Leyes de Notificación de Violaciones de Datos de Utah: Reglas y Plazos de Reporte (2026)

La Ley de Protección de Información Personal de Utah exige que las empresas notifiquen a los residentes afectados por una violación de datos en el tiempo más expedito posible y sin demora injustificada. Según el Código de Utah 13-44-202, no existe un plazo fijo en días; el cronograma toma en cuenta el alcance de la investigación y las necesidades de las fuerzas del orden.

La ley de notificación de violaciones de datos de Utah está codificada como la Ley de Protección de Información Personal, Código de Utah 13-44-101 y siguientes, y ha estado vigente desde 2006. La ley recibió una actualización significativa en 2024 mediante el Proyecto de Ley del Senado 98, vigente desde el 1 de mayo de 2024, que agregó nuevos requisitos para notificar al Fiscal General y al Centro Cibernético de Utah.

El enfoque de Utah respecto a la notificación de violaciones es distintivo en varios sentidos. La ley exige que las entidades investiguen primero y notifiquen solo si el robo de identidad o el fraude son razonablemente probables. El cronograma utiliza un estándar de "sin demora injustificada" en lugar de un plazo fijo en días. Y la estructura de sanciones limita los daños a niveles modestos en comparación con muchos otros estados.

Esta guía cubre el alcance completo de los requisitos de notificación de violaciones de Utah, incluyendo cómo se conectan con el marco más amplio de las leyes de privacidad de datos de Utah, que también incluye la Ley de Privacidad del Consumidor de Utah (UCPA).

Quién Debe Cumplir

La ley de Utah se aplica a cualquier persona que posea o tenga licencia sobre datos computarizados que incluyan información personal relacionada con un residente de Utah. El término "persona" incluye empresas, corporaciones, sociedades y otras entidades. Las empresas ubicadas fuera de Utah están sujetas a la ley si poseen datos pertenecientes a residentes de Utah.

Las Instituciones Financieras Están Exentas

El Capítulo 44 contempla una exención categórica. Según el Código de Utah 13-44-103, el capítulo no se aplica a una institución financiera, ni a un afiliado de una institución financiera, según se definen esos términos en 15 U.S.C. Sección 6809.

Los bancos, las cooperativas de crédito y otras entidades que se encuentren dentro de esa definición federal quedan completamente fuera del Capítulo 44. El deber de investigación, el deber de notificar a los residentes y los umbrales de reporte al Fiscal General y al Centro Cibernético descritos más abajo no las alcanzan.

Poseedores de Datos de Terceros

Cuando un tercero mantiene datos en representación de otra entidad, el tercero debe notificar al propietario o titular de la licencia de los datos sobre la violación. El propietario de los datos asume entonces la responsabilidad de investigar y notificar a los residentes afectados.

Excepción por Política de Seguridad Propia

Una entidad que mantiene sus propios procedimientos de notificación como parte de una política de seguridad de la información se considera en cumplimiento de los requisitos de notificación, siempre que dichos procedimientos sean coherentes con los requisitos de tiempo del estatuto.

Un segundo puerto seguro cubre a las entidades reguladas. Según la Subsección 13-44-202(5)(c), una persona regulada por la ley estatal o federal y que mantiene procedimientos de violación conforme a la ley aplicable establecida por su regulador estatal o federal principal se considera en cumplimiento de esta parte, siempre que la persona notifique a cada residente afectado de Utah conforme a esa otra ley aplicable. Los proveedores de atención médica, las aseguradoras y otras entidades que ya operan bajo las reglas de violación de un regulador pueden ampararse en esta disposición.

El Requisito de Investigación

Utah se distingue de muchos estados al exigir que las entidades realicen una investigación de buena fe antes de que se activen las obligaciones de notificación.

Según la Sección 13-44-202, cuando una entidad toma conocimiento de una violación de la seguridad del sistema, debe realizar una investigación de buena fe, razonable y pronta para determinar la probabilidad de que la información personal haya sido o vaya a ser utilizada indebidamente para robo de identidad o fraude.

La notificación se requiere únicamente si la investigación revela que el uso indebido de la información personal para robo de identidad o fraude ha ocurrido o es razonablemente probable. Este enfoque basado en el riesgo significa que no toda violación requiere automáticamente notificación. Si una entidad determina, mediante su investigación, que el uso indebido es poco probable, es posible que no esté obligada a notificar.

Qué Constituye una Violación

Según la Sección 13-44-102, una "violación de la seguridad del sistema" significa la adquisición no autorizada de datos computarizados mantenidos por una persona que compromete la seguridad, confidencialidad o integridad de la información personal.

La definición se centra en la adquisición, no solo en el acceso. El acceso no autorizado sin la adquisición real de los datos puede no activar la obligación de investigación.

La Excepción del Empleado y Agente

La Subsección 13-44-102(1)(b) restringe expresamente la definición: una violación de la seguridad del sistema no incluye la adquisición de información personal por un empleado o agente de la persona que posee los datos computarizados no cifrados, a menos que la información personal se use con un propósito ilícito o se divulgue de manera no autorizada.

Para un incidente interno, la pregunta estatutaria es, por lo tanto, qué hizo el empleado con los datos, no si el empleado debía tener acceso a ellos. Un empleado que consulta registros fuera del alcance de su función, sin usar la información de manera ilícita ni divulgarla sin autorización, no genera una violación reportable según el Capítulo 44.

Excepción de Puerto Seguro por Cifrado

Si la información personal estaba cifrada o protegida por otro método que hace que los datos sean ilegibles o inutilizables, los requisitos de notificación de violaciones no se aplican. Utah no especifica un estándar de cifrado particular (a diferencia de algunos estados que exigen FIPS 140-2 o cifrado de 128 bits).

Información Personal que Activa la Ley

Según la Sección 13-44-102, información personal significa el nombre o la inicial del nombre y el apellido de una persona, combinado con uno o más de los siguientes elementos de datos, cuando el nombre o el elemento de datos no está cifrado o protegido por otro método que haga que los datos sean ilegibles o inutilizables:

• Número de Seguro Social
• Número de cuenta financiera, o número de tarjeta de crédito o débito, combinado con cualquier código de seguridad, código de acceso o contraseña requerida que permita el acceso a la cuenta
• Número de licencia de conducir o número de tarjeta de identificación estatal

Lo que la Ley de Utah No Cubre

La definición de Utah es relativamente limitada. No incluye:

• Información médica o de salud
• Números de identificación de seguro de salud
• Datos biométricos
• Credenciales de correo electrónico (nombres de usuario con contraseñas)
• Números de pasaporte
• Números de identificación fiscal (distintos del número de Seguro Social)

La información personal no incluye información contenida en registros gubernamentales federales, estatales o locales, ni en medios de difusión amplia que estén legalmente disponibles al público en general.

Cronograma de Notificación

Utah exige la notificación en el tiempo más expedito posible sin demora injustificada, considerando:

• Las necesidades investigativas legítimas de las fuerzas del orden
• El tiempo necesario para determinar el alcance de la violación
• El tiempo necesario para restaurar la integridad razonable del sistema

No existe un plazo fijo en días. Esto brinda a las entidades cierta flexibilidad, pero también significa que el cumplimiento depende de lo que sea "razonable" según las circunstancias.

Demora por las Fuerzas del Orden

La notificación puede retrasarse si una agencia de las fuerzas del orden determina que la notificación impedirá una investigación criminal. La notificación debe proceder una vez que las fuerzas del orden indiquen que ya no comprometerá la investigación.

Quién Debe Ser Notificado

Personas Afectadas

Todo residente de Utah cuya información personal haya sido, o se crea razonablemente que haya sido, utilizada indebidamente o sea razonablemente probable que se use indebidamente para robo de identidad o fraude debe recibir notificación.

Fiscal General y Centro Cibernético de Utah (Umbral de 500+)

Según las enmiendas de 2024 agregadas por el SB 98, el umbral no es un simple recuento de personas afectadas. Cuando la investigación de buena fe revela que el uso indebido de información personal relacionada con 500 o más residentes de Utah, con fines de robo de identidad o fraude, ha ocurrido o es razonablemente probable que ocurra, la entidad también debe notificar a:

• La Oficina del Fiscal General de Utah
• El Centro Cibernético de Utah

La notificación debe incluir: la fecha en que ocurrió la violación, la fecha en que se descubrió, el número total de personas afectadas (incluyendo el número de residentes de Utah), el tipo de información personal involucrada y una breve descripción de la violación.

Los documentos presentados al Fiscal General o al Centro Cibernético pueden clasificarse como registros protegidos bajo ciertas circunstancias, brindando protecciones de confidencialidad durante la investigación.

Agencias de Informes de Crédito (Umbral de 1,000+)

Cuando la investigación revela que el uso indebido de información personal relacionada con 1,000 o más residentes de Utah, con fines de robo de identidad o fraude, ha ocurrido o es razonablemente probable que ocurra, la entidad también debe notificar a cada agencia de informes de crédito al consumidor que compile y mantenga archivos sobre consumidores a nivel nacional, según se define en 15 U.S.C. Sección 1681a.

Métodos de Notificación

Utah permite varios métodos de notificación:

• Aviso por escrito enviado por correo de primera clase
• Aviso electrónico, si el método principal de comunicación de la entidad con el residente es electrónico
• Aviso telefónico, incluyendo mediante el uso de tecnología de marcación automática

Notificación Sustitutiva

Utah también prevé la notificación mediante publicación en un periódico de circulación general. Esto está disponible cuando otros métodos de notificación son poco prácticos.

Sanciones y Aplicación

Sanciones Civiles

Según la Sección 13-44-301, una persona que viole el estatuto está sujeta a:

• Hasta $2,500 por consumidor por una infracción o serie de infracciones relacionadas con un consumidor específico
• Hasta $100,000 en conjunto por infracciones relacionadas que afecten a más de un consumidor

El límite de $100,000 puede superarse si las infracciones involucran a 10,000 o más consumidores que sean residentes de Utah y 10,000 o más consumidores que sean residentes de otros estados, o si la persona acepta llegar a un acuerdo por una cantidad mayor.

Aplicación por el Fiscal General

Solo el Fiscal General puede hacer cumplir el estatuto. El Fiscal General puede solicitar:

• Sanciones civiles según lo indicado anteriormente
• Medidas cautelares para prevenir futuras infracciones
• Honorarios de abogados y costos

Sin Derecho de Acción Privado

La ley de notificación de violaciones de datos de Utah no crea un derecho de acción privado. Las personas no pueden demandar bajo este estatuto. Pueden presentar reclamos bajo otras teorías legales, como la negligencia, pero no bajo la Ley de Protección de Información Personal en sí.

Conexión con la Ley de Privacidad del Consumidor de Utah

La Ley de Privacidad del Consumidor de Utah (UCPA), vigente desde el 31 de diciembre de 2023, es una ley integral de privacidad separada que regula cómo las empresas recopilan y utilizan los datos personales. La UCPA no reemplaza ni modifica los requisitos de notificación de violaciones del Capítulo 44. Las dos leyes operan de manera independiente:

• El Capítulo 44 regula lo que sucede cuando la información personal se ve comprometida en una violación
• La UCPA regula la recopilación, uso y compartición de datos personales en el curso ordinario de los negocios

Las empresas que manejan datos de consumidores de Utah deben asegurarse de cumplir con ambos estatutos.

Más Leyes de Utah

• Utah AI Meeting Recording Laws
• Utah Alimony Laws
• Utah At-Will Employment Laws
• Utah Car Accident Laws
• Utah Car Seat Laws
• Utah Child Custody Laws
• Utah Child Support Laws
• Utah Common Law Marriage Laws
• Utah Deepfake Laws
• Utah Divorce Laws
• Utah Dog Bite Laws
• Utah Emancipation Laws
• Utah Expungement Laws
• Utah Hit and Run Laws
• Utah Landlord-Tenant Laws
• Utah Lemon Laws

Este artículo proporciona información legal general sobre las leyes de privacidad de datos de Utah y los requisitos de notificación de violaciones. No constituye asesoría legal ni crea una relación abogado-cliente. La respuesta a una violación de datos implica obligaciones sensibles al tiempo. Consulte a un abogado calificado con licencia en Utah para obtener orientación específica sobre su situación.

Preguntas frecuentes

¿Con qué rapidez debe una empresa notificar a los residentes de Utah después de una violación de datos?

Utah exige la notificación en el tiempo más expedito posible sin demora injustificada. No existe un plazo fijo en días como los 30, 45 o 60 días que exigen muchos otros estados. El cronograma debe tener en cuenta las necesidades legítimas de las fuerzas del orden, el tiempo para determinar el alcance de la violación y el tiempo para restaurar la integridad del sistema.

¿Exige Utah la notificación al Fiscal General por violaciones de datos?

Sí, a partir de mayo de 2024. El Proyecto de Ley del Senado 98 agregó el requisito de notificar al Fiscal General y al Centro Cibernético de Utah cuando la investigación de buena fe revela que el uso indebido de información personal relacionada con 500 o más residentes de Utah, con fines de robo de identidad o fraude, ha ocurrido o es razonablemente probable que ocurra. No se trata de un simple recuento de personas cuyos datos fueron expuestos. La notificación debe incluir la fecha de la violación, la fecha de descubrimiento, el total de personas afectadas, el tipo de información personal y una descripción de la violación.

¿Se aplica la ley de notificación de violaciones de datos de Utah a los bancos y cooperativas de crédito?

No. El Código de Utah 13-44-103 establece que el capítulo no se aplica a una institución financiera ni a un afiliado de una institución financiera, según se define en 15 U.S.C. Sección 6809. Las instituciones que se encuentran dentro de esa definición quedan completamente fuera del Capítulo 44, incluidos su deber de investigación y sus umbrales de reporte al Fiscal General y al Centro Cibernético.

¿Cuáles son las sanciones por no notificar sobre una violación de datos en Utah?

Las sanciones civiles están limitadas a $2,500 por consumidor y $100,000 en conjunto por infracciones relacionadas. El límite agregado puede superarse en casos que involucren a 10,000 o más consumidores tanto en Utah como en otros estados, o si las partes acuerdan un acuerdo mayor. Solo el Fiscal General puede hacer cumplir la ley.

¿Deben las empresas investigar antes de enviar una notificación de violación en Utah?

Sí. Utah exige que las entidades realicen una investigación de buena fe, razonable y pronta al tomar conocimiento de una violación. La notificación se requiere únicamente si la investigación revela que la información personal ha sido o es razonablemente probable que sea utilizada indebidamente para robo de identidad o fraude. Este enfoque basado en el riesgo distingue a Utah de los estados que exigen notificación por cualquier adquisición no autorizada.

¿Es una violación reportable si un empleado accede a datos que no debería haber visto?

Generalmente no, por sí solo. El Código de Utah 13-44-102(1)(b) establece que una violación de la seguridad del sistema no incluye la adquisición de información personal por un empleado o agente de la persona que posee los datos computarizados no cifrados, a menos que la información personal se use con un propósito ilícito o se divulgue de manera no autorizada. La cuestión de si es reportable depende de lo que el interno haya hecho con la información.

¿Cubre la ley de notificación de violaciones de Utah la información médica o de salud?

No. La definición de información personal de Utah solo cubre números de Seguro Social, números de cuenta financiera con códigos de seguridad, y números de licencia de conducir o identificación estatal. La información médica, los datos de seguro de salud, los datos biométricos y las credenciales de correo electrónico no están cubiertos por el estatuto de notificación de violaciones.