Leyes de Notificación de Violación de Datos de Vermont: Reglas de Reporte y Plazos (2026)

Vermont exige que las empresas notifiquen a los consumidores afectados de una violación de datos dentro de los 45 días posteriores al descubrimiento conforme a 9 V.S.A. 2435. Las empresas también deben enviar un aviso preliminar al Fiscal General de Vermont dentro de los 14 días hábiles posteriores al descubrimiento, uno de los pocos procesos de notificación en dos etapas del país.

Vermont opera uno de los marcos de notificación de violación de datos más protectores de los Estados Unidos. Mientras que muchos estados exigen una única notificación a su fiscal general junto con los avisos al consumidor, Vermont se distingue por su proceso de reporte en dos etapas: un aviso preliminar al Fiscal General dentro de 14 días hábiles, seguido de la notificación al consumidor dentro de 45 días.

La ley actual está codificada en 9 V.S.A. 2430 (definiciones) y 9 V.S.A. 2435 (requisitos de notificación). Promulgado originalmente en 2006, el estatuto sufrió revisiones importantes mediante la Ley 89 de 2020 (S.110), vigente desde el 1 de julio de 2020, que amplió la definición de información personal, añadió protecciones para las credenciales de inicio de sesión y creó el requisito de aviso preliminar de 14 días hábiles al Fiscal General.

Para una visión más amplia del marco de privacidad de Vermont, consulte la guía principal de Leyes de Privacidad de Datos de Vermont.

Quién Debe Cumplir

La ley de Vermont se aplica a los "recopiladores de datos", que el estatuto define de manera amplia. Un recopilador de datos es cualquier persona, asociación, municipio, corporación u otra entidad que, para cualquier propósito, reciba, almacene, mantenga, procese o de otro modo tenga acceso a información de identificación personal de residentes de Vermont.

Esto incluye tanto a empresas privadas como a entidades gubernamentales. Los proveedores de servicios externos que manejan información personal en nombre de un recopilador de datos también están sujetos a la ley.

Las entidades reguladas por el Departamento de Regulación Financiera de Vermont (DFR), como bancos, compañías de seguros y otras instituciones financieras, deben reportar las violaciones al DFR en lugar de al Fiscal General. Todas las demás entidades reportan al Fiscal General.

Qué Califica Como Información Personal

Conforme a 9 V.S.A. 2430, "información de identificación personal" se define como el primer nombre o la inicial del primer nombre y el apellido de un consumidor combinados con cualquiera de los siguientes elementos de datos sin cifrar:

• Número de Seguro Social
• Número de licencia de conducir o de identificación estatal sin licencia de conducir, número de identificación individual del contribuyente, número de pasaporte, número de tarjeta de identificación militar, u otro número de identificación que provenga de un documento de identificación gubernamental que se utilice comúnmente para verificar la identidad en una transacción comercial
• Número de cuenta financiera, número de tarjeta de crédito o número de tarjeta de débito, si el número pudiera utilizarse sin información de identificación adicional, códigos de acceso o contraseñas
• Contraseña, número de identificación personal u otro código de acceso para una cuenta financiera
• Datos biométricos únicos generados a partir de mediciones o análisis técnicos de características corporales humanas, como huella dactilar, retina o imágenes de iris
• Información genética
• Registros médicos o registros de un programa de bienestar o de promoción de la salud o prevención de enfermedades similar, el diagnóstico o tratamiento médico de un profesional de la salud del consumidor, o un número de póliza de seguro médico

Las enmiendas de 2020 mediante la Ley 89 añadieron varias de estas categorías, incluidos los datos biométricos, la información genética, los números de pasaporte, las identificaciones militares y los números de identificación fiscal.

La categoría de salud importa más allá de la propia lista: es exactamente la referencia cruzada que define el alcance del puerto seguro de HIPAA de Vermont, explicado más adelante, de modo que una violación que alcance datos de salud además de cualquier otra categoría queda fuera de ese puerto seguro.

Las credenciales de inicio de sesión también están protegidas de manera independiente. El nombre de usuario o la dirección de correo electrónico de un consumidor combinados con una contraseña o la respuesta a una pregunta de seguridad que permita el acceso a una cuenta en línea califica como información protegida, incluso sin coincidencia de nombre.

La información personal no incluye información disponible públicamente y puesta legalmente a disposición del público general a partir de registros gubernamentales.

Qué Activa el Requisito de Notificación

Una "violación de seguridad" bajo la ley de Vermont significa la adquisición no autorizada de datos electrónicos, o una creencia razonable de adquisición no autorizada, que compromete la seguridad, confidencialidad o integridad de la información de identificación personal o las credenciales de inicio de sesión de un consumidor mantenidas por un recopilador de datos.

Cuando un recopilador de datos toma conocimiento de una posible violación, debe realizar una investigación. Si la investigación determina que la información personal ha sido o razonablemente se cree que ha sido comprometida, se activan los requisitos de notificación.

La fecha de descubrimiento no es la fecha en que se completa la investigación. Es la fecha más temprana en que la entidad tomó conocimiento, o tuvo una creencia razonable, de actividad no autorizada que afecta la información personal.

El Cronograma de Notificación en Dos Etapas

El marco de notificación de Vermont tiene dos plazos distintos, lo que lo hace más exigente que la mayoría de los estados.

Etapa 1: Aviso Preliminar al Fiscal General (14 Días Hábiles)

Dentro de 14 días hábiles posteriores al descubrimiento o la notificación de una violación de seguridad, el recopilador de datos debe presentar un aviso preliminar al Fiscal General de Vermont.

Este aviso preliminar se mantiene confidencial por ley. Permite que la oficina del Fiscal General comience a monitorear la situación y proporcione orientación antes de que se envíen las notificaciones al consumidor. El formulario preliminar recopila información básica sobre la violación, incluyendo qué sucedió, qué datos se vieron afectados y el número estimado de residentes de Vermont afectados.

Para las entidades reguladas por el Departamento de Regulación Financiera, este aviso preliminar se envía al DFR en su lugar.

Etapa 2: Notificación al Consumidor (45 Días)

El recopilador de datos debe notificar a los consumidores afectados lo antes posible y sin demora injustificada, pero no más tarde de 45 días después del descubrimiento o la notificación de la violación.

El plazo de 45 días comienza a partir de la fecha en que la entidad descubrió o fue notificada de la violación, no a partir de la fecha en que concluyó la investigación.

Las fuerzas del orden pueden solicitar un retraso en la notificación al consumidor si esta impidiera una investigación criminal. La notificación debe proceder tan pronto como las fuerzas del orden determinen que ya no compromete la investigación.

Qué Debe Incluir el Aviso al Consumidor

Vermont especifica el contenido de las cartas de notificación de violación. Los avisos a los consumidores afectados deben incluir:

• Una descripción del incidente en términos generales
• El tipo de información de identificación personal que fue comprometida
• Las medidas que el recopilador de datos ha tomado para proteger los datos del consumidor de futuras violaciones
• Un número de teléfono del recopilador de datos que el consumidor pueda llamar para obtener más información y asistencia
• Consejos que orienten al consumidor a permanecer alerta revisando los estados de cuenta y monitoreando los informes crediticios gratuitos
• La fecha aproximada de la violación de seguridad

Para las violaciones que involucran específicamente credenciales de inicio de sesión, el aviso debe indicar al consumidor que cambie de inmediato su contraseña y preguntas de seguridad para la cuenta afectada y para cualquier otra cuenta donde el consumidor haya usado las mismas credenciales.

Reporte al Fiscal General

Además del aviso preliminar de 14 días hábiles, el recopilador de datos debe presentar un Formulario de Reporte de Violación de Seguridad completo ante el Fiscal General una vez que la investigación haya concluido y se hayan enviado los avisos a los consumidores.

La oficina del Fiscal General mantiene una lista pública de avisos de violación de seguridad en su sitio web, brindando transparencia sobre las violaciones que afectan a los residentes de Vermont.

No existe un umbral mínimo para la notificación al Fiscal General en Vermont. Incluso un solo residente de Vermont afectado activa el requisito de reporte.

Aviso a las Agencias de Informes Crediticios

Las violaciones de gran escala conllevan un tercer deber de notificación que es fácil pasar por alto. Conforme a 9 V.S.A. 2435(c), un recopilador de datos que notifica a más de 1,000 consumidores en un mismo momento también debe notificar, sin demora injustificada, a todas las agencias de informes crediticios que compilan y mantienen archivos sobre consumidores a nivel nacional, según se definen en 15 U.S.C. 1681a(p).

Ese aviso a las agencias de crédito nacionales debe cubrir el momento, la distribución y el contenido del aviso al consumidor. Es un aviso sobre el aviso, no una transmisión de los datos de los consumidores afectados.

Este inciso no se aplica a una persona autorizada o registrada ante el Departamento de Regulación Financiera conforme al Título 8.

Aviso Sustituto

Vermont permite el aviso sustituto cuando la notificación directa no es factible. Conforme a 9 V.S.A. 2435(b)(6)(B)(i), un recopilador de datos puede usar el aviso sustituto si se cumple cualquiera de las siguientes condiciones:

• El recopilador de datos demuestra que el costo más bajo de proporcionar aviso directo a los consumidores afectados, entre el aviso escrito, por correo electrónico o telefónico, superaría los $10,000
• El recopilador de datos no cuenta con información de contacto suficiente

Basta con que se cumpla una sola de esas dos condiciones; el estatuto está redactado en forma alternativa.

Una vez disponible el aviso sustituto, el método de entrega tiene dos partes obligatorias: publicar de manera visible el aviso en el sitio web del recopilador de datos, si mantiene uno, y notificar a los principales medios de comunicación estatales y regionales.

Puerto Seguro de Cifrado

Vermont proporciona un puerto seguro de cifrado. La información personal que está cifrada, redactada o protegida por otro método que la haga ilegible o inutilizable para personas no autorizadas no está sujeta a los requisitos de notificación.

El cifrado debe haber estado vigente en el momento de la adquisición no autorizada. Si las claves de cifrado también fueron comprometidas en la violación, el puerto seguro no se aplica.

Excepción: Cuando el Uso Indebido No Es Razonablemente Posible

El cifrado no es la única vía para quedar exento del deber de notificar a los consumidores. Conforme a 9 V.S.A. 2435(d)(1), no se requiere notificación si el recopilador de datos determina que el uso indebido de la información de identificación personal o de las credenciales de inicio de sesión no es razonablemente posible.

Esa determinación no es automática. Para acogerse a ella, el recopilador de datos debe notificar la determinación, junto con una explicación detallada que la respalde, al Fiscal General de Vermont, o al Departamento de Regulación Financiera si el recopilador es una persona o entidad autorizada o registrada ante el Departamento conforme al Título 8 o al Título 9. El recopilador puede designar esa presentación como secreto comercial si cumple con la definición de 1 V.S.A. 317(c)(9).

La excepción también puede caducar. Conforme a 9 V.S.A. 2435(d)(2), si el recopilador de datos obtiene posteriormente información que indique que el uso indebido de los datos ha ocurrido o está ocurriendo, el deber de notificar a los consumidores conforme al inciso (b) se reactiva.

Interacción con las Regulaciones Federales

El estatuto de Vermont excluye a dos categorías de entidades reguladas a nivel federal, y las dos exclusiones funcionan de manera muy distinta.

Entidades cubiertas por HIPAA. Conforme a 9 V.S.A. 2435(e), un recopilador de datos sujeto a las reglas de privacidad, seguridad y notificación de violaciones adoptadas en 45 C.F.R. Parte 164 en virtud de la HIPAA se considera en cumplimiento del subcapítulo de Vermont si se cumplen dos condiciones: la violación de seguridad se limita a la información de salud especificada en 9 V.S.A. 2430(10)(A)(vii), y el recopilador de datos notifica a los consumidores afectados conforme a la regla federal de notificación de violaciones de 45 C.F.R. Parte 164, Subparte D. Tal como está redactado hoy, el estatuto no impone ninguna condición adicional de aviso a Vermont para ese cumplimiento presunto. Si la violación alcanza cualquier otra categoría de información personal, la exclusión no se aplica y rigen los requisitos de Vermont, incluido el aviso preliminar de 14 días hábiles.

Eso cambiará el 1 de enero de 2027. La Act 138 agrega una tercera condición en 9 V.S.A. 2435(e)(3): el recopilador de datos también deberá notificar al Fiscal General o al Departamento de Regulación Financiera conforme a 9 V.S.A. 2435(b)(3)(B), junto con una certificación por escrito de cumplimiento con 45 C.F.R. Parte 164, Subparte D.

Instituciones financieras. 9 V.S.A. 2435(g) exime por completo de esta sección a una institución financiera sujeta a la Guía Interinstitucional Federal sobre Programas de Respuesta ante el Acceso No Autorizado a la Información del Consumidor y Aviso al Cliente, emitida el 7 de marzo de 2005 por la Junta de Gobernadores de la Reserva Federal, la FDIC, la Oficina del Contralor de la Moneda y la Oficina de Supervisión de Ahorros, o a la Guía Final de la Administración Nacional de Cooperativas de Crédito sobre Programas de Respuesta ante el Acceso No Autorizado a la Información de los Miembros y Aviso a los Miembros, emitida el 14 de abril de 2005. La exención se vincula a esas guías interinstitucionales específicas, no a la Ley Gramm-Leach-Bliley, que la sección no menciona.

Una obligación sobrevive a esa exención. Conforme a 9 V.S.A. 2435(g)(3), una institución financiera regulada por el Departamento de Regulación Financiera debe notificar al Departamento lo antes posible después de tener conocimiento de un incidente que involucre el acceso o uso no autorizado de información de identificación personal. Se trata de un estándar de prontitud, no del plazo de 14 días hábiles que se aplica a los recopiladores de datos en general.

Cambios Próximos Vigentes a Partir del 1 de Enero de 2027

El gobernador Scott promulgó la Act 138 (H.211) como ley el 16 de junio de 2026. La Act 138 introduce enmiendas técnicas a las disposiciones de notificación de 9 V.S.A. 2435 y crea un nuevo estatuto paralelo en 9 V.S.A. 2436, la Ley de Aviso de Violación de Seguridad para Corredores de Datos, ambas vigentes a partir del 1 de enero de 2027.

La nueva Ley de Aviso de Violación de Seguridad para Corredores de Datos exige que los corredores de datos, específicamente, notifiquen a los consumidores afectados de Vermont dentro de los 45 días y presenten un aviso preliminar al Fiscal General dentro de los 14 días hábiles, replicando los plazos que ya se aplican a los recopiladores de datos en general conforme a 9 V.S.A. 2435. La Act 138 también actualiza las definiciones y requisitos de registro relacionados con los corredores de datos, incluido el aumento de la tarifa de registro de corredores de datos de $100 a $900 anuales.

El plazo de 45 días para la notificación al consumidor, el aviso preliminar de 14 días hábiles al Fiscal General, el puerto seguro de cifrado y la sanción de $10,000 por infracción descritos en este artículo siguen siendo la ley vigente hoy. Esta sección se actualizará nuevamente una vez que la Act 138 entre en vigor.

Aplicación y Sanciones

El Fiscal General de Vermont aplica la ley de notificación de violaciones bajo la autoridad de la Ley de Protección al Consumidor de Vermont (9 V.S.A. Capítulo 63). Los Fiscales Estatales también pueden aplicar la ley dentro de sus jurisdicciones. Para un recopilador de datos autorizado o registrado ante el Departamento de Regulación Financiera conforme al Título 8 o al Título 9, la autoridad de aplicación recae en el Departamento en su lugar, conforme a 9 V.S.A. 2435(h)(2).

No existe un derecho de acción privado bajo el estatuto de notificación de violaciones. Solo el Fiscal General, los Fiscales Estatales y el Departamento de Regulación Financiera, respecto de las entidades que regula, pueden iniciar acciones de aplicación.

La sanción proviene de la Ley de Protección al Consumidor y no del propio estatuto de notificación de violaciones:

• Conforme a 9 V.S.A. 2458(b)(1), un tribunal puede imponer una sanción civil de no más de $10,000 por cada acto o práctica desleal o engañosa en el comercio
• Conforme a 9 V.S.A. 2461(a), quien viole los términos de una medida cautelar dictada conforme a 9 V.S.A. 2458 paga una sanción civil adicional de no más de $10,000 por cada infracción

Ni 9 V.S.A. 2435 ni las disposiciones del Capítulo 63 de las que toma prestada esta sanción establecen un multiplicador por día o por consumidor. Cuántas infracciones separadas produce un aviso tardío o faltante se argumenta caso por caso, no está fijado por el texto del estatuto.

El Fiscal General también puede emitir Solicitudes de Investigación Civil (citaciones civiles) para investigar posibles infracciones y puede buscar medidas cautelares para exigir el cumplimiento.

Más leyes de Vermont

• Leyes de Grabación de Reuniones con IA de Vermont
• Leyes de Pensión Alimenticia de Vermont
• Leyes de Empleo a Voluntad de Vermont
• Leyes de Accidentes de Auto de Vermont
• Leyes de Asientos de Seguridad para Niños de Vermont
• Leyes de Custodia de los Hijos de Vermont
• Leyes de Manutención de los Hijos de Vermont
• Leyes de Matrimonio de Hecho de Vermont
• Leyes de Deepfake de Vermont
• Leyes de Divorcio de Vermont
• Leyes de Mordedura de Perro de Vermont
• Leyes de Emancipación de Vermont
• Leyes de Eliminación de Antecedentes de Vermont
• Leyes de Atropello y Fuga de Vermont
• Leyes de Propietarios e Inquilinos de Vermont
• Leyes Limón de Vermont

Preguntas frecuentes

¿Con qué rapidez debe una empresa de Vermont notificar a los consumidores sobre una violación de datos?

Vermont exige la notificación al consumidor dentro de los 45 días posteriores al descubrimiento de una violación de seguridad. Sin embargo, antes de que se envíen los avisos al consumidor, la entidad también debe presentar un aviso preliminar ante el Fiscal General de Vermont dentro de los 14 días hábiles posteriores al descubrimiento. El aviso al Fiscal General de 14 días hábiles es confidencial y permite que el estado comience a monitorear la situación antes de que se notifique formalmente a los consumidores.

¿Qué es el requisito de aviso preliminar de 14 días hábiles en Vermont?

Dentro de los 14 días hábiles posteriores al descubrimiento de una violación de seguridad, el recopilador de datos debe presentar un aviso preliminar ante el Fiscal General de Vermont (o el Departamento de Regulación Financiera para las entidades financieras reguladas). Este aviso se mantiene confidencial por ley y proporciona al Fiscal General un conocimiento temprano de la violación. Es independiente y adicional al formulario completo de reporte de violación y a la notificación al consumidor.

¿Exige Vermont la notificación si los datos violados estaban cifrados?

No. Vermont proporciona un puerto seguro de cifrado. Si la información personal estaba cifrada, redactada o de otro modo hecha ilegible o inutilizable para personas no autorizadas en el momento de la violación, no se requiere notificación. Sin embargo, si las claves de cifrado también fueron comprometidas, el puerto seguro no se aplica. El cifrado no es la única excepción: conforme a 9 V.S.A. 2435(d)(1), tampoco se requiere notificación si el recopilador de datos determina que el uso indebido de la información no es razonablemente posible y presenta esa determinación, junto con una explicación detallada, ante el Fiscal General o el Departamento de Regulación Financiera.

¿Qué tipos de información personal activan la notificación de violación en Vermont?

Vermont protege los números de Seguro Social, los números de licencia de conducir, los números de cuentas financieras, los números de identificación fiscal, los números de pasaporte, las identificaciones militares, los datos biométricos, la información genética, los registros médicos y números de póliza de seguro médico, y las credenciales de inicio de sesión (nombre de usuario o correo electrónico combinado con una contraseña o pregunta de seguridad). La definición se amplió significativamente mediante la Ley 89 de 2020 para incluir datos biométricos, información genética y varias otras categorías.

¿Qué sanciones impone Vermont por no notificar a los consumidores sobre una violación de datos?

Las sanciones provienen de la Ley de Protección al Consumidor de Vermont y no del estatuto de notificación de violaciones. Conforme a 9 V.S.A. 2458(b)(1), un tribunal puede imponer una sanción civil de no más de $10,000 por cada acto o práctica desleal o engañosa en el comercio, y 9 V.S.A. 2461(a) agrega una sanción de hasta $10,000 por cada infracción a una medida cautelar. El estatuto de notificación de violaciones no establece un multiplicador por día ni por consumidor, por lo que el número de infracciones se argumenta caso por caso. No existe un derecho de acción privado para los consumidores individuales.