New Mexico
Leyes de Notificación de Violaciones de Datos de Nuevo México: Reglas y Plazos de Reporte (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 15 de agosto de 2026. · 3 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Bajo la Ley de Notificación de Violaciones de Datos de Nuevo México (Data Breach Notification Act), N.M. Stat. Ann. 57-12C-1 y siguientes, las empresas deben notificar a los residentes afectados dentro de los 45 días calendario posteriores al descubrimiento de una violación de datos. El plazo comienza en la fecha del descubrimiento, no en la fecha en que ocurrió la violación. El Fiscal General de Nuevo México y las principales agencias de informes crediticios a nivel nacional también deben ser notificados siempre que una sola violación requiera notificar a más de 1,000 residentes de Nuevo México.
Si su empresa maneja información personal perteneciente a residentes de Nuevo México, una violación de datos activa obligaciones legales específicas bajo la Ley de Notificación de Violaciones de Datos de Nuevo México. N.M. Stat. 57-12C-1 y siguientes (Ley de Notificación de Violaciones de Datos, texto promulgado) establece quién debe notificar, qué activa el deber de notificación y con qué rapidez se requiere actuar. Nuevo México fue uno de los últimos estados en adoptar una ley de notificación de violaciones de datos, promulgando el estatuto en 2017. Sin embargo, la ley incluye disposiciones modernas como la cobertura de datos biométricos y un plazo firme de notificación de 45 días.
Esta guía cubre el alcance completo de los requisitos de notificación de violaciones de datos de Nuevo México, incluyendo qué información personal activa la ley, quién debe ser notificado, el cronograma, las sanciones, las exenciones y cómo el marco más amplio de privacidad de datos del estado interactúa con las obligaciones de notificación de violaciones.
Quién Debe Cumplir con la Ley de Notificación de Violaciones de Datos de Nuevo México
La ley de Nuevo México se aplica a cualquier persona, empresa o agencia gubernamental que posea u otorgue licencias de información personal identificable de residentes de Nuevo México. El estatuto utiliza el término "persona" de manera amplia para incluir corporaciones, sociedades, LLC, asociaciones y otras entidades.
La ley también se aplica a los procesadores de datos externos. Cuando una persona o empresa que mantiene datos en nombre de otra entidad descubre una violación, debe notificar al propietario o licenciante de los datos en el tiempo más expedito posible, pero a más tardar 45 días calendario después del descubrimiento. Este es el mismo estándar de 45 días que se aplica para notificar directamente a los residentes afectados, no un plazo separado más corto.
Las empresas ubicadas fuera del estado que manejan información personal de residentes de Nuevo México están sujetas a esta ley.
Qué Califica como una Violación de Seguridad de Datos
Bajo N.M. Stat. 57-12C-2 (Ley de Notificación de Violaciones de Datos, Sección 2), una "violación de seguridad" significa la adquisición no autorizada de datos informáticos no cifrados, o de datos informáticos cifrados junto con el proceso confidencial o la clave, que compromete la seguridad, confidencialidad o integridad de la información personal identificable mantenida por una persona.
Excepción de Buena Fe
La adquisición de buena fe de información personal identificable por parte de un empleado o agente de la persona para un propósito comercial legítimo no constituye una violación de seguridad, siempre que la información personal identificable no se utilice para un propósito no autorizado ni esté sujeta a divulgación no autorizada adicional.
Puerto Seguro de Cifrado (Encryption Safe Harbor)
Nuevo México ofrece un puerto seguro para los datos cifrados. Si la información personal identificable comprometida estaba cifrada y la clave de cifrado o el proceso confidencial no también fueron adquiridos, no se requiere notificación. Si tanto los datos cifrados como la clave fueron comprometidos, el puerto seguro no aplica.
Información Personal que Activa la Notificación
La definición de información personal identificable de Nuevo México es notablemente amplia para un estado que promulgó su ley en 2017. Bajo N.M. Stat. 57-12C-2 (Ley de Notificación de Violaciones de Datos, Sección 2), la información personal identificable significa el nombre o la inicial del nombre y el apellido de una persona combinados con uno o más de los siguientes elementos:
- Número de Seguro Social
- Número de licencia de conducir
- Número de identificación emitido por el gobierno
- Número de cuenta, número de tarjeta de crédito o de débito combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permitiera el acceso a la cuenta financiera
- Datos biométricos (huella dactilar, huella de voz, patrones de iris o retina, características faciales, o geometría de la mano utilizados para autenticar la identidad al acceder a una ubicación física, dispositivo, sistema o cuenta)
La inclusión de datos biométricos coloca a Nuevo México entre los estados con protección más integral, reconociendo que los identificadores biométricos no pueden cambiarse una vez comprometidos.
La información personal identificable no incluye información disponible públicamente que se pone legalmente a disposición del público en general a partir de registros gubernamentales federales, estatales o locales.
El Plazo de Notificación de 45 Días
Nuevo México impone un plazo firme de 45 días para la notificación de violaciones de datos bajo N.M. Stat. 57-12C-6 (Ley de Notificación de Violaciones de Datos, Sección 6). La notificación debe realizarse a más tardar 45 días calendario después del descubrimiento de la violación de seguridad.
El plazo comienza a partir de la fecha del descubrimiento, no de la fecha en que ocurrió la violación. Esta distinción importa porque las violaciones a menudo se descubren semanas o meses después del acceso no autorizado inicial.
Excepción por Riesgo de Daño
No se requiere notificación a las personas afectadas si, tras una investigación apropiada, la empresa determina que la violación no genera un riesgo significativo de robo de identidad o fraude. Esta excepción puede eliminar por completo el deber de notificación, no solo retrasarlo.
Cuándo se Permite una Demora
La notificación puede retrasarse más allá del plazo de 45 días únicamente si:
- Una agencia de aplicación de la ley determina que la notificación obstaculizará una investigación criminal y solicita una demora. La notificación debe realizarse con prontitud después de que la agencia determine que la divulgación ya no compromete la investigación.
- La entidad necesita tiempo para determinar el alcance de la violación y restaurar la integridad razonable del sistema de datos, aunque esto debe seguir ocurriendo dentro del plazo de 45 días, a menos que aplique una demora solicitada por la aplicación de la ley.
La excepción de aplicación de la ley es la única base para extender el plazo de 45 días. Una investigación interna por sí sola no es justificación suficiente para excederlo.
Quién Debe Ser Notificado
Personas Afectadas
Todo residente de Nuevo México cuya información personal identificable no cifrada haya sido, o se crea razonablemente que haya sido, adquirida por una persona no autorizada debe ser notificado. La notificación debe incluir:
- La fecha, fecha estimada o rango de fechas estimado de la violación de seguridad
- Una descripción de la información personal identificable que formó parte de la violación
- Información de contacto de la persona o empresa que envía el aviso
- Información de contacto de las agencias de informes crediticios
- Recomendaciones para que la persona revise los estados de cuenta, monitoree los informes crediticios y considere colocar un congelamiento de seguridad (security freeze) en sus archivos crediticios
Fiscal General de Nuevo México y Agencias de Informes Crediticios
Conforme a N.M. Stat. 57-12C-10, una empresa está obligada a notificar al Fiscal General de Nuevo México y a las principales agencias de informes crediticios a nivel nacional únicamente cuando una sola violación de seguridad requiera notificar a más de 1,000 residentes de Nuevo México. El Fiscal General y las agencias de informes crediticios comparten este mismo umbral; no se activa con cualquier violación.
Esa notificación debe incluir:
- Una descripción de la violación de seguridad
- El número aproximado de residentes de Nuevo México afectados
- Una copia de la notificación proporcionada a las personas afectadas
- El momento, la distribución y el contenido de la notificación enviada a las personas afectadas
Por separado, una empresa que utilice la notificación sustitutiva bajo N.M. Stat. 57-12C-6(E) siempre debe enviar una copia a la oficina del Fiscal General, sin importar cuántos residentes se vean afectados.
Cómo Proporcionar la Notificación
Nuevo México permite los siguientes métodos de notificación:
- Notificación escrita enviada por correo a la última dirección conocida de la persona
- Notificación electrónica, si el medio principal de comunicación de la entidad con la persona es electrónico, conforme a la Ley E-SIGN (15 U.S.C. 7001)
- Notificación telefónica
Notificación Sustitutiva
La notificación sustitutiva está disponible cuando:
- El costo de proporcionar la notificación superaría los $100,000
- La clase afectada supera los 50,000 residentes de Nuevo México
- La entidad no cuenta con información de contacto suficiente
La notificación sustitutiva debe incluir todo lo siguiente:
- Notificación por correo electrónico a las personas de las que la entidad tenga una dirección de correo electrónico válida
- Publicación visible del aviso en el sitio web de la entidad, si mantiene uno
- Notificación por escrito a la oficina del Fiscal General y a los principales medios de comunicación de Nuevo México
Los umbrales de notificación sustitutiva de Nuevo México ($100,000 de costo y 50,000 personas afectadas) son moderados, ubicándose entre los umbrales bajos de estados como New Hampshire y los umbrales altos de estados como California.
Aplicación de la Ley y Sanciones
La ley de notificación de violaciones de datos de Nuevo México es aplicada directamente por el Fiscal General de Nuevo México bajo la propia disposición de aplicación de la Ley de Notificación de Violaciones de Datos, N.M. Stat. 57-12C-11, y no bajo la Ley de Prácticas Injustas por separado.
El Fiscal General puede solicitar:
- Medidas cautelares para detener violaciones en curso
- Daños por costos o pérdidas reales, incluidas las pérdidas financieras consecuentes
- Sanciones civiles, por violaciones cometidas de forma consciente o imprudente, del monto mayor entre $25,000 o $10 por cada instancia de notificación fallida, hasta un máximo de $150,000
No existe un derecho de acción privado por violaciones de la ley de notificación de violaciones de datos. Solo el Fiscal General puede iniciar acciones de aplicación bajo el estatuto. Las personas pueden presentar reclamos de derecho consuetudinario (common law), como negligencia, pero no bajo la propia ley de notificación de violaciones.
Exenciones
Nuevo México otorga exenciones significativas a las entidades que cumplen con marcos federales equivalentes de notificación de violaciones de datos:
Instituciones Financieras Reguladas por la GLBA
Las instituciones financieras que mantienen procedimientos de notificación como parte de un programa de seguridad de la información establecido bajo la Ley Gramm-Leach-Bliley están exentas de los requisitos de notificación de violaciones de Nuevo México, siempre que dichos procedimientos sean al menos tan rigurosos como el estatuto estatal.
Entidades Cubiertas por HIPAA
Las entidades de atención médica y sus asociados comerciales que cumplen con los requisitos de notificación de violaciones de HIPAA (según se describe en la Ley HITECH) se consideran en cumplimiento con la ley de Nuevo México.
Estas exenciones son más amplias que las que ofrecen algunos estados y excluyen por completo a las entidades calificadas del estatuto estatal, en lugar de exigir un cumplimiento paralelo.
Obligaciones de Seguridad de Datos
Más allá de la notificación de violaciones, Nuevo México exige que toda persona que posea u otorgue licencias de información personal identificable de residentes de Nuevo México implemente y mantenga procedimientos y prácticas de seguridad razonables, apropiados a la naturaleza de la información, para protegerla contra el acceso, destrucción, uso, modificación o divulgación no autorizados. Este mandato general de seguridad de datos se aplica independientemente de si ocurre o no una violación.
Las empresas que recopilan información personal identificable también deben tomar medidas razonables para destruir, o disponer la destrucción, de los registros que contengan información personal identificable que ya no sea necesaria, mediante trituración, borrado u otra modificación de la información para hacerla ilegible o indescifrable.
Más Leyes de Nuevo México
- Leyes de Grabación de Reuniones con IA de Nuevo México
- Leyes de Pensión Conyugal de Nuevo México
- Leyes de Empleo a Voluntad de Nuevo México
- Leyes de Accidentes Automovilísticos de Nuevo México
- Leyes de Sillas de Auto para Niños de Nuevo México
- Leyes de Custodia de Menores de Nuevo México
- Leyes de Manutención Infantil de Nuevo México
- Leyes de Matrimonio de Hecho de Nuevo México
- Leyes sobre Deepfakes de Nuevo México
- Leyes de Divorcio de Nuevo México
- Leyes sobre Mordeduras de Perro de Nuevo México
- Leyes de Emancipación de Nuevo México
- Leyes de Eliminación de Antecedentes Penales de Nuevo México
- Leyes sobre Accidentes con Fuga de Nuevo México
- Leyes de Propietarios e Inquilinos de Nuevo México
- Leyes del Limón de Nuevo México
Este artículo ofrece información legal general sobre las leyes de privacidad de datos de Nuevo México y los requisitos de notificación de violaciones de datos. No constituye asesoría legal ni crea una relación abogado-cliente. La respuesta ante una violación de datos implica obligaciones sujetas a plazos estrictos. Consulte a un abogado calificado con licencia en Nuevo México para obtener orientación específica sobre su situación.
Preguntas frecuentes
¿Cuánto tiempo tiene una empresa para notificar a los residentes de Nuevo México sobre una violación de datos?
La ley de Nuevo México exige la notificación a más tardar 45 días calendario después del descubrimiento de la violación. El plazo comienza en la fecha del descubrimiento, no en la fecha en que ocurrió la violación. La única excepción a este plazo es que la aplicación de la ley solicite una demora porque la notificación obstaculizaría una investigación criminal. Una investigación interna por sí sola no es motivo para exceder el plazo de 45 días.
¿Nuevo México exige que las empresas notifiquen al Fiscal General después de una violación de datos?
Sí, pero solo cuando una sola violación requiera notificar a más de 1,000 residentes de Nuevo México. En ese punto, N.M. Stat. 57-12C-10 exige notificar tanto al Fiscal General como a las principales agencias de informes crediticios a nivel nacional, incluyendo una descripción de la violación, el número aproximado de residentes afectados, una copia de la notificación individual y las medidas tomadas para abordar la violación. Una empresa que utilice la notificación sustitutiva también debe enviar una copia al Fiscal General sin importar cuántos residentes se vean afectados.
¿La ley de notificación de violaciones de datos de Nuevo México cubre los datos biométricos?
Sí. Nuevo México incluye los datos biométricos en su definición de información personal identificable. Esto abarca huellas dactilares, huellas de voz, patrones de iris o retina, características faciales y geometría de la mano utilizados para autenticar la identidad al acceder a una ubicación física, dispositivo, sistema o cuenta. Una violación de datos biométricos combinada con un nombre activa el requisito completo de notificación en 45 días.
¿Las entidades cubiertas por HIPAA están exentas de la ley de notificación de violaciones de datos de Nuevo México?
Sí. Las entidades de atención médica y sus asociados comerciales que cumplen con los requisitos de notificación de violaciones de HIPAA bajo la Ley HITECH están exentas de la Ley de Notificación de Violaciones de Datos de Nuevo México. Las instituciones financieras reguladas por la GLBA con programas calificados de seguridad de la información también están exentas. Estas entidades siguen, en cambio, sus respectivos marcos federales.
¿Pueden las personas demandar por una violación de la ley de notificación de violaciones de datos en Nuevo México?
No. La ley de notificación de violaciones de datos de Nuevo México no crea un derecho de acción privado. Solo el Fiscal General puede hacer cumplir el estatuto, bajo la propia disposición de sanciones civiles de la Ley de Notificación de Violaciones de Datos, que permite sanciones de hasta $150,000 por violaciones cometidas de forma consciente o imprudente. Las personas pueden presentar reclamos de derecho consuetudinario, como negligencia, pero no pueden demandar directamente bajo la Ley de Notificación de Violaciones de Datos.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Corrected New Mexico's breach-notification page: fixed six dead citation links, corrected the Attorney General and consumer-reporting-agency notification threshold to more than 1,000 residents (not any breach), replaced a fabricated 24-hour service-provider deadline with the statute's actual 45-day standard, swapped the substitute-notice dollar and resident thresholds to their correct values, rewrote the enforcement section to reflect the Data Breach Notification Act's own civil penalty (up to $150,000) rather than the Unfair Practices Act, and added the risk-of-harm exception that can eliminate the notice duty entirely.
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor