Texas
Leyes de Notificación de Violación de Datos de Texas: Reglas de Reporte y Plazos (2026)
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 15 de agosto de 2026. · 13 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
Texas exige que las empresas notifiquen a las personas afectadas por una violación de datos sin demora injustificada y a más tardar 60 días después de determinar que ocurrió, según el Tex. Bus. & Com. Code 521.053. Las violaciones que afectan a 250 o más residentes de Texas también requieren notificación al Fiscal General dentro de 30 días.
Texas opera uno de los marcos de notificación de violación de datos más activamente aplicados del país. La ley de notificación de violaciones del estado, parte de la Ley de Aplicación y Protección contra el Robo de Identidad, exige que las empresas notifiquen a los residentes de Texas afectados y, en muchos casos, al Fiscal General, después de que un incidente de seguridad exponga información personal sensible.
Lo que distingue a Texas de la mayoría de los estados es su estructura de doble plazo. Las empresas enfrentan un plazo de 60 días para las notificaciones individuales y un plazo más corto de 30 días para reportar al Fiscal General. Combinado con una oficina del Fiscal General que ha obtenido más de $2.7 mil millones en acuerdos relacionados con privacidad desde 2022, estas reglas de reporte conllevan consecuencias reales por el incumplimiento.
Este artículo desglosa el marco completo de notificación, incluyendo quién debe reportar, qué activa la obligación, cómo funcionan las sanciones y qué defensas están disponibles según la ley de Texas.
Quién Debe Cumplir con la Ley de Notificación de Violaciones de Texas
La obligación de notificación según la Sección 521.053 se aplica a cualquier persona que haga negocios en Texas y posea o tenga licencia sobre datos computarizados que incluyan información personal sensible. El estatuto no define "hacer negocios" de manera restrictiva, lo que significa que las empresas fuera del estado que manejan datos pertenecientes a residentes de Texas están sujetas a la ley.
Las agencias estatales y los gobiernos locales enfrentan requisitos adicionales según la Sección 2054.1125 del Código de Gobierno, que les exige reportar incidentes de seguridad (incluyendo sospechas de violaciones y eventos de ransomware) al Departamento de Recursos de Información.
Los custodios de datos externos tienen una obligación separada. Según la Sección 521.053(c), cualquier persona que mantenga datos que no le pertenecen debe notificar al propietario de los datos inmediatamente después de descubrir una violación. El plazo de 60 días entonces comienza a correr para el propietario, no para el custodio.
Qué Califica como una Violación Según la Ley de Texas
Una "violación de la seguridad del sistema" se define según la Sección 521.053(a) como la adquisición no autorizada de datos computarizados que compromete la seguridad, confidencialidad o integridad de la información personal sensible mantenida por una persona.
La palabra clave es "adquisición." El simple acceso no autorizado puede no activar el requisito de notificación. Texas exige que los datos hayan sido realmente adquiridos, no solo accedidos o vistos, de una manera que comprometa su seguridad.
Una advertencia importante: incluso los datos cifrados pueden calificar como una violación si la persona no autorizada también obtuvo la clave de cifrado. El estatuto incluye explícitamente los "datos que están cifrados si la persona que accede a los datos tiene la clave requerida para descifrarlos."
Qué Datos Activan la Obligación de Notificación
La Sección 521.002 define la "información personal sensible" en dos categorías.
Categoría Uno: Nombre Más Identificador
El primer nombre (o la inicial del primer nombre) y el apellido de una persona combinados con uno o más de los siguientes elementos sin cifrar:
- Número de Seguro Social
- Número de licencia de conducir o número de identificación emitido por el gobierno
- Número de cuenta, número de tarjeta de crédito o número de tarjeta de débito combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permitiera el acceso a la cuenta financiera de la persona
Categoría Dos: Información de Salud
Información que identifica a una persona y se relaciona con:
- La condición de salud física o mental de la persona
- La prestación de atención médica a la persona
- El pago por la atención médica proporcionada a la persona
Qué Está Excluido
La información personal sensible no incluye información disponible públicamente que sea puesta legalmente a disposición del público por el gobierno federal o un gobierno estatal o local.
El Puerto Seguro de Cifrado
Texas ofrece un puerto seguro de cifrado significativo. La definición de información personal sensible según la Sección 521.002 excluye la combinación de nombre más identificador enumerada cuando "el nombre y los elementos no están cifrados." Si los datos comprometidos estaban debidamente cifrados y la clave de cifrado no también fue adquirida, la obligación de notificación no se aplica.
Este puerto seguro tiene límites. El cifrado debe haber estado vigente en el momento de la violación. Las empresas no pueden cifrar los datos después del hecho y reclamar la exención. Y si un atacante obtiene tanto los datos cifrados como la clave de descifrado, el puerto seguro desaparece.
Requisitos de Notificación de Doble Plazo
Texas es uno de los pocos estados que imponen plazos separados para la notificación individual y gubernamental, siendo el plazo gubernamental más corto.
Plazo de 60 Días: Notificación Individual
Según la Sección 521.053(b), una empresa debe divulgar la violación a cada persona afectada "sin demora injustificada y en cada caso a más tardar el día 60 después de la fecha en que la persona determina que ocurrió la violación."
El plazo comienza a correr cuando la empresa determina que ocurrió una violación, no cuando la sospecha por primera vez. Sin embargo, el lenguaje de "sin demora injustificada" significa que una empresa no puede retrasar deliberadamente su investigación para acercar las notificaciones al límite de 60 días.
Plazo de 30 Días: Notificación al Fiscal General
Según la Sección 521.053(i), cuando una violación afecta a 250 o más residentes de Texas, la empresa debe notificar al Fiscal General de Texas "tan pronto como sea posible y a más tardar el día 30 después de la fecha en que la persona determina que ocurrió la violación."
A partir del 1 de septiembre de 2023 (tras el SB 768), todas las notificaciones al Fiscal General deben presentarse electrónicamente a través del formulario oficial de Reporte de Violación de Datos del Fiscal General. El reporte debe incluir:
- Una descripción detallada de la naturaleza y las circunstancias de la violación
- El número de residentes de Texas afectados al momento de la notificación
- El número de residentes afectados a quienes ya se les envió notificación directa
- Las medidas tomadas en respuesta a la violación
- Las medidas que la empresa pretende tomar después de la notificación
- Si las autoridades están investigando la violación
El Fiscal General publica las violaciones reportadas en un sitio web de acceso público, lo que crea tanto transparencia como un incentivo reputacional para el cumplimiento.
Métodos de Notificación
La Sección 521.053(e) permite varios métodos de notificación:
- Notificación por escrito enviada a la última dirección conocida de la persona
- Notificación electrónica que cumpla con la Ley federal de Firmas Electrónicas en el Comercio Global y Nacional (Ley E-SIGN)
- Notificación alternativa según las reglas de notificación sustituta
Notificación Sustituta
La Sección 521.053(f) permite la notificación sustituta cuando:
- El costo de la notificación directa excedería los $250,000
- El número de personas afectadas excede las 500,000
- La empresa no cuenta con información de contacto suficiente para la notificación directa
La notificación sustituta requiere las tres acciones siguientes: notificación por correo electrónico cuando sea posible, publicación visible en el sitio web de la empresa y publicación o transmisión a través de los principales medios de comunicación a nivel estatal.
Notificación a las Agencias de Reporte de Crédito al Consumidor
Según la Sección 521.053(h), cuando una violación requiere la notificación a más de 10,000 personas a la vez, la empresa también debe notificar a todas las agencias de reporte de crédito al consumidor de alcance nacional (las tres principales agencias de crédito) sobre el momento, la distribución y el contenido de la notificación enviada a las personas.
Retraso por Aplicación de la Ley
La Sección 521.053(d) permite un retraso en la notificación si una agencia de aplicación de la ley determina que la notificación impediría una investigación criminal. La notificación debe realizarse tan pronto como la agencia de aplicación de la ley determine que ya no interferirá con la investigación.
Sanciones y Aplicación
Texas hace cumplir los requisitos de notificación de violaciones tanto mediante sanciones civiles directas como a través de la Ley de Prácticas Comerciales Engañosas.
Sanciones Civiles Según el Capítulo 521
Según la Sección 521.151, una persona que viole el Capítulo 521 es responsable de una sanción civil de al menos $2,000 pero no más de $50,000 por cada infracción.
Específicamente para las fallas de notificación, se aplica una estructura de sanción adicional: hasta $100 por persona por día por cada día consecutivo en que la empresa no cumpla con los requisitos de notificación. Estas sanciones tienen un tope de $250,000 para todas las personas afectadas por una sola violación.
Aplicación de la Ley de Prácticas Comerciales Engañosas
El Fiscal General de Texas también puede perseguir infracciones según la Ley de Prácticas Comerciales Engañosas (DTPA), codificada en el Capítulo 17 del Código de Negocios y Comercio. La DTPA proporciona remedios adicionales, incluyendo:
- Órdenes de restricción temporal y medidas cautelares
- Recuperación de gastos razonables, costos judiciales y honorarios de abogados
- Sanciones civiles por infracciones de la DTPA
Derecho de Acción Privado
A diferencia de muchas leyes estatales de notificación de violaciones, Texas otorga a los consumidores un derecho de acción privado indirecto a través de la DTPA. Una infracción del Capítulo 521 puede constituir una práctica comercial engañosa, lo que permite a las personas afectadas presentar sus propias demandas.
Según la DTPA, los consumidores que demuestren una infracción "consciente" pueden recuperar hasta tres veces sus daños económicos, más daños por angustia mental. Los demandantes que ganan el caso también tienen derecho a costos judiciales y honorarios de abogados razonables.
Esto hace de Texas uno de los estados más favorables para los demandantes en litigios por violaciones de datos, aunque el derecho de acción privado provenga de la DTPA y no del Capítulo 521 en sí.
Historial de Aplicación del Fiscal General
La oficina del Fiscal General de Texas ha demostrado una postura agresiva de aplicación en materia de privacidad de datos. Aunque el acuerdo de $1.4 mil millones con Meta y el acuerdo de $1.375 mil millones con Google involucraron privacidad biométrica en lugar de notificación de violaciones, señalan la disposición del Fiscal General a buscar las sanciones máximas.
Específicamente en materia de notificación de violaciones, el Fiscal General resolvió investigaciones con Experian y T-Mobile por más de $1.5 millones en conjunto. La Iniciativa de Privacidad y Seguridad de Datos del Fiscal General, lanzada en 2024, ha investigado las prácticas de datos de más de 200 empresas.
El Puerto Seguro de Ciberseguridad (SB 2610)
El Proyecto de Ley del Senado 2610 de Texas, vigente desde el 1 de septiembre de 2025, creó un puerto seguro de ciberseguridad para las empresas que califican. Este es un desarrollo significativo para las empresas que se defienden en litigios relacionados con violaciones de datos.
Quién Califica
El puerto seguro se aplica a las empresas que operan en Texas con menos de 250 empleados, organizadas en tres niveles:
| Nivel | Número de Empleados | Requisitos |
|---|---|---|
| Nivel 1 | Menos de 20 | Programa básico de ciberseguridad |
| Nivel 2 | 20 a 99 | Programa moderado alineado con un marco reconocido |
| Nivel 3 | 100 a 249 | Programa integral con evaluaciones periódicas |
Marcos Reconocidos
La ley reconoce el cumplimiento de marcos de ciberseguridad establecidos, incluyendo el Marco de Ciberseguridad del NIST y el HITRUST CSF, como suficiente para cumplir con los requisitos del puerto seguro.
Qué Proporciona el Puerto Seguro
Una empresa que califica y que implementó y mantuvo un programa de ciberseguridad conforme al momento de una violación queda protegida de los daños punitivos en litigios relacionados con la violación. El puerto seguro no elimina la responsabilidad por completo. Las empresas aún pueden enfrentar daños compensatorios, aplicación por parte del Fiscal General y sanciones civiles estatutarias.
La Salvedad
La empresa debe demostrar que contaba con el programa de ciberseguridad implementado antes de que ocurriera la violación. Implementar un programa después del hecho no proporciona ninguna protección. La documentación del cumplimiento, las evaluaciones de riesgo periódicas y la evidencia del mantenimiento del programa son fundamentales.
Cómo Interactúa la TDPSA con la Notificación de Violaciones
La Ley de Privacidad y Seguridad de Datos de Texas (TDPSA), que entró en vigor el 1 de julio de 2024, no crea sus propios requisitos de notificación de violaciones. El marco existente según el Capítulo 521 sigue siendo el único estatuto de notificación de violaciones.
Sin embargo, la TDPSA se cruza con la notificación de violaciones de dos maneras prácticas. Primero, los requisitos de seguridad de datos de la TDPSA según el Capítulo 541 pueden establecer el estándar de cuidado para lo que constituyen prácticas de seguridad "razonables," lo cual afecta tanto la probabilidad de violaciones como las defensas disponibles. Segundo, las infracciones de la TDPSA conllevan sanciones de hasta $7,500 por infracción, añadiendo otra capa de exposición para las empresas que sufren violaciones debido a una protección de datos inadecuada.
Una empresa que infrinja los requisitos de seguridad de datos de la TDPSA y luego sufra una violación podría enfrentar tanto sanciones de la TDPSA por la falla de seguridad como sanciones del Capítulo 521 por cualquier deficiencia en la notificación.
Este artículo proporciona información legal general sobre los requisitos de notificación de violación de datos de Texas. No constituye asesoría legal. Si necesita orientación sobre un incidente de violación específico, obligaciones de cumplimiento o responsabilidad potencial, consulte a un abogado con licencia en Texas.
Relacionado: Leyes de Privacidad de Datos de Texas | Leyes de Privacidad de Datos por Estado | Leyes de Notificación de Violación de Datos
Preguntas frecuentes
¿Cuánto tiempo tiene una empresa de Texas para reportar una violación de datos?
Texas impone dos plazos separados. Las empresas deben notificar a las personas afectadas dentro de 60 días de determinar que ocurrió una violación, según el Tex. Bus. & Com. Code 521.053(b). Cuando se ven afectados 250 o más residentes de Texas, la empresa también debe notificar al Fiscal General de Texas dentro de 30 días. Ambos plazos comienzan a correr cuando la empresa determina que ocurrió la violación, no cuando la sospecha por primera vez.
¿Qué información personal activa los requisitos de notificación de violaciones de Texas?
Texas define la información personal sensible como el nombre de una persona (primer nombre o inicial más apellido) combinado con un número de Seguro Social sin cifrar, un número de licencia de conducir o identificación gubernamental, un número de cuenta financiera con las credenciales de seguridad requeridas, o información relacionada con la salud. Los datos cifrados están exentos solo si la clave de cifrado tampoco fue comprometida en la violación.
¿Pueden las personas demandar por una violación de datos en Texas?
Sí, pero no directamente según el estatuto de notificación de violaciones. Los consumidores de Texas pueden presentar demandas privadas a través de la Ley de Prácticas Comerciales Engañosas (DTPA), porque una infracción del Capítulo 521 constituye una práctica comercial engañosa. Los consumidores que demuestren una infracción consciente pueden recuperar hasta tres veces sus daños económicos, más honorarios de abogados.
¿Cifrar los datos elimina la necesidad de enviar notificaciones de violación en Texas?
En la mayoría de los casos, sí. Texas ofrece un puerto seguro de cifrado que exime a los datos debidamente cifrados de la definición de información personal sensible. Si los datos comprometidos estaban cifrados y la clave de cifrado no también fue adquirida durante la violación, la obligación de notificación no se aplica. Si el atacante obtuvo tanto los datos como la clave, la exención no se aplica.
¿Qué sanciones puede enfrentar una empresa de Texas por no reportar una violación de datos?
Las sanciones civiles van de $2,000 a $50,000 por infracción según la Sección 521.151. Específicamente para las fallas de notificación, se aplica una sanción adicional de hasta $100 por persona por día, con un tope de $250,000 por violación. El Fiscal General también puede buscar medidas cautelares, costos judiciales y gastos de investigación. A través de la DTPA, los consumidores pueden buscar independientemente daños triples por infracciones conscientes.
¿Afectado por una filtración de datos o una violación de privacidad biométrica?
Si sus datos personales quedaron expuestos en una filtración, o si su huella dactilar o escaneo facial se recopiló sin su consentimiento, podría ser elegible para unirse a un reclamo por compensación. Averígüelo gratis y sin compromiso.
Actualizaciones
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Se eliminó una cita fabricada atribuida al estatuto del puerto seguro de cifrado y se corrigió la subsección citada para el plazo de 30 días de notificación al Fiscal General (521.053(i), no 521.053(b-1)).
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 3 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
Texas Business & Commerce Code
§ 521.002DEFINITIONSVigente
(a) In this chapter: (1) "Personal identifying information" means information that alone or in conjunction with other information identifies an individual, including an individual's: (A) name, social security number, date of birth, or government-issued identification number; (B) mother's maiden name; (C) unique biometric data, including the individual's fingerprint, voice print, and retina or iris image; (D) unique electronic identification number, address, or routing code; and (E) telecommunication access device as defined by Section 32.51, Penal Code.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en statutes.capitol.texas.gov
Citada en 2 opiniones judicialesAplicada por un tribunal por última vez: 2014
Casos destacados: Texas Comptroller of Public Accounts v. Attorney General of Texas and the Dallas Morning News, Ltd. (Texas Supreme Court 2010, 54 Tex. Sup. Ct. J. 245) · Bliss & Glennon Inc. v. Ashley (Court of Appeals of Texas 2014, 420 S.W.3d 379)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 521.053NOTIFICATION REQUIRED FOLLOWING BREACH OF SECURITY OF COMPUTERIZED DATAVigentecitada en 2 de nuestros artículos
(a) In this section, "breach of system security" means unauthorized acquisition of computerized data that compromises the security, confidentiality, or integrity of sensitive personal information maintained by a person, including data that is encrypted if the person accessing the data has the key required to decrypt the data. Good faith acquisition of sensitive personal information by an employee or agent of the person for the purposes of the person is not a breach of system security unless the person uses or discloses the sensitive personal information in an unauthorized manner. (b) A person who conducts business in this state and owns or licenses computerized data that includes sensitive personal information shall disclose any breach of system security, after discovering or receiving notification of the breach, to any individual whose sensitive personal information was, or is reasonably believed to have been, acquired by an unauthorized person.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en statutes.capitol.texas.gov
Citada en 1 opiniones judicialesAplicada por un tribunal por última vez: 2014
Casos destacados: Bliss & Glennon Inc. v. Ashley (Court of Appeals of Texas 2014, 420 S.W.3d 379)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 521.151CIVIL PENALTY; INJUNCTIONVigentecitada en 2 de nuestros artículos
(a) A person who violates this chapter is liable to this state for a civil penalty of at least $2,000 but not more than $50,000 for each violation. The attorney general may bring an action to recover the civil penalty imposed under this subsection. (a-1) In addition to penalties assessed under Subsection (a), a person who fails to take reasonable action to comply with Section 521.053(b) is liable to this state for a civil penalty of not more than $100 for each individual to whom notification is due under that subsection for each consecutive day that the person fails to take reasonable action to comply with that subsection. Civil penalties under this section may not exceed $250,000 for all individuals to whom notification is due after a single breach. The attorney general may bring an action to recover the civil penalties imposed under this subsection.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en statutes.capitol.texas.gov
Citada en 1 opiniones judicialesAplicada por un tribunal por última vez: 2014
Casos destacados: In re Target Corp. Customer Data Security Breach Litigation (District Court, D. Minnesota 2014, 66 F. Supp. 3d 1154)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Explore la ley
Este artículo también se apoya en estas leyes y capítulos (abriendo en su primera sección): Texas Government Code § 2054.001 (LEGISLATIVE FINDINGS AND POLICY)
Leyes relacionadas para lectura adicional; no forman parte de las citas de este artículo.
Fuentes y referencias
- Tex. Bus. & Com. Code 521.053 - Notificación Requerida Tras una Violación de Seguridad(statutes.capitol.texas.gov).gov
- Tex. Bus. & Com. Code 521.002 - Definiciones (Información Personal Sensible)(statutes.capitol.texas.gov).gov
- Tex. Bus. & Com. Code 521.151 - Sanción Civil; Medida Cautelar(statutes.capitol.texas.gov).gov
- Portal de Reporte de Violación de Datos del Fiscal General de Texas(texasattorneygeneral.gov).gov
- Ley de Aplicación y Protección contra el Robo de Identidad de Texas(texasattorneygeneral.gov).gov
- SB 768 - Requisitos de Notificación Electrónica al Fiscal General (88ª Legislatura)(capitol.texas.gov).gov
- SB 2610 - Puerto Seguro de Ciberseguridad para Pequeñas Empresas (89ª Legislatura)(capitol.texas.gov).gov
- Ley de Prácticas Comerciales Engañosas de Texas (Capítulo 17)(statutes.capitol.texas.gov).gov
- Acuerdo Biométrico de $1.4 Mil Millones del Fiscal General de Texas con Meta(texasattorneygeneral.gov).gov
- Acuerdo de Privacidad de $1.375 Mil Millones del Fiscal General de Texas con Google(texasattorneygeneral.gov).gov
- Acuerdos por Violación de Datos del Fiscal General de Texas con Experian y T-Mobile(texasattorneygeneral.gov).gov
- Ley de Privacidad y Seguridad de Datos de Texas (TDPSA)(texasattorneygeneral.gov).gov
- Código de Gobierno de Texas Capítulo 2054 - Recursos de Información (Requisitos para Agencias Estatales)(dir.texas.gov).gov