Leyes de Notificación de Violaciones de Datos de Utah: Reglas y Plazos de Reporte (2026)

La Ley de Protección de Información Personal de Utah exige que las empresas notifiquen a los residentes afectados por una violación de datos en el tiempo más expedito posible y sin demora injustificada. Según el Código de Utah 13-44-202, no existe un plazo fijo en días; el cronograma toma en cuenta el alcance de la investigación y las necesidades de las fuerzas del orden.

La ley de notificación de violaciones de datos de Utah está codificada como la Ley de Protección de Información Personal, Código de Utah 13-44-101 y siguientes, y ha estado vigente desde 2006. La ley recibió una actualización significativa en 2024 mediante el Proyecto de Ley del Senado 98, vigente desde el 1 de mayo de 2024, que agregó nuevos requisitos para notificar al Fiscal General y al Centro Cibernético de Utah.

El enfoque de Utah respecto a la notificación de violaciones es distintivo en varios sentidos. La ley exige que las entidades investiguen primero y notifiquen solo si el robo de identidad o el fraude son razonablemente probables. El cronograma utiliza un estándar de "sin demora injustificada" en lugar de un plazo fijo en días. Y la estructura de sanciones limita los daños a niveles modestos en comparación con muchos otros estados.

Esta guía cubre el alcance completo de los requisitos de notificación de violaciones de Utah, incluyendo cómo se conectan con el marco más amplio de las leyes de privacidad de datos de Utah, que también incluye la Ley de Privacidad del Consumidor de Utah (UCPA).

Quién Debe Cumplir

La ley de Utah se aplica a cualquier persona que posea o tenga licencia sobre datos computarizados que incluyan información personal relacionada con un residente de Utah. El término "persona" incluye empresas, corporaciones, sociedades y otras entidades. Las empresas ubicadas fuera de Utah están sujetas a la ley si poseen datos pertenecientes a residentes de Utah.

Poseedores de Datos de Terceros

Cuando un tercero mantiene datos en representación de otra entidad, el tercero debe notificar al propietario o titular de la licencia de los datos sobre la violación. El propietario de los datos asume entonces la responsabilidad de investigar y notificar a los residentes afectados.

Excepción por Política de Seguridad Propia

Una entidad que mantiene sus propios procedimientos de notificación como parte de una política de seguridad de la información se considera en cumplimiento de los requisitos de notificación, siempre que dichos procedimientos sean coherentes con los requisitos de tiempo del estatuto.

El Requisito de Investigación

Utah se distingue de muchos estados al exigir que las entidades realicen una investigación de buena fe antes de que se activen las obligaciones de notificación.

Según la Sección 13-44-202, cuando una entidad toma conocimiento de una violación de la seguridad del sistema, debe realizar una investigación de buena fe, razonable y pronta para determinar la probabilidad de que la información personal haya sido o vaya a ser utilizada indebidamente para robo de identidad o fraude.

La notificación se requiere únicamente si la investigación revela que el uso indebido de la información personal para robo de identidad o fraude ha ocurrido o es razonablemente probable. Este enfoque basado en el riesgo significa que no toda violación requiere automáticamente notificación. Si una entidad determina, mediante su investigación, que el uso indebido es poco probable, es posible que no esté obligada a notificar.

Qué Constituye una Violación

Según la Sección 13-44-102, una "violación de la seguridad del sistema" significa la adquisición no autorizada de datos computarizados mantenidos por una persona que compromete la seguridad, confidencialidad o integridad de la información personal.

La definición se centra en la adquisición, no solo en el acceso. El acceso no autorizado sin la adquisición real de los datos puede no activar la obligación de investigación.

Excepción de Puerto Seguro por Cifrado

Si la información personal estaba cifrada o protegida por otro método que hace que los datos sean ilegibles o inutilizables, los requisitos de notificación de violaciones no se aplican. Utah no especifica un estándar de cifrado particular (a diferencia de algunos estados que exigen FIPS 140-2 o cifrado de 128 bits).

Información Personal que Activa la Ley

Según la Sección 13-44-102, información personal significa el nombre o la inicial del nombre y el apellido de una persona, combinado con uno o más de los siguientes elementos de datos, cuando el nombre o el elemento de datos no está cifrado o protegido por otro método que haga que los datos sean ilegibles o inutilizables:

• Número de Seguro Social
• Número de cuenta financiera, o número de tarjeta de crédito o débito, combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permita el acceso a la cuenta
• Número de licencia de conducir o número de tarjeta de identificación estatal

Lo que la Ley de Utah No Cubre

La definición de Utah es relativamente limitada. No incluye:

• Información médica o de salud
• Números de identificación de seguro de salud
• Datos biométricos
• Credenciales de correo electrónico (nombres de usuario con contraseñas)
• Números de pasaporte
• Números de identificación fiscal (distintos del número de Seguro Social)

La información personal no incluye información contenida en registros gubernamentales federales, estatales o locales, ni en medios de difusión amplia que estén legalmente disponibles al público en general.

Cronograma de Notificación

Utah exige la notificación en el tiempo más expedito posible sin demora injustificada, considerando:

• Las necesidades investigativas legítimas de las fuerzas del orden
• El tiempo necesario para determinar el alcance de la violación
• El tiempo necesario para restaurar la integridad razonable del sistema

No existe un plazo fijo en días. Esto brinda a las entidades cierta flexibilidad, pero también significa que el cumplimiento depende de lo que sea "razonable" según las circunstancias.

Demora por las Fuerzas del Orden

La notificación puede retrasarse si una agencia de las fuerzas del orden determina que la notificación impedirá una investigación criminal. La notificación debe proceder una vez que las fuerzas del orden indiquen que ya no comprometerá la investigación.

Quién Debe Ser Notificado

Personas Afectadas

Todo residente de Utah cuya información personal haya sido, o se crea razonablemente que haya sido, utilizada indebidamente o sea razonablemente probable que se use indebidamente para robo de identidad o fraude debe recibir notificación.

Fiscal General y Centro Cibernético de Utah (Umbral de 500+)

Según las enmiendas de 2024 agregadas por el SB 98, cuando una violación afecta a 500 o más residentes de Utah, la entidad también debe notificar a:

• El Fiscal General de Utah
• El Centro Cibernético de Utah

La notificación debe incluir: la fecha en que ocurrió la violación, la fecha en que se descubrió, el número total de personas afectadas (incluyendo el número de residentes de Utah), el tipo de información personal involucrada y una breve descripción de la violación.

Los documentos presentados al Fiscal General o al Centro Cibernético pueden clasificarse como registros protegidos bajo ciertas circunstancias, brindando protecciones de confidencialidad durante la investigación.

Agencias de Informes de Crédito (Umbral de 1,000+)

Cuando la investigación revela que el uso indebido de información personal relacionada con 1,000 o más residentes de Utah ha ocurrido o es razonablemente probable que ocurra, la entidad también debe notificar a cada agencia de informes de crédito al consumidor que compile y mantenga archivos sobre consumidores a nivel nacional, según se define en 15 U.S.C. Sección 1681a.

Métodos de Notificación

Utah permite varios métodos de notificación:

• Aviso por escrito enviado por correo de primera clase
• Aviso electrónico, si el método principal de comunicación de la entidad con el residente es electrónico
• Aviso telefónico, incluyendo mediante el uso de tecnología de marcación automática

Notificación Sustitutiva

Utah también prevé la notificación mediante publicación en un periódico de circulación general. Esto está disponible cuando otros métodos de notificación son poco prácticos.

Sanciones y Aplicación

Sanciones Civiles

Según la Sección 13-44-301, una persona que viole el estatuto está sujeta a:

• Hasta $2,500 por consumidor por una infracción o serie de infracciones relacionadas con un consumidor específico
• Hasta $100,000 en conjunto por infracciones relacionadas que afecten a más de un consumidor

El límite de $100,000 puede superarse si las infracciones involucran a 10,000 o más consumidores que sean residentes de Utah y 10,000 o más consumidores que sean residentes de otros estados, o si la persona acepta llegar a un acuerdo por una cantidad mayor.

Aplicación por el Fiscal General

Solo el Fiscal General puede hacer cumplir el estatuto. El Fiscal General puede solicitar:

• Sanciones civiles según lo indicado anteriormente
• Medidas cautelares para prevenir futuras infracciones
• Honorarios de abogados y costos

Sin Derecho de Acción Privado

La ley de notificación de violaciones de datos de Utah no crea un derecho de acción privado. Las personas no pueden demandar bajo este estatuto. Pueden presentar reclamos bajo otras teorías legales, como la negligencia, pero no bajo la Ley de Protección de Información Personal en sí.

Conexión con la Ley de Privacidad del Consumidor de Utah

La Ley de Privacidad del Consumidor de Utah (UCPA), vigente desde el 31 de diciembre de 2023, es una ley integral de privacidad separada que regula cómo las empresas recopilan y utilizan los datos personales. La UCPA no reemplaza ni modifica los requisitos de notificación de violaciones del Capítulo 44. Las dos leyes operan de manera independiente:

• El Capítulo 44 regula lo que sucede cuando la información personal se ve comprometida en una violación
• La UCPA regula la recopilación, uso y compartición de datos personales en el curso ordinario de los negocios

Las empresas que manejan datos de consumidores de Utah deben asegurarse de cumplir con ambos estatutos.

Más Leyes de Utah

• Utah AI Meeting Recording Laws
• Utah Alimony Laws
• Utah At-Will Employment Laws
• Utah Car Accident Laws
• Utah Car Seat Laws
• Utah Child Custody Laws
• Utah Child Support Laws
• Utah Common Law Marriage Laws
• Utah Deepfake Laws
• Utah Divorce Laws
• Utah Dog Bite Laws
• Utah Emancipation Laws
• Utah Expungement Laws
• Utah Hit and Run Laws
• Utah Landlord-Tenant Laws
• Utah Lemon Laws

Este artículo proporciona información legal general sobre las leyes de privacidad de datos de Utah y los requisitos de notificación de violaciones. No constituye asesoría legal ni crea una relación abogado-cliente. La respuesta a una violación de datos implica obligaciones sensibles al tiempo. Consulte a un abogado calificado con licencia en Utah para obtener orientación específica sobre su situación.