Leyes de Notificación de Violación de Datos de Oregón: Reglas de Reporte y Plazos (2026)

Según ORS 646A.604, Oregón exige que las empresas notifiquen a los consumidores afectados por una violación de datos tan pronto como sea posible y a más tardar 45 días después del descubrimiento. El Fiscal General de Oregón también debe ser notificado cuando una violación afecta a más de 250 residentes. Las sanciones pueden llegar a $500,000 por una infracción continua.

Si su empresa maneja información personal perteneciente a residentes de Oregón, una violación de datos activa obligaciones legales específicas bajo la Ley de Protección de Información del Consumidor de Oregón. ORS 646A.600 a 646A.628 establece quién debe ser notificado, qué información activa el deber y con qué rapidez debe actuar. Promulgada originalmente en 2007, reforzada mediante el Proyecto de Ley del Senado 601 (2015), y sustancialmente reescrita por las enmiendas de 2019 (2019 Or Laws ch. 180), la ley de Oregón se destaca por su amplia definición de información personal, su estricto plazo de notificación de 45 días y su requisito independiente de mantener salvaguardas de seguridad razonables.

Esta guía cubre el alcance completo de los requisitos de notificación de violación de datos de Oregón, incluyendo qué información personal activa la ley, quién debe ser notificado, el plazo, las sanciones de cumplimiento, las exenciones y cómo la ley se conecta con el marco de privacidad de datos más amplio del estado.

Quién debe cumplir con la ley de notificación de violación de datos de Oregón

La ley de notificación de violación de datos de Oregón se aplica a una entidad cubierta. Según ORS 646A.602(5), esto significa una persona que posee, licencia, mantiene, almacena, administra, recopila, procesa, adquiere o de otro modo posee información personal en el curso de su negocio, vocación, ocupación o actividades voluntarias. Esto abarca una amplia gama de entidades, incluyendo empresas con fines de lucro, organizaciones sin fines de lucro y organizaciones de voluntariado. Una persona no es una entidad cubierta en la medida en que actúe únicamente como proveedor.

Los proveedores tienen sus propios deberes independientes. Un proveedor es una persona con la que una entidad cubierta contrata para mantener, almacenar, administrar, procesar o de otro modo acceder a información personal en nombre de la entidad cubierta. Si un proveedor descubre una violación o tiene motivos para creer que ocurrió una, debe notificar a la entidad cubierta tan pronto como sea posible, pero a más tardar 10 días después del descubrimiento, según ORS 646A.604(2)(a). La entidad cubierta entonces asume la obligación principal de notificar a los consumidores afectados y a los reguladores. Según ORS 646A.604(2)(c), un proveedor debe notificar directamente al Fiscal General si su violación involucró la información personal de más de 250 consumidores, o un número de consumidores que el proveedor no pudo determinar, a menos que la entidad cubierta ya haya notificado al Fiscal General.

La ley de Oregón se aplica a empresas ubicadas fuera del estado si poseen datos pertenecientes a residentes de Oregón.

Qué califica como una violación de seguridad

Según ORS 646A.602, una violación de seguridad significa la adquisición no autorizada de datos computarizados que compromete materialmente la seguridad, confidencialidad o integridad de la información personal que una persona mantiene o posee.

El umbral de "compromete materialmente" significa que no todo acceso no autorizado activa la notificación. El acceso debe generar un impacto significativo en la seguridad o confidencialidad de los datos.

Excepción de adquisición inadvertida

Una violación de seguridad no incluye la adquisición inadvertida de información personal por parte de una persona o de un empleado o agente de esa persona, siempre que la información personal no se utilice en violación de la ley aplicable ni de una manera que dañe o represente una amenaza real para la seguridad, confidencialidad o integridad de la información personal.

Las enmiendas de 2019 reemplazaron el antiguo lenguaje de «adquisición de buena fe» de Oregón por este estándar más restringido. Las preguntas ahora son si la adquisición fue inadvertida y si la información fue mal utilizada o puesta en riesgo real, no si un empleado la adquirió con un propósito comercial.

El puerto seguro de cifrado

Oregón proporciona un puerto seguro de cifrado condicional. Los datos cifrados o redactados no activan la notificación, a menos que la clave de cifrado también haya sido adquirida durante la violación. Si tanto los datos cifrados como la clave se ven comprometidos, el puerto seguro no aplica y se requiere notificación.

Esta es una distinción crítica respecto a los estados que ofrecen un puerto seguro de cifrado incondicional. Las empresas no deben asumir que el cifrado por sí solo elimina las obligaciones de notificación.

Qué información personal activa la ley

Oregón tiene una de las definiciones más amplias de información personal entre las leyes estatales de notificación de violaciones. Según ORS 646A.602, información personal significa el primer nombre o la inicial del primer nombre y el apellido de un consumidor en combinación con cualquiera de los siguientes elementos de datos, cuando no hayan sido inutilizados mediante cifrado, redacción u otros métodos:

• Número de Seguro Social
• Número de licencia de conducir o número de tarjeta de identificación estatal emitido por el Departamento de Transporte
• Número de pasaporte u otro número de identificación emitido por Estados Unidos
• Número de cuenta financiera, número de tarjeta de crédito o número de tarjeta de débito, en combinación con cualquier código de seguridad, código de acceso o contraseña requerido que permitiría el acceso a la cuenta
• Datos provenientes de mediciones automáticas de las características físicas de un consumidor, como una imagen de una huella dactilar, retina o iris, utilizados para autenticar la identidad del consumidor en el curso de una transacción financiera u otra transacción
• Número de póliza de seguro médico o número de identificación de suscriptor de seguro médico, en combinación con cualquier otro identificador único que la aseguradora médica utilice para identificar al consumidor
• Información médica, es decir, cualquier información sobre el historial médico o la condición mental o física de un consumidor, o sobre el diagnóstico o tratamiento médico de un profesional de la salud hacia el consumidor

Tenga en cuenta que tanto el elemento biométrico como el elemento de seguro médico incluyen calificadores que son fáciles de pasar por alto. Oregón cubre las mediciones físicas solo cuando se utilizan para autenticar la identidad en una transacción, y cubre un número de seguro médico solo cuando está combinado con otro identificador que la aseguradora médica utiliza para ese consumidor.

Oregón también trata un nombre de usuario u otro identificador de cuenta, junto con cualquier contraseña u otro método necesario para autenticarlo, como información personal por sí solo según ORS 646A.602(12)(a)(B). A diferencia de los elementos anteriores, esta categoría no requiere combinarse con el nombre del consumidor.

Además, Oregón ofrece un activador independiente: cualquiera de los elementos de datos anteriores, incluso sin un nombre o nombre de usuario, califica como información personal si no ha sido inutilizado y permitiría a una persona cometer robo de identidad.

La información personal no incluye información contenida en registros gubernamentales federales, estatales o locales (aparte de los números de Seguro Social) que se pone legalmente a disposición del público.

Plazo de notificación

Oregón impone un plazo firme de 45 días. Según ORS 646A.604, la notificación debe proporcionarse a los consumidores afectados tan pronto como sea posible, pero a más tardar 45 días después de descubrir o recibir notificación de la violación.

El plazo de 45 días comienza a partir de la fecha de descubrimiento, no de la fecha en que ocurrió la violación. No existe una extensión general de ese plazo para fines de investigación, aunque la exención por riesgo de daño descrita más abajo puede eliminar por completo el deber de notificar a los consumidores.

Retraso por aplicación de la ley

Según ORS 646A.604(3)(c), una entidad cubierta puede retrasar la notificación solo si una agencia de aplicación de la ley determina que la notificación impediría una investigación criminal y la agencia solicita por escrito que la entidad cubierta retrase la notificación. Ambas condiciones deben cumplirse, de modo que una solicitud oral o informal de un investigador no autoriza un retraso, y el estatuto de Oregón no contempla un motivo de seguridad nacional para el retraso. Conserve la solicitud por escrito en el archivo, ya que es el registro que justifica por qué se extendió el plazo de 45 días establecido en ORS 646A.604(3)(a).

Quién debe ser notificado

Personas afectadas

A menos que se aplique la exención por riesgo de daño que se describe más abajo, todo consumidor de Oregón cuya información personal haya sido objeto de una violación de seguridad debe recibir notificación. El aviso debe incluir:

• Una descripción del incidente en términos generales
• La fecha aproximada de la violación
• El tipo de información personal afectada por la violación
• Información de contacto de la persona que proporciona la notificación
• Información de contacto de las agencias de reporte de crédito al consumidor a nivel nacional
• Recomendación al consumidor de reportar cualquier sospecha de robo de identidad a las autoridades, incluyendo a la Comisión Federal de Comercio y al Fiscal General de Oregón

Fiscal General

La División de Protección al Consumidor del Departamento de Justicia de Oregón debe ser notificada cuando una violación afecta a más de 250 consumidores de Oregón. La notificación al Fiscal General debe incluir una copia del aviso enviado a los consumidores y el número de personas afectadas.

El umbral de notificación al Fiscal General de 250 personas de Oregón se encuentra entre los más bajos del país, lo que garantiza que el Fiscal General tenga visibilidad sobre violaciones relativamente pequeñas.

Agencias de reporte de crédito al consumidor

Cuando una violación afecta a más de 1,000 consumidores de Oregón, la entidad también debe notificar a todas las agencias de reporte de crédito al consumidor que compilan y mantienen archivos sobre los consumidores a nivel nacional. La notificación a las CRA debe incluir el momento, la distribución y el contenido de la notificación al consumidor.

Ofertas de Monitoreo de Crédito

Si una empresa decide ofrecer monitoreo de crédito gratuito o servicios de prevención de robo de identidad en relación con un aviso de violación, ORS 646A.604(7) prohíbe condicionar esa oferta a que el consumidor proporcione un número de tarjeta de crédito o débito o acepte un servicio pagado por separado. Cualquier servicio adicional ofrecido por una tarifa debe divulgarse de manera clara y visible como sujeto a un cargo. La ley de Oregón no exige que las empresas ofrezcan monitoreo de crédito después de una violación; solo regula los términos de una oferta que una empresa decide hacer.

Métodos de notificación

Las empresas pueden proporcionar la notificación mediante:

• Notificación por escrito enviada a la dirección postal del consumidor según los registros más actuales de la persona
• Notificación electrónica conforme a la Ley federal E-SIGN
• Notificación telefónica directamente al consumidor afectado

Notificación sustituta

La notificación sustituta está disponible si la persona demuestra que:

• El costo de proporcionar la notificación directa excedería los $250,000, o
• La clase afectada supera los 350,000 consumidores, o
• La persona no cuenta con información de contacto suficiente

Cabe destacar que el umbral de notificación sustituta de Oregón para el tamaño de la clase afectada (350,000) es menor que el umbral de 500,000 utilizado en muchos estados.

La notificación sustituta debe incluir: publicación visible en el sitio web de la persona y notificación a los principales medios de comunicación a nivel estatal.

Aplicación y sanciones

Aplicación por el Fiscal General

Una infracción de ORS 646A.604 (notificación de violaciones) o de ORS 646A.622 (salvaguardas razonables) es una práctica comercial ilegal según ORS 646.607, que el Fiscal General de Oregón hace cumplir a través de la Ley de Prácticas Comerciales Ilegales del estado.

Aplicación por el Director del DCBS y Sanciones Civiles

Por separado, ORS 646A.624 otorga al Director del Departamento de Servicios al Consumidor y Empresariales (DCBS) autoridad independiente para investigar infracciones, citar a testigos y emitir órdenes de cese y desistimiento. Bajo esta autoridad, la estructura de sanciones es la siguiente:

• Hasta $1,000 por infracción
• Hasta $500,000 por una infracción continua

Estas sanciones civiles las impone el Director del DCBS, no el Fiscal General. El límite de $500,000 para infracciones continuas hace que la estructura de sanciones de Oregón se encuentre entre las más significativas del país, particularmente para las empresas que retrasan deliberadamente la notificación o no mantienen las salvaguardas requeridas.

Sin derecho de acción privado expreso

El estatuto de notificación de violaciones de Oregón no crea un derecho de acción privado expreso. Sin embargo, dado que las infracciones se clasifican como prácticas comerciales ilegales, los consumidores pueden tener remedios disponibles bajo la Ley general de Prácticas Comerciales Ilegales de Oregón, que sí permite la aplicación privada en ciertas circunstancias.

Requisito de salvaguardas razonables

A diferencia de muchos estados que se centran únicamente en la notificación de violaciones, Oregón impone una obligación independiente de mantener salvaguardas razonables. Según ORS 646A.622, una entidad cubierta y un proveedor deben desarrollar, implementar y mantener salvaguardas razonables para proteger la seguridad, confidencialidad e integridad de la información personal, incluidas las salvaguardas que protegen la información al momento de su eliminación.

Esto significa que las empresas de Oregón enfrentan obligaciones de cumplimiento incluso antes de que ocurra cualquier violación. El hecho de no mantener salvaguardas razonables constituye en sí mismo una infracción, independientemente de si ha ocurrido una violación.

Las salvaguardas razonables deben ser adecuadas al volumen y la naturaleza de la información personal que se mantiene. Esto otorga flexibilidad a las empresas, pero también establece un estándar mínimo que se ajusta según la sensibilidad y la cantidad de datos que se poseen.

Exenciones

Exención por riesgo de daño

Según ORS 646A.604(8), una entidad cubierta no necesita notificar a los consumidores sobre una violación de seguridad si, después de una investigación adecuada o de consultar con las agencias de aplicación de la ley federales, estatales o locales pertinentes, determina razonablemente que es poco probable que los consumidores cuya información personal fue objeto de la violación sufran daños. La entidad cubierta debe documentar esa determinación por escrito y conservar la documentación durante al menos cinco años.

Se trata de una determinación que la empresa realiza por sí misma, en lugar de una que un regulador apruebe de antemano, por lo que el registro escrito es lo que respalda la decisión si esta se cuestiona más adelante.

Exención por cumplimiento de HIPAA

Las entidades sujetas a los requisitos de notificación de violaciones de HIPAA y que los cumplen se consideran en cumplimiento con la ley de Oregón.

Exención para instituciones financieras

Las instituciones financieras sujetas a las directrices de notificación de violaciones de la Ley Gramm-Leach-Bliley y que las cumplen también están exentas.

Cumplimiento con Otras Normas de Notificación

Una entidad que ya proporciona un aviso de violación conforme a normas impuestas por otra ley, regulación, o su regulador federal primario o funcional, con protecciones al menos tan rigurosas como las de Oregón, se considera en cumplimiento de los requisitos de notificación del estado según ORS 646A.604(9). La ley de Oregón no ofrece un puerto seguro simplemente por seguir una política de notificación interna.

La copia para el Fiscal General sigue siendo obligatoria

Las exenciones del ORS 646A.604(9) no eliminan la obligación frente al Fiscal General. Según ORS 646A.604(10), una persona, entidad cubierta o proveedor debe seguir proporcionando al Fiscal General, dentro de un plazo razonable, al menos una copia de cualquier aviso que envíe a los consumidores o a su regulador principal o funcional como consecuencia de una violación, siempre que la violación afecte a más de 250 consumidores.

Más Leyes de Oregón

• Leyes de Grabación de Reuniones con IA de Oregón
• Leyes de Pensión Alimenticia de Oregón
• Leyes de Empleo a Voluntad de Oregón
• Leyes de Accidentes de Auto de Oregón
• Leyes de Asientos de Auto para Niños de Oregón
• Leyes de Custodia de Menores de Oregón
• Leyes de Manutención Infantil de Oregón
• Leyes de Matrimonio de Hecho de Oregón
• Leyes sobre Deepfakes de Oregón
• Leyes de Divorcio de Oregón
• Leyes sobre Mordeduras de Perro de Oregón
• Leyes de Emancipación de Oregón
• Leyes de Eliminación de Antecedentes Penales de Oregón
• Leyes sobre Choque y Fuga de Oregón
• Leyes de Propietarios e Inquilinos de Oregón
• Leyes de Vehículos Defectuosos (Ley del Limón) de Oregón

Este artículo proporciona información legal general sobre las leyes de privacidad de datos de Oregón y los requisitos de notificación de violaciones. No constituye asesoría legal ni crea una relación abogado-cliente. La respuesta a una violación de datos implica obligaciones sensibles al tiempo. Consulte a un abogado calificado con licencia en Oregón para obtener orientación específica para su situación.

Preguntas frecuentes

¿Con qué rapidez debe una empresa notificar a los residentes de Oregón sobre una violación de datos?

Oregón exige la notificación de la manera más expedita posible, sin demora injustificada, y a más tardar 45 días después de descubrir o recibir notificación de la violación, según ORS 646A.604. El plazo comienza a partir de la fecha de descubrimiento, no de la fecha en que ocurrió la violación. La notificación solo puede retrasarse si una agencia de aplicación de la ley determina que impediría una investigación criminal y solicita el retraso por escrito.

¿Cuándo debe notificarse al Fiscal General de Oregón sobre una violación de datos?

El Departamento de Justicia de Oregón debe ser notificado cuando una violación afecta a más de 250 consumidores de Oregón. Se debe proporcionar una copia de muestra de la notificación al consumidor y el número de personas afectadas. Esa copia sigue siendo obligatoria según ORS 646A.604(10) incluso cuando se aplica una exención. Las agencias de reporte de crédito al consumidor también deben ser notificadas cuando una violación afecta a más de 1,000 consumidores.

¿Oregón exige que las empresas mantengan salvaguardas de seguridad antes de que ocurra una violación?

Sí. Según ORS 646A.622, una entidad cubierta y un proveedor deben desarrollar, implementar y mantener salvaguardas razonables para proteger la seguridad, confidencialidad e integridad de la información personal. Esta es una obligación independiente, separada de la notificación de violaciones, y el incumplimiento constituye en sí mismo una práctica comercial ilegal.

¿Puede una empresa omitir la notificación a los consumidores después de una violación de datos en Oregón?

A veces. Según ORS 646A.604(8), una entidad cubierta no necesita notificar a los consumidores si, después de una investigación adecuada o de consultar con las agencias de aplicación de la ley pertinentes, determina razonablemente que es poco probable que los consumidores afectados sufran daños. La determinación debe documentarse por escrito y conservarse durante al menos cinco años, y de todos modos debe enviarse una copia de cualquier aviso al Fiscal General cuando la violación afecte a más de 250 consumidores.

¿La ley de notificación de violación de datos de Oregón cubre los datos biométricos y la información médica?

Sí, con límites. Oregón cubre los datos provenientes de mediciones automáticas de características físicas, como una imagen de una huella dactilar, retina o iris, pero solo cuando esas mediciones se utilizan para autenticar la identidad en el curso de una transacción financiera u otra transacción. Cubre un número de póliza de seguro médico o de identificación de suscriptor solo en combinación con otro identificador único que la aseguradora médica utiliza para ese consumidor. También cubre información médica, números de pasaporte y combinaciones de nombre de usuario y contraseña que permiten el acceso a una cuenta.

¿Qué sanciones impone Oregón por no proporcionar la notificación de violación de datos?

Las infracciones pueden resultar en sanciones civiles de hasta $1,000 por infracción, con un límite de $500,000 para una infracción continua, que el Director del Departamento de Servicios al Consumidor y Empresariales (DCBS) puede imponer según ORS 646A.624. Por separado, el Fiscal General puede hacer cumplir la ley como una práctica comercial ilegal bajo la Ley de Prácticas Comerciales Ilegales de Oregón.