Leyes de Notificación de Violación de Datos de Pensilvania: Reglas de Reporte y Plazos (2026)

La Ley de Notificación de Violación de Información Personal de Pensilvania, codificada en 73 Pa. Stat. 2301 y siguientes, exige a las empresas notificar a los residentes afectados de una violación de datos sin demora injustificada. La ley no establece un plazo fijo en días, y la enmienda de 2024 (Ley 33) añadió la notificación al Fiscal General y requisitos obligatorios de monitoreo de crédito.

Los requisitos de notificación de violación de datos de Pensilvania recibieron una actualización significativa en 2024 cuando el gobernador Josh Shapiro promulgó la Ley 33 de 2024 el 28 de junio de 2024, con vigencia a partir del 26 de septiembre de 2024. La Ley de Notificación de Violación de Información Personal (BPINA) enmendada, codificada en 73 Pa. Stat. 2301 y siguientes, ahora exige la notificación al Fiscal General, obliga a un monitoreo de crédito de 12 meses para ciertas violaciones, y restringe el factor desencadenante de información médica a agencias estatales y sus contratistas. Los datos de seguro médico y las credenciales de cuentas en línea pasaron a estar cubiertos como información personal antes, mediante la Ley 151 de 2022.

Esta guía cubre el alcance completo de los requisitos de notificación de violación de datos de Pensilvania, según fueron enmendados, incluyendo qué información personal activa la ley, quién debe ser notificado, el cronograma, las sanciones de aplicación, las exenciones y cómo la ley se conecta con el marco más amplio de privacidad de datos del estado.

Quién debe cumplir con la ley de notificación de violación de datos de Pensilvania

La BPINA se aplica a cualquier entidad que mantenga, almacene o gestione datos computarizados que incluyan información personal. La ley cubre tanto entidades públicas (agencias estatales, condados, municipios, distritos escolares) como entidades privadas (corporaciones, sociedades, propietarios únicos y cualquier otra forma de negocio).

La ley distingue entre las entidades que mantienen sus propios datos y las que mantienen datos en nombre de otra entidad. Un proveedor externo que descubre una violación de los datos que mantiene para otra entidad debe notificar al propietario de los datos. El propietario de los datos entonces asume la obligación principal de notificar a los consumidores afectados y a los reguladores.

Las empresas ubicadas fuera del estado que mantienen información personal perteneciente a residentes de Pensilvania están sujetas a la ley.

Qué califica como una violación de seguridad

Conforme a la BPINA, una violación de la seguridad del sistema significa el acceso y la adquisición no autorizados de datos computarizados que comprometen materialmente la seguridad o confidencialidad de la información personal mantenida por la entidad como parte de una base de datos de información personal relativa a múltiples personas.

El umbral de "comprometer materialmente" significa que no todo acceso no autorizado activa automáticamente la notificación. La entidad debe determinar si la violación realmente afectó la seguridad o confidencialidad de los datos.

Excepción de buena fe

La adquisición de buena fe de información personal por parte de un empleado o agente de la entidad para los fines de la entidad no constituye una violación de la seguridad del sistema, siempre que la información personal no se use para un propósito no autorizado ni esté sujeta a una divulgación no autorizada adicional.

El puerto seguro de encriptación

La BPINA ofrece un puerto seguro para los datos encriptados, pero con una advertencia importante. Los datos encriptados están exentos de los requisitos de notificación, a menos que la clave o el proceso de encriptación hayan sido accedidos o adquiridos durante la violación, o que la violación haya sido cometida por una persona que tenía acceso a la clave de encriptación. Si se cumple cualquiera de estas condiciones, el puerto seguro no protege a la entidad y se requiere la notificación completa.

Qué información personal activa la ley

La enmienda de 2024 amplió la definición de información personal de la BPINA. Conforme a la ley actual, información personal significa el nombre o la inicial del nombre de una persona y su apellido, combinados y vinculados con uno o más de los siguientes elementos de datos, cuando dichos elementos no estén encriptados o redactados:

• Número de Seguro Social
• Número de licencia de conducir o número de tarjeta de identificación estatal
• Número de cuenta financiera, número de tarjeta de crédito o débito, combinado con cualquier código de seguridad, código de acceso o contraseña requeridos
• Información de seguro médico (número de póliza o ID de suscriptor combinado con un código de acceso o información médica que permita el uso indebido de los beneficios del seguro médico) (añadido por la Ley 151 de 2022)
• Información médica en posesión de una agencia estatal o de un contratista de una agencia estatal (restringida a entidades gubernamentales por la Ley 33)
• Nombre de usuario o dirección de correo electrónico combinado con una contraseña o una pregunta y respuesta de seguridad que permita el acceso a una cuenta en línea (añadido por la Ley 151 de 2022)

Las adiciones de seguro médico y credenciales de cuentas en línea alinean a Pensilvania con la tendencia creciente de los estados a ampliar los factores desencadenantes de la notificación de violaciones más allá del trío tradicional de SSN/licencia de conducir/cuenta financiera.

Nota: El factor desencadenante de información médica fue restringido por la Ley 33 para aplicarse únicamente cuando la información está en posesión de una agencia estatal o de un contratista de una agencia estatal. Las entidades del sector privado no están obligadas a notificar por violaciones de información médica, a menos que sean contratistas gubernamentales.

Cronograma de notificación de violación de datos

Pensilvania no impone un plazo fijo medido en días. La BPINA exige la notificación "sin demora injustificada". Se permiten retrasos cuando:

• Sean consistentes con las necesidades legítimas de las fuerzas del orden
• Sean necesarios para tomar cualquier medida destinada a determinar el alcance de la violación y restaurar la integridad razonable del sistema de datos

Las fuerzas del orden pueden solicitar un retraso mediante una solicitud por escrito dirigida a la entidad. La entidad puede retrasar la notificación durante el período especificado por las fuerzas del orden.

Quién debe ser notificado

Personas afectadas

Todo residente de Pensilvania cuya información personal haya sido, o razonablemente se crea que haya sido, accedida y adquirida por una persona no autorizada debe recibir notificación. El aviso debe incluir:

• Una descripción del incidente en términos generales
• El tipo de información personal sujeta a la violación
• Las medidas que la entidad ha tomado para abordar la violación
• Información de contacto de la entidad que proporciona el aviso
• Información de contacto de las principales agencias de informes crediticios

Fiscal General

Conforme a la enmienda de 2024, el Fiscal General de Pensilvania debe ser notificado de manera concurrente con el aviso al residente afectado cuando una violación afecte a más de 500 residentes de Pensilvania. El Fiscal General lanzó un portal de reporte en línea el 26 de septiembre de 2024 para agilizar el proceso de reporte.

Agencias de informes al consumidor

Cuando una violación afecta a más de 500 residentes de Pensilvania notificados a la vez, la entidad debe notificar, sin demora injustificada, a todas las agencias de informes al consumidor que compilan y mantienen expedientes de consumidores a nivel nacional. La notificación debe incluir el momento, la distribución y el contenido del aviso al consumidor. La Ley 33 de 2024 redujo este umbral de 1,000 a 500.

Requisito de monitoreo de crédito por 12 meses

Una de las adiciones más importantes de la Ley 33 es la disposición obligatoria de monitoreo de crédito. Cuando una violación involucra cualquiera de los siguientes elementos de datos, la entidad debe ofrecer a las personas afectadas:

• Acceso a un informe de crédito independiente de una agencia de informes al consumidor
• 12 meses de servicios de monitoreo de crédito

Este requisito se activa cuando la violación involucra:

• Números de Seguro Social
• Números de licencia de conducir o números de identificación estatal
• Números de cuenta bancaria

Pensilvania destaca por extender el factor desencadenante del monitoreo de crédito más allá de los números de Seguro Social. La mayoría de los estados que exigen monitoreo de crédito solo lo obligan para violaciones de SSN. El requisito de Pensilvania también cubre licencias de conducir y cuentas bancarias, ampliando significativamente el número de violaciones que activan esta obligación.

Métodos de notificación

Las empresas pueden proporcionar la notificación a través de:

• Notificación por escrito enviada a la última dirección residencial conocida de la persona
• Notificación por correo electrónico si existe una relación comercial previa y la entidad cuenta con una dirección de correo electrónico válida de la persona
• Notificación electrónica para una violación de credenciales que indique a la persona cambiar su contraseña y pregunta de seguridad, sin requisito de relación previa, siempre que la entidad cuente con información de contacto suficiente para la persona (esta vía separada aplica específicamente a violaciones de nombre de usuario/contraseña)
• Notificación telefónica dada de manera visible y razonable

Notificación sustitutiva

La notificación sustitutiva está disponible si la entidad demuestra al Fiscal General que:

• El costo de proporcionar notificación directa superaría los $100,000, o
• La clase afectada supera las 175,000 personas, o
• La entidad no cuenta con información de contacto suficiente

Los umbrales de notificación sustitutiva de Pensilvania ($100,000 y 175,000 personas) son más bajos que en muchos estados, lo que hace que la notificación sustitutiva esté disponible en una gama más amplia de circunstancias.

La notificación sustitutiva debe incluir: notificación por correo electrónico (cuando esté disponible), publicación visible en el sitio web de la entidad, y notificación a los principales medios de comunicación a nivel estatal.

Aplicación y sanciones

Aplicación conforme a la Ley de Protección al Consumidor

Las infracciones de la BPINA constituyen actos o prácticas injustas o engañosas conforme a la Ley de Prácticas Comerciales Injustas y Protección al Consumidor (UTPCPL) de Pensilvania. Esta clasificación otorga al Fiscal General una amplia autoridad de aplicación, que incluye:

• Medidas cautelares para detener infracciones en curso
• Sanciones civiles
• Restitución para los consumidores afectados

Autoridad del Fiscal General

La Oficina de Protección al Consumidor del Fiscal General de Pensilvania es la agencia principal de aplicación. El Fiscal General puede investigar quejas, emitir citaciones y presentar acciones civiles.

No hay derecho de acción privado

La UTPCPL generalmente prevé un derecho de acción privado por prácticas injustas o engañosas, pero la propia sección de aplicación de la BPINA otorga a la Oficina del Fiscal General de Pensilvania autoridad exclusiva para presentar una acción conforme a la UTPCPL por una infracción de la BPINA. No existe un derecho de acción privado conforme a la BPINA misma, por lo que una persona no puede demandar directamente a una empresa bajo esta ley por una falla en la notificación. Teorías separadas de derecho consuetudinario, como un reclamo por negligencia, son una cuestión legal distinta fuera del esquema de aplicación de la BPINA.

Exenciones

Exención por cumplimiento de la HIPAA

Las entidades cubiertas y los asociados de negocios sujetos a los requisitos de notificación de violaciones de la HIPAA y que los cumplen se consideran en cumplimiento de la BPINA.

Exención para instituciones financieras

Las instituciones financieras sujetas a la guía interagencial de la Ley Gramm-Leach-Bliley sobre notificación de violaciones, y que la cumplen, están exentas de los requisitos de notificación independientes de la BPINA.

Exención por política propia

Las entidades que mantienen sus propios procedimientos de notificación como parte de una política de privacidad o seguridad de la información se consideran en cumplimiento, siempre que dichos procedimientos sean al menos tan exhaustivos como los requisitos de la BPINA y la entidad siga sus propios procedimientos.

Qué cambió con la Ley 33 de 2024 (Resumen)

Para las empresas ya familiarizadas con la ley anterior de notificación de violaciones de Pensilvania, estos son los cambios clave vigentes a partir del 26 de septiembre de 2024:

Más leyes de Pensilvania

• Leyes de Grabación de Reuniones con IA de Pensilvania
• Leyes de Pensión Alimenticia de Pensilvania
• Leyes de Empleo a Voluntad de Pensilvania
• Leyes de Accidentes de Auto de Pensilvania
• Leyes de Asientos de Seguridad para Niños de Pensilvania
• Leyes de Custodia de los Hijos de Pensilvania
• Leyes de Manutención de los Hijos de Pensilvania
• Leyes de Matrimonio de Hecho de Pensilvania
• Leyes de Deepfake de Pensilvania
• Leyes de Divorcio de Pensilvania
• Leyes de Mordedura de Perro de Pensilvania
• Leyes de Emancipación de Pensilvania
• Leyes de Eliminación de Antecedentes de Pensilvania
• Leyes de Atropello y Fuga de Pensilvania
• Leyes de Propietarios e Inquilinos de Pensilvania
• Leyes Limón de Pensilvania

Este artículo proporciona información legal general sobre las leyes de privacidad de datos de Pensilvania y los requisitos de notificación de violaciones. No constituye asesoría legal ni crea una relación abogado-cliente. La respuesta a una violación de datos implica obligaciones sensibles al tiempo. Consulte a un abogado calificado con licencia en Pensilvania para obtener orientación específica sobre su situación.

Preguntas frecuentes

¿Con qué rapidez debe una empresa notificar a los residentes de Pensilvania sobre una violación de datos?

Pensilvania exige la notificación sin demora injustificada conforme a la BPINA. No existe un número específico de días. Los retrasos solo se permiten por necesidades de las fuerzas del orden o para determinar el alcance de la violación y restaurar la integridad del sistema.

¿Cuándo debe notificarse al Fiscal General de Pensilvania sobre una violación de datos?

Conforme a la Ley 33 de 2024, el Fiscal General debe ser notificado de manera concurrente con el aviso al residente afectado cuando una violación afecte a más de 500 residentes de Pensilvania. El Fiscal General lanzó un portal de reporte en línea en septiembre de 2024 para recibir estas notificaciones.

¿Pensilvania exige a las empresas proporcionar monitoreo de crédito después de una violación de datos?

Sí. Conforme a la Ley 33 de 2024, las empresas deben ofrecer 12 meses de monitoreo de crédito cuando una violación involucra números de Seguro Social, números de licencia de conducir, números de identificación estatal o números de cuenta bancaria. Pensilvania está entre los primeros estados en extender este requisito más allá de las violaciones de SSN.

¿Pueden las personas demandar a una empresa en Pensilvania por no proporcionar notificación de violación?

Las infracciones de la BPINA se clasifican como prácticas injustas o engañosas conforme a la Ley de Protección al Consumidor de Pensilvania, pero la ley otorga a la Oficina del Fiscal General de Pensilvania autoridad exclusiva para presentar una acción por una infracción de la BPINA. No existe un derecho de acción privado conforme a la BPINA misma, por lo que una persona no puede demandar directamente a una empresa bajo esta ley por una falla en la notificación.

¿La ley de notificación de violaciones de Pensilvania cubre las credenciales de cuentas en línea?

Sí. La BPINA cubre los nombres de usuario o direcciones de correo electrónico combinados con contraseñas o preguntas de seguridad que permitan el acceso a una cuenta en línea. Este factor desencadenante fue añadido por la Ley 151 de 2022, vigente desde mayo de 2023, no por la enmienda de 2024.