Leyes de Notificación de Violación de Datos de Nuevo Hampshire: Reglas de Reporte y Plazos (2026)

Nuevo Hampshire exige que una empresa que tenga conocimiento de una violación de seguridad determine con prontitud la probabilidad de que la información haya sido o vaya a ser objeto de uso indebido, y que notifique a los residentes afectados lo antes posible según RSA 359-C:20 si el uso indebido ha ocurrido, es razonablemente probable que ocurra, o no puede determinarse. No existe un plazo fijo en días. Antes de que se envíe la notificación individual, la mayoría de las empresas también deben notificar al Fiscal General del estado, aunque las empresas reguladas por los reguladores de banca, valores, seguros o servicios públicos de Nuevo Hampshire notifican en su lugar a ese regulador.

Si su empresa maneja información personal perteneciente a residentes de Nuevo Hampshire, una violación de datos activa obligaciones legales específicas bajo la ley de Aviso de Violación de Seguridad de Nuevo Hampshire. N.H. Rev. Stat. 359-C:19 a 359-C:21 establece quién debe notificar, qué activa el deber y con qué rapidez debe actuar. Nuevo Hampshire promulgó su ley de notificación de violación de datos en 2006 (2006, 242:1), vigente desde el 1 de enero de 2007, como parte del capítulo de Derecho a la Privacidad del estado, lo que refleja la opinión de la legislatura de que la notificación de violaciones es fundamentalmente una protección de la privacidad.

Esta guía cubre el alcance completo de los requisitos de notificación de violación de datos de Nuevo Hampshire, incluyendo qué información personal activa la ley, quién debe ser notificado, el plazo, las sanciones, las exenciones y cómo el marco de privacidad de datos más amplio del estado interactúa con las obligaciones de notificación.

Quién debe cumplir con la ley de notificación de violación de datos de Nuevo Hampshire

La ley de Nuevo Hampshire se aplica a cualquier persona que haga negocios en el estado, cualquier persona que posea o tenga licencia sobre datos computarizados que incluyan información personal, o cualquier persona que mantenga datos computarizados que contengan información personal en nombre de otra. Este alcance amplio abarca empresas, entidades gubernamentales y proveedores de servicios externos.

Cuando un tercero que mantiene datos en nombre de un propietario de datos descubre una violación, debe notificar al propietario de los datos de inmediato. El propietario de los datos entonces asume la responsabilidad principal de notificar a las personas afectadas y, según su sector, ya sea al Fiscal General o a su regulador sectorial principal.

El estatuto se aplica independientemente de dónde esté ubicada físicamente la empresa. Cualquier empresa que posea información personal sobre residentes de Nuevo Hampshire debe cumplir si hace negocios en el estado.

Qué califica como una violación

Según N.H. Rev. Stat. 359-C:19, una "violación de seguridad" significa la adquisición no autorizada de datos computarizados que compromete la seguridad o confidencialidad de la información personal mantenida por una persona que hace negocios en Nuevo Hampshire.

Excepción de buena fe

La adquisición de buena fe de información personal por parte de un empleado o agente de una persona que hace negocios en el estado no constituye una violación de seguridad, siempre que la información personal no se use ni esté sujeta a divulgación adicional no autorizada.

Puerto seguro de cifrado

Nuevo Hampshire ofrece un puerto seguro para los datos cifrados. Los requisitos de notificación no se aplican a la adquisición no autorizada de información personal que ha sido cifrada, siempre que la clave de cifrado no también haya sido comprometida. Si tanto los datos cifrados como la clave fueron adquiridos por la persona no autorizada, se requiere notificación.

Información personal que activa la notificación

Según N.H. Rev. Stat. 359-C:19, información personal significa el primer nombre o la inicial del primer nombre y el apellido de una persona combinados con uno o más de los siguientes elementos de datos:

• Número de Seguro Social
• Número de licencia de conducir u otro número de identificación gubernamental
• Número de cuenta, número de tarjeta de crédito o número de tarjeta de débito combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permitiera el acceso a la cuenta financiera de una persona

Lo que la ley de Nuevo Hampshire no cubre

En comparación con estados que han actualizado recientemente sus estatutos de notificación de violaciones, la definición de información personal de Nuevo Hampshire es relativamente limitada. La ley no incluye:

• Datos biométricos (huellas dactilares, escaneos de retina, huellas de voz)
• Información médica o de salud
• Números de identificación de seguro médico
• Números de pasaporte
• Nombre de usuario o dirección de correo electrónico combinados con contraseñas
• Números de identificación fiscal (distintos de los números de Seguro Social)

La información personal no incluye información legalmente puesta a disposición del público en general a partir de registros gubernamentales federales, estatales o locales. Nuevo Hampshire no cuenta con una exclusión más amplia para información proveniente de otras fuentes disponibles al público.

Plazo de notificación

Nuevo Hampshire exige la notificación "lo antes posible" según N.H. Rev. Stat. 359-C:20. Este lenguaje es más urgente que el estándar de "sin demora injustificada" que utilizan muchos estados, lo que sugiere que la legislatura tenía la intención de una respuesta particularmente rápida.

El estatuto no establece un número específico de días. Según RSA 359-C:21, III, la carga recae sobre la persona responsable de la determinación de uso indebido exigida por RSA 359-C:20, I de demostrar el cumplimiento de la subdivisión de notificación.

Cuándo se permite el retraso

Según RSA 359-C:20, II, la notificación puede retrasarse únicamente si una agencia de aplicación de la ley, o una agencia de seguridad nacional o de la patria, determina que la notificación impedirá una investigación criminal o pondrá en peligro la seguridad nacional o de la patria.

Ese es el único motivo de retraso que contempla el estatuto. Nuevo Hampshire no otorga a una entidad tiempo adicional para determinar el alcance del incidente, identificar a las personas afectadas o restaurar la integridad de sus sistemas, aunque la determinación de uso indebido exigida por RSA 359-C:20, I(a) necesariamente precede a la notificación.

Incluso cuando se permite el retraso, la entidad debe seguir actuando "lo antes posible" una vez que la razón del retraso ya no aplique.

Quién debe ser notificado

Fiscal General de Nuevo Hampshire (o Regulador Sectorial)

Antes de que se envíen las notificaciones individuales, la mayoría de las empresas deben notificar al Fiscal General de Nuevo Hampshire. Las empresas reguladas por el comisionado bancario, el director de regulación de valores, el comisionado de seguros, la comisión de servicios públicos de Nuevo Hampshire, o los reguladores financieros y de seguros de otros estados o del gobierno federal (según RSA 358-A:3, I) notifican en su lugar a su regulador principal, no al Fiscal General.

Según RSA 359-C:20, I(b), esa notificación solo necesita incluir dos elementos:

• La fecha anticipada de la notificación a las personas afectadas
• El número aproximado de residentes de Nuevo Hampshire que serán notificados

La entidad no está obligada a divulgar los nombres de las personas afectadas ni su información personal en esta notificación.

Personas afectadas

Según RSA 359-C:20, I(a), una empresa que tenga conocimiento de una violación de seguridad debe determinar con prontitud la probabilidad de que la información personal haya sido o vaya a ser objeto de uso indebido. Se requiere la notificación individual si esa determinación indica que el uso indebido ha ocurrido, es razonablemente probable que ocurra, o no puede determinarse. La adquisición no autorizada por sí sola no activa automáticamente la notificación, pero una empresa que no pueda descartar el uso indebido debe notificar. Según RSA 359-C:20, IV, la notificación debe incluir:

• Una descripción del incidente en términos generales
• La fecha aproximada de la violación
• El tipo de información personal involucrada
• La información de contacto telefónico de la entidad que proporciona la notificación, es decir, un número de teléfono y no simplemente un correo electrónico o una dirección web

Incluir la información de contacto de la Comisión Federal de Comercio y del Fiscal General de Nuevo Hampshire, o los pasos para protegerse contra el robo de identidad, es una práctica recomendada común, pero ninguno de los dos es un requisito legal de la notificación individual.

Agencias de reporte de crédito al consumidor

Cuando una violación requiere la notificación de más de 1,000 residentes de Nuevo Hampshire, la entidad también debe notificar a las agencias de reporte de crédito al consumidor de alcance nacional sin demora injustificada. La notificación debe incluir el momento, la distribución y el contenido de la notificación a las personas.

Cómo proporcionar la notificación

Según RSA 359-C:20, III, Nuevo Hampshire permite los siguientes métodos de notificación:

• Notificación por escrito enviada por correo a la última dirección conocida de la persona
• Notificación electrónica si el medio principal de comunicación de la entidad con las personas afectadas es electrónico
• Notificación telefónica, siempre que la entidad mantenga un registro de cada notificación de este tipo
• Notificación sustituta, sujeta a los umbrales indicados a continuación
• Notificación conforme a los procedimientos internos de notificación de la entidad, cuando dichos procedimientos formen parte de una política de seguridad de la información para el tratamiento de la información personal

Notificación sustituta

Nuevo Hampshire tiene uno de los umbrales de notificación sustituta más bajos del país. La notificación sustituta está disponible cuando:

• El costo de proporcionar la notificación excedería los $5,000
• La clase afectada supera los 1,000 residentes de Nuevo Hampshire
• La entidad no cuenta con información de contacto suficiente

Compare esto con la mayoría de los estados, donde el umbral de costo es de $250,000 y el umbral de la clase afectada es de 500,000. Los umbrales bajos de Nuevo Hampshire hacen que la notificación sustituta esté disponible para empresas más pequeñas y violaciones más pequeñas.

La notificación sustituta debe incluir todo lo siguiente:

1. Notificación por correo electrónico a las personas para las cuales la entidad tiene una dirección de correo electrónico
2. Publicación visible de la notificación en el sitio web de la entidad
3. Notificación a los principales medios de comunicación a nivel estatal

Aplicación y sanciones

La ley de notificación de violación de datos de Nuevo Hampshire es aplicada por el Fiscal General bajo la Ley de Protección al Consumidor (N.H. Rev. Stat. 358-A). Una violación de los requisitos de notificación constituye un acto o práctica injusta o engañosa.

El Fiscal General puede buscar:

• Medidas cautelares para detener violaciones en curso
• Sanciones civiles según lo dispuesto en la Ley de Protección al Consumidor
• Restitución para los consumidores afectados
• Honorarios de abogados y costos de investigación

Nuevo Hampshire también otorga a las personas un derecho de acción privado bajo RSA 359-C:21. Cualquier persona perjudicada por una violación de la ley de notificación de violaciones puede demandar por daños reales. Si la violación fue intencional o consciente, el tribunal debe otorgar entre 2 y 3 veces esa cantidad como recuperación total, no daños reales más un múltiplo adicional, junto con honorarios de abogados, costos y medidas cautelares.

Exenciones

El estatuto de Nuevo Hampshire no contiene una exención general para instituciones financieras o entidades cubiertas por HIPAA. En su lugar, establece dos disposiciones más limitadas:

• Cumplimiento presunto para entidades reguladas: Según RSA 359-C:20, V, una empresa sujeta a RSA 358-A:3, I (regulada por el comisionado bancario, el director de regulación de valores, el comisionado de seguros, la comisión de servicios públicos de Nuevo Hampshire, o un regulador financiero o de seguros estatal o federal equivalente) que sigue los procedimientos de notificación de violaciones de seguridad exigidos por las leyes, reglas o guías de ese regulador se considera en cumplimiento de la subdivisión de notificación de RSA 359-C.
• Excepción de la GLBA solo para la notificación a agencias de crédito: Según RSA 359-C:20, VI(b), una empresa sujeta al Título V de la Ley Gramm-Leach-Bliley, 15 U.S.C. 6801 y siguientes, está exenta únicamente de notificar a las agencias de reporte de crédito al consumidor de alcance nacional. Aún debe notificar a las personas afectadas y, cuando corresponda, al Fiscal General o a su regulador sectorial.

No existe una exención independiente de HIPAA en este capítulo. Una entidad cubierta por HIPAA debe seguir cumpliendo con la ley de notificación de violaciones de Nuevo Hampshire, a menos que califique de manera independiente para la disposición de cumplimiento presunto anterior.

Cómo interactúan las leyes de privacidad de Nuevo Hampshire con la notificación de violaciones

La Ley de Privacidad de Nuevo Hampshire, vigente desde el 1 de enero de 2025, creó un marco integral de privacidad del consumidor. Sin embargo, la Ley de Privacidad no contiene sus propios requisitos de notificación de violación de datos. Las empresas sujetas a la Ley de Privacidad deben seguir cumpliendo con N.H. Rev. Stat. 359-C:19-21 para la notificación de violaciones.

La Ley de Privacidad agrega obligaciones relevantes de protección de datos:

• Requisito de seguridad de datos: Los controladores deben implementar prácticas razonables de seguridad de datos administrativas, técnicas y físicas.
• Minimización de datos: Los controladores deben limitar la recopilación de datos a lo que sea adecuado, relevante y razonablemente necesario.
• Consentimiento para datos sensibles: Los datos biométricos, la geolocalización precisa y otras categorías sensibles requieren el consentimiento explícito del consumidor antes del procesamiento.

Tanto la Ley de Privacidad como el estatuto de notificación de violaciones son aplicados por el Fiscal General bajo la Ley de Protección al Consumidor.

Este artículo proporciona información legal general sobre las leyes de privacidad de datos de Nuevo Hampshire y los requisitos de notificación de violaciones. No constituye asesoría legal ni crea una relación abogado-cliente. La respuesta a una violación de datos implica obligaciones sensibles al tiempo. Consulte a un abogado calificado con licencia en Nuevo Hampshire para obtener orientación específica para su situación.

Preguntas frecuentes

¿Cuánto tiempo tiene una empresa para notificar a los residentes de Nuevo Hampshire sobre una violación de datos?

La ley de Nuevo Hampshire exige la notificación 'lo antes posible', un estándar más urgente que el lenguaje de 'sin demora injustificada' que utilizan muchos estados. No hay un plazo específico en días. El deber se activa mediante una determinación de riesgo: la empresa debe evaluar con prontitud la probabilidad de que la información haya sido o vaya a ser objeto de uso indebido, y debe notificar si el uso indebido ha ocurrido, es razonablemente probable que ocurra, o no puede determinarse. RSA 359-C:20, II permite el retraso únicamente cuando una agencia de aplicación de la ley, o una agencia de seguridad nacional o de la patria, determine que la notificación impediría una investigación criminal o pondría en peligro la seguridad nacional o de la patria.

¿Nuevo Hampshire exige que las empresas notifiquen al Fiscal General después de una violación de datos?

La mayoría de las empresas, sí. Antes de que se envíe la notificación individual, las empresas deben notificar al Fiscal General de Nuevo Hampshire, salvo que estén reguladas por los reguladores de banca, valores, seguros o servicios públicos del estado, en cuyo caso notifican a ese regulador en su lugar. Esa notificación solo debe incluir la fecha anticipada en que se enviará la notificación individual y el número aproximado de residentes de Nuevo Hampshire afectados. Las agencias de reporte de crédito al consumidor también deben ser notificadas cuando se ven afectados más de 1,000 residentes.

¿Cuál es el umbral de notificación sustituta de Nuevo Hampshire?

Nuevo Hampshire tiene uno de los umbrales de notificación sustituta más bajos del país. Una empresa puede usar la notificación sustituta cuando el costo de la notificación estándar excede los $5,000, la clase afectada supera los 1,000 residentes, o la entidad no cuenta con información de contacto suficiente. La mayoría de los estados establecen estos umbrales en $250,000 y 500,000 respectivamente. La notificación sustituta requiere correo electrónico, publicación en el sitio web y notificación a los principales medios de comunicación.

¿El cifrado protege a las empresas de los requisitos de notificación de violación de datos de Nuevo Hampshire?

Sí, Nuevo Hampshire ofrece un puerto seguro de cifrado. Si la información personal comprometida estaba cifrada y la clave de cifrado no también fue adquirida por la persona no autorizada, no se requiere notificación. Si tanto los datos como la clave de cifrado fueron comprometidos, se aplican las obligaciones de notificación completas.

¿Pueden las personas demandar por una violación de notificación de datos en Nuevo Hampshire?

Sí. RSA 359-C:21 otorga a cualquier persona perjudicada por una violación de la ley de notificación de violaciones un derecho de acción privado por daños reales. Si la violación fue intencional o consciente, el tribunal debe otorgar entre 2 y 3 veces esa cantidad como recuperación total, además de honorarios de abogados, costos y medidas cautelares. El Fiscal General también puede hacer cumplir el estatuto por separado bajo la Ley de Protección al Consumidor.