Leyes de Notificación de Violación de Datos de Texas: Reglas de Reporte y Plazos (2026)

Texas exige que las empresas notifiquen a las personas afectadas por una violación de datos sin demora injustificada y a más tardar 60 días después de determinar que ocurrió, según el Tex. Bus. & Com. Code 521.053. Las violaciones que afectan a 250 o más residentes de Texas también requieren notificación al Fiscal General dentro de 30 días.

Texas opera uno de los marcos de notificación de violación de datos más activamente aplicados del país. La ley de notificación de violaciones del estado, parte de la Ley de Aplicación y Protección contra el Robo de Identidad, exige que las empresas notifiquen a los residentes de Texas afectados y, en muchos casos, al Fiscal General, después de que un incidente de seguridad exponga información personal sensible.

Lo que distingue a Texas de la mayoría de los estados es su estructura de doble plazo. Las empresas enfrentan un plazo de 60 días para las notificaciones individuales y un plazo más corto de 30 días para reportar al Fiscal General. Combinado con una oficina del Fiscal General que ha obtenido más de $2.7 mil millones en acuerdos relacionados con privacidad desde 2022, estas reglas de reporte conllevan consecuencias reales por el incumplimiento.

Este artículo desglosa el marco completo de notificación, incluyendo quién debe reportar, qué activa la obligación, cómo funcionan las sanciones y qué defensas están disponibles según la ley de Texas.

Quién Debe Cumplir con la Ley de Notificación de Violaciones de Texas

La obligación de notificación según la Sección 521.053 se aplica a cualquier persona que haga negocios en Texas y posea o tenga licencia sobre datos computarizados que incluyan información personal sensible. El estatuto no define "hacer negocios" de manera restrictiva, lo que significa que las empresas fuera del estado que manejan datos pertenecientes a residentes de Texas están sujetas a la ley.

Las agencias estatales y los gobiernos locales enfrentan requisitos adicionales según la Sección 2063.302 del Código de Gobierno. Una agencia estatal o un gobierno local que posea datos computarizados que contengan información personal sensible debe cumplir con la Sección 521.053 y también debe notificar al Comando Cibernético de Texas (Texas Cyber Command) dentro de las 48 horas siguientes a haber descubierto un incidente de ciberseguridad, o notificar en su lugar a la secretaría de estado cuando se trate de datos electorales. Un reporte de seguimiento que analice la causa vence a más tardar el décimo día hábil después de la erradicación, el cierre y la recuperación del incidente.

Esa sección contiene la obligación que antes se encontraba en la Sección 2054.1125 del Código de Gobierno. Fue transferida y renumerada fuera del Capítulo 2054 a partir del 1 de septiembre de 2023, y renumerada de nuevo a partir del 1 de septiembre de 2025, por lo que cualquier guía que aún remita a la Sección 2054.1125 o al Departamento de Recursos de Información como destinatario está desactualizada.

La Sección 2063.302(c) establece una excepción: un incidente que un gobierno local esté obligado a reportar a una organización independiente certificada según la Sección 39.151 del Código de Servicios Públicos queda exento de esta obligación de notificación.

Los custodios de datos externos tienen una obligación separada. Según la Sección 521.053(c), cualquier persona que mantenga datos que no le pertenecen debe notificar al propietario de los datos inmediatamente después de descubrir una violación. El plazo de 60 días entonces comienza a correr para el propietario, no para el custodio.

Qué Califica como una Violación Según la Ley de Texas

Una "violación de la seguridad del sistema" se define según la Sección 521.053(a) como la adquisición no autorizada de datos computarizados que compromete la seguridad, confidencialidad o integridad de la información personal sensible mantenida por una persona.

La palabra clave es "adquisición." El simple acceso no autorizado puede no activar el requisito de notificación. Texas exige que los datos hayan sido realmente adquiridos, no solo accedidos o vistos, de una manera que comprometa su seguridad.

Una advertencia importante: incluso los datos cifrados pueden calificar como una violación si la persona no autorizada también obtuvo la clave de cifrado. El estatuto incluye explícitamente los "datos que están cifrados si la persona que accede a los datos tiene la clave requerida para descifrarlos."

Qué Datos Activan la Obligación de Notificación

La Sección 521.002 define la "información personal sensible" en dos categorías.

Categoría Uno: Nombre Más Identificador

El primer nombre (o la inicial del primer nombre) y el apellido de una persona combinados con uno o más de los siguientes elementos sin cifrar:

• Número de Seguro Social
• Número de licencia de conducir o número de identificación emitido por el gobierno
• Número de cuenta, número de tarjeta de crédito o número de tarjeta de débito combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permitiera el acceso a la cuenta financiera de la persona

Categoría Dos: Información de Salud

Información que identifica a una persona y se relaciona con:

• La condición de salud física o mental de la persona
• La prestación de atención médica a la persona
• El pago por la atención médica proporcionada a la persona

Qué Está Excluido

La información personal sensible no incluye información disponible públicamente que sea puesta legalmente a disposición del público por el gobierno federal o un gobierno estatal o local.

El Puerto Seguro de Cifrado

Texas ofrece un puerto seguro de cifrado significativo. La definición de información personal sensible según la Sección 521.002 alcanza la combinación de nombre más identificador enumerada únicamente "si el nombre y los elementos no están cifrados," de modo que los datos cifrados quedan fuera de la definición. Si los datos comprometidos estaban debidamente cifrados y la clave de cifrado no también fue adquirida, la obligación de notificación no se aplica.

Este puerto seguro tiene límites. El cifrado debe haber estado vigente en el momento de la violación. Las empresas no pueden cifrar los datos después del hecho y reclamar la exención. Y si un atacante obtiene tanto los datos cifrados como la clave de descifrado, el puerto seguro desaparece.

Requisitos de Notificación de Doble Plazo

Texas es uno de los pocos estados que imponen plazos separados para la notificación individual y gubernamental, siendo el plazo gubernamental más corto.

Plazo de 60 Días: Notificación Individual

Según la Sección 521.053(b), una empresa debe divulgar la violación a cada persona afectada "sin demora injustificada y en cada caso a más tardar el día 60 después de la fecha en que la persona determina que ocurrió la violación."

El plazo comienza a correr cuando la empresa determina que ocurrió una violación, no cuando la sospecha por primera vez. Sin embargo, el lenguaje de "sin demora injustificada" significa que una empresa no puede retrasar deliberadamente su investigación para acercar las notificaciones al límite de 60 días.

Plazo de 30 Días: Notificación al Fiscal General

Según la Sección 521.053(i), cuando una violación afecta a 250 o más residentes de Texas, la empresa debe notificar al Fiscal General de Texas "tan pronto como sea posible y a más tardar el día 30 después de la fecha en que la persona determina que ocurrió la violación."

A partir del 1 de septiembre de 2023 (tras el SB 768), todas las notificaciones al Fiscal General deben presentarse electrónicamente a través del formulario oficial de Reporte de Violación de Datos del Fiscal General. El reporte debe incluir:

• Una descripción detallada de la naturaleza y las circunstancias de la violación
• El número de residentes de Texas afectados al momento de la notificación
• El número de residentes afectados a quienes ya se les envió notificación directa
• Las medidas tomadas en respuesta a la violación
• Las medidas que la empresa pretende tomar después de la notificación
• Si las autoridades están investigando la violación

El Fiscal General publica las violaciones reportadas en un sitio web de acceso público, lo que crea tanto transparencia como un incentivo reputacional para el cumplimiento.

Métodos de Notificación

La Sección 521.053(e) permite varios métodos de notificación:

1. Notificación por escrito enviada a la última dirección conocida de la persona
2. Notificación electrónica que cumpla con la Ley federal de Firmas Electrónicas en el Comercio Global y Nacional (Ley E-SIGN)
3. Notificación alternativa según las reglas de notificación sustituta

Notificación Sustituta

La Sección 521.053(f) permite la notificación sustituta cuando:

• El costo de la notificación directa excedería los $250,000
• El número de personas afectadas excede las 500,000
• La empresa no cuenta con información de contacto suficiente para la notificación directa

La notificación sustituta requiere las tres acciones siguientes: notificación por correo electrónico cuando sea posible, publicación visible en el sitio web de la empresa y publicación o transmisión a través de los principales medios de comunicación a nivel estatal.

Notificación a las Agencias de Reporte de Crédito al Consumidor

Según la Sección 521.053(h), cuando una violación requiere la notificación a más de 10,000 personas a la vez, la empresa también debe notificar a todas las agencias de reporte de crédito al consumidor de alcance nacional (las tres principales agencias de crédito) sobre el momento, la distribución y el contenido de la notificación enviada a las personas.

Retraso por Aplicación de la Ley

La Sección 521.053(d) permite un retraso en la notificación si una agencia de aplicación de la ley determina que la notificación impediría una investigación criminal. La notificación debe realizarse tan pronto como la agencia de aplicación de la ley determine que ya no interferirá con la investigación.

Sanciones y Aplicación

Texas hace cumplir los requisitos de notificación de violaciones mediante sanciones civiles, medidas cautelares y recuperación de costos que el Fiscal General persigue directamente según el Capítulo 521.

Sanciones Civiles Según el Capítulo 521

Según la Sección 521.151, una persona que viole el Capítulo 521 es responsable de una sanción civil de al menos $2,000 pero no más de $50,000 por cada infracción.

Específicamente para las fallas de notificación, se aplica una estructura de sanción adicional: hasta $100 por persona por día por cada día consecutivo en que la empresa no cumpla con los requisitos de notificación. Estas sanciones tienen un tope de $250,000 para todas las personas afectadas por una sola violación.

Medidas Cautelares y Recuperación de Costos

Los demás remedios del Fiscal General también provienen del Capítulo 521, no de la Ley de Prácticas Comerciales Engañosas. La Sección 521.151(b) permite al Fiscal General demandar en nombre del estado para restringir una infracción mediante una orden de restricción temporal o mediante una medida cautelar temporal o permanente, y la Sección 521.151(e) permite al tribunal conceder otras medidas equitativas para prevenir un daño mayor o para satisfacer una sentencia.

La Sección 521.151(f) faculta al Fiscal General para recuperar los gastos razonables, incluyendo honorarios de abogados razonables, costos judiciales y costos de investigación, en que incurra al obtener una medida cautelar o sanciones civiles.

El Estrecho Vínculo con la Ley de Prácticas Comerciales Engañosas

El Capítulo 521 contiene un solo vínculo con la Ley de Prácticas Comerciales Engañosas (DTPA), y es más limitado de lo que suele describirse. La Sección 521.152 establece que una "infracción de la Sección 521.051 es una práctica comercial engañosa procesable bajo la Subsección E del Capítulo 17."

La Sección 521.051 cubre el uso o la posesión no autorizados de la información de identificación personal de otra persona. No es la disposición de notificación. Por lo tanto, el vínculo con la DTPA no alcanza a la Sección 521.053, de modo que el Capítulo 521 no hace procesable bajo la DTPA el hecho de no enviar a tiempo una notificación de violación.

Derecho de Acción Privado

El Capítulo 521 no otorga a los consumidores un derecho de acción privado por una falla en la notificación de una violación. La aplicación de la Sección 521.053 corresponde al Fiscal General según la Sección 521.151, y la única disposición del capítulo sobre prácticas comerciales engañosas alcanza, en cambio, a la Sección 521.051.

Eso no significa que una violación de datos en Texas nunca genere litigios privados. Los demandantes generalmente presentan sus demandas bajo otras teorías, como negligencia, incumplimiento de contrato o un reclamo bajo la DTPA basado en las propias declaraciones de una empresa sobre sus prácticas de seguridad. Esos reclamos se sostienen o caen según sus propios elementos, y no según un plazo de 60 días incumplido.

Historial de Aplicación del Fiscal General

La oficina del Fiscal General de Texas ha demostrado una postura agresiva de aplicación en materia de privacidad de datos. Aunque el acuerdo de $1.4 mil millones con Meta y el acuerdo de $1.375 mil millones con Google involucraron privacidad biométrica en lugar de notificación de violaciones, señalan la disposición del Fiscal General a buscar las sanciones máximas.

Específicamente en materia de notificación de violaciones, el Fiscal General resolvió investigaciones con Experian y T-Mobile por más de $1.5 millones en conjunto. La Iniciativa de Privacidad y Seguridad de Datos del Fiscal General, lanzada en 2024, ha investigado las prácticas de datos de más de 200 empresas.

El Puerto Seguro de Ciberseguridad (SB 2610)

El Proyecto de Ley del Senado 2610 de Texas, vigente desde el 1 de septiembre de 2025, creó un puerto seguro de ciberseguridad para las empresas que califican. Este es un desarrollo significativo para las empresas que se defienden en litigios relacionados con violaciones de datos.

Quién Califica

El puerto seguro se aplica a las empresas que operan en Texas con menos de 250 empleados, organizadas en tres niveles:

Marcos Reconocidos

La ley reconoce el cumplimiento de marcos de ciberseguridad establecidos, incluyendo el Marco de Ciberseguridad del NIST y el HITRUST CSF, como suficiente para cumplir con los requisitos del puerto seguro.

Qué Proporciona el Puerto Seguro

Una empresa que califica y que implementó y mantuvo un programa de ciberseguridad conforme al momento de una violación queda protegida de los daños punitivos en litigios relacionados con la violación. El puerto seguro no elimina la responsabilidad por completo. Las empresas aún pueden enfrentar daños compensatorios, aplicación por parte del Fiscal General y sanciones civiles estatutarias.

La Salvedad

La empresa debe demostrar que contaba con el programa de ciberseguridad implementado antes de que ocurriera la violación. Implementar un programa después del hecho no proporciona ninguna protección. La documentación del cumplimiento, las evaluaciones de riesgo periódicas y la evidencia del mantenimiento del programa son fundamentales.

Cómo Interactúa la TDPSA con la Notificación de Violaciones

La Ley de Privacidad y Seguridad de Datos de Texas (TDPSA), que entró en vigor el 1 de julio de 2024, no crea sus propios requisitos de notificación de violaciones. El marco existente según el Capítulo 521 sigue siendo el único estatuto de notificación de violaciones.

Sin embargo, la TDPSA se cruza con la notificación de violaciones de dos maneras prácticas. Primero, los requisitos de seguridad de datos de la TDPSA según el Capítulo 541 pueden establecer el estándar de cuidado para lo que constituyen prácticas de seguridad "razonables," lo cual afecta tanto la probabilidad de violaciones como las defensas disponibles. Segundo, las infracciones de la TDPSA conllevan sanciones de hasta $7,500 por infracción, añadiendo otra capa de exposición para las empresas que sufren violaciones debido a una protección de datos inadecuada.

Una empresa que infrinja los requisitos de seguridad de datos de la TDPSA y luego sufra una violación podría enfrentar tanto sanciones de la TDPSA por la falla de seguridad como sanciones del Capítulo 521 por cualquier deficiencia en la notificación.

Este artículo proporciona información legal general sobre los requisitos de notificación de violación de datos de Texas. No constituye asesoría legal. Si necesita orientación sobre un incidente de violación específico, obligaciones de cumplimiento o responsabilidad potencial, consulte a un abogado con licencia en Texas.

Relacionado: Leyes de Privacidad de Datos de Texas | Leyes de Privacidad de Datos por Estado | Leyes de Notificación de Violación de Datos

Preguntas frecuentes

¿Cuánto tiempo tiene una empresa de Texas para reportar una violación de datos?

Texas impone dos plazos separados. Las empresas deben notificar a las personas afectadas dentro de 60 días de determinar que ocurrió una violación, según el Tex. Bus. & Com. Code 521.053(b). Cuando se ven afectados 250 o más residentes de Texas, la empresa también debe notificar al Fiscal General de Texas dentro de 30 días. Ambos plazos comienzan a correr cuando la empresa determina que ocurrió la violación, no cuando la sospecha por primera vez.

¿Qué información personal activa los requisitos de notificación de violaciones de Texas?

Texas define la información personal sensible como el nombre de una persona (primer nombre o inicial más apellido) combinado con un número de Seguro Social sin cifrar, un número de licencia de conducir o identificación gubernamental, un número de cuenta financiera con las credenciales de seguridad requeridas, o información relacionada con la salud. Los datos cifrados están exentos solo si la clave de cifrado tampoco fue comprometida en la violación.

¿Pueden las personas demandar por una violación de datos en Texas?

No según el estatuto de notificación de violaciones. El Capítulo 521 no crea un derecho de acción privado por una notificación de violación tardía o faltante, y la aplicación de la Sección 521.053 corresponde al Fiscal General según la Sección 521.151. La disposición del capítulo sobre prácticas comerciales engañosas, la Sección 521.152, se aplica únicamente a la Sección 521.051, que cubre el uso o la posesión no autorizados de información de identificación personal. Las personas que demandan después de una violación de datos en Texas generalmente lo hacen bajo otras teorías, como negligencia o incumplimiento de contrato.

¿Cifrar los datos elimina la necesidad de enviar notificaciones de violación en Texas?

En la mayoría de los casos, sí. Texas ofrece un puerto seguro de cifrado que exime a los datos debidamente cifrados de la definición de información personal sensible. Si los datos comprometidos estaban cifrados y la clave de cifrado no también fue adquirida durante la violación, la obligación de notificación no se aplica. Si el atacante obtuvo tanto los datos como la clave, la exención no se aplica.

¿Qué sanciones puede enfrentar una empresa de Texas por no reportar una violación de datos?

Las sanciones civiles van de $2,000 a $50,000 por infracción según la Sección 521.151. Específicamente para las fallas de notificación, se aplica una sanción adicional de hasta $100 por persona por día, y el total no puede exceder los $250,000 para todas las personas a quienes se debe notificación después de una sola violación. Según la Sección 521.151, el Fiscal General también puede buscar una medida cautelar y recuperar honorarios de abogados razonables, costos judiciales y costos de investigación. Estas son medidas de aplicación estatal, no montos que las personas puedan cobrar.