississippi no contiene tal calificación.

Políticas Internas de Notificación Existentes

El estatuto incluye un puerto seguro para las entidades que mantienen sus propios procedimientos de notificación como parte de una política de seguridad de la información. Si la política existente de la entidad es coherente con los requisitos de tiempo del estatuto (notificación sin demora injustificada), el cumplimiento de esa política interna satisface la ley estatal.

Exención de Cumplimiento Federal

Las entidades que cumplen con los requisitos de notificación de violaciones establecidos por su regulador federal primario o funcional se consideran en cumplimiento de la ley de Mississippi. Esta exención cubre:

• Instituciones financieras reguladas conforme a la Ley Gramm-Leach-Bliley (GLBA)
• Entidades de atención médica reguladas conforme a la HIPAA
• Otras entidades con obligaciones federales de notificación de violaciones

Esta exención es condicional. Conforme al Miss. Code Ann. 75-24-29(7), la entidad se considera en cumplimiento solo si efectivamente notifica a las personas afectadas conforme a las políticas, reglas, regulaciones, procedimientos o directrices establecidas por ese regulador federal. Una entidad que se basa en la regulación federal pero nunca notifica a nadie no califica. Una vez realizada la notificación federal, Mississippi no exige nada más: a diferencia de estados como Alabama, Mississippi no exige que las entidades reguladas federalmente también notifiquen al Fiscal General estatal.

Aplicación y Sanciones

El estatuto de notificación de violaciones de Mississippi no contiene sus propias disposiciones de sanción. En cambio, la ley establece que el incumplimiento "constituirá una práctica comercial desleal y será aplicado por el Fiscal General".

Esto canaliza la aplicación a través de la Ley de Protección al Consumidor de Mississippi (Miss. Code Ann. 75-24-1 y siguientes). Conforme al Miss. Code Ann. 75-24-19, el Fiscal General puede buscar los siguientes remedios:

• Medidas cautelares: Medidas cautelares temporales o permanentes para detener las infracciones, además de acuerdos de cumplimiento voluntario
• Sanciones civiles: Hasta $10,000 por infracción para las infracciones conscientes e intencionales, basadas en evidencia clara y convincente
• Facultades de investigación: Autoridad de citación, producción obligatoria de documentos y audiencias de investigación

El estatuto establece explícitamente que "nada en esta sección podrá interpretarse como la creación de un derecho de acción privado". Los residentes de Mississippi no pueden demandar individualmente a las empresas por no proporcionar notificación de violación.

No existe registro publicado de que el Fiscal General de Mississippi haya emprendido una acción de aplicación independiente específicamente conforme al estatuto de notificación de violación de datos.

Comparación con Leyes Estatales Más Fuertes

La ley de notificación de violaciones de Mississippi se encuentra entre las más débiles del país. Así es como se compara en disposiciones clave:

Cambios Legislativos Pendientes

Varios proyectos de ley han intentado fortalecer los requisitos de notificación de violaciones de Mississippi en años recientes, pero ninguno ha sido aprobado:

• SB 2046 (2025): Habría exigido la notificación al Fiscal General para las violaciones que afecten a más de 100 personas. Fracasó en comité el 4 de febrero de 2025.
• SB 2528 (2022): Propuso ampliar la ley. No avanzó.
• HB 1380 (2025): Abordó los estándares de ciberseguridad para entidades gubernamentales y ciertas entidades comerciales, incluidas protecciones de responsabilidad para las entidades que adopten marcos de ciberseguridad reconocidos. Este proyecto se enfocó en los escudos de responsabilidad en lugar de fortalecer los requisitos de notificación.

La ley ha sido enmendada una vez desde su promulgación en 2010: la Ley 2021, cap. 378 (HB 277), Sección 9, añadió los números de tarjeta de identificación tribal a la definición de información personal. A partir de agosto de 2026, no se han aprobado más enmiendas.

Pasos Prácticos de Cumplimiento

A pesar del alcance limitado de la ley, las empresas que manejan información personal de residentes de Mississippi deben tomar estas medidas:

1. Inventariar los datos cubiertos: Identifique dónde almacena nombres combinados con SSN, números de licencia de conducir, identificación estatal o identificación tribal, o credenciales de cuentas financieras de residentes de Mississippi
2. Cifrar en reposo y en tránsito: El cifrado elimina por completo la obligación de notificación conforme a la ley de Mississippi
3. Desarrollar un plan de respuesta a incidentes: Aunque la ley permite flexibilidad en cuanto al tiempo, documentar un proceso claro reduce el riesgo legal
4. Monitorear las obligaciones federales: Si está regulado por una agencia federal con sus propias reglas de notificación de violaciones (GLBA, HIPAA), notificar a las personas afectadas conforme a esas reglas satisface los requisitos de Mississippi
5. Seguir los cambios legislativos: Mississippi está bajo presión para modernizar su ley, y futuras enmiendas podrían agregar requisitos de notificación al Fiscal General, categorías de datos más amplias o plazos fijos

Más Leyes de Mississippi

• Leyes de Grabación de Reuniones con IA de Mississippi
• Leyes de Pensión Alimenticia de Mississippi
• Leyes de Empleo a Voluntad de Mississippi
• Leyes de Accidentes de Auto de Mississippi
• Leyes de Asientos de Seguridad para Niños de Mississippi
• Leyes de Custodia de los Hijos de Mississippi
• Leyes de Manutención de los Hijos de Mississippi
• Leyes de Matrimonio de Hecho de Mississippi
• Leyes de Deepfake de Mississippi
• Leyes de Divorcio de Mississippi
• Leyes de Mordedura de Perro de Mississippi
• Leyes de Emancipación de Mississippi
• Leyes de Eliminación de Antecedentes de Mississippi
• Leyes de Atropello y Fuga de Mississippi
• Leyes de Propietarios e Inquilinos de Mississippi
• Leyes Limón de Mississippi

Fuentes y Referencias

Este artículo hace referencia a la ley de notificación de violación de datos de Mississippi codificada en el Miss. Code Ann. 75-24-29. Para el texto original del proyecto de ley, consulte el HB 583 (2010) en el sitio web de la Legislatura de Mississippi. Para obtener información sobre el marco de aplicación de la Ley de Protección al Consumidor de Mississippi, visite la División de Protección al Consumidor del Fiscal General de Mississippi. Para la visión general nacional de la NCSL sobre las leyes de notificación de violaciones, consulte Security Breach Notification Laws.

Este artículo proporciona información legal general sobre los requisitos de notificación de violación de datos de Mississippi. No constituye asesoría legal. Consulte a un abogado calificado para obtener orientación sobre su situación específica. Las leyes y regulaciones cambian con frecuencia. Verifique los requisitos actuales a través de fuentes oficiales del gobierno de Mississippi.

Preguntas frecuentes

¿Mississippi exige a las empresas notificar al Fiscal General después de una violación de datos?

No. Mississippi es uno de los pocos estados que no exige la notificación al Fiscal General ni a ninguna agencia gubernamental después de una violación de datos, independientemente de cuántos residentes se vean afectados. La única obligación de notificación es hacia las propias personas afectadas. Un proyecto de ley de 2025 (SB 2046) que habría agregado la notificación al Fiscal General para violaciones que afecten a más de 100 personas fracasó en comité sin una votación.

¿Cuál es el plazo para enviar notificaciones de violación en Mississippi?

Mississippi no establece un plazo específico en días. El estatuto exige la notificación 'sin demora injustificada', sujeto a la finalización de una investigación para determinar el alcance de la violación e identificar a las personas afectadas. Este es uno de los requisitos de tiempo más flexibles del país, ya que la mayoría de los estados establecen un máximo de 30 a 60 días.

¿La ley de notificación de violaciones de Mississippi cubre los registros médicos o la información de seguro médico?

No. La definición de información personal protegida de Mississippi es limitada. Solo cubre el nombre de una persona combinado con el número de Seguro Social, el número de licencia de conducir, identificación estatal, o identificación tribal, o el número de cuenta financiera con credenciales de acceso. Los registros médicos, la información de seguro médico, los datos biométricos y las credenciales de inicio de sesión en línea no están cubiertos. Las entidades de atención médica en Mississippi deben seguir cumpliendo con los requisitos de notificación de violación de la HIPAA a nivel federal.

¿Pueden las personas demandar a una empresa que no reporta una violación de datos en Mississippi?

No. El estatuto establece explícitamente que nada en la ley crea un derecho de acción privado. Solo el Fiscal General de Mississippi puede aplicar la ley, tratando las infracciones como prácticas comerciales desleales conforme a la Ley de Protección al Consumidor de Mississippi. Las sanciones civiles pueden alcanzar hasta $10,000 por infracción para incumplimientos conscientes e intencionales.

¿El cifrado elimina la necesidad de notificar después de una violación de datos en Mississippi?

Sí. El puerto seguro por cifrado de Mississippi está incorporado en la propia definición de 'violación de seguridad'. Si la información personal comprometida estaba cifrada o se volvió ilegible por otro método, legalmente no ha ocurrido una violación conforme al estatuto, y no se requiere notificación. A diferencia de algunos estados, Mississippi no aborda si este puerto seguro sigue aplicándose si la clave de cifrado también fue comprometida.