Leyes de Notificación de Violaciones de Datos de Ohio: Reglas de Reporte y Plazos (2026)

La ley de Ohio exige que las empresas notifiquen a los residentes afectados sobre una violación de datos dentro de los 45 días posteriores a su descubrimiento, conforme al Ohio Rev. Code 1349.19. Las empresas que mantienen un programa de ciberseguridad escrito que califica pueden invocar una defensa afirmativa contra demandas civiles conforme a la Ley de Protección de Datos de Ohio.

Si su empresa maneja información personal perteneciente a residentes de Ohio, una violación de datos activa obligaciones legales específicas. El Ohio Rev. Code 1349.19 establece a quién se debe notificar, qué información activa el deber y con qué rapidez debe actuar. Ohio se destaca entre las leyes estatales de notificación de violaciones por dos razones: impone sanciones diarias escalonadas por incumplimiento, y ofrece un puerto seguro de ciberseguridad independiente conforme a la Ley de Protección de Datos de Ohio (ORC Capítulo 1354), que puede proteger a las empresas de responsabilidad civil si mantienen programas de ciberseguridad reconocidos.

Esta guía cubre el alcance completo de los requisitos de notificación de violaciones de Ohio, incluida la información personal que activa la ley, quién debe ser notificado, el cronograma, las sanciones de aplicación, el puerto seguro de ciberseguridad y cómo la ley se conecta con el marco más amplio de privacidad de datos del estado.

Quién Debe Cumplir con la Ley de Notificación de Violaciones de Ohio

La ley de notificación de violaciones de Ohio se aplica a cualquier persona que sea propietaria o tenga licencia de datos informatizados que incluyan información personal de residentes de Ohio. El término "persona" incluye a individuos, corporaciones, fideicomisos comerciales, sucesiones, fideicomisos, sociedades y asociaciones.

La ley también cubre a las entidades que no son propietarias ni tienen licencia de los datos, pero que los mantienen en nombre de otra persona. Si un administrador de datos descubre una violación, debe notificar al propietario o licenciatario de los datos sobre dicha violación. El propietario de los datos entonces asume la obligación de notificar a los consumidores afectados.

El alcance no depende de dónde esté ubicada la empresa, pero tampoco es ilimitado. El ORC 1349.19(A)(6) establece que "persona" tiene el mismo significado que en el Ohio Rev. Code 1.59, "excepto que 'persona' incluye a una entidad comercial solo si dicha entidad realiza negocios en este estado". Una empresa fuera de Ohio que realiza negocios en el estado está cubierta. El simple hecho de poseer datos de un residente de Ohio, sin realizar negocios en el estado, no activa la ley.

Para efectos del estatuto, un residente es una persona cuya dirección postal principal, según conste en los registros de la empresa, se encuentra en Ohio.

Qué Califica como una Violación de Seguridad

Conforme al ORC 1349.19, una violación de la seguridad del sistema significa el acceso y la adquisición no autorizados de datos informatizados que comprometen la seguridad o confidencialidad de información personal y que causan, se cree razonablemente que han causado, o se cree razonablemente que causarán un riesgo material de robo de identidad u otro fraude a la persona o propiedad de un residente.

El umbral de "riesgo material" es significativo. No todo acceso no autorizado activa la notificación. La empresa debe evaluar si la violación crea un riesgo real de robo de identidad o fraude.

Excepción de Buena Fe

La adquisición de buena fe de información personal por parte de un empleado o agente de la entidad, con fines relacionados con el negocio de la entidad, no constituye una violación, siempre que la información personal no se use para un propósito ilícito ni esté sujeta a una divulgación no autorizada adicional.

El Puerto Seguro de Encriptación y Redacción

Ohio ofrece un puerto seguro claro para los datos encriptados o redactados. La información personal que ha sido encriptada, redactada o alterada mediante cualquier método o tecnología que haga que los elementos de datos sean ilegibles no activa el requisito de notificación.

"Redactada" significa alterada o truncada de manera que no sean accesibles más de los últimos cuatro dígitos de un número de Seguro Social, número de licencia de conducir, número de identificación estatal, número de cuenta o número de tarjeta de crédito/débito.

Qué Información Personal Activa la Ley

Conforme al ORC 1349.19(A)(7), información personal significa el primer nombre o la inicial del primer nombre y el apellido de una persona, en combinación y vinculados con uno o más de los siguientes elementos de datos, cuando dichos elementos no estén encriptados, redactados o ilegibles:

• Número de Seguro Social
• Número de licencia de conducir o número de tarjeta de identificación estatal
• Número de cuenta o número de tarjeta de crédito o débito, en combinación y vinculado con cualquier código de seguridad, código de acceso o contraseña requeridos que permitan el acceso a una cuenta financiera de una persona

La definición de información personal de Ohio es más limitada que la de muchos otros estados. No incluye datos biométricos, información médica, números de seguro médico ni números de pasaporte.

Cronograma de Notificación

Ohio exige la notificación dentro de 45 días posteriores al descubrimiento o notificación de una violación. El plazo de 45 días comienza cuando la empresa toma conocimiento de la violación, no cuando completa su investigación.

Los retrasos se permiten únicamente cuando:

• Una agencia de aplicación de la ley determina que la divulgación obstaculizará una investigación penal o pondrá en peligro la seguridad nacional (la empresa debe proporcionar la divulgación sin demora injustificada después de que la agencia de aplicación de la ley indique que ya no se verá obstaculizada)
• El retraso es necesario para determinar el alcance de la violación, identificar a las personas afectadas o restaurar la integridad razonable del sistema (pero estas actividades no deben extenderse más allá del período de 45 días)

Quién Debe Ser Notificado

Personas Afectadas

Todo residente de Ohio cuya información personal haya sido o razonablemente se crea que ha sido accedida y adquirida por una persona no autorizada debe recibir notificación, si la violación causa, razonablemente se cree que ha causado, o razonablemente se cree que causará un riesgo material de robo de identidad u otro fraude.

El ORC 1349.19 no establece qué debe decir el aviso a los consumidores. A diferencia de muchas leyes estatales de notificación de violaciones, esta ley fija los métodos de entrega permitidos en la división (E) y deja la redacción y el contenido del aviso al consumidor a criterio de la empresa. No existe una lista de elementos obligatorios en el estatuto.

El único requisito relacionado con el contenido en el estatuto corresponde a las agencias de informes crediticios, no a los consumidores: la división (G) exige que la notificación a las agencias de informes crediticios a nivel nacional transmita el momento, la distribución y el contenido del aviso entregado a los residentes de Ohio.

En la práctica, las empresas suelen describir el incidente, identificar las categorías de información personal involucradas, proporcionar una forma de contactar a la empresa y recomendar a los destinatarios que monitoreen sus cuentas. Estas son convenciones de redacción, y con frecuencia requisitos de las leyes de otros estados, ya que una sola violación suele activar las leyes de varios estados a la vez. No son obligaciones impuestas por el ORC 1349.19.

Agencias de Informes Crediticios

Cuando una violación afecta a más de 1,000 residentes de Ohio en un solo incidente, la empresa debe notificar a todas las agencias de informes crediticios que compilan y mantienen archivos sobre consumidores a nivel nacional. Esta notificación debe incluir el momento, la distribución y el contenido del aviso al consumidor.

Fiscal General

El Fiscal General de Ohio tiene autoridad para investigar el presunto incumplimiento conforme al ORC 1349.191. Si bien el estatuto no exige la notificación proactiva al Fiscal General por cada violación, este puede iniciar investigaciones y exigir información.

Métodos de Notificación

Las empresas pueden proporcionar notificación mediante:

• Aviso escrito enviado a la última dirección conocida de la persona
• Aviso electrónico, si el método principal de comunicación de la empresa con el residente es por medios electrónicos
• Aviso telefónico directamente a la persona afectada

Aviso Sustitutivo

El Ohio Rev. Code 1349.19(E) establece dos vías separadas de aviso sustitutivo, y el formato requerido depende de cuál se aplique.

Violaciones de clase grande o de alto costo. El aviso sustitutivo está disponible si la empresa demuestra que:

• El costo de proporcionar el aviso superaría los $250,000, o
• La clase afectada supera las 500,000 personas residentes de Ohio, o
• La empresa no cuenta con información de contacto suficiente

Para esta vía, el aviso sustitutivo debe incluir: aviso por correo electrónico a los residentes afectados cuando se tenga una dirección de correo electrónico registrada, publicación visible en el sitio web de la empresa, y notificación a los principales medios de comunicación cuyo alcance combinado de audiencia sea igual o superior al 75 por ciento de la población de Ohio. Aquí no se requiere un anuncio en periódico.

Pequeñas empresas. Una entidad comercial con 10 empleados o menos puede usar el aviso sustitutivo si el costo de proporcionar el aviso superaría los $10,000. Esta vía requiere un anuncio pagado en un periódico local que cubra al menos un cuarto de página, publicado una vez por semana durante tres semanas consecutivas, además de publicación visible en el sitio web de la empresa y notificación a los principales medios de comunicación del área geográfica de la entidad.

Las reglas de aviso sustitutivo de Ohio son inusuales al vincular el formato requerido, incluido si se aplica o no un anuncio en periódico, a cuál de estos dos criterios cumple la empresa.

Aplicación y Sanciones

Sanciones Diarias Escalonadas

Ohio emplea una estructura de sanciones escalonadas conforme al ORC 1349.192 para el incumplimiento intencional o imprudente:

• Hasta $1,000 por día durante los primeros 60 días de incumplimiento
• Hasta $5,000 por día desde los días 61 hasta el 90
• Hasta $10,000 por día a partir del día 91

Cada cifra es un límite máximo, no un cargo diario fijo. El ORC 1349.192(A)(1) ordena al tribunal imponer una sanción civil de hasta el monto indicado, y la división (A)(3) exige que considere todos los factores relevantes, incluido si el funcionario o empleado responsable del cumplimiento actuó de mala fe.

Esto significa que una empresa que retrase intencionalmente la notificación durante 120 días enfrenta sanciones civiles de hasta $510,000: hasta $60,000 por los primeros 60 días, hasta $150,000 por los días 61 a 90, y hasta $300,000 por los días 91 a 120.

Aplicación por el Fiscal General

Conforme al ORC 1349.191, el Fiscal General puede investigar el presunto incumplimiento e iniciar acciones civiles. El Fiscal General también puede solicitar medidas cautelares para prevenir violaciones continuas.

Sin Derecho de Acción Privado

La ley de notificación de violaciones de Ohio no crea un derecho de acción privado. Las personas no pueden demandar directamente a las empresas conforme al ORC 1349.19 por fallas en la notificación de violaciones. La aplicación se limita al Fiscal General.

El Puerto Seguro de la Ley de Protección de Datos de Ohio

Separada de la ley de notificación de violaciones, la Ley de Protección de Datos de Ohio (ORC Capítulo 1354), promulgada en 2018 mediante el Proyecto de Ley del Senado 220, ofrece una defensa afirmativa contra demandas civiles derivadas de violaciones de datos.

Cómo Funciona el Puerto Seguro

Conforme al ORC 1354.02, una empresa que crea, mantiene y cumple con un programa de ciberseguridad escrito que se ajusta razonablemente a un marco de ciberseguridad reconocido tiene derecho a una defensa afirmativa contra cualquier demanda civil que alegue que la falta de implementación de controles de seguridad razonables provocó una violación de datos.

Marcos de Ciberseguridad Reconocidos

El ORC 1354.03 establece tres vías separadas para lograr la "conformidad razonable". No son intercambiables, y solo la primera funciona como una lista independiente.

Vía uno: un marco enumerado en la división (A). Cualquiera de estos califica por sí solo, o en combinación con otros:

• Marco del NIST para la Mejora de la Ciberseguridad de Infraestructura Crítica
• Publicación Especial 800-171 del NIST
• Publicaciones Especiales 800-53 y 800-53a del NIST
• Marco de Evaluación de Seguridad de FedRAMP
• Controles Críticos de Seguridad de CIS para una Defensa Cibernética Eficaz
• Familia de estándares ISO/IEC 27000

Vía dos: un régimen regulatorio conforme a la división (B). Esta vía está disponible únicamente para una empresa que esté regulada por el estado, por el gobierno federal, o por ambos, o que de otro modo esté sujeta a la ley en cuestión. El programa de esa empresa debe ajustarse a la totalidad de la versión vigente de uno de los siguientes:

• Requisitos de seguridad de la HIPAA, 45 CFR Parte 164 Subparte C
• Título V de la Ley Gramm-Leach-Bliley
• La Ley Federal de Modernización de la Seguridad de la Información de 2014 (FISMA)
• La Ley HITECH, 45 CFR Parte 162

Una empresa que no esté regulada por, o sujeta a, ninguna de esas leyes no puede alcanzar el puerto seguro adoptando voluntariamente sus requisitos de seguridad.

Vía tres: PCI-DSS combinado con un marco de la división (A). Conforme al ORC 1354.03(C)(1), un programa califica si cumple razonablemente tanto con la versión vigente del estándar de seguridad de datos de la industria de tarjetas de pago (PCI) como con la versión vigente de otro marco aplicable enumerado en la división (A). El PCI-DSS por sí solo nunca otorga la defensa afirmativa, sin importar cuán a fondo lo cumpla una empresa.

Limitaciones del Puerto Seguro

El puerto seguro es únicamente una defensa afirmativa. No proporciona inmunidad total. La empresa debe plantear la defensa ante un tribunal y demostrar que mantuvo un cumplimiento razonable con el marco elegido. La defensa tampoco protege contra acciones de aplicación regulatoria conforme al ORC 1349.191 ni contra reclamos conforme a otros estatutos.

Cuando se actualiza un marco de ciberseguridad, la empresa tiene un año para ajustarse a la nueva versión antes de que el puerto seguro se aplique al estándar actualizado.

Exenciones

Exenciones por Cumplimiento Federal

En su lugar, una persona puede seguir una disposición contractual de notificación preexistente celebrada con otra persona antes de que ocurriera la violación, en lugar del propio procedimiento de divulgación establecido por el estatuto, siempre que el contrato no entre en conflicto con ninguna disposición de la ley de notificación de violaciones de Ohio ni renuncie a ella.

El estatuto también contiene dos exenciones federales, y funcionan de manera diferente entre sí.

Conforme al ORC 1349.19(F)(2), esta sección "no se aplica a ninguna persona o entidad que sea una entidad cubierta según se define en 45 C.F.R. 160.103, según sus modificaciones". Esa exclusión depende únicamente del estatus. Una entidad cubierta por la HIPAA queda fuera del ORC 1349.19 sin importar si cumple con la norma federal de notificación de violaciones, aunque esa norma federal le sigue siendo aplicable por sus propios términos.

Conforme al ORC 1349.19(F)(1), la exención para una institución financiera, compañía fiduciaria o cooperativa de crédito, o una afiliada de estas, es condicional. Se aplica únicamente cuando la institución está obligada por la ley federal a notificar a sus clientes sobre una violación de seguridad de la información y está sujeta a examen por su agencia reguladora gubernamental funcional en cuanto al cumplimiento de dicha ley federal.

Más Leyes de Ohio

• Leyes de Grabación de Reuniones con IA de Ohio
• Leyes de Pensión Alimenticia de Ohio
• Leyes de Empleo a Voluntad de Ohio
• Leyes de Accidentes de Auto de Ohio
• Leyes de Asientos de Seguridad para Niños de Ohio
• Leyes de Custodia de los Hijos de Ohio
• Leyes de Manutención de los Hijos de Ohio
• Leyes de Matrimonio de Hecho de Ohio
• Leyes de Deepfake de Ohio
• Leyes de Divorcio de Ohio
• Leyes de Mordedura de Perro de Ohio
• Leyes de Emancipación de Ohio
• Leyes de Eliminación de Antecedentes de Ohio
• Leyes de Atropello y Fuga de Ohio
• Leyes de Propietarios e Inquilinos de Ohio
• Leyes Limón de Ohio

Este artículo proporciona información legal general sobre las leyes de privacidad de datos de Ohio y los requisitos de notificación de violaciones. No constituye asesoría legal ni crea una relación abogado-cliente. La respuesta a violaciones de datos implica obligaciones sensibles al tiempo. Consulte a un abogado calificado con licencia en Ohio para obtener orientación específica sobre su situación.

Preguntas frecuentes

¿Con qué rapidez debe una empresa notificar a los residentes de Ohio sobre una violación de datos?

Ohio exige la notificación dentro de los 45 días posteriores al descubrimiento de una violación, conforme al ORC 1349.19. Los retrasos solo se permiten con fines de aplicación de la ley, y el plazo de 45 días se aplica incluso durante el período de investigación.

¿Qué sanciones impone Ohio por no proporcionar la notificación de violación?

Ohio utiliza límites máximos de sanciones diarias escalonadas: un tribunal puede imponer hasta $1,000 por día durante los primeros 60 días de incumplimiento, hasta $5,000 por día entre los días 61 y 90, y hasta $10,000 por día después de 90 días. Cada monto es un máximo que el tribunal fija tras considerar factores como la mala fe, y las sanciones se aplican únicamente a las fallas intencionales o imprudentes en el cumplimiento.

¿Qué es el puerto seguro de ciberseguridad de la Ley de Protección de Datos de Ohio?

Conforme al ORC Capítulo 1354, las empresas que mantienen un programa de ciberseguridad escrito que se ajusta a un marco reconocido (como los marcos del NIST, los Controles de CIS o ISO 27000) obtienen una defensa afirmativa contra demandas civiles que alegan que la empresa no implementó controles de seguridad razonables. El PCI-DSS solo cuenta cuando se combina con uno de esos marcos, nunca por sí solo. La defensa no protege contra sanciones regulatorias.

¿La ley de notificación de violaciones de Ohio cubre los datos biométricos?

No. La ley de notificación de violaciones de Ohio (ORC 1349.19) tiene una definición limitada de información personal, restringida a números de Seguro Social, números de licencia de conducir, números de identificación estatal y números de cuentas financieras con códigos de seguridad. Los datos biométricos, los registros médicos y la información de seguro médico no están cubiertos.

¿Pueden las personas demandar a una empresa en Ohio por no proporcionar la notificación de violación?

No. La ley de notificación de violaciones de Ohio no crea un derecho de acción privado. Solo el Fiscal General puede iniciar acciones de aplicación. Sin embargo, las personas pueden presentar demandas civiles relacionadas con la violación en sí, que es donde se vuelve relevante el puerto seguro de ciberseguridad del ORC 1354.